如何破解Pocket PC (for ARM)软件
如何破解Pocket PC (for ARM)软件
2010年04月17日
比较PC下的软件，Pocket PC上软件的破解是比较简单的。如果你有windows下软件的破解经历，那只要熟悉ARM汇编就够了。
一． 所需知识
1．熟悉C语言和ARM汇编语言。
2．有Windows API编程的经验。
二． 工具
1． Embedded VC++或者VS.NET 2005，用于动态调试待破解程序；
2． IDA Pro，最新版4.9,需要全版，这样能反汇编不同类型CPU的程序，用于静态分析；
3． ResHacker，用于查看资源，找出敏感的字符串；
4． 二进制编辑器，如UltraEdit，WinHex等，用于修改程序；
5． 一种ARM的编译器，如EmbestIDE for ARM、ADS，SDT等，可以用于写一小段汇编代码，再嵌入到目标程序中，也可以用来熟悉ARM指令；
6． 最好有一个pocket pc的设备(ARM CPU),有了vs.net 2005没有设备也可以：）
三． 注册码验证方式与破解方式
当我们输入一个软件的注册码时，软件必须与正确的注册码相比较，才能判断输入的正确与否，下面是常用的注册码验证方法。
1．将owner name或email运算得到正确的注册码，再和输入的注册码比较；
RealKeyCode = f(owner name/email)；
If( inputKeyCode == RealkeyCode)
“注册成功”
else
“注册失败”
要强制破解，可以跳过inputKeyCode == RealkeyCode判断，直接执行“注册成功”。如果要做注册机，则要读懂RealKeyCode = f(owner name/email)这段代码。
如何快速找到注册码判断的入口点呢，这就要借助上面提及的工具了，很明显的标志是字符串“注册成功”与“注册失败”，当然在实际中提示是不完全相同的。如果提示信息以资源的形式保存，则要使用ResHacker查看；否则就需要反汇编程序。
用IDA Pro反汇编时，在反汇编过程中有一个System DLL Directory要输入路径，最好将pocket pc \windows目录下的dll复制到一个文件夹（不是所有的都能复制），如C:\WINDOWS\CE。这些动态库可以是x86模拟器的，因为IDA只是关心他们的引出函数。
找到提示信息后，一般很快能找出注册码比较点。
拿ProWord为例，在ResHacker中查看字符串资源，并没有发现相关注册成功失败的信息，在对话框资源142中可以看出需要输入User name和unlock code。用Ida反汇编，在String窗口中可以发现：
.data:00020CF4 00000044 unicode Thank you for registering ProWord
.data:00020D38 00000030 unicode Not a valid Unlock code
顺着串往上找，发现：
.text:000178A0 BL sub_197C4 ；返回R0 == 0则注册码错误
.text:000178A4 MOVS R3, R0
.text:000178A8 BEQ loc_178D8
.text:000178AC CMP R4, #0
.text:000178B0 MOV R0, #0
.text:000178B4 LDRNE R0, [R4,#0x20]
.text:000178B8 BL sub_191D8
.text:000178BC MOV R3, #1
.text:000178C0 MOV R0, R4
.text:000178C4 STR R3, [R4,#0x7C]
.text:000178C8 BL mfcce300_1969
.text:000178CC LDR R0, =aThankYouForReg
.text:000178D0 B loc_178E8
.text:000178D4 off_178D4 DCD aThankYouForReg ; DATA XREF: sub_17858+74 r
.text:000178D4 ; "Thank you for registering ProWord"
.text:000178D8 loc_178D8 ; CODE XREF: sub_17858+50 j
.text:000178D8 LDR R0, =aNotAValidUnloc
.text:000178DC B loc_178E8
.text:000178E0 off_178E0 DCD aNotAValidUnloc ; DATA XREF: sub_17858+80 r
.text:000178E0 ; "Not a valid Unlock code"
sub_197C4是重点，进入看看，发现调用sub_19540，返回R0＝＝0则注册码错，而且sub_19540有两个地方调用，一个是启动程序时验证注册码，一个是输入注册码时验证，因此要进入sub_19540修改返回值，如果在sub_19540外修改，则需要修改两次，如有遗漏，有时输入注册码虽然提示正确，但重新启动程序时会再次提醒非注册版本，这种错误经常出现！
有的程序提示信息以串资源的形式保存，如：
STRINGTABLE
LANGUAGE LANG_ENGLISH, SUBLANG_ENGLISH_US
{
2202, "Enter Code"
2203, "Thank you for registering. \nNow you need to restart game to apply changes."
}
应用程序要显示字符串，首先要载入该串资源，用API则调用如下功能：
int LoadString(HINSTANCE hInstance, UINT uID,
LPTSTR lpBuffer, int cchBufferMax);
在ARM中函数调用参数传递约定:
func(R0,R1,R2,R3,SP,SP+4,…,SP+4*n)，返回值在R0中。
上例中uID = 2203 = 0x89D，在反汇编代码中应该有如下类似代码：
MOV R1, #0x890 ；；
－－－－－－－－－－－－－－－－－－－－－－－－－
不是MOV R1, #0x89D的原因
arm在32bit模式下，一条指令长度为4字节
mov指令的操作数2(op2)占12位
一种情况是：
11--------8--7------------------0bit
-------------------------------------
|#循环移位|-----8位立即数-----|
-------------------------------------
当操作数大于255时，就需要通过移位操作来构成
－－－－－－－－－－－－－－－－－－－－－－－－－
ORR R1, R1, #0xD
如何快速找到上述代码呢?可以在IDA中先生成.asm文件，File->Produce->Create ASM File。用Emeditor或其他可以用正则表示式查找功能的编辑器打开，查找MOV.*R.*#0x890，很快就能够发现。如果不太明白正则表示式，直接搜索#0x890也可，就是找到结果太多!
如果串资源是53569，”xxxxxxxx” 53679 = 0xD597，一时不明白MOV R1, #0x???，
就可以查找MOV.*R.*#0xD\d\d\d，找到后再缩小范围。
2． 将owner name或email和输入的注册码分别运算得到中间值，比较二者
imdKeyCode = f(owner name/email)；
imdKey1Code = g(inputKeyCode)；
if(imdKeyCode == imdKey1Code)
“注册成功”
else
“注册失败”
这种方法，不像方式1，并不将真正的注册码计算出来。
3． 有些程序只需要输入注册码，如isilo，此时的验证方式是看输入的注册码是否满足某些条件，例如运算后某些位是否为指定的值。
在实际程序中，验证注册码不一定只是比较一次，很多程序并不是立即判断输入注册码的正确与否，所以要具体对待。
以上是注册码验证的比较常见的方式。
四． 用EVC动态调试程序
在静态分析出现困难时，可以使用EVC动态调试待破解程序。
EVC菜单 File -> Open Workspace -> 文件类型选.exe ->打开，然后再Project ->Setting中设置download路径，将计算机与你的pocket pc连上，在EVC中选择POCKET PC 2002/2003 DEVICE，设置断点，Build -> Start Debug -> Go，然后操作你的Pocket pc，满足断点条件时，程序终止，这是可以调试程序了。
用vs.net2005调试ce软件
目前的方法不算是很好，暂时没有更好的，谁知道更好的方法，还请不要吝惜。
1，运行vs.net 2005, 菜单“工具”－>“连接到设备”，选择合适的平台；
2，运行需要调试的目标程序；
3，菜单“工具”－>“附加到进程”，传输(P):选择“智能设备”，限定符(Q)：选择合适的平台；
附加到选择“本机（智能设备）代码”；
在可用进程中选择代调试的进程；
这时就可以调试该程序了。
用这种方法可以直接看到注册码验证方式1中的注册码。
如：
.text:0009D434 ADD R1, R6, #0x84
.text:0009D438 ADD R0, SP, #0x90
.text:0009D43C BL wcscmp ； 注册码比较
那么在内存单元中查看R0，R1所显示的内容，就可以知道正确的注册码了。
如何破解Pocket PC (for ARM)软件【5】
五 实例
1.TrueFax (Windows Mobile 2003 Phone Edition v2.05 (PXA-CPU))
http://www.ksesoftware.com/showarticle.php...9&sub=downloads
用ResHacker 依次打开TF20PoomDll.dll，Truefax.exe，TruefaxLangComp20.dll
在TruefaxLangComp20.dll中发现:
STRINGTABLE
LANGUAGE LANG_ENGLISH, SUBLANG_ENGLISH_US
{
300, "The entered name is too short."
301, "The reg.-no. does not fit with the user-name."
302, "This version was registered successfully. Thank you for your interest in %s."
303, "This trial version has expired!\nPlease register KSE Truefax."
}
反汇编Truefax.exe生成.asm文件，用正则表达式查找MOV.*R.*#0x12C
.text:00023A24 BL sub_1C294
.text:00023A28 MOV R4, R0
.text:00023A2C MOV R0, #0x12C
.text:00023A30 ORR R0, R0, #2 ;"302, "This version was regist..."
.text:00023A34 BL sub_20870
.text:00023A38 MOV R1, R0
.text:00023A3C MOV R2, R4
.text:00023A40 ADD R0, SP, #0xD0
.text:00023A44 BL wsprintfW
往上查找
.text:000239C8 ADD R1, SP, #0x10
.text:000239CC ADD R0, SP, #0x48
.text:000239D0 BL sub_234D4
.text:000239D4 CMP R0, #0
.text:000239D8 BEQ loc_23AB0 ；loc_23AB0 注册失败
.text:000239DC LDR R5, =unk_78418 ;注册正确
.text:000239E0 ADD R0, SP, #0x48
sub_234D4有两处调用，一次是输入注册码时验证，一次是启动时验证，修改sub_234D4返回值就可以了
sub_234D4
........
.text:00023590 loc_23590 ; CODE XREF: sub_234D4+A4j
.text:00023590 MOV R0, R7 ;改MOV R0, #1
.text:00023594 ADD SP, SP, #0x50
.text:00023598 LDMFD SP!, {R4-R7,PC}
2.找出TrueFax (Windows Mobile 2003 Phone Edition v2.05 注册码
注册码比较方式 f(name) == g(code),需要找出g(code)的逆变换
.text:0002351C MOV R1, R0 ; name
.text:00023520 STR R3, [SP,#8]
.text:00023524 MOV R5, #0
.text:00023528 MOV R6, #0
.text:0002352C STR R5, [SP,#0xC]
.text:00023530 MOV R2, #0
.text:00023534 STR R6, [SP,#0x10]
.text:00023538 ADD R0, SP, #0x28
.text:0002353C MOV R7, #0
.text:00023540 BL sub_230AC ; 变换name -> SP + 0x28 (15位)
.text:00023544 MOV R1, R4
.text:00023548 ADD R0, SP, #0
.text:0002354C BL sub_23280 ; 变换input_regcode ->SP (15位)
.text:00023550 MOV R3, R7
.text:00023554
.text:00023554 loc_23554 ; CODE XREF: sub_234D4+ACj
.text:00023554 ADD R0, SP, #0
.text:00023558 LDRH R0, [R3,R0]
.text:0002355C MOV R1, R0,LSL#16
.text:00023560 ADD R0, SP, #0x28
.text:00023564 LDRH R0, [R3,R0]
.text:00023568 MOV R2, R1,LSR#16
.text:0002356C ADD R3, R3, #2
.text:00023570 MOV R1, R0,LSL#16
.text:00023574 CMP R2, R1,LSR#16 ;比较name和reg.no变换后的结果
.text:00023578 BNE loc_23590 ;错误
.text:0002357C CMP R2, #0
.text:00023580 BNE loc_23554
.text:00023584 MOV R0, #1 ;正确
看sub_23280
.text:00023280 sub_23280 ; CODE XREF: sub_234D4+78p
.text:00023280 STMFD SP!, {R4-R6,LR} ;
.text:00023284 SUB SP, SP, #0x30
.text:00023288 MOV R6, R0
.text:0002328C MOV R5, R1
.text:00023290 SUB R3, R5, #2
.text:00023294
.text:00023294 loc_23294 ; CODE XREF: sub_23280+20j
.text:00023294 LDRH R0, [R3,#2]!
.text:00023298 MOV R1, R0,LSL#16
.text:0002329C MOVS R2, R1,LSR#16
.text:000232A0 BNE loc_23294
.text:000232A4 SUB R0, R3, R5
.text:000232A8 MOV R1, R0,LSR#1
.text:000232AC CMP R1, #0xF ;长度判断 应该为15位
.text:000232B0 BNE loc_232F8
.text:000232B4 ADD R0, SP, #0x10
.text:000232B8 ADD R4, SP, #0x10
.text:000232BC SUB R3, R5, R0
.text:000232C0
.text:000232C0 loc_232C0 ; CODE XREF: sub_23280+50j
.text:000232C0 LDRH R2, [R4,R3]
.text:000232C4 MOV R0, R2,LSL#16
.text:000232C8 STRH R2, [R4],#2
.text:000232CC MOVS R1, R0,LSR#16
.text:000232D0 BNE loc_232C0
.text:000232D4 ADD R1, SP, #0x10
.text:000232D8 ADD R0, SP, #0
.text:000232DC BL sub_22DF0 ；去掉第1，3，5，7位
.text:000232E0 ADD R0, SP, #0
.text:000232E4 BL sub_22EA0
.text:000232E8 ADD R0, SP, #0
.text:000232EC BL sub_22AD8 ；1，3，5，7位是否为0 2 7 4
.text:000232F0 CMP R0, #0
.text:000232F4 BPL loc_23304 ; 是
.text:000232F8
.text:000232F8 loc_232F8 ; CODE XREF: sub_23280+30j
.text:000232F8 MOV R0, #0 ；返回错
.text:000232FC ADD SP, SP, #0x30
.text:00023300 LDMFD SP!, {R4-R6,PC}
.text:00023304 ; ----------------------------------------------------------
.text:00023304
.text:00023304 loc_23304 ; CODE XREF: sub_23280+74j
.text:00023304 MOV R1, R0
.text:00023308 ADD R0, SP, #0x10
.text:0002330C BL sub_231B0 ；变换.text:00023310 ADD R1, SP, #0
.text:00023314 ADD R0, SP, #0x10
.text:00023318 BL sub_22D44
.text:0002331C ADD R0, SP, #0x10
.text:00023320 SUB R3, R0, R6
.text:00023324
.text:00023324 loc_23324 ; CODE XREF: sub_23280+B4j
.text:00023324 LDRH R2, [R6,R3]
.text:00023328 MOV R0, R2,LSL#16
.text:0002332C STRH R2, [R6],#2
.text:00023330 MOVS R1, R0,LSR#16
.text:00023334 BNE loc_23324
.text:00023338 MOV R0, #1
.text:0002333C ADD SP, SP, #0x30
.text:00023340 LDMFD SP!, {R4-R6,PC}
sub_231B0
.text:000231B0 sub_231B0 ; CODE XREF: sub_23280+8Cp
.text:000231B0 STMFD SP!, {R4-R11,LR}
.text:000231B4 SUB SP, SP, #0x18
.text:000231B8 MOV R10, R0
.text:000231BC MOV R2, R1
.text:000231C0 LDR R1, =aTruefax2_0Phon
.text:000231C4 MOV R3, #0x194
.text:000231C8 MLA R5, R2, R3, R1
.text:000231CC MLA R0, R2, R3, R1
.text:000231D0 ADD R9, SP, #0
.text:000231D4 MOV R8, #0xB
.text:000231D8 MOV R7, R5
.text:000231DC LDR R4, [R0,#0x16C]； 1 5 0 2 6 3 4 7 8 9
.text:000231E0 MOV R6, R5
.text:000231E4 MOV R11, #0
.text:000231E8
.text:000231E8 loc_231E8 ; CODE XREF: sub_231B0+A0j
.text:000231E8 LDR R0, [R6,#0xC8]；A 5 3 6 2 9 7 8 1 0 4
.text:000231EC MOV R3, R11
.text:000231F0 ADD R1, R10, R0,LSL#1
.text:000231F4 LDRH R2, [R1]
.text:000231F8 MOV R0, R2,LSL#16
.text:000231FC MOV R1, R0,LSR#16
.text:00023200 SUB R2, R1, #0x30
.text:00023204 CMP R2, R4
.text:00023208 BEQ loc_23224
.text:0002320C MOV R1, R5
.text:00023210
.text:00023210 loc_23210 ; CODE XREF: sub_231B0+70j
.text:00023210 ADD R1, R1, #4
.text:00023214 LDR R0, [R1,#0x16C] ; 1 5 0 2 6 3 4 7 8 9
.text:00023218 ADD R3, R3, #1
.text:0002321C CMP R2, R0
.text:00023220 BNE loc_23210
.text:00023224
.text:00023224 loc_23224 ; CODE XREF: sub_231B0+58j
.text:00023224 LDR R0, [R7,#0x11C] ;3 6 1 2 2 5 8 3 7 4 4
.text:00023228 SUB R8, R8, #1
.text:0002322C ADD R7, R7, #4
.text:00023230 SUBS R1, R3, R0
.text:00023234 ADDMI R1, R1, #0xA ; 负号
.text:00023238 ADD R0, R1, #0x30
.text:0002323C MOV R1, R0,LSL#16
.text:00023240 MOV R2, R1,LSR#16
.text:00023244 STRH R2, [R9],#2
.text:00023248 SUB R6, R6, #4
.text:0002324C CMP R8, #0
.text:00023250 BHI loc_231E8
.text:00023254 ADD R0, SP, #0
.text:00023258 STRH R11, [SP,#0x16]
.text:0002325C SUB R3, R0, R10
.text:00023260
.text:00023260 loc_23260 ; CODE XREF: sub_231B0+C0j
.text:00023260 LDRH R2, [R10,R3]
.text:00023264 MOV R0, R2,LSL#16
.text:00023268 STRH R2, [R10],#2
.text:0002326C MOVS R1, R0,LSR#16
.text:00023270 BNE loc_23260
.text:00023274 ADD SP, SP, #0x18
.text:00023278 LDMFD SP!, {R4-R11,PC}
.text:00023278 ; End of function sub_231B0
sub_231B0功能：
按位置A 5 3 6 2 9 7 8 1 0 4取数
数在1 5 0 2 6 3 4 7 8 9 中位置
减去3 6 1 2 2 5 8 3 7 4 4 小于0加上A
u8 pos[] = {1,5,0,2,6,3,4,7,8,9};
u8 sub[] = {3,6,1,2,2,5,8,3,7,4,4};
//u8 key_pos[] = {0xa,5 ,3,6,2,9,7,8,1,0,4};
u8 key_pos[] = {14,9,6,10,4,13,11,12,2,0,8};
u8 code[15];
//f(L"wh_cxh") = "048762306414292"
num[] = {0,8,6,3,6,4,1,4,2,9,2};
for(int i = 0; i 9)
temp -= 0xa;
code[key_pos] = pos[temp];
}
code[1] = 0;
code[3] = 2;
code[5] = 7;
code[7] = 4;
for(int j = 0; j < 15; j++)
printf("%x", code[j]);
//209287744639792
name : wh_cxh
regcode : 209287744639792