Исследование защиты программы TaskmgrPro

TaskmgrPro - плагин для стандартного Диспетчера задач Windows, значительно расширяющий его возможности. К списку стандартных вкладок Диспетчера добавляются функции работы с автозагрузкой, расшаренными ресурсами, соединениями TCP/IP, а также групповой запуск и остановка процессов и служб по заранее сформированным спискам. За самую минимальную лицензию требуется выложить почти тридцатку баксов. Делать мы этого, конечно, не будем, а сделаем что-нибудь другое, менее затратное по финансам.

Забираем с офсайта дистрибутив, устанавливаем, смотрим что получилось. При запуске Диспетчера задач в его окне появляются вкладки, а в строке меню дополнительный раздел, через который можно посмотреть информацию "О программе". Там красуется надпись о том, что программа не зарегистрирована.


Весь остальной интерфейс мультиязычный, строки хранятся в языковых файлах, но этой строки там нет. Значит надо поискать в других местах, например, в ресурсах. Строка обнаруживается в файле TaskmgrProDll.dll, индекс этой строки 40135 или 9CC7h в шестнадцатеричной системе счисления.


Отправляем файл на дизассемблирование, когда анализ завершится, поищем в листинге упоминания о строке "9CC7h". Обнаружится вот такой код:Проверяется значение DWORD по адресу 5C01DAF0, если оно нулевое, то на форму выводится строка о незарегистрированной программе. Надо найти место в программе, где эта переменная иницализируется правильным значением.


Такой код есть, где в переменную записывается значение из EAX, но перед этим кодом еще выполняется множество проверок, и по факту дело до него даже не доходит. Патчить все эти проверки слишком хлопотно, да и неизвестно, на что они еще повлияют. Например, сперва может быть попытка получить строку серийника из реестра, затем какая-то обработка этой строки, ну и подобное. Надо искать другой вариант. Если еще раз внимательно посмотреть на список перекрестных ссылок на переменную со статусом регистрации, то можно заметить проверку, которая выполняется практически сразу после инициализации библиотеки. На скриншоте она выделена курсором.Проверка, условный переход и два вызова, которые срабатывают при отсутствии регистрации. Заменяем проверку на инициализацию переменной, а остатки кода, включающего условный переход и вызовы, забиваем NOPами. Получается вот такая конструкция:


Таким образом, сразу при старте программы она принимает статус зарегистрированной. Переменная инициализируется ненулевым значением, до других инициализаций, как я уже говорил, дело не доходит, а все дальнейшие проверки уже работают с правильным значением статуса.


Сохраняем изменения, пробуем запустить Диспетчер задач. В окне "О программе" указывается постоянная двухгодичная лицензия, в окне ввода серийника тоже, при переводе системного времени на пару месяцев вперед ничего не ломается. Цель достигнута. Таким же способом нейтрализуется защита и на других программах этого разработчика.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.