   |
【原创】制作Flexlm license总结！ 标 题: 【原创】制作Flexlm license总结！
作 者: laoqian
时 间: 2005-12-15,17:45
链 接: http://bbs.pediy.com/showthread.php?t=19435
作者: laoqian [FCG]
时 间:2005-12-15
软件名称: Zendenc （FLEXlm 7.1d）
软件类别：Nolan Blender提供的经典例子
软件介绍： FLEXlm 7.1d加密
破解工具：ollydbg 1.10(FLY修改) ，w32Dasm_2002828_pll621，UltraEdit10.0，Flexlm7.2 SDK,calcseed,lmkg7，lmcryptgui，flexlm9.2
sdk的源码等
破解目的：制作无限制使用license文件
通过这篇文章我们将向你介绍如何制作FlexLm的license，并总结经验
第一部分: 废话
Zendenc这个软件是Nolan Blender提供的经典例题，crackZ或网上有下载和分析文章。玩了几个Flexlm, 想总结一下， 就拿它来开刀方便！本
文是关于7.x的，但有部分适用于8.x和9.x,甚至10.x。
第二部分: 转入正题
破解FlexLm最主要的是找到4样东西.
1. 确定版本号
2. 找vendor
3. 计算ENCRYPTION_SEED
4. 找FEATURE
有了这几个,就可以使用FlexLm SDK（如果你有）或工具做出注册机了.
btw：FlexLm SDK一般是通用兼容的的，比如7.2就可以制作7.1的，甚至有时7.1也可以制作7.2的，关键是参数设置。
1. 确定FlexLm版本号 BEHAVIOR Version
方法一：
* 用二进制编辑器,推荐使用HexWorkshop（我用UltraEdit10.0，呵呵）,它的查找功能很强,特别是Find All Instances更是我最最常用的.
在查找对话框Type中选择类型Text String,Value中输入"@(#) FLEXlm v",查找,"@(#) FLEXlm v"后面的就是版本号.
【以上是tulipfan[CCG]大虾说的】
方法二：
用Flexlm SDK里的lmtools（在\flexlm\v7.1\i86_n3目录里），运行进入Utilities，点击"Browse"查找你的Flexlm加密的程序主exe或dll，
然后"find version"，在下面就会显示你的Flexlm版本，用v7.1版甚至可以看到8.3版以后，是通用的。有个别程序可能此法不行！
方法三：在反汇编以后，搜索"87654321"，在前面设断点
在Flexlm SDK里lm_code.h文件里你可以看到一下几句：
这说明demo的SEED1＝0x87654321，SEED2＝0x12345678
对应Zendenc里是：
我们在断点停下d ebp-c0
这之后，等我们第一次走过著名的所谓7648B98E标志call，"00433940 call zendenc.00438FDA"以后，会发现被加密seed又改变了，其实
就是简单的xor，可是这个xor我们不得而知！
我们得到BEHAVIOR Version V7.1d
btw：87654321此处，在6.x版时，可以得到真seed，
参考文章"Ansoft Serenade v8.5 - Tutorial"
http://www.woodmann.com/crackz/Tutorials/Serenade.htm
最后用方法一、二可以确定Zendenc版本号是7.1d,这一步的目的有两个,一是在lmkg.exe中生成Vendor信息时用,二是在使用FlexLm SDK制作
FlexLm的license时使用。
2. 先找FEATURE
方法一：
不用IDA，太麻烦了，既然有SDK和前人的经验，我偷个懒。我偷懒的办法，还是用安装Flexlm SDK里的lmtools！打开"Server status"项，
点击"Perform status Equiry",你就会看到服务器端的正版license.dat内容！前提是你要配置好，而且有正版程序和license，废话！
比如显示如下：
101: SERVER main 001234567890 （我的服务器网卡号，我隐去正确的，避免麻烦啊！）
80: VENDOR adskflex port=8080
150: INCREMENT 41100ACD_2002_0F adskflex 1.000 permanent 100 VENDOR_STRING=（中间有很多参数，省略避免麻烦）SIGN=787878787878
（我隐去正确的，避免麻烦，为什么是78 ？）
关联信息: 省略
170: (overall file checksum)
看到了吗！
VENDOR adskflex
INCREMENT 41100ACD_2002_0F，这个INCREMENT其实就是FEATURE，后面那个1.000就是Version
permanent 是用户数
VENDOR_STRING= 这个也参与计算验证的
中间有很多参数也参与计算验证的，省略避免麻烦
SIGN=787878787878 我就不说了
如果你没有像我的条件就只好去看别的资料学习，很简单的！
btw：如果你的选项得当，现在你甚至就可以在客户端控制license服务器，你可以关闭license服务��慎用！！！，我曾在几次无意的操作中
关闭了license服务，结果单位的所有机器cad罢工，管理员还不知道怎么回事，只好重启服务器，那几天可忙坏了她！这是flexlm的一个bug吧
！
方法二：
用IDA＋相应版本的sig＋sdk，找到_lc_checkout函数，设断点，你会找到FEATURE。我采用的是7.2得sig，显示是_lp_checkout
在00478054中断，你会看到堆栈窗口里出现了FEATURE id和版本，或者d esi。
3. 找vendor以及计算seed的关键数据
方法一同前，不说了。
方法二：
下面引用自tulipfan[CCG]：
********
"要找vendor_id就需要找到l_sg这个函数了(至于为什么要找这个函数建议看一些更基础的文章),在这儿我主要是介绍一下如何定位l_sg函数,
这个是FlexLm的一个内部使用的函数. lc_init,lc_checkout都会调用它下面是它们的调用关系,括号里面的数字是调用的次数。
a. lc_init -> l_init
b. l_init -> l_sg(1)
a. lc_checkout -> l_checkout
b. l_checkout -> lm_start_real(2)
c. lm_start_real -> l_good_lic_key(3)
d. l_good_lic_key -> l_sg(2)
从上面可以看到它们的调用关系.
我们可以通过l_sg确定vendor_id和ENCRYPTION_SEED,通过lc_checkout可以确定FEATURE
IDA通过FlexLm的sig文件可以确定上面的大部分函数,再通过他们的调用关系,很容易找到其他函数.
制作FlexLm的批处理文件和工具包可去CrackZ去下载.
最后定位到l_sg函数"
************
我们有9.2的source，我们看到lm_ckout.c中有下面一段,那几个数就是确定l_sg函数上很有用的，针对
0x7648b98e; v7.x */
0x6f7330b8; /*- v8.x，9.x*/
下面给出参考：
V7
glseed = 0x788F71D2
seedval = 0x7648B98E
V8
glseed = 0x3CDE3EBF
seedval = 0x6F73330B8
V9
glseed = 0x72346B53
seedval = 0x6F7330B8
v10
glseed = 0x5332322F
seedval = 0x6F7330B8
关于这一段，zhanzixin 有一点小小的补充。
0x7648b98e这个数字，被称为seedval的，
在版本4、5、6中是 0xa8f38730
在版本7.0-8.0c中是 0x7648b98e
在版本8.0d以后，一直没变，是0x6f7330b8。
废话少说，我们直接反汇编zendenc.exe，我们查找"7648B98E"，来到下面，好像就这么１，２处
。前人的经验就是宝贵啊，我省了很多事！
*************************
别急，先做一下准备工作：
*************************
前面我们在00433938 处可以得到VENDOR为 "zend"，而0043392C处的ebp-D0是初始化VENDORkey的地方！
但是问题又来了，我们并没有license.dat，这就要我们做一个假的，否则第二次不会来到text:00438FDA，那就前功尽弃了！
license.dat格式我不说了看雪的书上以及很多资料说得很清楚了。
我们根据我们上面得到的正版license.dat内容，做一个假的license.dat，放在zendenc目录里下:
***************
FEATURE Zend_Encoder zend 1.0 permanent uncounted VENDOR_STRING=www.FCGchina.com \
HOSTID=ANY SIGN=787878787878 (怎么又是78 !?)
***************
因为断开网络，所以运行zendenc.exe会找不到license，我们把它指向我们的假的license.dat，当然是出错退出！经过仔细跟踪还会发现
license文件名必须是Zend_Encoder.dat！
好，工作开始：
下面我启动ollydbg 1.10调入zendenc.exe，在入口停下，直接下bp 00438FDA ,bp 00439019
F9执行，中断在00438FDA。
这时第一次来到00439002 jz short loc_439027时它是要跳过去的，注意要跳就让他跳吧。
若开始第一次时强制不跳，倒是能来到00439019，结果跟出了错误的seed1和seed2，而且多少次结果还都一样。
再次F9，我们又回来中断在00438FDA，F8单步执行，这次不跳了，直到过了00439019，暂停！
我们在命令栏下如下命令，可以看到：（可以纪录了多次的调试结果）
这些数据就是我们计算seed1和seed2的关键！
4. 计算ENCRYPTION_SEED
使用工具calcseed.exe,输入data[0]，data[1]，job+08，job+0c，job+10，VENDORname为 "zend"上述信息,计算
ENCRYPTION_SEED1 0xfa5410de
ENCRYPTION_SEED2 0xdaeca107
多次结果是一样的，注意是第二次自然来到时！
至此,分析已经基本完成,可以使用SDK写license.dat
第三部分: 制作license.dat
方法一：
我们得到数据如下：
使用lmkg.exe,选择version 7.0,在vendor_id输入"Zend"得到:
按照上面的信息,编辑\flexlm\v7.2\machind\lm_code.h
作 者: laoqian
时 间: 2005-12-15,17:45
链 接: http://bbs.pediy.com/showthread.php?t=19435
作者: laoqian [FCG]
时 间:2005-12-15
软件名称: Zendenc （FLEXlm 7.1d）
软件类别：Nolan Blender提供的经典例子
软件介绍： FLEXlm 7.1d加密
破解工具：ollydbg 1.10(FLY修改) ，w32Dasm_2002828_pll621，UltraEdit10.0，Flexlm7.2 SDK,calcseed,lmkg7，lmcryptgui，flexlm9.2
sdk的源码等
破解目的：制作无限制使用license文件
通过这篇文章我们将向你介绍如何制作FlexLm的license，并总结经验
第一部分: 废话
Zendenc这个软件是Nolan Blender提供的经典例题，crackZ或网上有下载和分析文章。玩了几个Flexlm, 想总结一下， 就拿它来开刀方便！本
文是关于7.x的，但有部分适用于8.x和9.x,甚至10.x。
第二部分: 转入正题
破解FlexLm最主要的是找到4样东西.
1. 确定版本号
2. 找vendor
3. 计算ENCRYPTION_SEED
4. 找FEATURE
有了这几个,就可以使用FlexLm SDK（如果你有）或工具做出注册机了.
btw：FlexLm SDK一般是通用兼容的的，比如7.2就可以制作7.1的，甚至有时7.1也可以制作7.2的，关键是参数设置。
1. 确定FlexLm版本号 BEHAVIOR Version
方法一：
* 用二进制编辑器,推荐使用HexWorkshop（我用UltraEdit10.0，呵呵）,它的查找功能很强,特别是Find All Instances更是我最最常用的.
在查找对话框Type中选择类型Text String,Value中输入"@(#) FLEXlm v",查找,"@(#) FLEXlm v"后面的就是版本号.
【以上是tulipfan[CCG]大虾说的】
方法二：
用Flexlm SDK里的lmtools（在\flexlm\v7.1\i86_n3目录里），运行进入Utilities，点击"Browse"查找你的Flexlm加密的程序主exe或dll，
然后"find version"，在下面就会显示你的Flexlm版本，用v7.1版甚至可以看到8.3版以后，是通用的。有个别程序可能此法不行！
方法三：在反汇编以后，搜索"87654321"，在前面设断点
在Flexlm SDK里lm_code.h文件里你可以看到一下几句：
代码:
* Vendor's private seeds, -- replace with 32-bit numbers that * you make up. */ #define ENCRYPTION_SEED1 0x87654321 #define ENCRYPTION_SEED2 0x12345678 /* * FLEXlm vendor keys -- enter as received from Globetrotter. * Changing these keys has NO impact on license files (unlike * the ENCRYPTION_SEEDs). */ /*- * Generate these keys with: lmvkey -v demo -d (+3 months) -p ALL -c DEMO * (Use a date approx 3 months out) */
对应Zendenc里是：
代码:
0043391D E8 184B0400 call <jmp.&MSVCRT.memcpy> 00433922 83C4 0C add esp,0C 00433925 8D8D 40FFFFFF lea ecx,dword ptr ss:[ebp-C0] ；我们可以在这里设断点！ 0043392B 51 push ecx 0043392C 8B95 30FFFFFF mov edx,dword ptr ss:[ebp-D0] ；ebp-D0地址是以后要用的！ 00433932 81C2 4C010000 add edx,14C ；计算得到VENDOR地址 00433938 52 push edx ；VENDOR入栈！(ASCII "zend") 00433939 8B85 30FFFFFF mov eax,dword ptr ss:[ebp-D0] 0043393F 50 push eax 00433940 E8 95560000 call zendenc.00438FDA ；这个call就是著名的所谓7648B98E标志call！后面要进去的！！！ 00433945 83C4 0C add esp,0C 00433948 81BD 44FFFFFF 214>cmp dword ptr ss:[ebp-BC],87654321 ；此处比较是否是demo的seed1，当然在此seed1已被加密！ 00433952 74 0C je short zendenc.00433960 ；此处比较是否是demo的seed2，当然在此seed2已被加密！ 00433954 81BD 48FFFFFF 785>cmp dword ptr ss:[ebp-B8],12345678 0043395E 75 5D jnz short zendenc.004339BD 00433960 8B8D 30FFFFFF mov ecx,dword ptr ss:[ebp-D0] 00433966 8379 14 00 cmp dword ptr ds:[ecx+14],0 0043396A 74 17 je short zendenc.00433983
代码:
0012D404 00000004 ... 0012D408 E0AAA4A0 _お? 此seed1已被加密 0012D40C C0121579 y 此seed2已被加密！ 0012D410 3F9F6A79 yj? 此VENDOR_KEY1已被加密！ 0012D414 25DC750E u? 此VENDOR_KEY2已被加密！ 0012D418 B8B046C5 牌案 0012D41C 0B2EAC4E N? ......向下拉看 0012D4A8 00000000 .... 0012D4AC 00010007 .. 0012D4B0 37300064 d.07 此处显示7.1d 0012D4B4 0000312E .1.. 7.1 0012D4B8 00000000 ....
就是简单的xor，可是这个xor我们不得而知！
我们得到BEHAVIOR Version V7.1d
btw：87654321此处，在6.x版时，可以得到真seed，
参考文章"Ansoft Serenade v8.5 - Tutorial"
http://www.woodmann.com/crackz/Tutorials/Serenade.htm
代码:
I also remembered that the checks for the default seed codes (shipped with the SDK) was a good place to fish the correct seeds, a simple disassembly search for '87654321' finds this code :- :00429C4C CMP D, [EBP-34], 87654321 <-- Check for encryption_seed1. :00429C53 JZ 00429C5E <-- Jump to Error. :00429C55 CMP D, [EBP-30], 12345678 <-- Check for encryption_seed2. :00429C5C JNZ 00429C85 <-- Good jump. :00429C5E MOV EDI, FFFFFFA5 <-- Error Code (-91). Routines inside Ser85.exe detect bpx type breakpoints and patching of key files, the checking code starts at 0040EFD3, here you'll see the names of the files that are checked and the rather obvious 'PUSH 7' instructions which produce a cryptic error message box asking you to call Ansoft for assistance. The files verified should give us a good idea where to look for other parts of the protection, Ansoft's developers evidently tried (as is good policy) to identify possible points of attack. Using bpmb style breakpoints we can quickly recover (what we think are valid) encryption_seed1 (0x7CB2B081) & encryption_seed2 (0x2DFE22B6). .....
FlexLm的license时使用。
2. 先找FEATURE
方法一：
不用IDA，太麻烦了，既然有SDK和前人的经验，我偷个懒。我偷懒的办法，还是用安装Flexlm SDK里的lmtools！打开"Server status"项，
点击"Perform status Equiry",你就会看到服务器端的正版license.dat内容！前提是你要配置好，而且有正版程序和license，废话！
比如显示如下：
101: SERVER main 001234567890 （我的服务器网卡号，我隐去正确的，避免麻烦啊！）
80: VENDOR adskflex port=8080
150: INCREMENT 41100ACD_2002_0F adskflex 1.000 permanent 100 VENDOR_STRING=（中间有很多参数，省略避免麻烦）SIGN=787878787878
（我隐去正确的，避免麻烦，为什么是78 ？）
关联信息: 省略
170: (overall file checksum)
看到了吗！
VENDOR adskflex
INCREMENT 41100ACD_2002_0F，这个INCREMENT其实就是FEATURE，后面那个1.000就是Version
permanent 是用户数
VENDOR_STRING= 这个也参与计算验证的
中间有很多参数也参与计算验证的，省略避免麻烦
SIGN=787878787878 我就不说了
如果你没有像我的条件就只好去看别的资料学习，很简单的！
btw：如果你的选项得当，现在你甚至就可以在客户端控制license服务器，你可以关闭license服务��慎用！！！，我曾在几次无意的操作中
关闭了license服务，结果单位的所有机器cad罢工，管理员还不知道怎么回事，只好重启服务器，那几天可忙坏了她！这是flexlm的一个bug吧
！
方法二：
用IDA＋相应版本的sig＋sdk，找到_lc_checkout函数，设断点，你会找到FEATURE。我采用的是7.2得sig，显示是_lp_checkout
代码:
00478043 68 00400000 push 4000 00478048 51 push ecx 00478049 6A 00 push 0 0047804B 6A 01 push 1 0047804D 68 ECDB4900 push zendenc.0049DBEC ;FEATURE版本 ASCII "1.0" 00478052 56 push esi ;FEATURE id， ASCII "Zend_Encoder" 00478053 52 push edx 00478054 E8 57DFFBFF call zendenc.00435FB0 ; lp_checkout 00478059 83C4 4C add esp,4C 0047805C 85C0 test eax,eax ; 0，jmp 0047805E 74 3F je short zendenc.0047809F 00478060 8A8424 18090000 mov al,byte ptr ss:[esp+918] 00478067 84C0 test al,al 00478069 75 12 jnz short zendenc.0047807D 0047806B 8B4424 10 mov eax,dword ptr ss:[esp+10] 0047806F 68 DCDB4900 push zendenc.0049DBDC ; ASCII "Checkout failed"一般搜索这个字符，上面的就是checkout了！ 00478074 50 push eax
3. 找vendor以及计算seed的关键数据
方法一同前，不说了。
方法二：
下面引用自tulipfan[CCG]：
********
"要找vendor_id就需要找到l_sg这个函数了(至于为什么要找这个函数建议看一些更基础的文章),在这儿我主要是介绍一下如何定位l_sg函数,
这个是FlexLm的一个内部使用的函数. lc_init,lc_checkout都会调用它下面是它们的调用关系,括号里面的数字是调用的次数。
a. lc_init -> l_init
b. l_init -> l_sg(1)
a. lc_checkout -> l_checkout
b. l_checkout -> lm_start_real(2)
c. lm_start_real -> l_good_lic_key(3)
d. l_good_lic_key -> l_sg(2)
从上面可以看到它们的调用关系.
我们可以通过l_sg确定vendor_id和ENCRYPTION_SEED,通过lc_checkout可以确定FEATURE
IDA通过FlexLm的sig文件可以确定上面的大部分函数,再通过他们的调用关系,很容易找到其他函数.
制作FlexLm的批处理文件和工具包可去CrackZ去下载.
最后定位到l_sg函数"
************
我们有9.2的source，我们看到lm_ckout.c中有下面一段,那几个数就是确定l_sg函数上很有用的，针对
0x7648b98e; v7.x */
0x6f7330b8; /*- v8.x，9.x*/
下面给出参考：
V7
glseed = 0x788F71D2
seedval = 0x7648B98E
V8
glseed = 0x3CDE3EBF
seedval = 0x6F73330B8
V9
glseed = 0x72346B53
seedval = 0x6F7330B8
v10
glseed = 0x5332322F
seedval = 0x6F7330B8
关于这一段，zhanzixin 有一点小小的补充。
0x7648b98e这个数字，被称为seedval的，
在版本4、5、6中是 0xa8f38730
在版本7.0-8.0c中是 0x7648b98e
在版本8.0d以后，一直没变，是0x6f7330b8。
代码:
/*- * Also used by flexcrypt -- notify if API changes. */ void l_sg( LM_HANDLE * job, char * vendor_id, VENDORCODE * key) /*- l_sg means "signature vendor_key5" */ { unsigned long keys[4]; char sig[SIGSIZE] = {'\0'}; /*- If you change this, you must change it also in utils/lmnewgen.c */ /*- unsigned long x = 0xa8f38730; v3.1 */ /*- unsigned long x = 0x7648b98e; v7.0 */ unsigned long x = 0x6f7330b8; /*- v8.x */ extern void (*L_UNIQ_KEY5_FUNC)(); unsigned long d0 = 0, d1 = 0; int i = SIGSIZE-1; if (( job->options->flags & LM_OPTFLAG_CUSTOM_KEY5) && L_UNIQ_KEY5_FUNC) { (*L_UNIQ_KEY5_FUNC)(job, vendor_id, key); return; } 。前人的经验就是宝贵啊，我省了很多事！
代码:
.text:00438FDA ; =============== S U B R O U T I N E ?===================================== .text:00438FDA .text:00438FDA ; Attributes: bp-based frame .text:00438FDA .text:00438FDA sub_438FDA proc near ; CODE XREF: sub_432CC4+C7Cp .text:00438FDA ; sub_437621+B9p ... .text:00438FDA .text:00438FDA push ebp ====先在这个地方下断 .text:00438FDB mov ebp, esp .text:00438FDD sub esp, 30h .text:00438FE0 mov [ebp+var_10], 7648B98Eh ====就是这个数在确定l_sg函数上很有用 .text:00438FE7 mov [ebp+var_14], 3 .text:00438FEE mov eax, [ebp+arg_0] .text:00438FF1 mov ecx, [eax+6Ch] .text:00438FF4 mov edx, [ecx+1D4h] .text:00438FFA and edx, 8000h .text:00439000 test edx, edx .text:00439002 jz short loc_439027 ====这个跳前面分析了，第一次肯定会跳的！第二次再来！ .text:00439004 cmp dword_49E5EC, 0 .text:0043900B jz short loc_439027 .text:0043900D mov eax, [ebp+arg_8] .text:00439010 push eax .text:00439011 mov ecx, [ebp+arg_4] .text:00439014 push ecx .text:00439015 mov edx, [ebp+arg_0] .text:00439018 push edx .text:00439019 call dword_49E5EC ====在这个地方下断，F8之后就是我们要的！ .text:0043901F add esp, 0Ch .text:00439022 jmp loc_43913A .text:00439027 ; --------------------------------------------------------------------------- .text:00439027 loc_439027: ; CODE XREF: sub_438FDA+28j .text:00439027 ; sub_438FDA+31j .text:00439027 push 4 .text:00439029 lea eax, [ebp+var_28] .text:0043902C push eax .text:0043902D mov ecx, [ebp+arg_8] .text:00439030 add ecx, 0Ch .text:00439033 push ecx .text:00439034 mov edx, [ebp+arg_4] .text:00439037 push edx .text:00439038 call sub_451F26
别急，先做一下准备工作：
*************************
前面我们在00433938 处可以得到VENDOR为 "zend"，而0043392C处的ebp-D0是初始化VENDORkey的地方！
代码:
0043391D E8 184B0400 call <jmp.&MSVCRT.memcpy> 00433922 83C4 0C add esp,0C 00433925 8D8D 40FFFFFF lea ecx,dword ptr ss:[ebp-C0] ；我们可以在这里设断点！ 0043392B 51 push ecx 0043392C 8B95 30FFFFFF mov edx,dword ptr ss:[ebp-D0] ；ebp-D0地址是以后要用的！ 00433932 81C2 4C010000 add edx,14C ；计算得到VENDOR地址 00433938 52 push edx ；VENDOR入栈！(ASCII "zend") 00433939 8B85 30FFFFFF mov eax,dword ptr ss:[ebp-D0] 0043393F 50 push eax 00433940 E8 95560000 call zendenc.00438FDA ；这个call就是著名的所谓7648B98E标志call！后面要进去的！！！ 00433945 83C4 0C add esp,0C 00433948 81BD 44FFFFFF 214>cmp dword ptr ss:[ebp-BC],87654321 ；此处比较是否是demo的seed1，当然在此seed1已被加密！ 00433952 74 0C je short zendenc.00433960 ；此处比较是否是demo的seed2，当然在此seed2已被加密！ 00433954 81BD 48FFFFFF 785>cmp dword ptr ss:[ebp-B8],12345678 0043395E 75 5D jnz short zendenc.004339BD 00433960 8B8D 30FFFFFF mov ecx,dword ptr ss:[ebp-D0] 00433966 8379 14 00 cmp dword ptr ds:[ecx+14],0 0043396A 74 17 je short zendenc.00433983
license.dat格式我不说了看雪的书上以及很多资料说得很清楚了。
我们根据我们上面得到的正版license.dat内容，做一个假的license.dat，放在zendenc目录里下:
***************
FEATURE Zend_Encoder zend 1.0 permanent uncounted VENDOR_STRING=www.FCGchina.com \
HOSTID=ANY SIGN=787878787878 (怎么又是78 !?)
***************
因为断开网络，所以运行zendenc.exe会找不到license，我们把它指向我们的假的license.dat，当然是出错退出！经过仔细跟踪还会发现
license文件名必须是Zend_Encoder.dat！
好，工作开始：
下面我启动ollydbg 1.10调入zendenc.exe，在入口停下，直接下bp 00438FDA ,bp 00439019
F9执行，中断在00438FDA。
这时第一次来到00439002 jz short loc_439027时它是要跳过去的，注意要跳就让他跳吧。
若开始第一次时强制不跳，倒是能来到00439019，结果跟出了错误的seed1和seed2，而且多少次结果还都一样。
再次F9，我们又回来中断在00438FDA，F8单步执行，这次不跳了，直到过了00439019，暂停！
我们在命令栏下如下命令，可以看到：（可以纪录了多次的调试结果）
代码:
输入 d [esp+4] 在内存窗口看到，【长型��ASCII 转存】 ********** 003983AC 646E657A zend 输入 d [esp+8] 在内存窗口看到，【长型��ASCII 转存】 ****1**** 0012CF98 00000004 ... 0012CF9C B68ACAC8 仁? data[0] 0012CFA0 96327B11 {2 data[1] 0012CFA4 534D01FB ?MS 0012CFA8 2D607B98 ?`- 0012CFAC B069483D =Hi 0012CFB0 67FCD8B6 敦? 0012CFB4 00000000 .... ********1************ 输入d [esp] 【长型��ASCII 转存】 ******2***** 00398260 00000066 f... 00398264 00F400E6 ?? 00398268 B9DEDAA8 ㄚ薰 job+08 0039826C EB6E4C33 3Ln job+0c 00398270 BEF9AA16 ? job+10 ********2*********** 4. 计算ENCRYPTION_SEED
使用工具calcseed.exe,输入data[0]，data[1]，job+08，job+0c，job+10，VENDORname为 "zend"上述信息,计算
ENCRYPTION_SEED1 0xfa5410de
ENCRYPTION_SEED2 0xdaeca107
多次结果是一样的，注意是第二次自然来到时！
至此,分析已经基本完成,可以使用SDK写license.dat
第三部分: 制作license.dat
方法一：
我们得到数据如下：
代码:
Feathure Zend_Encoder FeathureVersion 1.0 ENCRYPTION_SEED1 0xfa5410de ENCRYPTION_SEED2 0xdaeca107 VENDOR Zend BEHAVIOR Version V7.1d
代码:
/* Version 7 keys */ #define VENDOR_KEY1 0xdb5c129b #define VENDOR_KEY2 0x7c9d919a #define VENDOR_KEY3 0x1ee3b786 #define VENDOR_KEY4 0x01745090 #define VENDOR_KEY5 0x2c2dd7f7 #define CRO_KEY1 0xdf7c1093 #define CRO_KEY2 0x3abff31c #define VENDOR_NAME "Zend"
代码:
********************************** #ifndef LM_CODE_H #define LM_CODE_H #include "lm_cro.h" /* * Pick an LM_STRENGTH. * * If you're not using CRO public-key, then leave this as * LM_STRENGTH_DEFAULT. * If you're upgrading from pre-v7.1, and want no changes, * set this to LM_STRENGTH_LICENSE_KEY. */ #define LM_STRENGTH LM_STRENGTH_DEFAULT /*注意12位的SIGN要这个参数 */ /* * LM_STRENGTH Options are * LM_STRENGTH_DEFAULT Public key protection unused * Use SIGN= attribute * sign length = 12 * Public key: * LM_STRENGTH_113BIT, LOW sign length = 58 chars * LM_STRENGTH_163BIT, MEDIUM sign length = 84 chars * LM_STRENGTH_239BIT, HIGH sign length = 120 chars * * Use pre-v7.1, non-CRO * LM_STRENGTH_LICENSE_KEY Use pre-v7.1 license-keys. * Doesn't use SIGN= attribute. */ /* * Vendor's private seeds, -- replace with 32-bit numbers that * you make up. */ #define ENCRYPTION_SEED1 0xfa5410de /*我们找到的SEED1 */ #define ENCRYPTION_SEED2 0xdaeca107 /*我们找到的SEED2 */ #define ENCRYPTION_SEED3 0x22222222 /*没用，不变 */ #define ENCRYPTION_SEED4 0x32323232 /*没用，不变 */ /* * FLEXlm vendor keys -- enter as received from Globetrotter. * Changing these keys has NO impact on license files (unlike * the ENCRYPTION_SEEDs). */ /*- * Generate these keys with: lmvkey -v demo -d (+3 months) -p ALL -c DEMO * (Use a date approx 3 months out) */ #define VENDOR_KEY1 0xdb5c12db /*我们算出的 */ #define VENDOR_KEY2 0x7c9d91ba #define VENDOR_KEY3 0x1ee3b7c6 #define VENDOR_KEY4 0x017450b0 #define VENDOR_KEY5 0x0c2dd7f7 /*我们算出的 */ #define CRO_KEY1 0xdf7c10d3 /* Used to enable CRO -- turned off by default */ #define CRO_KEY2 0x3abff33c /* Be sure to reset LM_STRENGTH above if CRO_KEY is non-zero */ /* * FLEXlm vendor name. Leave as "demo" if evaluating FLEXlm. Otherwise * set to your vendor daemon name. */ #define VENDOR_NAME "Zend" /*我们找到的VENDOR */ /* * Older customers with newer versions may want to set * behavior defaults to previous version, though this is usually * discouraged. Behaviors can be changed individually using * LM_A_xxx in the flexible API. New customers should use the * current default, as set below * * Valid settings include: * LM_BEHAVIOR_V2, _V3, _V4, _V5, _V5_1, _V6, _V7, _V7_1 */ #define LM_VER_BEHAVIOR LM_BEHAVIOR_V7_1
订阅：
博文评论 (Atom)
没有评论:
发表评论