Исследование защиты программы PDFCompressor-CL

Программа PDFCompressor-CL предназначена для уменьшения размеров PDF-файлов путем их сжатия и оптимизации содержимого. Главное преимущество перед подобными софтинами - возможность работать из командной строки, что есть хорошо. Но без лицензии вообще нормально не запускается, что не есть хорошо.

Забираем с сайта дистрибутив, устанавливаем, запускаем, настраиваем как надо, пытаемся обработать какой-нибудь PDF-документ.


Ну что, вполне ожидаемо. Программа написана на дотнете, но при попытке открыть исполняемый файл на анализ получается полная бредятина. И текстовых строчек в файле не обнаруживается. Очень похоже, что тут поработали каким-то обфускатором. Ничего страшного, de4dot легко справляется с этой проблемой.


Отправляем распакованный файл в дотнетовский декомпилятор dnSpy, а там поиском по строковому значению "license" выясняем, откуда берется строка о неправильной лицензии. После получения списка методов и ресурсов, поочередно выясняем, где они используются. Правый мыш на результате поиска - "Анализировать" - "Используется в". Нас интересует метод "IsLicenseExist", так как по логике и названию, он должен отвечать на вопрос наличия лицензии.


"5PC" в параметре вызова - это, скорее всего, какой-то внутренний идентификатор продукта, так как у издателя есть несколько вариантов всякого софта для работы с PDF. И этот же код отображается в менеджере лицензий, если вы вдруг решите его ради прикола запустить.


Открываем метод на редактирование. Нам надо сделать так, чтобы при любом раскладе возвращался правильный результат, что все хорошо, что лицензия существует, что щебечут птички и светит солнышко.


Без вариантов. Правда (TRUE) торжествует. Компилируем метод после внесения изменений. Сохраняем измененный модуль. Проверяем работоспособность с обработкой какого-нибудь PDF-файла. Сообщения об отсутствии лицензии больше не появляется, но в оптимизированном файле на первой странице обнаруживается надпись о демо-версии:


В основном файле никаких упоминаний о демо-версии нет, значит надо искать где-то еще. В папке с программой, помимо пачки более-менее стандартных библиотек, у которых характерные названия через точки в имени файлов, обнаруживается файл "PDFCompress.dll". Текстовых строчек на первый взгляд в нем тоже нет, но de4dot не менее легко решает и эту проблему.


Отправляем распакованную библиотеку в dnSpy, там поиском строки "DEMO" по файлу и последующим анализом мест, где этот текст используется, обнаруживаем вот такой метод:


Вам хватит школьного курса информатики и английского языка такого же школьного уровня, чтобы понять, чего тут происходит. Воспитанникам церковно-приходской школы поясню: проверяется какой-то флаг, если он имеет неправильное значение, то на первую страницу документа по диагонали накладывается текст "DEMO VERSION".

Есть два варианта решения. Первый - пройтись по всем методам, где маркируется документ, и удалить код вставки метки, а таких методов точно более одного. Второй - найти код, где инициализируется флаг, после чего заменить значение флага на правильное. Лично мне больше нравится второй вариант, ведь неизвестно, где и как еще может вылезти отсутствие лицензии. Например, ограничение по количеству обрабатываемых страниц или еще какие-нибудь подлянки. Анализом конструкции "PDFCompressor.flag" выходим на метод, где этот флаг инициализируется.


Красота, хоть курсовую по программированию пиши :) Открываем метод на редактирование, заменяем последнюю строчку на "PDFCompressor.flag = 1;". Компилируем, сохраняем отредактированный модуль.


Проверяем на PDF-документе, теперь на выходе получаем чистенький и оптимизированный файл. Цель достигнута. Закидываем в копилку полезных программ еще один грамотный инструмент. Ну а защита остальных программ разработчика обходится аналогичным образом.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.