Blog. Just Blog

Исследование защиты программы Freez Screen Video Capture

Версия для печати Добавить в Избранное Отправить на E-Mail 10.02.2019 | Категория: Темная сторона Силы | Автор: ManHunter
Скриншот программы Freez Screen Video Capture
Скриншот программы Freez Screen Video Capture

Freez Screen Video Capture - программа для захвата участка экрана и записи его в видеофайл. Ничего необычного. Аффтар позиционирует ее как бесплатную утилиту, но каждый раз при запуске появляется надоедливое окно с предложением метнуться на офсайт и проверить, не появилось ли там обновления. По сути, просто вынуждают посмотреть размещенную там говнорекламу. А через 10 дней начинается вообще цирк: программа перестает запускаться и требует серийный номер, который надо бесплатно получить на офсайте. Ребята, давайте все вместе поможем Даше-Следопыту аффтару определиться в этой жизни с тем, как должна работать бесплатная программа!

Забираем с сайта дистрибутив, устанавливаем, запускаем. Первым делом нас отправляют на сайт разработчика, проверить обновления. Ага, последняя движуха на сайте датируется 2011 годом, палюбасу там внезапно обнаружится что-то новое.

Окно сообщения
Окно сообщения

Исполняемый файл ничем не упакован, отправляем его на дизассемблирование и поищем текст сообщения об обновлении. Ничего сложного, строка обнаруживается с первого захода:

Текст сообщения в файле
Текст сообщения в файле

Возвращаемся в листинг дизассемблера, находим нужную нам строчку и по единственной перекрестной ссылке переходим на код, где эта строка используется:
Code (Assembler) : Убрать нумерацию
  1. .text:0040DA84                 lea     ecx, [esp+18h]
  2. .text:0040DA88                 mov     dword ptr [esp+240h], 0
  3. ; Вызвать функцию проверки регистрации
  4. .text:0040DA93                 call    sub_4061E0
  5. .text:0040DA98                 test    al, al
  6. ; Если программа зарегистрирована, но больше не жрать мозги пользователю
  7. .text:0040DA9A                 jnz     loc_40DBC0
  8. .text:0040DAA0                 lea     edx, [esp+18h]
  9. .text:0040DAA4                 push    edx
  10. .text:0040DAA5                 call    sub_406370
  11. ; Программа в пользовании больше 10 дней?
  12. .text:0040DAAA                 cmp     eax, 0Ah
  13. ; Да, потребовать регистрацию
  14. .text:0040DAAD                 jge     loc_40DB61
  15. ; До этого момента назойливо требовать посетить офсайт
  16. .text:0040DAB3                 push    21h
  17. .text:0040DAB5                 push    offset aOnlineUpdate
  18. ; "Online Update"
  19. .text:0040DABA                 push    offset aThereMayBeAnUp
  20. ; "There may be an update on our website. "...
  21. .text:0040DABF                 mov     ecx, edi
  22. .text:0040DAC1                 call    sub_40F34D
  23. .text:0040DAC6                 cmp     eax, esi
  24. .text:0040DAC8                 jnz     loc_40DBC0
Все просто и наглядно. Если посмотреть функцию проверки регистрации, то можно обнаружить там вызовы API по работе с реестром. То есть регистрация хранится в реестре и использовать программу в портативном режиме не получится. Это плохо, ведь в остальном программу ничего не удерживает от работы с флешки. Значит надо сделать так, чтобы программа при любом раскладе думала, что в реестре записана корректная регистрационная информация. Для этого можно записать в начало функции пару команд MOV AL,1 и RET или пропатчить возвращаемый результат, заменив двухбайтную команду MOV AL,BL по адресу 0040634C на двухбайтную команду MOV AL,1. Сохраняем изменения, запускаем. Больше никаких непристойных предложений не появляется. При запуске с флешки на чистой машине тоже никаких ограничений не выявлено. Цель достигнута.

Таким же образом приводятся в чувства и остальные программы этого разработчика, они все страдают одинаковой ерундой с обновлениями и регистрацией.

Поделиться ссылкой ВКонтакте
Просмотров: 1959 | Комментариев: 2

Внимание! Статья опубликована больше года назад, информация могла устареть!

Комментарии

Отзывы посетителей сайта о статье
TestLog (19.02.2019 в 12:17):
Прошу прощения вот адрес начала процедуры - 00406480
TestLog (19.02.2019 в 11:53):
Начало процедуры регистрации, необходимо пройти 2 условия для зарега.
Ключи реестра:
HKEY_CURRENT_USER\Software\Freez\videocapturename
HKEY_CURRENT_USER\Software\Freez\videocaptureCode
имя в регсхеме не участвует

Ну и сам ключ - https://pastebin.com/Q7jSp17J

Добавить комментарий

Заполните форму для добавления комментария
Имя*:
Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.
Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.
Это я :-)
Если программист в девять утра уже на работе, значит он там же и ночевал
Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина
Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал
Ограничение по возрасту 16+ Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.
Метки статей
.NET (32), AJAX (5), Assembler (372), COM (42), CSS (44), Exif (15), FASM (8), Firefox (7), HDD (17), Hello Teddy (9), HTML (53), iconBIT (4), JavaScript (76), MySQL (13), Nikon (19), PDF (10), PHP (122), Samsung (6), SEO (12), Sublime Text (9), TintonLife (4), UGREEN (4), Windows 7 (67), аккумуляторы (23), аксессуары (12), анализаторы файлов (8), архиваторы (6), аттракционы (7), безопасность (55), браузеры (16), бытовая техника (20), варенье (19), ВВЦ (9), ВДНХ (14), видео (20), Воробьевы горы (9), вторые блюда (126), выпечка (30), выставки (120), генератор ПСЧ (10), графика (122), десерты (31), Египет (9), заготовки на зиму (47), закуска (22), закуска к пиву (25), зарядные устройства (24), защита (15), зоопарки (10), игры (36), иконки (22), интерфейс (26), исследование защиты (322), каша (4), клавиатура (7), Коломенское (37), консоль (7), концерты (52), Кузьминки (4), куклы (27), ледяные скульптуры (6), мои программы (69), мониторы (6), музеи (78), мультимедиа (82), мясо (62), напитки (14), ноутбуки (8), обфускация (7), окна (71), оформление сайта (51), парки Москвы (7), песчаные скульптуры (13), плееры (10), подводная съемка (4), поздравления (131), полезные функции (42), прохождения (4), процессы (25), птица (22), путешествия (26), распаковка (22), реверсинг (52), регулярные выражения (5), рыба (35), салаты (19), сброс триала (4), сеть (37), система (179), Сокольники (8), соусы (16), супы (14), телефоны (10), Тунис (6), умный дом (14), файлы справки (6), фаст-фуд (18), фестиваль цветов (5), флешки (5), фото (23), хеши (17), числа (8), юмор (12), яйца (19), Яндекс (11)
Вам помог этот сайт?
Сказать спасибо! Поблагодарили 35,699 раз
<< 2024 - ДЕКАБРЬ >>
Пн Вт Ср Чт Пт Сб Вс
            1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30 31          
День памяти крымчаков и евреев Крыма – жертв нацизма
Международный день танго
Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите
Ctrl
+
Enter
Буду очень благодарен, если размеcтите мою кнопочку:
Личный блог ManHunter'а
Valid CSS Valid XHTML 1.0 Transitional Valid mobileOK Basic Valid RSS
Яндекс тИЦ: {YANDEX_TIC} Яндекс ИКС: 360
Сейчас я слушаю
---
Имя:

Сообщение:

Осталось символов: 200

   
-
Наверх
Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2024
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.08 сек. / MySQL: 2 (0.0084 сек.) / Память: 4.5 Mb
Наверх