Source Insight最新版免费可用

飞鸿踏雪（蓝屏选手）

已于 2024-12-26 17:23:03 修改

阅读量1.6k

点赞数 6

CC 4.0 BY-SA版权

分类专栏：逆向总结文章标签：逆向分析

于 2024-12-26 13:14:51 首次发布

本文链接：https://blog.youkuaiyun.com/qq_41252520/article/details/144741350

总结同时被 2 个专栏收录

47 篇文章

订阅专栏

逆向

41 篇文章

订阅专栏

文章目录

Source Insight注册算法研究
- 前言
- 分析
- - 软件基本信息
  - 定位注册码校验关键函数
  - 序列号验证算法分析
  - 网络验证分析
  - 许可证验证分析
  - - Signature的验证
    - ActId的验证
- 激活

Source Insight注册算法研究

前言

挺火的一款国外的源码浏览编辑器，自己也有用所以顺便搞搞作为研究学习。

文末有惊喜！

分析

软件基本信息

截止目前我下载到的最新版：4.0

主程序MD5：B616825EF3AACB686F3313028D479536

定位注册码校验关键函数

随便写一个注册码，不出意外我们会得到这么个提示

在这里插入图片描述

这里有两种比较快速的方法定位到关键函数，一个是给弹信息框相关的函数下断点，另一个是根据字符串定位。无论哪种方法，最后都能够定位到关键函数。

在函数断下后，查看调用栈，最终就能找到验证序列号的函数了。

序列号验证算法分析

函数地址：0x51B5F0

相关伪代码：

...
GetInputSerial_406680(a1, 30, serial);        // 取编辑框中用户输入的序列号，不超过30个字节
  sub_4482B0(serial);                           // 删除特定字符 \t ,' '
  _strupr(serial);                              // 转大写
  sub_4064A0(a1, 30, serial);                   // 更新输入框内容
  if ( !CheckSerial_5187F0(serial, (_DWORD *)ArgList + 386, (_DWORD *)ArgList + 387, (_DWORD *)ArgList + 385, 1) )
  {
    if ( sub_56CC70((int)serial) )
      PopMsgBox_40B460(
        "The serial number you entered is for version 3.x of Source Insight.\n"
        "\n"
        "This version requires a version 4.x serial number.",
        v8);
    else
      PopMsgBox_40B460(
        "The serial number you entered is not correct. A serial number for Source Insight version 4.x is required.\n"
        "\n"
        "Please check the number and re-enter it.",
        v8);
    sub_406CD0(a1, 30);
    sub_4047C0();
    ++dword_684E0C;
    if ( dword_684E0C >= sub_451500(1) + 3 )
    {
      dword_684E0C = 0;
      sub_44FFE0();
      Sleep(0x1B58u);
      sub_450050();
      return 0;
    }
    return 0;
  }
  dword_684E0C = 0;
  if ( *((_DWORD *)ArgList + 385) != HIBYTE(dword_662948) ) // HIBYTE(dword_662948) = 0，猜测应该是主程序的MinVer
  {
    PopMsgBox_40B460(
      "The serial number you entered is for a different version of Source Insight.\n"
      "\n"
      "This version requires a version 4.x serial number.",
      v8);
    sub_406CD0(a1, 30);
    sub_4047C0();
    return 0;
  }
  if ( *((_DWORD *)ArgList + 387) == 3 )
  {
    PopMsgBox_40B460("The serial number cannot be used with the 'release' version of Source Insight.", v8);
    sub_4047C0();
    return 0;
  }
  if ( !sub_518920(serial) ) // serial长度 == 19，且 serial[2] == 'U'
    return 0;
  if ( sub_51A190((char *)ArgList + 1284) )     // 读取注册表，检查是否存在旧版的序列号
  {                                             // 最终期望是到达这
    sub_413F30("Upgrade License was validated: %s");
  }
  else
  {
    PopMsgBox_40B460(
      "Sorry, but we could not validate your previous license. Please make sure you have the correct serial number for ve"
      "rsion 3.x.\n"
      "\n"
      "If your old version of Source Insight is running, you can see the serial number by selecting Help > About Source I"
      "nsight. Otherwise, the serial number was typically provided in an email activation message when you purchased the old license.",
      v8);
    sub_406CD0(a1, 30);
    sub_4047C0();
    sub_413E20("Upgrade License could not be validated", v7);
  }
  return 0;
}

重点分析 $\textcolor{cornflowerblue}{CheckSerial\_5187F0}$ 和 $\textcolor{cornflowerblue}{sub\_51A190}$ 这两个函数。

CheckSerial_5187F0和sub__51A190的检查主要分为以下几个部分：

检查serial的长度是否等于19个字节
serial是否为S4U*-*****-*****-*****形式
serial[3]只能是’R’或者’G’
serial[6]只能是’R’，‘G’，‘D’，‘F’
serial[15:18]转换成DWORD数值后与函数 $\textcolor{cornflowerblue}{sub\_517F20}$ 的返回结果相等。

sub_517F20伪代码：
```
int *__cdecl transform_517F20(_BYTE *str, unsigned int round, BYTE *key, int *ans)
{
  unsigned int i; // esi
  BYTE v5; // cl
  unsigned int j; // eax
  int *result; // eax

  for ( i = 0; i < 4; *((_BYTE *)ans + i - 1) = byte_60CAE8[v5 % 26] )
  {
    v5 = key[(unsigned __int8)(i + *str)];
    for ( j = 1; j < round; ++j )
      v5 = key[v5 ^ (char)str[j]];
    result = ans;
    ++i;
  }
  return result;
}
```
这个函数作用是根据serial[0:14]算出serial[15:18]的内容，只要保证serial[0:14]是合法的，那么通过这个函数自然就得出serial[15:18]的内容，不需要对这个函数做过多分析，只需要模拟一遍即可。

$\textcolor{cornflowerblue}{sub\_51A190}$ 函数会让我们输入3.0的序列号，也就是上个版本的序列号。验证3.0序列号的关键函数为 $\textcolor{cornflowerblue}{CheckOldVerSerial\_56CBF0}$

BOOL __cdecl CheckOldVerSerial_56CBF0(char *serial)
{
  size_t prefix_len; // eax
  unsigned int v3; // eax
  int part3; // [esp+4h] [ebp-104h] BYREF
  char extDat[256]; // [esp+8h] [ebp-100h] BYREF

  prefix_len = strlen(aSi3us);
  if ( !MatchPrefix_4135C0((int)serial, (unsigned __int8 *)aSi3us, prefix_len)// 前缀：SI3US
    || !SplitAndExtract_56CB60(serial, part2, &part3)// 将serial按-分组，取第二个-分组部分
    || IsContinuous_4498F0(part2) )            // 判断第二个分组字母数字的排列是否连续，期望是不连续。
  {
    return 0;
  }
  v3 = CalcSum_56CB00(part2);                  // 根据第二分组算出第三分组
  return part3 == v3;
}

3.0序列号的格式：SI3US-XXXX-XXXX，要求第二个分组之间的字母数字排列不能是以字典序顺序连续的，并且第三分组转为DWORD数值后要与 $\textcolor{orange}{CalcSum\_56CB00(part2)}$ 的结果相等。函数 $\textcolor{cornflowerblue}{CalcSum\_56CB00()}$ 不需要过多分析，只需要模拟一遍就能得到正确结果。

当上面这两个序列号都输入正确后就会要求你输入个人信息，然后进入网络验证。

网络验证分析

函数地址：0x51BF90

许可证验证分析

接上面分析，临时许可证的文件数据：

<!--
	Source Insight 4.x License File

	DO NOT EDIT THIS FILE. Doing so will render it unusable.

	This license was created for:

		sad
		as
		

-->
<SourceInsightLicense>
	<LicenseProperties
		ActId="Deferred"
		Serial="S4UR-YGES-A4L4-ZH5P"
		LicensedUser="sad"
		Organization="as"
		Email=""
		Type="Standard"
		Version="4"
		MinorVersion="0"
		Date="2024-12-24"
	/>
	<Signature
		Value="HeWHWdaGlPOiOWTX6SRjSiPaKxavl+o1iDdJb9+f+LMMfy2T8DtGW4uaaxUvabW7ictaTNxXxtkZNJ68krQxjXZ8tuFHnPrMp1b8wW15HkuMqg3xHyH9anTDODKyFAmluiUcKVhU9uvPZnF1bufdpNS+zoJ9uZvVyOJi/nsz7Ac="
	/>
</SourceInsightLicense>

函数地址：0x51C680

...
CheckLicenseFile_51A510(ArgList);             // 加载许可证文件，并进行第一次检查
  if ( v2 != 200 )
    goto LABEL_8;
  if ( *ArgList == 2 )
  {
    *ArgList = 0;
    goto LABEL_12;
  }
  if ( *ArgList != 3 )
  {
    ValidateLicenseFirstPartData_51AD40((const CHAR *)ArgList + 1884, (BYTE *)ArgList + 1850);
    if ( v3 == 200 )
      goto LABEL_12;
    goto LABEL_8;
  }
  if ( CheckSignature_519CF0((int)(ArgList + 471), (char *)ArgList + 1850) != 200 || !CheckActId_51B4F0(ArgList) )
LABEL_8:
    sub_518B00(ArgList);
LABEL_12:
  --ArgList[880];
  LeaveCriticalSection((LPCRITICAL_SECTION)(ArgList + 873));
  sub_402BC0(&stru_66CFEC);
  return 1;

函数 $\textcolor{cornflowerblue}{CheckLicenseFile\_51A510}$ 负责解析许可证，依次验证里边的数据。

伪代码：

  ...
  v13 = 0;
  OpenAndParseLicenseFile_518B80((int)this + 1884, (int)buf);
  *((_DWORD *)this + 387) = 0;
  if ( XmlGetValue_5181E0(buf, "Type", &xmlVal) )
  {
    v3 = xmlVal;
    if ( !_stricmp(xmlVal, "Trial") )
    {
      *((_DWORD *)this + 387) = 1;
    }
    else if ( !_stricmp(v3, "Beta") )
    {
      *((_DWORD *)this + 387) = 3;
    }
    else if ( !_stricmp(v3, "Standard") )
    {
      *((_DWORD *)this + 387) = 0;
    }
  }
  if ( XmlGetValue_5181E0(buf, "LicensedUser", &xmlVal) )
  {
    strcpy((char *)this + 260, xmlVal);
    if ( XmlGetValue_5181E0(buf, "Organization", &xmlVal) )
      strcpy((char *)this + 516, xmlVal);
    if ( XmlGetValue_5181E0(buf, "Email", &xmlVal) )
      strcpy((char *)this + 772, xmlVal);
    if ( XmlGetValue_5181E0(buf, "Serial", &xmlVal) )
    {
      strcpy((char *)this + 4, xmlVal);
      if ( XmlGetValue_5181E0(buf, "ActId", &xmlVal) )
      {
        strcpy((char *)this + 1594, xmlVal);
        partialCheck = ValidateActId_403550((char *)this + 1594, byte_65AB78, 4u, 50, 7039) > 0;
        if ( !_stricmp((const char *)this + 1594, "Deferred") )
        {
          *(_DWORD *)this = 2;
          goto LABEL_39;
        }
        if ( CheckSerial_5187F0((char *)this + 4, &v11, &type, &v9, !partialCheck) )
        {
          if ( type == *((_DWORD *)this + 387) )// 判断注册类型和serial中对应标志是否相等
          {
            v5 = v9;
            if ( v9 == HIBYTE(dword_662948) && !sub_45FB00(&stru_671870, (char *)this + 4) )// 判断主版本号和软件主版本号是否相等
            {
              if ( partialCheck )
              {
                *(_DWORD *)this = 3;
              }
              else
              {
                *(_DWORD *)this = 1;
                if ( !XmlGetValue_5181E0(buf, "HWID", &xmlVal) )
                  goto LABEL_39;
                strcpy((char *)this + 1576, xmlVal);
              }
              if ( XmlGetValue_5181E0(buf, "Version", &xmlVal) )
              {
                v6 = *xmlVal;
                if ( *xmlVal >= '0' && v6 <= '9' )
                {
                  v7 = v6 - '0';
                  *((_DWORD *)this + 385) = v7;
                  if ( v7 == HIBYTE(dword_662948) && v7 == v5 )
                  {
                    *((_DWORD *)this + 390) = 0;
                    *((_DWORD *)this + 389) = 0;
                    *((_DWORD *)this + 388) = 0;
                    if ( !XmlGetValue_5181E0(buf, "Expiration", &xmlVal)// 获取许可证到期时间
                      || (sub_451EE0((int *)this + 388, xmlVal), ValidateTime_450BB0((int *)this + 388)) )// 年必须在[2013,2100]区间里
                    {
                      *((_DWORD *)this + 393) = 0;
                      *((_DWORD *)this + 392) = 0;
                      *((_DWORD *)this + 391) = 0;
                      if ( XmlGetValue_5181E0(buf, "Date", &xmlVal) )// 获取注册时间
                      {
                        sub_451EE0((int *)this + 391, xmlVal);
                        ValidateTime_450BB0((int *)this + 391);
                      }
                    }
                  }
                }
              }
            }
          }
        }
      }
    }
  }
LABEL_39:
  v13 = -1;
  sub_518100((void **)buf);
}

主要验证内容如下：

Type是否为Standard，不是的话就会激活失败。
如果ActId是Deferred直接返回验证失败。

判断ActId，相关函数： $\textcolor{cornflowerblue}{ValidateActId\_403550}$ ：

int __cdecl sub_403550(char *a1, BYTE *a2, size_t Size, int a4, int a5)
{
  ...

  v5 = 0;
  actIdPrefixTab = GenDesiredActIdPrefix_403220(a2, Size, a4, a5);// 生成一个ActId的前缀表
  if ( a4 <= 0 )
  {
LABEL_4:
    sub_4266F0(actIdPrefixTab);
    sub_4264B0(actIdPrefixTab);
    return 0;
  }
  else
  {
    while ( 1 )
    {
      v7 = sub_446F70(*(_DWORD *)&actIdPrefixTab[4 * v5], Size, a1);// 判断ActId前Size个字节是否在actIdPrefixTbl中
      if ( v7 == Size )
        break;
      if ( ++v5 >= a4 )
        goto LABEL_4;
    }
    sub_4266F0(actIdPrefixTab);
    sub_4264B0(actIdPrefixTab);
    return v7;
  }
}

当ActId前缀（前4个字节）在actIdPrefixTbl中时，partialCheck为false，表示需要校验 $\textcolor{orange}{serial[15:18]}$ 这部分数据，同时设置 $\textcolor{orange}{*ArgList = 3}$ 。
根据partialCheck进行部分或者完全校验4.0的serial。
注册时间和过期时间的年必须在区间 $\textcolor{orange}{[2013，2100]}$ 中，月、日必须在合法范围。

回到上层调用 $\textcolor{cornflowerblue}{sub\_51C680}$ 函数中，如果 $\textcolor{orange}{*ArgList == 3}$ 就会验证Signature和ActId，对应函数 $\textcolor{cornflowerblue}{CheckSignature\_519CF0}$ 和 $\textcolor{cornflowerblue}{CheckActId\_51B4F0}$ ；如果 $\textcolor{orange}{*ArgList == 1}$ 就会检查许可证 <Signature> 节点前的数据，对应函数 $\textcolor{cornflowerblue}{ValidateLicenseFirstPartData\_51AD40}$ 。

Signature的验证

Signature的值是根据许可证中 <Signature> 节点前的数据生成的，生成方式见函数 $\textcolor{cornflowerblue}{GenDesiredSignature\_4031F0}$ 。这个函数不需要逆向分析，用到时直接抠出来。只要保证 <Signature> 借点钱的数据合法，那么计算出来的signature自然就是正确的。验证时，也是用许可证中的 <Signature> 节点的数据与生成的signature值进行对比。

ActId的验证

相关函数 $\textcolor{cornflowerblue}{CheckActId\_51B4F0}$ ：

...
v2 = ValidateActId_403550((int)(this + 1594), (int)&byte_65AB78, 4u, 50, 7039);// 验证ActId前缀
return v2 && MakeActIdLow5Bytes_51AE80(Str2, 0) && strcmp(&this[v2 + 1594], Str2) == 0;// 验证ActId后4个字节

取许可证中ActId数据的前两个字节，判断是否在actIdPrefixTbl中，不是就验证失败。actIdPrefixTbl的生成见函数 $\textcolor{cornflowerblue}{GenDesiredActIdPrefix\_403220}$ ，这个函数不需要分析，只需要模拟就能得出actIdPrefixTbl。

int __cdecl MakeActIdLow4Bytes_51AE80(char *ActId, int a2)
{
  int v3; // [esp+0h] [ebp-314h] BYREF
  char v4[784]; // [esp+4h] [ebp-310h] BYREF

  FetchSystemVerInfo_518A40(v4);                // 取系统版本号
  if ( GetSystemInfo_518C10(v4) )               // 取系统盘序列号、当前登录用户的SID和计算机名
  {
    GenActId_518430(v4, (BYTE *)4, (BYTE *)&v3, a2);// a2 == 0
    sprintf(ActId, "%u", v3);
    return 1;
  }
  else
  {
    *ActId = 0;
    return 0;
  }
}

根据系统盘序列号、当前登录用户的SID和计算机名生成正确的ActId后4字节数据。生成算法伪代码：

void __cdecl sub_518430(const char *a1, BYTE *signature, BYTE *a3, int a4)
{
  size_t v4; // eax
  char Str[512]; // [esp+0h] [ebp-200h] BYREF

  sprintf(Str, "%s%s%s", a1, a1 + 256, a1 + 512);// 拼接系统盘序列号+当前登录用户Sid+计算机名，结果保存在Str中
  v4 = strlen(Str);
  Encode_4031F0((BYTE *)Str, v4, a4 != 0 ? 0x42A : 0x7A9, signature, a3);// 编码Str
}