从拷贝保护产品中剥取（ripping）算法，通常是创建密钥生成程序最直接、也最有效的方法之一。思路很朴素：先找到受保护程序内部负责计算合法序列号的函数（可能不止一个），然后把它移植到自己的密钥生成程序中。这样做的好处在于，你根本不需要真正理解这个算法——只需要找到生成合法序列号的代码，再想办法在自己的程序里调用它就行。
首要任务很明确：先定位KeygenMe程序内部的密钥生成算法在哪里。办法其实不少，但有一种方法几乎百试百灵：追踪读取用户名和序列号两个文本框输入的代码。如果KeygenMe-3的主窗口是个对话框（从初始化代码里调用的创建对话框的API函数就能确认这一点），那么它大概率会使用GetDlgItemText函数，或者向文本框发送WM_GETTEXT消息。假设它用的是GetDlgItemText，就可以回到OllyDbg的Name窗口中，查找调用了GetDlgItemTextA或GetDlgItemTextW的地方。果不其然，程序调用了GetDlgItemTextA。打开Find References to Import窗口，能看到两处代码调用了这个函数（那条直接跳转的JMP指令不算在内，它只是函数导入地址表里的一个条目）。
500)this.width=500" title="点击这里用新窗口浏览图片" />
列表11.1 KeygenMe-3中第一个输入字符串的转换算法
500)this.width=500" title="点击这里用新窗口浏览图片" />
500)this.width=500" title="点击这里用新窗口浏览图片" />
500)this.width=500" title="点击这里用新窗口浏览图片" />
列表11.1
在尝试从列表11.1的代码中提取转换算法之前，先看看位于Key4.00401388处的这个函数，它显然也是整个算法的一部分。
500)this.width=500" title="点击这里用新窗口浏览图片" />
列表11.2 KeygenMe-3中第二个输入字符串的转换算法
500)this.width=500" title="点击这里用新窗口浏览图片" />
列表11.2
浏览这段代码，可以明显看出似乎有两段代码包含了密钥生成算法。第一段是列表11.1中Key4.0040130B部分，第二段是列表11.2给出的整个函数。列表11.1的代码生成了ESI寄存器中的值，而列表11.2的函数将返回值赋给了EAX寄存器。随后程序会比较这两个值，如果相等，就报告验证成功（也就是之前手动修补过的位置）。
现在从Key4.0040130B这处代码片段开始，搞清楚它到底接收什么输入数据。这段代码开始之前，ECX寄存器已经存放了第一个输入字符串（来自上方文本框）的长度，接着代码中间出现了该字符串的地址（40303F），以及一个未知的硬编码地址（40351F）。需要留意的是，这段代码并没有逐个处理字符串中的每个字符，而是只读取前四个字符，把它们当作一个双字来对待。要把这些代码移植到自己的密钥生成程序中，必须先弄清楚40351F里存了什么。可以看到，这个地址在引用之前，总是先与EAX寄存器的值相加。第一次迭代时EAX是1，所以实际访问的地址是403520。后续迭代中EAX变成了4，这时应该查看403524这个地址。在OllyDbg中读出403520处的内存，能看到这个地址包含以下数据：
500)this.width=500" title="点击这里用新窗口浏览图片" />
这里要注意，403520是按单字节访问的，而不是完整的DWORD，所以程序实际上只取了第一字节（0x25）和第四字节（0x65）。
再看列表11.1中的第一个算法，这明显是一个将用户名转换为32位数的密钥生成算法（转换结果存放在ESI寄存器中）。那么列表11.2中的第二个算法又在做什么呢？快速扫一眼就能发现，这段代码没有任何复杂的操作：它只是逐个检查我们输入的序列号中的每个数字，每次减去0x30（ASCII码中字符'0'的编码），然后反复乘以10，直到ECX寄存器的值归零。对源字符串每个字符进行乘10运算，是在一个内部循环里完成的，且乘10的次数取决于该数字在字符串中的位置。
在调试器中单步执行这段代码，能观察到一些有经验的逆向工程师仅靠看函数就能获得的信息。这个函数实际上就是把传入参数中的字符串转换成二进制DWORD（双字），类似C运行库里的atoi函数，但看上去更像是个个人实现的atoi（标准atoi要稍微复杂一些，而且如果程序真的用到了这个库函数，OllyDbg通常能识别出来——但它在KeygenMe-3中并没有找到相关线索）。
所以，第一个算法（列表11.1）使用专门的算法将用户名转换成32位的DWORD，而第二个算法只是简单地把下方文本框输入的内容转换成数字形式。下方文本框里应该放的就是第一个算法生成的数。顺着这个思路，似乎只需要把第一个算法“剥取”出来，放到自己的密钥生成程序里，就能让它生成序列号了。来试试看。
表11.3给出了我为密钥生成程序编写的一个提取后的子程序。它其实是一个C函数（用Microsoft的C/C++编译器编译），其中包含从OllyDbg反汇编器中抄过来的一段内联汇编代码（用_asm { }括起来的部分）。小写字母表示的指令是我手动添加的，还包括LoopStart这个标号。
500)this.width=500" title="点击这里用新窗口浏览图片" />
列表11.3 从KeygenMe-3中取出的处理第一个字符串的转换算法
500)this.width=500" title="点击这里用新窗口浏览图片" />
列表11.3
将这个函数（命名为ComputeSerial）嵌入到一个短小的控制台模式程序中，程序要求用户输入用户名，并以十进制数形式显示ComputeSerial的返回值。它要做的只有这些：调用ComputeSerial函数，然后输出它的值。下面是我的密钥生成程序的入口代码：
500)this.width=500" title="点击这里用新窗口浏览图片" />
看起来，只要在KeygenMe-3主界面上方文本框里输入任意一个名字（与传给ComputeSerial函数的名字相同），再把ComputeSerial的返回值填入下方文本框，KeygenMe-3就会弹出成功消息框。来验证一下。以“John Doe”作为参数传递给密钥生成程序，记录下生成的序列号。图11.9展示了密钥生成程序的输出界面。
500)this.width=500" title="点击这里用新窗口浏览图片" />
图11.9 运行中的KeygenMe-3密钥生成程序
最终得到的序列号是580695444。运行未经补丁的KeygenMe-3版本，在第一个文本框输入“John Doe”，第二个文本框输入“580695444”。又成功了！KeygenMe-3把这两组输入认定为合法值。恭喜，第二节破解课程到此结束。
