序列号保护机制与破解技术详解

一、序列号保护的工作原理

序列号保护是共享软件常用的授权机制，其基本流程如下：

1. 用户提供个人信息（用户名、邮箱、机器特征码等）给软件公司
2. 软件公司使用注册机(KeyGen)根据用户信息生成唯一序列号
3. 用户输入序列号后，软件验证通过即解除功能/时间限制
4. 软件每次启动时从磁盘文件或注册表读取并验证注册信息

二、序列号保护机制分类

1. 用户名到序列号的单向映射

序列号 = F(用户名)

特点：

• 验证时直接比较用户输入与计算结果的字符串/数值
• 安全性低：计算过程在用户机器执行，内存中可见明文序列号
• 攻击方法：提取函数F代码即可制作通用注册机

2. 序列号到用户名的逆向验证

用户名 = F^-1(序列号)

特点：

• 内存中不出现明文序列号
• 安全性中等：需要逆向F^-1才能得到F函数
• 攻击方法：
  • 逆向推导F函数
  • 穷举法（适用于简单函数）
  • 通过任意序列号生成包含不可见字符的用户名

3. 对等函数验证

F1(用户名) = F2(序列号)

特点：

• F2可逆时是第二种方法的推广
• 攻击方法与第二种类似

4. 多元函数验证

特定值 = F3(用户名,序列号)
或 
特定值 = Fn(用户名1,用户名2...序列号1,序列号2...)

特点：

• 用户名与序列号关系复杂
• 需维护映射唯一性（通常使用数据库）
• 安全性较高但实现复杂

三、攻击序列号保护的技术

1. 定位关键代码的方法

API断点法：

• 输入相关API：

  • GetWindowTextA/W
  • GetDlgItemTextA/W
  • GetDlgItemInt
  • hmemcpy(仅Win9x/Me)

• 对话框相关API：

  • MessageBoxA/W/ExA/IndirectA
  • ShowWindow
  • CreateDialogParamA/W
  • DialogBoxParamA/W

启动验证跟踪：

• 注册表读取：RegQueryValueExA/W
• INI文件读取：
  • GetPrivateProfileString/IntA/W
  • GetProfileString/IntA/W
• 普通文件读取：
  • CreateFileA/W
  • _lopen

2. 具体攻击技术

(1) 数据约束性(Data constraint)技术

• 原理：真实序列号通常出现在用户输入内存地址±90h范围内
• 操作方法：
  1. 输入假序列号
  2. 使用WinHex或OllyDbg搜索内存
  3. 在假序列号附近查找真实序列号

(2) hmemcpy函数断点

• Windows 9x/Me系统的"万能断点"
• 用于捕获字符串处理过程

(3) 消息断点

• 对按钮消息下断点：
  • WM_LBUTTONDOWN(0201h)
  • WM_LBUTTONUP(0202h)

(4) 字符串搜索法

• 通过错误提示信息定位关键代码
• 工具：
  • OllyDbg的"All referenced text strings"
  • Ultra String Reference插件（支持中文）

3. 字符串比较形式分析

(1) 寄存器直接比较

mov eax, [地址1]
mov ebx, [地址2]
cmp eax, ebx
jz/jnz 目标地址

(2) 函数比较类型A

mov eax, [地址1]
mov ebx, [地址2]
call 比较函数
test eax, eax
jz/jnz 目标地址

关键：分析call函数内部对eax的处理

(3) 函数比较类型B

push 操作数1
push 操作数2
call 比较函数
test eax, eax
jz/jnz 目标地址

(4) 字符串比较

lea edi, [字符串1]
lea esi, [字符串2]
repz cmpsd    ; 字符串比较
jz/jnz 目标地址

四、防御建议

1. 避免使用简单映射关系，推荐多元函数验证
2. 结合软件完整性检查防止代码修改
3. 关键算法使用混淆技术
4. 避免内存中明文出现序列号
5. 验证逻辑分散在代码多处

五、工具推荐

1. 调试工具：OllyDbg、x64dbg
2. 内存查看：WinHex
3. 字符串搜索：Ultra String Reference插件
4. 反汇编：IDA Pro
5. 补丁工具：Keymaker等

通过深入理解这些保护机制和攻击技术，无论是软件开发者还是安全研究人员，都能更好地设计或分析序列号保护系统。