Распаковка приложений DеcSоft HTML Compiler

На днях мне задали интересный вопрос о возможности распаковки приложений, созданных разобранной ранее программой DеcSоft HTML Compiler. По заверениям аффтаров скомпилированные приложения абсолютно защищены, ничего из них извлечь нельзя, бла-бла-бла. Ну все как обычно, красивые песни коммерческих разработчиков для наивных потребителей. Давайте для разнообразия разбавим череду статей про исследование защит и проверим истинность этих слов.


Запускаем компилятор и собираем любой проект из готовых примеров. Для чистоты эксперимента лучше взять что-нибудь такое, где не просто один index.htm, а несколько рабочих файлов. После компиляции в папке с проектом обнаруживаются два файла неприлично монстрячих размеров. Это как раз готовые "электронные книги" в двух разрядностях.


Логично предположить, что, как и большинство исполняемых файлов с данными внутри (архивы, инсталляторы и т.п.), эти приложения должны иметь схожую структуру, то есть исполняемый стаб + пакет файлов. Если открыть на просмотр любой их этих файлов и промотать до самого конца, то там обнаружится очень характерный блок данных. Те, кто интересуется файлами не только снаружи, но и изнутри, без труда узнают содержимое ZIP-архива, а точнее его центральной директории. По именам файлов понятно, что в него упакованы все исходные файлы проекта и дополнительные модули, например, WebView2LoaderWin32.dll. Теперь надо отцепить этот архив от стаба.


По данным центральной директории первым в архиве идет файл WebView2LoaderWin32.dll, вот его и поищем, причем рядом с ним должна быть сигнатура заголовка ZIP-архива 50 4B 03 04. Любым удобным вам способом сохраняем все данные от "PK" до конца файла. Если под рукой есть инструменты для работы с оверлеями, то, в принципе, достаточно просто сохранить оверлей, результат будет точно такой же. На выходе получаем чистый ZIP-архив с файлами проекта.


WinRAR при открытии этого архива сообщает нам несколько важных вещей. Во-первых, архив запаролен. Ну да, было бы вообще полным фиаско не сделать даже этого. Во-вторых, файлы в архив добавлены методом store, то есть без компрессии. Вообще. И это при условии, что содержимое проектов в основном подразумевает некие текстовые данные, прекрасно поддающиеся сжатию. А правда, чего стесняться-то, десять мегабайт туда, двадцать сюда, кого волнует?

Как можно извлечь данные из запароленного архива? Брутфорс тут нам не помощник, длина пароля может оказаться достаточно большой, чтобы ее невозможно было подобрать за разумное время. К счастью, подобные ZIP-архивы прекрасно ломаются при помощи plaintext-атаки, то есть, зная содержимое одного из файлов, можно извлечь информацию из всего архива, даже не зная пароля. Предположим, что содержимое исходных файлов проекта для нас неизвестно, но зато в архиве присутствует файл загрузчика WebView2LoaderWin32.dll. Его оригинал можно найти под немного другим именем WebView2Loader.dll в папке \Binaries с установленной программой.


Создаем архив для выполнения атаки. Для этого сперва пакуем файл WebView2Loader.dll в ZIP-архив без сжатия.


Убеждаемся, что это действительно один и тот же файл. Размеры и контрольные суммы в обоих архивах совпадают.


Теперь нужна программа для взлома архивов, но не абы какая, а с поддержкой plaintext-атаки. У меня это будет какая-то старая версия Elcomsoft Advanced Archive Password Recovery. Каких-то тайных смыслов в выборе софта искать не надо, пользуюсь тем, что быстро нашлось под рукой. Выбираем исходный архив с паролем, выбираем тип атаки, выбираем архив с контрольным файлом.


Менее чем через 20 секунд программа рапортует об успешном взломе архива. Сохраняем дешифрованный архив на диск. Сам пароль мы не узнали, зато на основе известного файла смогли снять шифрование с остальных данных в архиве, а большего нам и не надо.


Открываем взломанный архив в любимом архиваторе и спокойно извлекаем из него абсолютно все данные, которые находились в исходном проекте. Цель достигнута, выводы сделайте сами.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.