Исследование защиты скринсейверов 3Planesoft

3Planesoft - один из производителей очень красивых трехмерных скринсейверов. За годы существования компании было выпущено несколько десятков качественных скринсейверов и анимированных обоев различной тематики. К сожалению, практически все скринсейверы платные. Да, цена невысокая, но все-таки и не нулевая, поэтому добро пожаловать на мой разделочный стол. Защиту будем разбирать на примере одного из моих любимых скринсейверов The Lost Watch.

Забираем с офсайта дистрибутив, устанавливаем, смотрим. Скринсейвер состоит из двух частей, это лаунчер-конфигуратор, который записывается в папку WINDOWS\System32, а также основной графический модуль, который устанавливается в %ProgramFiles%. Начнем с конфигуратора. После запуска скринсейвера появляется инструкция о горячих клавишах, в том числе и о запуске настроек. Этим и воспользуемся. Попробуем зарегистрировать какими-нибудь левыми данными.


Жесть какая... "Навереный"... Как я понимаю, это сообщение вообще никто никогда не видел. Легальные пользователи вводят корректные регистрационные данные, а любители халявы пользуются варезом. Другого объяснения я не вижу, иначе бы кто-нибудь уже давно сообщил разработчикам об ошибке.


Поиском по этой строке в исполняемом файле обнаружится следующая конструкция. Интерфейс многоязычный, поэтому ориентироваться надо не по самой строке, а по наименованию тега группы, к которой она относится.


По наименованию тега в файле найдутся нужные строки. Теперь загоним исполняемый файл в дизассемблер и посмотрим, как и при каких условиях эти строки задействуются.Что тут происходит? Вызывается функция проверки по адресу 0065D320, ее результат из регистра AL записывается в одну из переменных. Ниже по коду выполняется сравнение этой переменной с нулем, а еще ниже на основании результата этого сравнения выполняется или не выполняется условный переход. Несложно понять, что для появления сообщения об успешной регистрации функция проверки должна вернуть AL=1. Открываем файл конфигуратора в HEX-редакторе, патчим начало функции проверки парой команд MOV AL,1 и RET. Запускаем, смотрим.


Визуально все в порядке, конфигуратор находится в зарегистрированном состоянии. Запускаем скринсейвер. Через некоторое время поверх основного изображения выплывает наг-окно с требованием зарегистрироваться.


Ну логично, чо. Конфигуратор-лаунчер мы пропатчили на предмет "регистрации", а основной файл скринсейвера об этом ничего не знает. Идем в Программы, находим здоровенный файл "The Lost Watch 3D Screensaver.exe", чтобы не терять времени отправляем его в дизассемблер. Кода в нем не так много, распотрошится быстро.

Теперь подумаем. Логично предположить, что схема проверки регистрации в обоих модулях должна если не совпадать, то быть очень похожей. Ненадолго вернемся к дизассемблерному листингу конфигуратора и посмотрим на функцию проверки. Обнаружится вот такая интересная строка:Очень характерная зацепка - при проверке используется файл "serials.sgn". Значит с очень большой долей вероятности он же используется в основном файле и скорее всего именно при проверке состояния регистрации.


Во внутренностях исполняемого файла действительно обнаружится упоминание "serials.sgn", а в дизассемблерном листинге только одна функция, где эта строчка задействуется. Это функция по адресу 00833260. Если сравнить ее с проверкой из конфигуратора, то обнаружится много совпадений, значит мы нашли то, что искали. Разница только в том, что при возврате она дополнительно очищает стек, поэтому патчить ее начало придется парой команд MOV AL,1 и RET 8. Сохраняем изменения, запускаем. Больше никаких посторонних окон не появляется. Цель достигнута. Лаунчер-конфигуратор, в принципе, можно было и не патчить, там "регистрация" дает исключительно косметические изменения. Точно таким же образом нейтрализуется защита и на всех остальных скринсейверах 3Planesoft. Хотя, имхо, это один из редчайших случаев, когда действительно не западло раскошелиться на покупку.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.