Исследование защиты программы Xilisoft Video Cutter

Компания Xilisoft на протяжении многих лет занимает лидирующие позиции по производству разнообразных мультимедийных "ужа-в-ежа конвертеров". Достаточно лишь посмотреть список и наименования их продуктов. Остальные их программы, не относящиеся к конвертерам, все равно так или иначе связаны с обработкой мультимедийных файлов, например, Xilisoft Video Cutter. Главное, что за каждое свое поделие они хотят отдельную денежку. Это при том, что все действия можно выполнить с помощью гораздо более мощных и бесплатных инструментов. Ну да ладно, считать чужие деньги неприлично, лучше сделать так, чтобы ничего считать не пришлось.

Забираем с сайта дистрибутив, устанавливаем, запускаем, смотрим. К слову, просто так дистрибутив с сайта не скачать, ссылка на загрузку с офсайта ведет на какую-то софтопомойку с кучей рекламы и адвары, с которой тоже фиг скачаешь. Так что пользуйтесь моей прямой ссылкой. Похоже, что доходов от продаж не хватает, вот они и решили получить немного дополнительного профита с инсталляции адвары. В папке с установленной программой обнаруживается куча динамических библиотек с характерным префиксом "Qt". Я уже не первый год пересекаюсь с продуктами Xilisoft. Раньше им вполне хватало обычных виндовых компиляторов, но в какой-то момент они решили притянуть пользователей Mac, поэтому перешли на использование кроссплатформенного Qt. Запускаем программу и пробуем зарегистрировать ее каким-нибудь левым серийником.


Вот, уже хорошо. У нас есть текст сообщения о неправильной регистрации. Поищем по фразе "Invalid license info", в каком файле это сообщение находится. Оказывается, что базовая строчка обнаруживается в файле "imfc0.dll", плюс к этому в пачке файлов локализации. Но нас интересует только файл imfc0.dll. Отправляем его на анализ в дизассемблер. В файле не все просто, оказывается, что это не обычная строка, а целая html-страница. Ну да, Qt так умеет.


Посмотрим, где вся эта красота используется. По перекрестным ссылкам в дизассемблере выходим на код, где это сообщение формируется и выводится диалоговое окно. Там ничего для нас интересного нет, поэтому прокручиваем код вверх и переходим на код, откуда это окно вызывается:А что это у нас за "regLib" такая? Давайте посмотрим, какие еще функции в ней присутствуют.


Можно сколько угодно не любить Qt, но за такие структурированные подарки приходится быть ему благодарным. Готов поспорить на что угодно, что функция GetRegInfo запрашивает регистрационные данные, SaveRegInfo сохраняет их куда надо, а самая интересная функция IsValidRegInfo отвечает за проверку корректности введенных данных. Вот ее и посмотрим, точнее самый ее конец:Очевидно, что в случае с правильной регистрацией функций IsValidRegInfo должна вернуть AL=1. Самый простой путь решения проблемы с регистрацией - пропатчить проверку, чтобы она всегда возвращала AL=1. Чтобы не тратить время на условные переходы, записываем в самое начало функции IsValidRegInfo пару команд MOV AL,1 и RET 0Ch. Сохраняем изменения, запускаем, пробуем зарегистрировать любыми данными.


Отлично теперь программа принимает любое регистрационное имя и любой серийник. Это быстрый вариант "для дома, для семьи", когда надо просто пару раз воспользоваться программой и не заморачиваться на красоте решений.

Теперь давайте попробуем отреверсить алгоритм генерации серийных номеров, ну или, как вариант, найти валидную пару для регистрации. Оба решения можно считать "красивыми", ведь ничего патчить в этом случае не придется. К сожалению, анализировать код на Qt в дизассемблере - это ужас, конструкции типа "динамического указателя на динамический указатель на указатель" тут обычное дело. Поэтому запустим программу под отладчиком и поставим точку останова в модуле imfc0.dll на адрес 10071DC0. Помните, по этому адресу располагается финальная функция проверки из функции IsValidRegInfo? Запускаем программу, пробуем зарегистрировать любым левым серийником. Когда сработает точка останова, продолжим выполнение под управлением отладчика в пошаговом режиме.Первая проверка: длина серийника должна быть 27h (39 в десятичной системе) символов. Трассируем дальше. Какие-то строки рассматриваются как массив символов, с ними последовательно выполняются преобразования, затем результаты куда-то сохраняются. Конкретики тут я не привожу, так как все действия с памятью выполняются по указателям на указатели на указатели на указатели... Разбирать это спагетти даже под отладчиком очень трудоемко, да и бессмысленно. А вот после всех преобразований вызывается следующий код:Очевидно, что здесь формируется хеш MD5 из какой-то строки, и вот эта строка нас интересует больше всего. Под отладчиком этот фрагмент выглядит так же:


Если посмотреть на стек, то там находятся два параметра: указатель на указатель на хешируемую строку и длина строки.


Итого, длина хешируемых данных 53h символов. Переходим в дампе на адрес из стека (значение динамическое, поэтому у вас будет другой адрес). Там находится вот такая строка:


Если отсчитать 53h символов, то как раз получится выделенный на скриншоте фрагмент. Дальше обратите внимание, из чего он состоит. Сперва идет символ "1", затем 10 нечетных символов из строки "xilisoftvideocutter2", чередующиеся с номерами этих символов, затем 10 четных символов этой же строки по очереди с их номерами, затем два нуля "00", затем первые 20 символов серийного номера и строка "xilisoftvideocutter2". Можно проверить с разными серийниками, алгоритм составления строки остается неизменным. Затем от этого блока данных считается хеш MD5 и преобразуется в строку.


После этого с полученной строкой выполняются преобразования и в финале выполняется самое обычное сравнение строк:Если посмотреть под отладчиком на сравниваемые данные, то в памяти обнаружатся следующие строчки:



Получается, что валидный серийник "12345678908234567890954D-DA1C-1C5D-8821". Ненадолго вернемся к хешу MD5. Если посмотреть на него, то можно увидеть, что вторая половина серийника составлена из нечетных символов строки хеша. Регистрационное имя не используется. Вот и весь алгоритм генерации серийных номеров.


Пробуем зарегистрировать программу найденным серийником. Программа благодарит за регистрацию. Все ограничения сняты.


Точно так же нейтрализуется защита и на остальных продуктах Xilisoft. Вся разница только в строке, которая используется для хеширования. Универсальный патч или кейген для любой программы от Xilisoft вы теперь можете написать самостоятельно.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.