逆向分析实战：用OllyDbg破解CrackMe01的序列号生成算法（附完整调试步骤）

逆向工程实战：从CrackMe01的序列号验证到算法还原的完整心路历程

最近在整理自己的逆向分析笔记，翻到了几年前刚入门时折腾的第一个CrackMe程序——那个经典的Acid_burn。现在回头看，虽然它只是个入门级的练习程序，但当时为了搞懂它的序列号生成逻辑，我整整花了两天时间，在OllyDbg里反复调试，最终才把整个算法完整还原出来。今天我想把这段经历完整地记录下来，不只是分享操作步骤，更重要的是呈现我当时思考的路径、遇到的困惑以及如何一步步解决问题的过程。如果你也刚开始接触逆向分析，希望这篇文章能给你一些实实在在的启发。

逆向分析从来不是按图索骥的机械操作，而是一场与程序作者的智力对话。当你面对一个需要输入用户名和序列号的验证窗口时，脑子里应该浮现出一系列问题：验证逻辑藏在哪里？是简单的字符串比较还是复杂的算法生成？有没有可能通过动态调试直接定位关键代码？这篇文章，我会带你完整走一遍我从零开始破解CrackMe01的全过程，重点不是“怎么做”，而是“为什么这么做”。

1. 逆向分析的起点：从程序行为到调试策略

拿到一个需要破解的程序，我的习惯是先把它当成一个黑盒，观察它的外部行为。CrackMe01的界面很简单：一个主窗口，三个按钮。点击“Serial / Name”会弹出用户名和序列号的输入框，点击“Serial”则只需要输入序列号。我先随意输入了一些测试数据：

• 用户名：test
• 序列号：123456

点击“Check it Baby!”后，程序弹出了“Sorry, The serial is incorrect!”的错误提示。这个提示很重要——它给了我第一个线索：程序内部存在字符串比较逻辑。在逆向分析中，错误提示字符串往往是定位关键代码的最佳入口点。

接着我测试了另一个按钮“Serial”，只输入序列号111111，程序提示“Try Again!!”。两个不同的错误提示，意味着程序内部至少有两套验证逻辑。这时候我脑子里开始构建初步的分析框架：

1. 字符串定位法：通过错误提示字符串在内存中的位置，反向追踪到调用这些字符串的代码区域。
2. API监控法：程序很可能会调用字符串比较函数（如strcmp、lstrcmp等），在这些函数上设置断点可以捕获验证过程。
3. 堆栈回溯法：当程序弹出错误对话框时，查看调用堆栈，找到是哪个函数调用了对话框显示。

对于新手来说，我建议优先使用字符串定位法，因为它最直观，也最容易上手。OllyDbg提供了强大的字符串搜索功能，能够快速定位程序中的所有可见字符串。

注意：有些程序会对字符串进行加密或混淆，这时候直接搜索可能找不到明文。但CrackMe01作为入门练习，通常不会做这种处理，所以字符串定位法在这里是有效的。

在开始调试之前，还有一个重要步骤：查壳。加壳的程序会压缩或加密原始代码，直接调试会非常困难。我用PEiD快速检查了CrackMe01：

文件类型: Win32 Executable (GUI)
编译器: Delphi 3.0
入口点: 0042FD68

结果显示没有加壳，编译器是Delphi 3.0。这个信息很有用——Delphi程序有特定的函数调用约定和运行时库，了解这些背景知识有助于后续分析。

2. OllyDbg实战：定位关键验证代码

打开OllyDbg，载入CrackMe01.exe。程序暂停在入口点0042FD68处。我按下F9让程序运行起来，界面正常显示。这时候不要急着去点按钮，先在OllyDbg里做好准备工作。

2.1 搜索关键字符串

在反汇编窗口右键，选择“查找”->“所有参考文本字串”。OllyDbg会扫描整个程序，列出所有可识别的字符串。列表很长，但我一眼就看到了几个关键条目：

地址        文本
0042F4F0   Try Again!!
0042FB20   Sorry, The serial is incorrect!
0042FB40   Good job dude =)

这三个字符串正好对应了程序的所有可能输出。双击“Good job dude =)”这一行，OllyDbg会自动跳转到引用这个字符串的代码位置：

0042FB18   PUSH 0042FB40      ; ASCII "Good job dude =)"
0042FB1D   CALL <jmp.&user32.MessageBoxA>

往上翻看代码，发现这个对话框的显示是有条件的：

0042FB03   JNZ SHORT 0042FB2A
0042FB05   PUSH 0
0042FB07   PUSH 0042FB40      ; ASCII "Good job dude =)"
...
0042FB2A   PUSH 0042FB20      ; ASCII "Sorry, The serial is incorrect!"

JNZ（Jump if Not Zero）指令是关键——如果条件不满足（ZF=0），就跳转到错误提示；如果条件满足（ZF=1），就继续执行显示成功对话框。这个JNZ指令的判断结果，就是整个验证逻辑的核心。

2.2 设置断点与动态跟踪

我在0042FB03处的JNZ指令上按F2设置断点。然后回到程序界面，输入测试数据：

• 用户名：abcd
• 序列号：test123

点击“Check it Baby!”，程序果然在断点处停了下来。查看寄存器窗口：

EAX: 00000000
EBX: 0019F9D0
ECX: 00000000
EDX: 0042FB20
ESI: 00000004
EDI: 0019F9D0

EAX的值是0，EDX指向错误字符串地址。JNZ指令检查的是EAX是否为0——显然当前EAX=0，所以会跳转到错误分支。我需要知道EAX的值是如何计算出来的。

往前看代码，在0042FB03之前有一个CALL指令：