系统 ： Windows xp
程序 ： zebrone1.1
程序下载地址 ：http://pan.baidu.com/s/1boqVcU7
要求 ： 编写注册机
使用工具 ：OD
可在看雪论坛中查找关于此程序的讨论：传送门。
用OD载入程序，查找字串发现成功提示“congratulations, you have cracked the zebra crackme ver 1.1”，双击定位该字串：
004012AA |> 6A 0A push 0A ; /Count = A (10.); Case 1 of switch 0040128D
004012AC |. 8D45 EC lea eax, dword ptr [ebp-14] ; |
004012AF |. 50 push eax ; |Buffer
004012B0 |. 6A 65 push 65 ; |ControlID = 65 (101.)
004012B2 |. FF75 08 push dword ptr [ebp+8] ; |hWnd
004012B5 |. E8 F2010000 call <jmp.&USER32.GetDlgItemTextA> ; GetDlgItemTextA
004012BA |. 6A 0A push 0A ; /Count = A (10.)
004012BC |. 8D45 F6 lea eax, dword ptr [ebp-A] ; |
004012BF |. 50 push eax ; |Buffer
004012C0 |. 6A 66 push 66 ; |ControlID = 66 (102.)
004012C2 |. FF75 08 push dword ptr [ebp+8] ; |hWnd
004012C5 |. E8 E2010000 call <jmp.&USER32.GetDlgItemTextA> ; GetDlgItemTextA
004012CA |. 8D45 F6 lea eax, dword ptr [ebp-A] ; 取序列号
004012CD |. 50 push eax ; 序列号入栈
004012CE |. 8D45 EC lea eax, dword ptr [ebp-14] ; 取用户名
004012D1 |. 50 push eax ; 用户名入栈
004012D2 |. E8 73000000 call 0040134A
004012D7 |. 83C4 08 add esp, 8 ; 平衡堆栈
004012DA |. 09C0 or eax, eax ; eax 为 0？
004012DC |. 74 16 je short 004012F4 ; 为0 则错误。
004012DE |. 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
004012E0 |. 68 26324000 push 00403226 ; |great !!!
004012E5 |. 68 30324000 push 00403230 ; |congratulations, you have cracked the zebra crackme ver 1.1
004012EA |. FF75 08 push dword ptr [ebp+8] ; |hOwner
004012ED |. E8 C6010000 call <jmp.&USER32.MessageBoxA> ; MessageBoxA
004012F2 |. EB 14 jmp short 00401308
004012F4 |> 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
004012F6 |. 68 F8314000 push 004031F8 ; |hmmmm :p
004012FB |. 68 01324000 push 00403201 ; |Text = "Sorry... The Serial isn't correct :?
00401300 |. FF75 08 push dword ptr [ebp+8] ; |hOwner
00401303 |. E8 B0010000 call <jmp.&USER32.MessageBoxA> ; MessageBoxA
跟入关键call：
0040134A /$ 55 push ebp
0040134B |. 89E5 mov ebp, esp
0040134D |. 83EC 68 sub esp, 68 ; ↓将用户名字串转化为浮点数
00401350 |. FF75 08 push dword ptr [ebp+8] ; /s
00401353 |. E8 78010000 call <jmp.&CRTDLL.atof> ; atof
00401358 |. DD55 E8 fst qword ptr [ebp-18] ; 保存转化结果
0040135B |. 83EC 08 sub esp, 8 ; 开辟内存
0040135E |. DD1C24 fstp qword ptr [esp] ; 保存转化结果并弹栈
00401361 |. E8 82010000 call <jmp.&CRTDLL.floor> ; 向下取整
00401366 |. DD5D F8 fstp qword ptr [ebp-8] ; ↓将序列号转化为浮点数
00401369 |. FF75 0C push dword ptr [ebp+C] ; /s
0040136C |. E8 5F010000 call <jmp.&CRTDLL.atof> ; atof
00401371 |. DD55 D8 fst qword ptr [ebp-28] ; 保存转化后的序列号
00401374 |. 83EC 08 sub esp, 8 ; 平衡堆栈
00401377 |. DD1C24 fstp qword ptr [esp] ; 将结果入栈
0040137A |. E8 69010000 call <jmp.&CRTDLL.floor> ; 向下取整
0040137F |. 83C4 18 add esp, 18 ; 平衡堆栈
00401382 |. DD55 F0 fst qword ptr [ebp-10] ; 保存取整结果
00401385 |. DC4D F8 fmul qword ptr [ebp-8] ; 乘以用户名
00401388 |. D9EE fldz ; 载入0
0040138A |. DED9 fcompp ; 比较st（0）st（1），并弹出寄存器堆栈
0040138C |. DFE0 fstsw ax ; 把该状态寄存器的值传送给通用寄存器AX
0040138E |. 9E sahf ; 标志传送指令
0040138F |. 75 07 jnz short 00401398 ; st0和st1相等？
00401391 |. 31C0 xor eax, eax ; 清空eax
00401393 |. E9 96000000 jmp 0040142E ; 函数结束
00401398 |> DD45 F8 fld qword ptr [ebp-8] ; 用户名浮点数入栈
0040139B |. DC5D F0 fcomp qword ptr [ebp-10] ; 与序列号浮点数比较
0040139E |. DFE0 fstsw ax
004013A0 |. 9E sahf
004013A1 |. 75 07 jnz short 004013AA ; 用户名浮点数与序列号浮点数相等则函数结束
004013A3 |. 31C0 xor eax, eax ; 清空eax
004013A5 |. E9 84000000 jmp 0040142E ; 函数结束
004013AA |> DD45 F8 fld qword ptr [ebp-8] ; 用户名浮点数入栈
004013AD |. DD5D C8 fstp qword ptr [ebp-38] ; 保存用户名浮点数
004013B0 |. D9E8 fld1 ; 1入栈
004013B2 |. DD55 C0 fst qword ptr [ebp-40] ; 保存1
004013B5 |. DC5D C8 fcomp qword ptr [ebp-38] ; 1 > 用户名浮点数？
004013B8 |. DFE0 fstsw ax
004013BA |. 9E sahf
004013BB |. 77 2D ja short 004013EA ; 是则错误
004013BD |. DF2D 38304000 fild qword ptr [403038] ; 载入10的10次方
004013C3 |. DD55 B8 fst qword ptr [ebp-48] ; 保存
004013C6 |. DC5D C8 fcomp qword ptr [ebp-38] ; 10的10次方 < 用户名浮点数？
004013C9 |. DFE0 fstsw ax
004013CB |. 9E sahf
004013CC |. 72 1C jb short 004013EA ; 是则错误
004013CE |. DD45 F0 fld qword ptr [ebp-10] ; 序列号浮点数入栈
004013D1 |. DD5D B0 fstp qword ptr [ebp-50] ; 保存
004013D4 |. DD45 C0 fld qword ptr [ebp-40] ; 用户名浮点数入栈
004013D7 |. DC5D B0 fcomp qword ptr [ebp-50] ; 用户名浮点数 > 序列号浮点数？
004013DA |. DFE0 fstsw ax
004013DC |. 9E sahf
004013DD |. 77 0B ja short 004013EA ; 是则错误
004013DF |. DD45 B8 fld qword ptr [ebp-48] ; 载入10的10次方
004013E2 |. DC5D B0 fcomp qword ptr [ebp-50] ; 10的10次方 >= 序列号浮点数？
004013E5 |. DFE0 fstsw ax
004013E7 |. 9E sahf
004013E8 |. 73 04 jnb short 004013EE ; 是则继续流程
004013EA |> 31C0 xor eax, eax ; 清空eax
004013EC |. EB 40 jmp short 0040142E ; 函数结束
004013EE |> DD45 F8 fld qword ptr [ebp-8] ; 用户名浮点数入栈
004013F1 |. D9FE fsin ; 计算栈顶的正弦函数
004013F3 |. DD5D A8 fstp qword ptr [ebp-58] ; 保存结果
004013F6 |. DD45 F0 fld qword ptr [ebp-10] ; 序列号浮点数入栈
004013F9 |. D9FE fsin ; 计算栈顶的正弦函数
004013FB |. DD5D A0 fstp qword ptr [ebp-60] ; 保存结果
004013FE |. DD45 A8 fld qword ptr [ebp-58] ; 用户名正弦值入栈
00401401 |. DC4D A0 fmul qword ptr [ebp-60] ; 乘以 序列号正弦值
00401404 |. DF2D 30304000 fild qword ptr [403030] ; 10的16次方入栈
0040140A |. DEC9 fmulp st(1), st ; 再相乘
0040140C |. 83EC 08 sub esp, 8 ; 开辟8个字节的空间
0040140F |. DD1C24 fstp qword ptr [esp] ; 保存结果
00401412 |. E8 D1000000 call <jmp.&CRTDLL.floor> ; 向下取整
00401417 |. 83C4 08 add esp, 8
0040141A |. DD5D 98 fstp qword ptr [ebp-68] ; 保存
0040141D |. D9EE fldz ; 载入0
0040141F |. DC5D 98 fcomp qword ptr [ebp-68] ; 结果是否为0？
00401422 |. DFE0 fstsw ax
00401424 |. 9E sahf ; (initial cpu selection)
00401425 |. 75 05 jnz short 0040142C ; 不为0则失败
00401427 |. 31C0 xor eax, eax
00401429 |. 40 inc eax
0040142A |. EB 02 jmp short 0040142E
0040142C |> 31C0 xor eax, eax
0040142E |> C9 leave
0040142F . C3 retn
这里的Sin指令是按弧度制算的，所以想用180的倍数充当乘数是不行的，我们只能遍历[1,10^10],找出其中正弦值为正数且正弦值小于10^-8的实数。这样的两个实数相乘再乘以10的16次方的乘积就满足了条件。{ x | 0 < x < 1 }
动手编写程序，验证我们的猜想：
=========================十年后============================》
好吧。。。肯定是哪儿出问题了，经过Debug之后源程序如下：
#include <iostream>
#include <math.h>
#include <iomanip> // 精度控制头文件
using namespace std;
inline double Sin( double Var ) //内联Sin指令
{
__asm{
fld Var
fsin
fstp Var
}
return Var;
}
int main( void )
{
double i,j,res;
const double min = 1e-8;
cout << "Valid number:" << endl;
for ( i = 1 ; i <= 1e+10 ; i++ ){
res = Sin( i ); //接受正弦值。
bool Flag = false;
__asm{
push eax
fld res //载入正弦值
fldz //载入0
fcompp //0 < 正弦值？
fstsw ax
sahf
jnb s //不小于则跳转
fld res //载入正弦值
fcomp min //正弦值 < min?
fstsw ax
sahf
jnb s //不小于则跳转
mov Flag,1
s: pop eax
}
if ( Flag )
cout << setprecision(10) << i <<endl;
}
cout << "Done." << endl;
return 0;
}
运行效果：
但经过测试发现，算出的数中 大于 10的9次方的数的Sin值与zebrone1.1的Sin值有偏差，所以有效的数值有：
245850922
411557987
657408909
823115974
随便取出两个按照 升序填入：
就注册成功了：
