Исследование защиты программы AbstractCurves

AbstractCurves - интересный генератор абстрактных изображений, позволяющий создавать потрясающие обои или фоновые рисунки, а также добавлять к фотографиям различные эффекты. Интерфейс у программы такой, что невольно задумываешься о поллитровке, но это не главный ее недостаток. Без регистрации постоянно будет появляться напоминание о необходимости выложить деньги, а до этого момента вы не сможете сохранить результаты ваших трудов. Только вот двадцатка зелени в хозяйстве совсем не лишняя, лучше потратить ее на что-нибудь другое.

Забираем с сайта дистрибутив, устанавливаем, смотрим. Главный исполняемый файл всего один, он упакован при помощи бесплатного пакера UPX. Никаких сюрпризов тут нет, UPX снимается при помощи самого же себя с ключом upx -d. После этого распакованный файл отправляется прямиком в дизассемблер. Пока он приводит двоичный код в удобочитаемый Ассемблер, запустим саму программу и посмотрим, как у нее проявляются внешние признаки незарегистрированности. Всплывающее окно и ввод серийного номера пока трогать не будем, а вот надпись "(Demo)" в заголовке окна очень интересна. Поищем эту строчку в файле:


Теперь вернемся к дизассемблированному листингу и посмотрим, где эта строка используется.Берется участок памяти, где хранятся некие настройки (ну или не настройки, а, например, флаги состояния, или что-то подобное). Если адрес этого участка не определен, то сразу выполняется переход, чтобы не получить ошибку доступа к несуществующей ячейке памяти. Если блок памяти найден, то в нем берется указатель, который хранится по смещению 0CCh от начала блока. Если по этому указателю записано ненулевое значение, то строчка "Demo" в заголовок не добавляется. Логично предположить, что по этому второму указателю находится какой-то набор данных, отвечающий за регистрацию.

Теперь стоит запустить программу под отладчиком, установить точку останова по адресу 008CA632 и в режиме пошаговой трассировки посмотреть, что там творится. Действительно, в незарегистрированном состоянии второй указатель указывает на нулевое значение. Для подобных случаев я использую следующий метод патча: заворачиваю значение, на которое ссылается указатель, на сам указатель. Формирование главного окна программы в большинстве случаев выполняется раньше всех триальных окон и прочей шароварщины, но позже, чем из реестра или файлов прочитаны регистрационные данные. На этом этапе есть неплохой шанс внушить программе, что все проверки пройдены правильно и дальше надо работать в полную силу.


Команда CMP [EDX],EBX заменяется на равную ей по размеру MOV [EDX],EDX, а следующий за ней условный переход меняется на безусловный. Сохраняем изменения, проверяем.


Упоминание Demo в заголовке и прочие внешние проявления незарегистрированной версии исчезли, окно с напоминанием не появляется, пресеты открыты, готовый рисунок можно сохранять. Цель достигнута.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.