破解CuteFTP 4.0的方法

CuteFTP早期的版本的保护还是比较厉害的，先是KeyFile，后来才改成注册码。它有个3.x版本被拿来作为HCU（High Cracking University）的strainer。4.0版本可以变成注册版，但是输入注册码之后它要连到其公司的服务器上去验证。输入注册码之后是可以跟出注册码来的，但是通不过联机验证则它不会将注册码保存起来，所以下次启动还是未注册版。可以从它启动时开始跟踪，找到注册码，实际上所有的软件都可以从启动时入手。

用RegMon、FileMon检查一下，发现有个注册表键叫做Key1，里面放的是一些很长的乱七八糟的字符。可以用bpx RegQueryValueExA作断点，然后跟踪，但是这玩意儿读的注册表键太多，且SoftICE的条件断点又不是很灵光（我用bpx RegQueryValueExA if (esp 8)==’Key1’作断点它不中断），所以改用W32Dasm来寻找合适的断点。将其反汇编之后查找引用到"Key1"这个字符串的地方，记下其地址作为断点，然后用Symbol Loader加载主程序，设好断点，发现在下面的地方读出该键值，但它要求Key1串的长度小于等于20。


015F:00489074MOVESI,[ADVAPI32!RegQueryValueExA]

015F:0048907AJNZ004890A9

015F:0048907CMOVECX,[ESP 10]

015F:00489080LEAEDX,[ESP 14]

015F:00489084PUSHEDX

015F:00489085LEAEAX,[ESP 20]

015F:00489089PUSHEBX

015F:0048908APUSHEAX

015F:0048908BPUSH00

015F:0048908DPUSH0053E030//Key1

015F:00489092PUSHECX

015F:00489093CALLESI//读注册表

015F:00489095TESTEAX,EAX

015F:00489097JNZ004890A2

015F:00489099MOVEDX,[ESP 10]

015F:0048909DPUSHEDX

015F:0048909ECALLEBP

015F:004890A0JMP00489108


.........


015F:00489108MOVECX,[ESP 14] //Key1串的长度

015F:0048910CCMPECX,14//长度小于等于0x14则继续检查

015F:0048910FJBE0048911B

015F:00489111POPEDI

015F:00489112POPESI

015F:00489113POPEBP

015F:00489114XOREAX,EAX//bag guy

015F:00489116POPEBX

015F:00489117ADDESP,10

015F:0048911ARET

015F:0048911BMOVEAX,[ESP 28]

015F:0048911FTESTEAX,EAX

015F:00489121JZ00489125

015F:00489123MOV[EAX],ECX

015F:00489125POPEDI

015F:00489126POPESI

015F:00489127POPEBP

015F:00489128MOVEAX,00000001

015F:0048912DPOPEBX

015F:0048912EADDESP,10

015F:00489131RET


将Key1串改成一个长度小于20的ASCIIZ串，重新来一遍。等它读完Key1后用BPR断点监视Key1串，会看见它把Key1转换成大写，并检查长度：


015F:004AB0F0REPNZ SCASB

015F:004AB0F2NOTECX

015F:004AB0F4DECECX

015F:004AB0F5CMPECX,0E

015F:004AB0F8JNZ004AB16D


可见长度应为14个字符。接下来它检查Key1的第一个字符是否为’A’，并计算注册码的其它位：


015F:00491828CMPBYTE PTR [EBX],41//Key1的首字符

015F:0049182BJZ00491832

015F:0049182DPOPEDI

015F:0049182EXOREAX,EAX//bad guy

015F:00491830POPEBX

015F:00491831RET

015F:00491832PUSHESI//以下为计算过程

015F:00491833MOVESI,00000001

015F:00491838MOVAL,[EBX ESI]

015F:0049183BPUSHEAX

015F:0049183CCALL004917D0

015F:00491841SHLEDI,05

015F:00491844ADDESP,04

015F:00491847OREDI,EAX

015F:00491849INCESI

015F:0049184ACMPESI,07

015F:0049184DJL00491838

015F:0049184FMOVCL,[EBX 07]

015F:00491852PUSHECX

015F:00491853CALL004917D0

015F:00491858ADDESP,04

015F:0049185BLEAEDX,[EDI4 00000000]

015F:00491862SHREAX,02

015F:00491865POPESI

015F:00491866POPEDI

015F:00491867OREAX,EDX

015F:00491869POPEBX

015F:0049186ARET


计算完了之后就开始比较：


015F:004AB0F0REPNZ SCASB

015F:004AB0F2NOTECX

015F:004AB0F4DECECX

015F:004AB0F5CMPECX,0E//这是刚才判长度的地方

015F:004AB0F8JNZ004AB16D

015F:004AB0FAPUSHESI

015F:004AB0FBCALL004B1B8A

015F:004AB100PUSH0E

015F:004AB102LEAEAX,[ESP 20]

015F:004AB106PUSHESI

015F:004AB107PUSHEAX

015F:004AB108CALL004AF930

015F:004AB10DLEAECX,[ESP 28]

015F:004AB111MOVBYTE PTR [ESP 36],00

015F:004AB116PUSHECX

015F:004AB117CALL00491820//这是刚才计算的地方

015F:004AB11CMOVESI,EAX

015F:004AB11EPUSHESI

015F:004AB11FCALL00491510

015F:004AB124LEAEDX,[ESP 20]

015F:004AB128MOVEDI,EAX

015F:004AB12APUSHEDX

015F:004AB12BPUSHESI

015F:004AB12CMOVBYTE PTR [ESP 28],00

015F:004AB131CALL004916A0

015F:004AB136LEAEAX,[ESP 38]

015F:004AB13APUSH0E//14个字符

015F:004AB13CLEAECX,[ESP 2C]

015F:004AB140PUSHEAX//真注册码

015F:004AB141PUSHECX//假注册码

015F:004AB142CALL004B04D0//比较

015F:004AB147ADDESP,2C

015F:004AB14ATESTEAX,EAX

015F:004AB14CJNZ004AB15E

015F:004AB14EMOVEDX,[ESP 2C]

015F:004AB152ORAX,FFFF//good guy

015F:004AB156MOV[EDX],EDI

015F:004AB158POPEDI

015F:004AB159POPESI

015F:004AB15AADDESP,20

015F:004AB15DRET

015F:004AB15EMOVEAX,[ESP 2C]

015F:004AB162MOV[EAX],EDI

015F:004AB164POPEDI

015F:004AB165XORAX,AX//bad guy

015F:004AB168POPESI

015F:004AB169ADDESP,20

015F:004AB16CRET


至此就找出了注册码。根据上面的计算和比较过程可知注册码与名字什么的没有关系，所以它启动时不用读取用户名。用RegMon监视一下它显示About对话框的时候的动作，发现它还读取RegUserName键，这显然是存放用户名的。

关键的健：

HKEY_LOCAL_MACHINE\Software\GlobalSCAPE Inc.\CuteFTP\Key1

HKEY_LOCAL_MACHINE\Software\GlobalSCAPE Inc.\CuteFTPegUserName

HKEY_CLASSES_ROOT\pfc

最后一个键是存放日期的，老版本的也在这里。