Исследование защиты программы HTML Compiler

Программа DecSoft HTML Compiler предназначена для создания стационарных исполняемых приложений из HTML-страниц. Это могут быть презентации, электронные книги, интерактивные справочники, браузерные игры и даже целые сайты. При этом на диск ничего не извлекается, все колдунство выполняется в памяти на современном движке Chromium. Размер готового файла, конечно, получается просто чудовищный, но кого это в наше время волнует. Если авторы программы не обманывают, то ограничений по времени и/или функционалу нет, а покупать лицензию надо только если программа понравится. Очень разумный подход. А как быть, если и программа понравилась, и платить не хочется?

Забираем с офсайта жирненький дистрибутив, устанавливаем, смотрим. Главный исполняемый файл ничем не упакован, отправляем его на разбор в дизассемблер. Пока тот работает, проверим функционал программы. Я немного потестировал, вроде бы действительно ограничений нет. Но все равно присутствует надпись "Unregistered" в заголовке программы и триальное окно с напоминанием, которое появляется при запуске.


Поиском по юникодной строке "Unregistered" обнаруживаем следующие строки. Как видим, тут есть оба варианта. Осталось выяснить, при каких условиях они появляются.


По перекрестным ссылкам в дизассемблере выходим на следующий код. Тут как раз меняется надпись в заголовке в зависимости от статуса программы.По коду понятно, что заголовок с надписью "Unregistered" появляется при условии, если функция проверки вернула в регистре EAX нулевое значение. И пусть конкретно тут проверяется только младший регистр AL, учитывать надо значение всего регистра. Впечатываем в начало функции проверки по адресу 00858E24 пару команд MOV EAX,1 и RET. Сохраняем изменения. Окно больше не появляется, в заголовке тоже все нормально, пунктов регистрации в меню нет. Но в окне "О программе" все равно присутствует надпись, что это незарегистрированная демо-версия. Если это вас не напрягает, то тут можно остановиться и считать задачу выполненной.


Если все-таки хотите видеть там свои регистрационные данные, то есть два пути: простой и сложный. При простом способе можно зайти в папку с установленной программой, открыть файл \About\en-US\index.html в любом блокнотике и отредактировать его содержимое на свое усмотрение:


Теперь сложный путь. Откатываем все изменения в исполняемом файле, запускаем и пробуем зарегистрировать программу какой-нибудь левотой.


Как видим, кнопка ввода остается неактивной, то есть корректность введенных регистрационных данных проверяется непосредственно в процессе ввода. Нечто подобное у нас было не так давно. Как и предыдущем примере, эта программа написана на Дельфи, значит в анализе обработчиков нам поможет все тот же Interactive Delphi Reconstructor. Отправляем исполняемый файл на декомпиляцию. Придется подождать, файл большой. Когда процесс завершится, открываем в списке форм элемент TRegisterForm и переключаем его на режим просмотра формы и обработчиков. Нас интересует обработчик CheckLicenseActionUpdate, который забинден на изменение содержимого полей ввода.


По названиям методов и функций все становится ясно. Берется регистрационное имя, в нем последовательно проверяется наличие символов "(" и ")", если оба этих символа есть, то кнопка ввода активируется. Запускаем программу, проверяем регистрацию, убеждаемся, что это действительно так. Теперь посмотрим второй обработчик CheckLicenseActionExecute, который срабатывает при нажатии на кнопку ввода.


Интересное название отмеченной функции явно намекает, что проверка регистрационных данных выполняется онлайн. Запускаем не модифицированную программу под отладчиком, ставим точку останова по адресу 00A62E64, отпускаем программу на выполнение и повторяем регистрацию с левыми данными, но правильного формата, то есть со скобочками в имени. Когда точка останова сработает, надо забить в отладчике NOP'ами все условные переходы в этой функции (00A62EAF, 00A62EE1 и 00A62F14), а затем пройти в пошаговом режиме до адреса 00A62F3F, по которому выполняется сохранение регистрационных данных. Можно обойтись и без патча, просто своевременно подменяя при трассировке значение флага ZF для подавления перехода. После этого в папке {USER}\Documents\DecSoft\HtmlCompiler\License появится файл license с зашифрованными регистрационными данными. Закрываем отладчик. Но теперь появилась другая проблема, ситуацию с полным отсутствием лицензии мы пропатчили в первой части статьи, а вот при ее наличии за корректность отвечает упомянутая серверная проверка. Открываем файл на редактирование и впечатываем в начало функции проверки по адресу 00A620A4 пару команд MOV EAX,1 и RET. Таким образом у нас есть файл лицензии и пропатченный в двух местах исполняемый файл.


Сохраняем окончательные изменения, запускаем, проверяем. Никаких триальных признаков нет, в окне "О программе" красуется введенное регистрационное имя. Вот теперь можно считать, что цель полностью достигнута.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.