Исследование защиты программы Attribute Manager

Attribute Manager предназначен для решения непосильных задач по массовому изменению атрибутов файлов и/или времени их модификации. Как известно, в жизни каждого компьютерщика такая необходимость возникает чуть реже, чем никогда, поэтому подобную программу нужно обязательно держать на самом видном месте. Как вы поняли, это была шутка. Непонятная софтина с сомнительной нужностью, да еще и за деньги. Понятность и полезность я добавить ей уже не смогу, а вот с последним надо бороться.

Забираем с офсайта дистрибутив, распаковываем, устанавливаем. При старте и выходе программа радует нас триальным окном с предложением зарегистрироваться или купить ее.


Главный исполняемый файл накрыт протектором ASProtect, причем какой-то свежей версии (1.35 build 06.26 Release, если быть точным). Для разнообразия попробуем его снять с помощью скрипта в отладчике. Нам понадобится OllyDbg с установленными плагинами ODbgScript и OllyDump, а также скрипт распаковщика Aspr2.XX_unpacker, желательно также самой последней версии. Взять его можно тут:


Отправляем файл в отладчик, но не запускаем. В меню плагинов выбираем "ODbgScript", "Run Script..." и выбираем файл скрипта для распаковки. Когда он закончит работу, надо посмотреть результаты, в них содержатся нужные нам данные. В меню плагинов выбираем "ODbgScript", "Log Window..." и из открывшегося окна лога копируем все строчки куда-нибудь в блокнотик.


Теперь делаем дамп процесса. Можете воспользоваться для этого своими любимыми инструментами, а мне вот нравится OllyDump. Не забываем снять галочку "Rebuild Import", остальные значения по умолчанию.


Теперь надо восстановить импорт. Инструментов для этого немало, я буду использовать старый добрый ImpREC. Выбираем нужный процесс, в поля "OEP", "RVA" и "Size" подставляем значения из лога скрипта, соответственно, "RVA of OEP", "RVA of IAT" и "Size of IAT". Нажимаем кнопку "Get Import". Если все сделано правильно, то вы сразу получите безошибочный список импортируемых функций.


Прикручиваем полученный импорт к дампу, сделанному на предыдущем шаге. Нажимаем кнопку "Fix Dump" и выбираем файл с дампом.


Теперь можно закрыть отладчик и все остальные инструменты, а затем попробовать запустить распакованный и исправленный файл. В защите используется стандартная аспровская схема регистрации, скрипт при распаковке ее автоматически патчит таким образом, чтобы программа считала себя зарегистрированной. Проверяем:


Так и есть, триальное окно при старте и выходе пропало, никаких ограничений по времени работы нет. Кстати, регистрационное имя нигде не используется, оно жестко прописано строчкой "Registered User" в самом файле. При желании можете заменить его на что-нибудь другое. На этом все, сегодня мы еще немного потренировались в ручной распаковке всякой навесной гадости.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.