Как установить английскую раскладку при запуске HiEW

Несмотря на почтенный возраст, hex-редактор HiEW до сих пор пользуется заслуженной популярностью среди исследователей программного обеспечения. Да, он не лишен недостатков, да, к настоящему времени имеется огромное количество альтернатив, но лично для меня HiEW остается одним из самых востребованных инструментов. К большому сожалению, автор практически прекратил развитие программы и крайне неохотно реагирует на предложения пользователей, ограничиваясь парой-тройкой незначительных исправлений в год. Теперь к основной проблеме, которую я вынес в заголовок этой статьи. У меня Windows c русским интерфейсом, соответственно, все стартующие программы запускаются с русской раскладкой по умолчанию. Это меня вполне устраивает, но только не в случае с HiEW, для которого в 99,99% случаев требуется вводить символы в английской раскладке. Конечно, можно просто переключить раскладку и не напрягаться, но мне хочется какого-то абсолютного решения задачи. Этим сегодня и займемся. А заодно потренируемся в ручной распаковке ASPack и всевозможной работе непосредственно с самим HiEW.

HiEW - коммерческий продукт, с офсайта можно скачать только обрезанную демо-версию, а ретайловые версии собираются индивидуально под каждого покупателя. Из-за этого приватные версии никто палить, естественно, не собирается, а работать мы будем с общедоступным релизом HiEW 8.43 от команды DVT. Он спокойно находится в этих ваших интернетах, но если с поиском проблемы, то скачать его можно тут.

Основной исполняемый файл традиционно накрыт ASPack. Хоть это и не протектор, некоторые защитные функции в нем все равно присутствуют. Есть автоматические распаковщики для разных версий ASPack, но сегодня давайте сделаем это вручную.


Отправляем файл в отладчик, смотрим. Код распаковки начинается с команды PUSHAD, но дальше все зашифровано. Логично предположить, что после распаковки и расшифровки должна появиться команда POPAD и переход на оригинальную точку входа. Запускаем программу на выполнение, код распаковщика при этом будет расшифрован. Посмотрим его внимательнее.


Прокрутив пару экранов, обнаруживаем вот такую конструкцию. Регистры восстанавливаются, в стек заносится адрес точки входа и с помощью команды RET выполняется переход на него. Проследуем в листинге на этот адрес, убедимся, что это действительно похоже на точку входа, после чего поставим по этому адресу hardware breakpoint на выполнение.


Перезапускаем программу, отладчик остановится на точке входа. Делаем дамп при помощи плагина OllyDump, но галочку для восстановления импорта не ставим.


Теперь, не выходя из отладчика, запускаем вашу любимую программу для восстановления импорта, у меня сегодня это будет The Cheap Imports Reconstructor. Выбираем процесс, заполняем адрес точки входа и получаем таблицу импорта.


Прикручиваем таблицу импорта к дампу. Все функции распознались успешно, так что проблем с этим быть не должно.


Закрываем отладчик и прочие сопутствующие программы. Запускаем исправленный дамп и убеждаемся, что программа работает без ошибок. Значит распаковка прошла успешно и первая часть работы сделана.


Теперь немного теории. Чтобы установить английскую раскладку в консольном приложении, требуется выполнить следующий код:Код должен быть запущен в контексте процесса, для которого надо переключить раскладку. Это достигается или инжектом dll в процесс, или добавлением нужного функционала прямо в программу. Внедрение в процесс я считаю слишком рискованным, так как это может не понравиться антивирусам и для этого придется таскать дополнительную dll. А вот добавление кода напрямую в исполняемый файл мне нравится гораздо больше.

Чтобы успешно выполняться, код "заплатки" должен использовать как минимум две функции API - GetConsoleWindow и PostMessage. Увы, ни одной из них в импорте HiEW нет, зато есть такие замечательные функции, как LoadLibrary и GetProcAddress.


С их помощью можно загрузить нужные библиотеки и получить адреса нужных функций. В этом случае код будет следующим.Трюк с call и строками используется для того, чтобы обеспечить базонезависимый код. После вызова инструкции call на стек фактически кладется не адрес возврата, а адрес строки, так что не надо дополнительно его вычислять или где-то хранить. Саму же строку также нет необходимости отдельно куда-то выносить, она хранится прямо в коде.


Компилируем это все в исполняемый файл, затем при помощи того же HiEW сохраняем "заплатку" в виде бинарных данных. У меня получилось 110 байт.

Возвращаемся к дампу. С ним надо выполнить некоторые предварительные действия. Во-первых, подготовим место для записи заплатки. Лучше всего для этого подходит оставшаяся не при делах секция от ASPack.


Как видно из данных заголовка, ее физический размер составляет 2000h байт, что более чем достаточно для наших задач. Переходим на начало секции, выделяем целиком все 2000h байт и заполняем их командами NOP, что соответствует байту 90h.


Вторым шагом надо перенацелить точку входа на начало секции ASPack, а из самой секции предусмотреть возврат на оригинальную точку входа. Делается это все там же в HiEW.


Запоминаем адрес оригинальной точки входа, он нам еще понадобится. Новый адрес равен RVA секции ASPack из заголовка, то есть 00078000h. Сохраняем изменения, убеждаемся, что HiEW при переходе на Entry Point действительно переходит на начало секции.

Следующим шагом надо обеспечить возврат из секции ASPack на OEP. Для этого последние 5 байт секции заменяем на команду безусловного перехода на адрес 004492EDh. Обратите внимание на точку в команде перед адресом.


Сохраняем изменения, проверяем. Если все сделано правильно, то файл будет запускаться как ни в чем не бывало. Можете запустить программу под отладчиком и удостовериться, что выполняется пачка NOP'ов и затем выполняется переход на OEP.


Теперь переходим на начало секции ASPack, выделяем 110 байт и загружаем в этот блок двоичные данные "заплатки" из файла. Большая часть работы сделана. Осталось исправить вызовы функций LoadLibrary и GetProcAddress, так как их адреса взяты из другого файла.


Через список функций в таблице импорта находим нужные нам LoadLibrary и GetProcAddress и переходим на место их вызова. А там, открыв команду на редактирование, получаем нужный опкод. Для LoadLibrary это будет call d,[00044f078], а для GetProcAddress - call d,[00044f074].


Возвращаемся к "заплатке" и заменяем в ней все четыре кривых вызова на правильные. После сохранения изменений убеждаемся, что в вызовах отображаются правильные функции. Момент истины. Запускаем HiEW и проверяем, что программа не только успешно стартует, но и раскладка при ее запуске автоматически выставляется на английскую. Цель достигнута. Для более новых версий HiEW процесс будет точно такой же.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.