Blog. Just Blog

Исследование защиты программы Coolmuster SignPub

Версия для печати Добавить в Избранное Отправить на E-Mail 09.08.2022 | Категория: Темная сторона Силы | Автор: ManHunter
Скриншот программы Coolmuster SignPub
Скриншот программы Coolmuster SignPub

Coolmuster SignPub - программа для создания и редактирования электронных книг в популярном формате ePub с возможностью разметки текста, добавления изображений, создания оглавления и т.п. Несмотря на то, что ePub – открытый формат файлов, об этом редакторе такого сказать нельзя. Только за деньги, только хардкор.

Забираем с офсайта дистрибутив, устанавливаем, смотрим. В заголовке главного окна наблюдается надпись "Unregistered", также обнаруживается функциональное ограничение по количеству добавляемых в оглавление страниц.

Ограничение незарегистрированной версии
Ограничение незарегистрированной версии

На попытку ввода левых регистрационных данных программа реагирует вот таким сообщением.

Окно регистрации
Окно регистрации

Ну что ж, для начала исследования информации более чем достаточно. Исполняемый файл ничем не упакован, отправляем его на разбор в дизассемблер.

Строки сообщений в файле
Строки сообщений в файле

Строки сообщений легко обнаруживаются в файле. Давайте посмотрим, при каком условии выводится сообщение о корректной регистрации:
Code (Assembler) : Убрать нумерацию
  1. .text:005881F0                 push    ebp
  2. .text:005881F1                 mov     ebp, esp
  3. .text:005881F3                 push    0FFFFFFFFh
  4. .text:005881F5                 push    offset loc_5A2018
  5. .text:005881FA                 mov     eax, large fs:0
  6. .text:00588200                 push    eax
  7. .text:00588201                 sub     esp, 1F4h
  8. .text:00588207                 mov     eax, dword_6DCB10
  9. .text:0058820C                 xor     eax, ebp
  10. .text:0058820E                 mov     [ebp+var_10], eax
  11. .text:00588211                 push    ebx
  12. .text:00588212                 push    esi
  13. .text:00588213                 push    edi
  14. .text:00588214                 push    eax
  15. .text:00588215                 lea     eax, [ebp+var_C]
  16. .text:00588218                 mov     large fs:0, eax
  17. .text:0058821E                 mov     eax, ds:?wxEmptyString@@3PB_WB
  18. ; wchar_t const * const wxEmptyString
  19. .text:00588223                 mov     edi, ecx
  20. .text:00588225                 mov     ecx, [eax]
  21. .text:00588227                 push    ecx
  22. .text:00588228                 lea     ecx, [ebp+var_200]
  23. .text:0058822E                 call    ds:??0wxString@@QAE@PB_W@Z
  24. ; wxString::wxString(wchar_t const *)
  25. .text:00588234                 push    offset aYouHaveRegiste
  26. ; "You have registered successfully!"
  27. .text:00588239                 lea     ecx, [ebp+var_17C]
  28. .text:0058823F                 mov     [ebp+var_4], 0
  29. .text:00588246                 call    ds:??0wxString@@QAE@PBD@Z
  30. ; wxString::wxString(char const *)
  31. .text:0058824C                 mov     byte ptr [ebp+var_4], 1
  32. .text:00588250                 call    ds:?Get@wxTranslations@@SAPAV1@XZ
  33. ; wxTranslations::Get(void)
  34. .text:00588256                 test    eax, eax
  35. .text:00588258                 jz      short loc_588272
  36. .text:0058825A                 lea     edx, [ebp+var_200]
  37. ...
  38. ...
Вывод сообщения оформлен в отдельную функцию, которая вызывается только из одного места. Вот оно:
Code (Assembler) : Убрать нумерацию
  1. .text:00589C85                 push    eax
  2. .text:00589C86                 mov     ecx, ebx
  3. .text:00589C88                 call    sub_5873A0
  4. ; Вызвать функцию проверки
  5. .text:00589C8D                 call    sub_572450
  6. ; Взвести AL=1 в случае, если из функции вернулось AL=0
  7. .text:00589C92                 test    al, al
  8. .text:00589C94                 setz    al
  9. .text:00589C97                 mov     [esi+210h], al
  10. .text:00589C9D                 mov     ecx, esi
  11. ; Проверить результат проверки
  12. .text:00589C9F                 test    al, al
  13. .text:00589CA1                 jz      short loc_589CBA
  14. ; Сообщение о неправильной регистрации
  15. .text:00589CA3                 call    sub_588CB0
  16. .text:00589CA8                 mov     ecx, [ebp+var_C]
  17. .text:00589CAB                 mov     large fs:0, ecx
  18. .text:00589CB2                 pop     ecx
  19. .text:00589CB3                 pop     edi
  20. .text:00589CB4                 pop     esi
  21. .text:00589CB5                 pop     ebx
  22. .text:00589CB6                 mov     esp, ebp
  23. .text:00589CB8                 pop     ebp
  24. .text:00589CB9                 retn
  25. .text:00589CBA ; ----------------------------------------------
  26. .text:00589CBA loc_589CBA:
  27. ; Вывести сообщение об успешной регистрации
  28. .text:00589CBA                 call    sub_5881F0
  29. .text:00589CBF                 mov     ecx, [ebp+var_C]
  30. .text:00589CC2                 mov     large fs:0, ecx
  31. .text:00589CC9                 pop     ecx
Таким образом, в случае успешной регистрации из функции проверки в регистре AL должно вернуться ненулевое значение. Давайте теперь посмотрим на эту проверку:
Code (Assembler) : Убрать нумерацию
  1. .text:00572450 sub_572450      proc near
  2. .text:00572450                 mov     eax, dword_709438
  3. .text:00572455                 push    eax
  4. .text:00572456                 call    sub_572C10
  5. .text:0057245B                 add     esp, 4
  6. .text:0057245E                 test    eax, eax
  7. .text:00572460                 setz    al
  8. .text:00572463                 retn
  9. .text:00572463 sub_572450      endp
По сути это просто переходник на функцию sub_572C10, которая вызывается только отсюда. А вот сам переходник уже вызывается из четырех мест, что явно намекает на его ключевое значение в механизме проверки регистрации. Так что мудрить не будем и просто пропатчим эту функцию, записав по адресу 00572450 пару команд MOV AL,1 и RET. Сохраняем изменения, проверяем результат.

Программа успешно "зарегистрирована"
Программа успешно "зарегистрирована"

В заголовке исчезла надпись о незарегистрированной версии, вместо регистрации открывается окно с сообщением, что мы уже успешно зарегистрированы. Данных регистрации нет, но ничего, как-нибудь переживем. Осталось проверить функционал, и тут тоже никаких ограничений по количеству страниц в оглавлении больше нет. Цель достигнута. Пишите, творите.

Поделиться ссылкой ВКонтакте
Просмотров: 792 | Комментариев: 2

Внимание! Статья опубликована больше года назад, информация могла устареть!

Комментарии

Отзывы посетителей сайта о статье
ManHunter (12.08.2022 в 17:09):
Хорошо, в следующий раз буду писать "ЕБАТЬ ПЛАТНЫЙ СОФТ"
кодер (12.08.2022 в 17:07):
Кстати, слово SHAREWARE уже довольно редко употребляется, и само это явление касается времён BBS, дискет и медленного интернета. Сейчас чаще пишут "free trial" или что-то типа того. Помните может такую организацию как ASP (Association of Shareware Professionals, создатели формата PAD), которая объединяла инди-разработчиков шароварок? Потом они переименовались в Association of Software Professionals. А в декабре 2021 года эта организация перестала существовать(!). Не то чтобы инди-шаровара совсем исчезла, нет, низкосортные индокитайские формошлёпы ещё остались, выжили и зубры индустрии - создатели качественного коммерческого софта под десктоп, однако уже больше десяти лет как все ломанулись в веб и смартфоны, просто потому что там можно заработать на порядки больше бабла, вот в чём основная причина падения интереса. Раньше все равнялись на Билли, а сейчас на Цукера.

Добавить комментарий

Заполните форму для добавления комментария
Имя*:
Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.
Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.
Это я :-)
Если программист в девять утра уже на работе, значит он там же и ночевал
Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина
Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал
Ограничение по возрасту 16+ Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.
Метки статей
.NET (30), AJAX (5), Assembler (362), COM (41), CSS (41), Exif (15), FASM (8), Firefox (7), HDD (17), Hello Teddy (9), HTML (51), iconBIT (4), JavaScript (73), MySQL (13), Nikon (19), PDF (10), PHP (122), Samsung (6), SEO (12), Sublime Text (9), TintonLife (4), UGREEN (4), Windows 7 (66), аккумуляторы (23), аксессуары (12), анализаторы файлов (8), архиваторы (6), аттракционы (7), безопасность (55), браузеры (16), бытовая техника (19), варенье (19), ВВЦ (9), ВДНХ (14), видео (20), Воробьевы горы (9), вторые блюда (125), выпечка (28), выставки (119), генератор ПСЧ (10), графика (120), десерты (31), Египет (8), заготовки на зиму (47), закуска (22), закуска к пиву (24), зарядные устройства (24), защита (15), зоопарки (10), игры (36), иконки (22), интерфейс (26), исследование защиты (316), каша (4), клавиатура (7), Коломенское (37), консоль (7), концерты (52), Кузьминки (4), куклы (27), ледяные скульптуры (6), мои программы (69), мониторы (6), музеи (78), мультимедиа (76), мясо (62), напитки (14), ноутбуки (8), обфускация (7), окна (69), оформление сайта (49), парки Москвы (7), песчаные скульптуры (13), плееры (10), подводная съемка (4), поздравления (130), полезные функции (42), прохождения (4), процессы (25), птица (20), путешествия (25), распаковка (22), реверсинг (52), рыба (35), салаты (19), сброс триала (4), сеть (36), система (178), Сокольники (8), соусы (14), супы (14), телефоны (10), Тунис (6), умный дом (13), файлы справки (6), фаст-фуд (18), фестиваль цветов (5), флешки (5), фото (23), хеши (16), числа (8), юмор (12), яйца (19), Яндекс (11)
Вам помог этот сайт?
Сказать спасибо! Поблагодарили 35,172 раза
<< 2024 - СЕНТЯБРЬ >>
Пн Вт Ср Чт Пт Сб Вс
            1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30            
День федерального государственного санитарно-эпидемиологического надзора
День работников леса
День свободных денег
Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите
Ctrl
+
Enter
Буду очень благодарен, если размеcтите мою кнопочку:
Личный блог ManHunter'а
Valid CSS Valid XHTML 1.0 Transitional Valid mobileOK Basic Valid RSS
Яндекс тИЦ: {YANDEX_TIC} Яндекс ИКС: 360
Сейчас я слушаю
---
Имя:

Сообщение:

Осталось символов: 200

   
-
Наверх
Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2024
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.12 сек. / MySQL: 2 (0.0088 сек.) / Память: 4.5 Mb
Наверх