*[標題]：Skin++通用界面換膚系統V2.0.1破解探討
*[作者]：gz1X <gz1x(at)tom(dot)com>
*[來自]：中國黑客聯盟
*[前言]：
skin技術，大家都不會陌生，比如winamp，可以靈活的更換界面風格。早期的實現定制的外觀方法都需要程序本身做許多處理，編碼太麻煩。
后來出現了專門的Skin插件，ActiveSkin什么的。再后來dll調用的skin軟件出現，需要Skin支持的程序調用幾個方法，就可以使自己的程序外觀完全改變，不需要編程者對skin技術有任何的了解。Skin++通用界面換膚系統V2.0.1就是其中比較出名的一款。
但是讓很多“貧民”用戶來說，要收費還是比較讓人煩的。恰好我前幾天做了個小項目，順便用了下朋友推薦的這款軟件。
*[軟件原理分析]：
逆向了下這款軟件，因為這款軟件是商業軟件，沒方法得到源代碼，所以我也是主觀的猜測。
原理上基本上是這樣：
通過消息鈎子來改變已有控件的外觀，函數原型是SetWindowsHookEx(WH_CALLWNDPROC, HookProc, 0, lThreadID);
這個函數就不多做解釋了，查閱MSDN。設置類型為WH_CALLWNDPROC的HOOK。
然后是截獲消息，當然不同控件發出的相同消息也是要分開處理的，簡單的方法是得到窗口句柄，而通過窗口句柄得到窗口類，一般在HOOK的CALLBACK 函數中可以獲得。接下來就是消息處理，一般都是從截獲WM_CREATE消息開始，再就是WM_PAINT，其他諸如鼠標消息之類的也是要處理的，就不再多說。但是這里的細節部分，比如鈎子的記錄，會出現很多煩瑣的東西，解決方案是為窗口類型建立類，然后由實例去解決窗口消息的處理和窗口狀態數據的記錄。獲得了窗口句柄以后，使用SetWindowLong技術將窗口句柄關聯到窗口類上。並且可以根據窗口的風格讓同一個類做出不同風格的顯示效果。
具體的代碼實現限於我的水平和時間問題，就不多做糾纏。
*[軟件用法說明]：
到skin++的官方網站http://www.uipower.com去下載試用版。安裝。
在VC平台下設置include和lib，tools/options/directory。也可以把SkinPPDemoSystem(VC)/ VCcases下的include和lib文件的文件拷貝到VC的對應目錄。在project/settings/link里添上 SkinPPWTL.lib 。
然后將DLL目錄里的SkinPPWTL.dll拷貝到windows目錄的system32目錄下（注意這個是沒破解的）。
生成project的時候，將Skins目錄里的某張皮膚拷貝到項目目錄下，然后在源代碼里加上#include "SkinPPWTL.h"，int CMainFrame::OnCreate或者CMFC_SkinApp::InitInstance下加上skinppLoadSkin(_T ("xxx.ssk"));即可。
詳細的代碼可以參考附帶的demo。
如果不是正版用戶，在生成可執行文件后運行會彈出對話框要求注冊。下面我們就破解掉它。關鍵是對SkinPPWTL.dll的破解。
*[軟件破解分析]：
這款軟件好象保護不是很強，explorer "http://www.uipower.com"。我不太習慣叫這類彈出型限制為nag，呵呵。
SkinPPWTL.dll，一般沒正式購買的版本會不厭其煩的彈出“Skin++ allows you to add skinning ability to your applications.For informationon obtaining a license to use this control,please visit [url]www.uipower.com[/url] or e-mail sales@uipwer.com.Are you registering?”。
那我們破除它。
[code]
10033097 |. 68 7C120710 PUSH skinppwt.1007127C ; ASCII "UIPower : ...?"
1003309C |. E8 F7E9FCFF CALL skinppwt.10001A98
100330A1 |. 8365 FC 00 AND DWORD PTR SS:[EBP-4],0
100330A5 |. 51 PUSH ECX
100330A6 |. 8BCC MOV ECX,ESP
100330A8 |. 8965 EC MOV DWORD PTR SS:[EBP-14],ESP
100330AB |. 68 10030710 PUSH skinppwt.10070310 ; ASCII "UIPOWER"
100330B0 |. E8 E3E9FCFF CALL skinppwt.10001A98
100330B5 |. FF35 A8270710 PUSH DWORD PTR DS:[100727A8]
100330BB |. 834D FC FF OR DWORD PTR SS:[EBP-4],FFFFFFFF
100330BF |. E8 B7F10000 CALL skinppwt.1004227B
100330C4 |. 83C4 14 ADD ESP,14
100330C7 |. 83F8 06 CMP EAX,6
100330CA |. 75 18 JNZ SHORT skinppwt.100330E4
100330CC |. 6A 05 PUSH 5 ; /IsShown = 5
100330CE |. 6A 00 PUSH 0 ; |DefDir = NULL
100330D0 |. 6A 00 PUSH 0 ; |Parameters = NULL
100330D2 |. 68 64120710 PUSH skinppwt.10071264 ; |FileName = "http://www.uipower.com"
100330D7 |. 68 5C120710 PUSH skinppwt.1007125C ; |Operation = "open"
100330DC |. 6A 00 PUSH 0 ; |hWnd = NULL
100330DE |. FF15 3C840510 CALL DWORD PTR DS:[<&SHELL32.ShellExecut>; /ShellExecuteA
100330E4 |> 8B4D F4 MOV ECX,DWORD PTR SS:[EBP-C]
100330E7 |. 64:890D 000000>MOV DWORD PTR FS:[0],ECX
100330EE |. C9 LEAVE
100330EF /. C3 RETN
最讓人討厭的是這句：
100330BF |. E8 B7F10000 CALL SkinPPWT.1004227B
跟進去就能看到是一個函數MessageBoxIndirect調用.
直接NOP掉。
接着看下面這個：
100330CA |. 75 18 JNZ SHORT skinppwt.100330E4
jump掉：
100330CA . EB 18 JMP SHORT SkinPPWT.100330E4
這里查找75 18的時候可以把上下文加上，這樣：83 F8 06 75 18 6A 05然后替換為83 F8 06 EB 18 6A 05即可。
保存SkinPPWTL.dll。拷貝到兩個地方：skin++安裝目錄的VCcases/Bin目錄下和windows目錄的system32目錄下。
*[軟件服務破解]：
有了這個skin++，當然是需要更多皮膚了，而軟件本身只提供了不到10張。而正版的用戶才能下載官方網站上的皮膚。不管那么多，我到官方網站轉了一圈，分析了下網站下載鏈接，發現了一個好玩的東西。可以通過下面的方法下載到更多的皮膚：
用迅雷新建批量下載任務，這樣：
http://www.uipower.com/skindown/hit.asp?id=(*)
(*) 范圍115-160。
下載...正常應該能拿到50多張皮膚...Enjoy!
上面是網友gz1X寫的部分，我試驗了，破解很成功，達到了去掉每次啟動程序都彈出的詢問注冊的CMessageDialog，但是我想加點個人認為有必要的東西：
1、使用的調試軟件：
軟件：OllyICE
下載鏈接：http://www.pediy.com/tools/Debuggers/ollydbg/OllyICE.rar
2、軟件的使用：
入門可參考：http://hi.baidu.com/hack1015/blog/item/877eef2426bd43034c088d12.html
選擇打開要破解的SkinPPWTL.dll文件之后按上述步驟完成修改之后，就有一個保存修改的問題，我在使用的時候找遍了整個菜單欄，硬是沒有發現有保存修改這個項的存在，后來發現操作方法如下：
a.被修改處右擊，選擇“復制到可執行文件”，選擇“所有修改”
b.出現提示框“把選中的內容復制到可執行文件”，選擇“全部復制”
c.彈出一個新的窗口，直接點X，關閉該子窗口，提示“文件已更改”，選擇“是”，再彈“另存為”框，此時不要做任何修改，切記不可改文件名，接着提示“文件已存在”，問是否覆蓋，點“是”，覆蓋原文件，關閉OllyICE，打完收功。
到此，對於達到最終目的來說，軟件的這些操作已經足夠，但程序使用后依然存在一個嚴重問題：程序所有窗口的標題欄右邊都有“SKIN++ UNREGISTERED!!!”字樣，這樣對於一個程序員來說，無異於沒做，然而網友gz1X沒有將此問題完善。經過調試，終於成功破解，操作步驟如下：
a.在反匯編窗口中右擊，出來一個菜單，我們在 查找->所有參考文本字串 上左鍵點擊
b.現在出來另一個對話框，我們在這個對話框里右擊，選擇“查找文本”菜單項，輸入“SKIN++ UNREGISTERED!!!”（注意這里查找內容要區分大小寫）來查找，找到一處，位置在 008DACE2.
c.在此行，匯編指令為：push 00920784，這條指令用於將“SKIN++ UNREGISTERED!!!”所在的內存地址傳遞給子程序，我們只需要將這個地址修改一下就可以改變顯示的字符了，這個字符串一共22個字符，壓棧的地址最后兩位84+22＝A6，於是我們將這條指令改為：push 009297A6，保存，退出。
再試試，問題是不是已經解決？