在开始破解工作之前，先把必要的工具准备齐全。

（1）Soft-ICE For Windows95/98 v4.05
这是动态跟踪的顶级工具，虽然也有 TRW 可选，但个人最顺手的还是 Soft-ICE，习惯称它为“老伙计”。

（2）URSoft W32Dasm v8.93
软件破解时常用的静态分析利器，IDA 虽然功能强大但过于专业，日常分析我更倾向于使用 W32Dasm。

（3）R!SC’s Process Patcher v1.5.1
这是一款内存补丁工具，后续会详细介绍其使用方法。

（4）UltraEdit-32 v7.2
文件修改的经典工具，资深用户都爱用它（当然，我并非什么高手）。

（5）FileInfo v2.4
常用来检测文件是否被加壳保护。

（6）一瓶百事可乐（要大瓶装）
无需多言，这是提神醒脑的必备饮品，只是担心喝多了会影响生育健康。

机器配置：Celeron 400 (Slot 1)、128M HY (PC-100)、Trident 9880 (8M)、FireBall 10G、Acer 40X CD、Creative VIBRA128、Motorola 56K Modem、Daytek 17"。喝一口可乐，大喊一声“我有，我可以”。输入熟悉的 SIW 命令，进入我们的工作平台 Windows98。别以为我的桌面很乱，实际上只有两个图标，系统资源还剩 98% 可用，厉害吧？什么？你只有 80%？如果你不懂系统优化，或者桌面杂乱无章，建议先学习如何优化系统。一名优秀的 Cracker，对自己的工作环境必须了如指掌。

进入正题，再喝一口可乐。先用 FileInfo 查看文件是否被加壳？运气不错，没有加壳，这下省了不少时间，值得再喝一口庆祝。既然没有加密，那就轮到元老级的 W32Dasm 登场了。载入文件，一切顺利，今天真是走运，再喝一口……等了三分钟，代码清晰地出现在眼前。先运行 CCED，查看加密方式。啊哦，出错了——无效地址调用？朱崇军应该不至于这么低级吧，一运行就出错。看来很可能是 Soft-ICE 的问题。唉，为什么现在的软件都要防着它呢？可怜的 Soft-ICE，为了不被发现，已经打满了补丁。现在面前只有两条路：自己找反跟踪代码，或者用 FrogeICE（喂，老兄，还有第三条路吗？有啊，删掉 CCED，关掉计算机，去睡觉）。明知山有虎，偏向虎山行，谁让咱喜欢挑战呢。这里用 CreateFileA 来拦截，看来幸运又一次被抓住了。原来是用这种方法来查找 Soft-ICE 的，必须把它干掉。

Possible StringData Ref from Data Obj ->"
[url=file://\\.\SICE]\\.\SICE[/url]
"
|

:00530B99 68A4226100              push 006122A4
:00530B9E FF15D87E6200            Call KERNEL32.CreateFileA
:00530BA4 8945FC                  mov dword ptr [ebp-04], eax
:00530BA7 837DFCFF                cmp dword ptr [ebp-04], FFFFFFFF
:00530BAB 7411                    je 00530BBE
:00530BAD 8B45FC                  mov eax, dword ptr [ebp-04]
:00530BB0 50                      push eax
:00530BB1 FF15E47E6200            Call KERNEL32.CloseHandle
:00530BB7 B801000000              mov eax, 00000001
:00530BBC EB39                    jmp 00530BF7
:00530BBE 6A00                    push 00000000
:00530BC0 6880000000              push 00000080
:00530BC5 6A03                    push 00000003
:00530BC7 6A00                    push 00000000
:00530BC9 6A03                    push 00000003
:00530BCB 68000000C0              push C0000000

Possible StringData Ref from Data Obj ->"
[url=file://\\.\NTICE]\\.\NTICE[/url]
"
|

:00530BD0 68B0226100              push 006122B0
:00530BD5 FF15D87E6200            Call KERNEL32.CreateFileA
:00530BDB 8945FC                  mov dword ptr [ebp-04], eax
:00530BDE 837DFCFF                cmp dword ptr [ebp-04], FFFFFFFF
:00530BE2 7411                    je 00530BF5
:00530BE4 8B4DFC                  mov ecx, dword ptr [ebp-04]
:00530BE7 51                      push ecx
:00530BE8 FF15E47E6200            Call KERNEL32.CloseHandle
:00530BEE B802000000              mov eax, 00000002
:00530BF3 EB02                    jmp 00530BF7
:00530BF5 33C0                    xor eax, eax
:00530BF7 8BE5                    mov esp, ebp
:00530BF9 5D                      pop ebp
:00530BFA C3                      ret

看到了吗？上面这段代码就是用来检测 Soft-ICE 的一种方法，在 Windows 98 和 NT 下都能生效。给它做个手术，把 530BAB 处的代码改个跳转方向，猜到要跳到哪里了吗？

这块绊脚石清掉了，好好喝一口可乐奖励自己。接下来就是关键——让它变成注册版。从哪入手呢？通常软件的“关于”对话框里会显示注册信息，CCED 也不例外：显示“未注册或注册未成功”。突破口找到了，用 W32Dasm 定位这个信息在 407E21 处，提示是从 407DCC 跳转过来的。看看这段代码：

Possible StringData Ref from Data Obj ->"授权结果："
|

:00407DB4 6868875F00              push 005F8768
:00407DB9 8D4DF0                  lea ecx, dword ptr [ebp-10]
:00407DBC E841CF1700              call 00584D02
:00407DC1 C645FC03                mov [ebp-04], 03
:00407DC5 833D981F620001          cmp dword ptr [00621F98], 00000001
:00407DCC 7E53                    jle 00407E21
:00407DCE A164236200              mov eax, dword ptr [00622364]
:00407DD3 2500000800              and eax, 00080000
:00407DD8 85C0                    test eax, eax
:00407DDA 7536                    jne 00407E12

Possible StringData Ref from Data Obj ->"加密盘识别成功，软件编号="
|

:00407DDC 6874875F00              push 005F8774
:00407DE1 8D4DF0                  lea ecx, dword ptr [ebp-10]
:00407DE4 E849D21700              call 00585032
:00407DE9 6A10                    push 00000010
:00407DEB 8D8DCCFEFFFF            lea ecx, dword ptr [ebp FFFFFECC]
:00407DF1 51                      push ecx
:00407DF2 8B1564236200            mov edx, dword ptr [00622364]
:00407DF8 52                      push edx
:00407DF9 E8C28C1600              call 00570AC0
:00407DFE 83C40C                  add esp, 0000000C
:00407E01 8D85CCFEFFFF            lea eax, dword ptr [ebp FFFFFECC]
:00407E07 50                      push eax
:00407E08 8D4DF0                  lea ecx, dword ptr [ebp-10]
:00407E0B E822D21700              call 00585032
:00407E10 EB0D                    jmp 00407E1F

Possible StringData Ref from Data Obj ->"注册成功"
|

:00407E12 6890875F00              push 005F8790
:00407E17 8D4DF0                  lea ecx, dword ptr [ebp-10]
:00407E1A E813D21700              call 00585032
:00407E1F EB0D                    jmp 00407E2E

Possible StringData Ref from Data Obj ->"未注册或注册未成功"
|

:00407E21 689C875F00              push 005F879C
:00407E26 8D4DF0                  lea ecx, dword ptr [ebp-10]
:00407E29 E804D21700              call 00585032

关键指令在 407DC5 的判断：如果 621F98 处的值小于或等于 1，那就什么都看不到。407DDA 的跳转只是判断是用注册码还是加密盘授权，具体怎么选，全看个人喜好。这里选择了注册码方式。先呼出 Soft-ICE，下 BPM 621F98 W，再用 BD 关闭这个断点，进入软件的“电子注册”，输入注册码“8888888888”，确认后退出。呼出 Soft-ICE，用 BE 打开断点后再运行 CCED2000，代码停在了这里：

:004056E3 C7811804000000000000    mov dword ptr [ebx 00000418],0

之后软件再也没有对这个地址进行写入操作，只能在这个指令上动手脚了。既然小于等于 1 是错的，那就用 2 来代替：

:004056E3 C7811804000002000000    mov dword ptr [ebx 00000418],2

结果如何？不用多说都知道了（得喝口可乐）。但这个指令其实不是真正的注册码判断，只是对全局变量初始化，真正的判断还在后面。今天不把所有地方都写出来，否则就没意思了，这篇指南也就白写了，不如直接告诉大家修改方法。不过，用这个方法并不完美。如果真想做一名合格的 Cracker，应该继续深挖下去。

接下来要修改文件中的代码。咦，提示“错误：CCED2000 执行文件已被非法修改，请检查病毒并重新安装系统！”看来软件还有自我保护功能，不错，我喜欢！用 BPX MESSAGEBOXA 拦截消息窗口，很快能找到下面这段代码，把 405F49 处的判断改成 JMP 就行：

:00405F3F 668B8455E0FEFFFF        mov ax, word ptr [ebp 2*edx-00000120]
:00405F47 3BC8                    cmp ecx, eax
:00405F49 7433                    je 00405F7E

再运行一下——怎么样？省了六十多块了吧？请我喝可乐哦！啊？凌晨三点多了，可乐也喝完了，该收工了。