Исследование защиты программы Chaos Intellect

Chaos Intellect - почтовая программа, менеджер контактов, календарь и планировщик в одном флаконе. Что-то наподобие Outlook'а, только без лишних и никому не нужных наворотов. Зато от мелкомягкого прототипа у Chaos Intellect осталась патологическая тяга к кошельку пользователя. Сейчас мы будем устранять этот досадный недостаток, тем более что цена почти в 60 баксов для подобной программы явно завышена.

Скачиваем последний дистрибутив (на момент написания статьи это версия 4.0.4.7), устанавливаем, смотрим. В папке с программой целая куча исполняемых файлов, но нас интересует только один - Intellect.exe. Предварительным осмотром узнаем, что он упакован бесплатным пакером UPX. Никаких модификаций в код распаковщика не внесено, поэтому он легко распаковывается самим же UPX с ключом "-d". Отправляем бедолагу в дизассемблер, а пока посмотрим как он регистрируется и как реагирует на неправильную регистрацию.


Строка легко находится поиском. Рядышком находится строка сообщения-благодарности за правильную регистрацию. Это нам пока не надо.


Теперь посмотрим условия появления сообщения о неправильной регистрации (часть малозначительного кода я опустил):Первый вариант лечения - патч функции проверки по адресу 0078BF54, чтобы она всегда возвращала AL=1. Запишем в начало функции пару команд MOV AL,1 и RET, сохраним изменения и посмотрим, что у нас получилось. Даже без ввода регистрационных данных окно "О программе" заметно изменилось, однако имя, компанию и серийный номер все равно можно ввести. Попробуем после патча зарегистрировать Chaos Intellect с левыми данными:


Регистрация прошла успешно, программа действительно принимает любое имя и серийный номер. Патч быстрый и эффективный, но, как сказали бы мои "коллеги по цеху", это слишком простое решение. Посему попробуем разобрать алгоритм проверки серийного номера. Для этого загрузим программу под отладчиком, поставим точку останова на начало функции проверки по адресу 0078BF54 и попробуем вновь зарегистрировать ее.Вот и первая проверка. В пошаговом режиме под отладчиком хорошо видно, что берется строка регистрационного имени, затем к ней в конец дописывается строка из поля наименования организации. Затем это все проверяется на предмет непустой строки. Этакая оригинальная проверка, чтобы хоть одно поле было заполнено. Значит в проверке участвует или регистрационное имя, или наименование организации.Следующая проверка. В дизассемблере можно посмотреть, что какой-то символ серийника сравнивается со строкой "G". Можно было бы сравнивать с символом, но видимо разработчик лекцию про оптимизацию кода добросовестно прогулял. Из отладчика узнаем, что сравнивается пятый по счету символ введенного серийного номера. Отлично, один символ в серийнике мы знаем. Едем дальше.Здесь придется смотреть и в отладчик, и в дизассемблер. В отладчике видно что из введенного серийника вырезается строка со второго по четвертый символ включительно, а в дизассемблере видно, что она затем рассматривается как запись десятичного числа и переводится уже в число настоящее. Результат преобразования сохраняется в регистре ESI.Вот и основная проверка. Под отладчиком видно, что последовательно суммируются коды всех символов регистрационного имени. Затем берется посчитанное значение из серийного номера и из него вычитается число 7D6h. Полученный результат должен быть равен сумме символов регистрационного имени. Другими словами, четыре символа серийного номера равняются сумме кодов символов регистрационного имени плюс 7D6h и записанные в десятичной системе счисления. Первый символ серийного номера может быть любым.А вот тут шутка юмора от разработчика. Из значения серийного номера вычитается "число зверя" 666 (29Ah), затем выполняется сравнение с суммой кодов символов регистрационного имени. Но, независимо от результата, переход выполняется на возврат флага о неправильной регистрации. На ум приходят строчки из Библии: "Here is wisdom. Let him that hath understanding count the number of the beast: for it is the number of a man; and his number is Six hundred threescore and six", что в переводе гласит "Здесь мудрость. Кто имеет ум, тот сочти число зверя, ибо это число человеческое; число его шестьсот шестьдесят шесть". Или это такой привет вирмейкерской команде "29A", или намек реверсерам, что при любом раскладе гореть им в аду?

Дальше повтор кода проверки, но на этот раз уже считается сумма кодов символов из названия организации. То есть программу можно регистрировать как на имя + любое название организации, так и на название организации + пустое имя, разницы никакой.Посчитаем сумму символов для регистрационного имени "ManHunter", получается значение 392h, прибавляем к нему 7D6h, получаем результат B68h или в десятичной системе 2920. Значит серийный номер будет наподобие 02920G, остальные символы серийника не учитываются. Попробуем зарегистрировать программу с найденной парой:


Как видите, регистрация прошла успешно. Теперь все ограничения сняты, на сэкономленные деньги можно идти пить пиво или купить свечку во спасение души. Ну а кейген вы можете написать самостоятельно.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.