Blog. Just Blog

Исследование защиты программы HashTab Shell Extension

Версия для печати Добавить в Избранное Отправить на E-Mail 07.08.2018 | Категория: Темная сторона Силы | Автор: ManHunter
Скриншот программы HashTab Shell Extension
Скриншот программы HashTab Shell Extension

HashTab Shell Extension - расширение стандартного Проводника Windows, которое позволяет подсчитывать контрольные суммы и хэши файлов прямо на вкладке свойств. Собственно, никаких ограничений по функционалу в программе нет, вся разница между бесплатной и платной версией заключается только в надоедливой надписи, что программа не лицензирована для коммерческого использования. Так что это будет не совсем исследование защиты, а так, косметическая операция. В конце концов, нельзя же все ломать, надо на чем-то и сидеть :)

Забираем с офсайта дистрибутив, устанавливаем. Запускать тут нечего, HashTab Shell Extension просто регистрирует свою dll в системе и не имеет других исполняемых файлов. Файл ничем не упакован, отправляем его на разбор в дизассемблер.

Нам надо избавиться от картинки с восклицательным знаком, от надписи о некоммерческом использовании и от ссылки на приобретение лицензии. Давайте посмотрим, где это все находится.

Элементы диалогового окна в ресурсах
Элементы диалогового окна в ресурсах

В ресурсах dll находится диалоговое окно, которое вставляется в свойства Проводника. Можно отредактировать его, просто удалив ненужные элементы, но проблема в том, что это окно продублировано на множестве разных языков, исправлять каждый диалог слишком хлопотно. Лучше сделать так, чтобы элементы скрывались независимо от используемой локали, а для этого надо узнать их идентификаторы. В редакторе ресурсов определяем, что это 243 (0F3h), 244 (0F4h) и 252 (0FCh). Поищем что-нибудь в коде, связанное с этими значениями.
Code (Assembler) : Убрать нумерацию
  1. .text:1000D7C0                 push    eax             ; hWnd
  2. .text:1000D7C1                 call    esi ; ShowWindow
  3. .text:1000D7C3                 cmp     [ebp+var_10BD], 0
  4. .text:1000D7CA                 jnz     short loc_1000D7DF
  5. .text:1000D7CC                 cmp     byte ptr [edi+0C6h], 0
  6. ; Отображать элемент
  7. .text:1000D7D3                 mov     [ebp+nCmdShow], 1
  8. .text:1000D7DD                 jz      short loc_1000D7E9
  9. .text:1000D7DF loc_1000D7DF:
  10. ; Не отображать элемент
  11. .text:1000D7DF                 mov     [ebp+nCmdShow], 0
  12. .text:1000D7E9 loc_1000D7E9:
  13. .text:1000D7E9                 push    0F3h            ; nIDDlgItem
  14. .text:1000D7EE                 push    dword ptr [edi+4] ; hDlg
  15. .text:1000D7F1                 call    ebx ; GetDlgItem
  16. .text:1000D7F3                 push    [ebp+nCmdShow]  ; nCmdShow
  17. .text:1000D7F9                 push    eax             ; hWnd
  18. .text:1000D7FA                 call    esi ; ShowWindow
  19. .text:1000D7FC                 cmp     [ebp+var_10BD], 0
  20. .text:1000D803                 jnz     short loc_1000D818
  21. .text:1000D805                 cmp     byte ptr [edi+0C6h], 0
  22. ; Отображать элемент
  23. .text:1000D80C                 mov     [ebp+nCmdShow], 1
  24. .text:1000D816                 jz      short loc_1000D822
  25. .text:1000D818 loc_1000D818:
  26. ; Не отображать элемент
  27. .text:1000D818                 mov     [ebp+nCmdShow], 0
  28. .text:1000D822 loc_1000D822:
  29. .text:1000D822                 push    0FCh            ; nIDDlgItem
  30. .text:1000D827                 push    dword ptr [edi+4] ; hDlg
  31. .text:1000D82A                 call    ebx ; GetDlgItem
  32. .text:1000D82C                 push    [ebp+nCmdShow]  ; nCmdShow
  33. .text:1000D832                 push    eax             ; hWnd
  34. .text:1000D833                 call    esi ; ShowWindow
  35. .text:1000D835                 push    0F4h            ; nIDDlgItem
  36. .text:1000D83A                 push    dword ptr [edi+4] ; hDlg
  37. .text:1000D83D                 call    ebx ; GetDlgItem
  38. ; Отображать или не отображать элемент
  39. .text:1000D83F                 movzx   ecx, [ebp+var_10BD]
  40. .text:1000D846                 xor     ecx, 1
  41. .text:1000D849                 push    ecx             ; nCmdShow
  42. .text:1000D84A                 push    eax             ; hWnd
  43. .text:1000D84B                 call    esi ; ShowWindow
  44. .text:1000D84D                 cmp     [ebp+arg_0], 0
  45. .text:1000D851                 jz      short loc_1000D87F
Все очень красиво и понятно. Последовательно выполняется несколько проверок, на основании первых двух устанавливается стиль отображения элементов - показывать их или скрывать, третий стиль устанавливается неявно, путем преобразования какого-то значения. Значит, для того, чтобы ненужные элементы не отображались в диалоговом окне, надо сделать так, чтобы стили отображения всегда были нулевыми. Для первых проверок можно подавить условные переходы по адресам 1000D7DD и 1000D816, а для последней обнулить регистр ECX перед его записью в стек. Лучший вариант - заменить команду по адресу 1000D846 на пару команд XOR ECX,ECX и NOP для сохранения размера кода. Сохраняем изменения, открываем вкладку со свойствами любого файла:

Интерфейс успешно модифицирован
Интерфейс успешно модифицирован

Красота! Никаких посторонних надписей и значков. Цель достигнута. А главное, что этот способ будет работать для всех языков, которые поддерживает это расширение.

Поделиться ссылкой ВКонтакте
Просмотров: 2945 | Комментариев: 6

Внимание! Статья опубликована больше года назад, информация могла устареть!

Комментарии

Отзывы посетителей сайта о статье
ManHunter (11.09.2018 в 10:25):
Впервые слышу про 64-битные системы.
Serg0FFan (31.08.2018 в 12:56):
Для 64 битной бы адреса :)
pawel97 (15.08.2018 в 14:44):
> Лучший вариант - заменить команду по адресу 1000D846
Или по 1000D7C3 поменять cmp *,0 на or *,1, остальное патчить не нужно.
pawel97 (15.08.2018 в 13:16):
В tc4shell есть и хеши, и открытие любых архивов прямо в проводнике, и другие полезные плюшки. Жаль что недавно стал шароварой и накрыт vmprotect, имхо непозволительно для продукта, 90% которого составляют opensource компоненты...
p.s. Большинство исследуемого тут софта каким-нибудь боком относится к картинкам. PhotoInstrument - отличный пример хорошей защиты без всяких протекторов. Интересен профессиональный разбор.
Не запрос, софт по назначению не нужен, а если бы нужен был - есть не особо старые версии.
ManHunter (15.08.2018 в 01:55):
Так можно сказать практически про каждую шаровару, что есть какой-то бесплатный аналог, который делает то же самое. Но смысл статьи не в поиске аналогов, а в совершенствовании навыков исследования кода.
Anonymous (15.08.2018 в 01:34):
Как вариант, сразу воспользоваться бесплатной и свободной HashCheck (https://github.com/gurnec/HashCheck/), которая делает абсолютно то же самое, но без всяких надписей.

Добавить комментарий

Заполните форму для добавления комментария
Имя*:
Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.
Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.
Это я :-)
Если программист в девять утра уже на работе, значит он там же и ночевал
Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина
Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал
Ограничение по возрасту 16+ Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.
Метки статей
.NET (30), AJAX (5), Assembler (362), COM (41), CSS (42), Exif (15), FASM (8), Firefox (7), HDD (17), Hello Teddy (9), HTML (52), iconBIT (4), JavaScript (73), MySQL (13), Nikon (19), PDF (10), PHP (122), Samsung (6), SEO (12), Sublime Text (9), TintonLife (4), UGREEN (4), Windows 7 (66), аккумуляторы (23), аксессуары (12), анализаторы файлов (8), архиваторы (6), аттракционы (7), безопасность (55), браузеры (16), бытовая техника (19), варенье (19), ВВЦ (9), ВДНХ (14), видео (20), Воробьевы горы (9), вторые блюда (125), выпечка (29), выставки (119), генератор ПСЧ (10), графика (120), десерты (31), Египет (8), заготовки на зиму (47), закуска (22), закуска к пиву (25), зарядные устройства (24), защита (15), зоопарки (10), игры (36), иконки (22), интерфейс (26), исследование защиты (317), каша (4), клавиатура (7), Коломенское (37), консоль (7), концерты (52), Кузьминки (4), куклы (27), ледяные скульптуры (6), мои программы (69), мониторы (6), музеи (78), мультимедиа (77), мясо (62), напитки (14), ноутбуки (8), обфускация (7), окна (69), оформление сайта (50), парки Москвы (7), песчаные скульптуры (13), плееры (10), подводная съемка (4), поздравления (130), полезные функции (42), прохождения (4), процессы (25), птица (21), путешествия (25), распаковка (22), реверсинг (52), рыба (35), салаты (19), сброс триала (4), сеть (36), система (178), Сокольники (8), соусы (14), супы (14), телефоны (10), Тунис (6), умный дом (13), файлы справки (6), фаст-фуд (18), фестиваль цветов (5), флешки (5), фото (23), хеши (16), числа (8), юмор (12), яйца (19), Яндекс (11)
Вам помог этот сайт?
Сказать спасибо! Поблагодарили 35,306 раз
<< 2024 - ОКТЯБРЬ >>
Пн Вт Ср Чт Пт Сб Вс
  1 2 3 4 5 6
7 8 9 10 11 12 13
14 15 16 17 18 19 20
21 22 23 24 25 26 27
28 29 30 31      
Всемирный день почты
День Специальной пожарной охраны МЧС России
День разгрома советскими войсками немецко-фашистских войск в битве за Кавказ
Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите
Ctrl
+
Enter
Буду очень благодарен, если размеcтите мою кнопочку:
Личный блог ManHunter'а
Valid CSS Valid XHTML 1.0 Transitional Valid mobileOK Basic Valid RSS
Яндекс тИЦ: {YANDEX_TIC} Яндекс ИКС: 360
Сейчас я слушаю
---
Имя:

Сообщение:

Осталось символов: 200

   
-
Наверх
Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2024
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.09 сек. / MySQL: 2 (0.0066 сек.) / Память: 4.5 Mb
Наверх