SWF探索者1.4破解教程：从脱壳到获取注册码全流程
这款SWF探索者1.4，是一款功能强大的Flash动画播放器。早期版本如1.1和1.2曾被高手破解，但1.4版本采用了新的保护壳——PECompact 1.68—1.84，并加入了时间限制。不过不必担心，破解难度属于中等水平，适合有一定逆向基础的朋友练习操作。
先走一遍流程：安装软件后进入“关于”界面，输入注册信息——用户名填写“king”，注册邮箱输入“winners365@163.com”，注册码随意填写“999555”（当然无效）。点击注册，弹出“ThanksReg”提示。好，目标锁定。
用PEiD查壳，确认是PECompact 1.68—1.84。这里直接使用专用脱壳工具unpecompact完成脱壳，保存为unpacked.exe。接下来用C32ASM 0.412反汇编，搜索字符串“ThanksReg”，双击定位到关键代码位置：
004C79E8 .^E9 DFC7F3FF JMP unpacked.004041CC
004C79ED .^EB F0 JMP SHORT unpacked.004C79DF
004C79EF . 8D4D DC LEA ECX,DWORD PTR SS:[EBP-24]
004C79F2 . A1 10244D00 MOV EAX,DWORD PTR DS:[4D2410]
004C79F7 . 8B00 MOV EAX,DWORD PTR DS:[EAX]
004C79F9 . BA B47A4C00 MOV EDX,unpacked.004C7AB4 ; ASCII "ThanksReg"
004C79FE . E8 31EDFFFF CALL unpacked.004C6734
004C7A03 . 8B45 DC MOV EAX,DWORD PTR SS:[EBP-24]
004C7A06 . E8 3592F7FF CALL unpacked.00440C40
004C7A0B . A1 04254D00 MOV EAX,DWORD PTR DS:[4D2504]
004C7A10 . 8B00 MOV EAX,DWORD PTR DS:[EAX]
004C7A12 . E8 851CFAFF CALL unpacked.0046969C
004C7A17 . 33C0 XOR EAX,EAX
004C7A19 . 5A POP EDX ; kernel32.7C81774D
004C7A1A . 59 POP ECX ; kernel32.7C81774D乍一看，这里只是弹窗的收尾部分。向上翻阅，发现前面有“RegCode”字样的字符串引用，说明此处正在进行注册码的比对或处理逻辑：
004C79C5 |. BA A47A4C00 MOV EDX,unpacked.004C7AA4 ; ASCII "RegCode"
004C79CA |. 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4]
004C79CD |. E8 D6F6FBFF CALL unpacked.004870A8
004C79D2 |. 33C0 XOR EAX,EAX
004C79D4 |. 5A POP EDX ; kernel32.7C81774D
004C79D5 |. 59 POP ECX ; kernel32.7C81774D
004C79D6 |. 59 POP ECX ; kernel32.7C81774D
004C79D7 |. 64:8910 MOV DWORD PTR FS:[EAX],EDX ; ntdll.KiFastSystemCallRet
004C79DA |. 68 EF794C00 PUSH unpacked.004C79EF
004C79DF |> 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4]
004C79E2 |. E8 51C0F3FF CALL unpacked.00403A38
004C79E7 \. C3 RETN在OllyDbg中，先对004C79C5下断，然后按F9运行——奇怪，居然没断下来。说明程序在初始化阶段就已经计算好了注册码，并存储在某个内存地址中。换个思路，寻找与注册表读写相关的API调用。
很快找到一处可疑的调用：
00487058 |. E8 7BDCF7FF CALL unpacked.00404CD8
0048705D |. 50 PUSH EAX ; |ValueName = NULL
0048705E |. 8B46 04 MOV EAX,DWORD PTR DS:[ESI+4] ; |
00487061 |. 50 PUSH EAX ; |hKey = 0
00487062 |. E8 31FEF7FF CALL ; \RegQueryValueExA（个人认为与注册有关！）
00487067 |. 85C0 TEST EAX,EAX
00487069 |. 0F94C3 SETE BL
0048706C |. 8B0424 MOV EAX,DWORD PTR SS:[ESP] ; kernel32.7C81774D
0048706F |. E8 50FCFFFF CALL unpacked.00486CC4
00487074 |. 8845 00 MOV BYTE PTR SS:[EBP],AL
00487077 |. 8BC3 MOV EAX,EBX
00487079 |. 5A POP EDX ; kernel32.7C81774D这里调用了RegQueryValueExA，很明显是在读取注册表中的注册信息。果断在此处下断。重新运行程序后，遇到SEH异常，用Shift+F7单步跟踪，最终在7C82DAD4位置停下。此时查看堆栈窗口（12EC4C地址），赫然出现一个ASCII字符串：“D092E68F”——没错，这就是真正的注册码。
区区一个八位字符，竟锁住了功能如此完整的动画播放器。破解的过程，有时就是一层窗户纸。有兴趣的朋友不妨亲手实践一遍，从定位关键点直到获取注册码，体会逆向分析的乐趣。
