Исследование защиты программы Intel Hex File Compare

Программа Intel Hex File Compare предназначена для сравнения двух файлов в формате Intel HEX. Никакими другими привычными инструментами для сравнения файлов это сделать невозможно. Тем, кто работает с микросхемами и прошивками, предмет разговора должен быть хорошо знаком, а остальным оно и даром не надо, кроме как в познавательных целях. Без регистрации программа работает всего несколько дней, активируется и фиксирует триал исключительно онлайн, после чего перестает запускаться до момента оплаты.

Забираем с офсайта дистрибутив, устанавливаем, смотрим что и как. В папке с установленной программой, помимо каких-то рантаймовых библиотек и главного исполняемого файла находится файл IHFC.dat.


Если посмотреть его содержимое, то обнаружится характерная структура исполняемого файла, но если его переименовать, то он не запустится. Энтропия секции кода также говорит о том, что файл либо упакован, либо зашифрован. Секций навесного упаковщика не видно, так что скорее всего это именно шифрование. Ладно, пока оставим этот файл и попробуем запустить главный файл. Первым делом он потребует соединение с интернетом, чтобы зарегистрировать триал. Придется выпустить приложение в сеть хотя бы раз, иначе дальше ничего не произойдет. Зато когда появится окно самой программы, можно полюбопытствовать, какому-такому процессу оно принадлежит?


И вот тут получается интересная ситуация. Оказывается, что владелец главного окна - тот самый странный файл IHFC.dat. Значит он каким-то образом все-таки запускается. Можно предположить, что главный исполняемый файл является враппером, который контролирует триал, выполняет проверку активации и всякое такое, а потом загружает в память файл IHFC.dat в статусе "SUSPENDED", выполняет с ним определенные действия, чтобы тот стал запускаемым, ну и в конце запускает. Для таких случаев у меня написана программа UnWrapper Helper. Чтобы не возиться с дампами, воспользуемся версией Dynamic.


В списке процессов выбираем IHFC.dat, нажимаем кнопку "Fix File". После работы UnWrapper Helper'а на диске появляется файл IHFC_fixed.exe, в котором полностью восстановлена секция кода и убрана цифровая подпись, поэтому он немного меньше по размеру. Проверяем его на предмет работоспособности, никаких проблем нет, все запускается. Файл враппера больше не нужен, поэтому его можно удалить, а исправленный файл переименовать и записать вместо него.

Вот и все, легким движением руки цель достигнута, программа работает без ограничений. Рискну предположить, что аналогичным образом снимается защита и с остальных продуктов этого разработчика. Но они очень узкоспециализированные, так что проверить их работу в реальных условиях я не могу.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.