Blog. Just Blog

Исследование защиты программы Secure Eraser

Версия для печати Добавить в Избранное Отправить на E-Mail 05.10.2023 | Категория: Темная сторона Силы | Автор: ManHunter
Скриншот программы Secure Eraser
Скриншот программы Secure Eraser

Программа Secure Eraser от компании ASCOMP предназначена для качественного и безопасного удаления информации с компьютера. Это могут быть временные файлы, данные браузеров, ненужные системные файлы, а также определенные пользователем данные и даже целые жесткие диски. Удаление выполняется с помощью многократной перезаписи информации по промышленным алгоритмам и военным стандартам. Программа вроде как бесплатна для личного использования, но вот "информационные окна" (по терминологии авторов) реально напрягают.

Забираем с офсайта дистрибутив последней версии, устанавливаем, смотрим. Для бесплатного использования требуется раскрыть свою почту и имя. Да ну нафиг, перебьются.

Триальное окно
Триальное окно

На главном окне программы видны первичные признаки триальности: надпись о бесплатном использовании, ссылка на заказ полной версии, кастомная псевдо-форма регистрации. Пока достаточно. Основной исполняемый файл ничем не упакован и по всем признакам он написан на Дельфи, так что для анализа будем использовать декомпилятор IDR. Если предположить, что все отсылки к регистрации после покупки должны пропадать или наоборот, при бесплатном режиме должны отрисовываться, надо проанализировать главное окно программы и найти названия этих текстовых меток.

Ссылка на покупку
Ссылка на покупку

Как видно, ссылка на покупку имеет название "LabelPLUS". Значит теперь надо найти в декомпилированном листинге какие-либо манипуляции с этой меткой. Проще всего это сделать, сохранив проект и затем выполнив глобальный поиск по всем получившимся исходникам.

Сохраняем проект
Сохраняем проект

Поиск строки в файлах проекта выводит нас на здоровенный файл "_Unit140.pas", в котором есть такие строки:
Code (Assembler) : Убрать нумерацию
  1.  0084D0FD    lea         edx,[ebp-9C]
  2.  0084D103    call        LowerCase
  3.  0084D108    mov         eax,dword ptr [ebp-9C]
  4.  0084D10E    mov         edx,84D898;'professional edition'
  5. ; Сравнить строки
  6.  0084D113    call        @UStrEqual
  7.  0084D118    jne         0084D140
  8. ; Установить флаг регистрации
  9.  0084D11A    mov         dword ptr [ebx+0A0C],1;TFormMain.ProgramMode:Integer
  10. ; Скрыть триальные строки в интерфейсе
  11.  0084D124    mov         eax,dword ptr [ebx+5EC];TFormMain.LabelPLUS:TLabel
  12.  0084D12A    xor         edx,edx
  13.  0084D12C    call        TControl.SetVisible
  14.  0084D131    mov         eax,dword ptr [ebx+544];TFormMain.LabelPrivate:TLabel
  15.  0084D137    xor         edx,edx
  16.  0084D139    call        TControl.SetVisible
  17.  0084D13E    jmp         0084D173
  18. ; Сбросить флаг регистрации
  19.  0084D140    xor         eax,eax
  20.  0084D142    mov         dword ptr [ebx+0A0C],eax;TFormMain.ProgramMode:Integer
  21. ; Отобразить триальные строки в интерфейсе
  22.  0084D148    mov         edx,dword ptr [ebx+0A94];TFormMain.LangStrings::1
  23.  0084D14E    mov         eax,dword ptr [ebx+5EC];TFormMain.LabelPLUS:TLabel
  24.  0084D154    call        TControl.SetText
  25.  0084D159    mov         eax,dword ptr [ebx+5EC];TFormMain.LabelPLUS:TLabel
  26.  0084D15F    mov         dl,1
  27.  0084D161    call        TControl.SetVisible
  28.  0084D166    mov         eax,dword ptr [ebx+544];TFormMain.LabelPrivate:TLabel
  29.  0084D16C    mov         dl,1
Декомпиляция двоичного кода и немецкая педантичность в названиях рисуют следующую картину. Что-то сравнивается со строкой "professional edition", по результатам сравнения или прячутся или скрываются надписи в окне программы, а главное, что или взводится или сбрасывается определенный флаг под названием TFormMain.ProgramMode. Тут не надо быть провидцем, чтобы понять его назначение. Это состояние зарегистрированности программы. Патчим условный переход по адресу 0084D118 командами NOP, чтобы всегда выполнялась ветка алгоритма, соответствующая зарегистрированному состоянию программы. Сохраняем изменения.

Сообщение о поврежденном файле
Сообщение о поврежденном файле

Запускаем программу и получаем сообщение о поврежденном файле. Вариантов проверки целостности может быть сколько угодно, все зависит от фантазии авторов. До углубления в дебри кода я для начала попробую подкорректировать контрольную сумму в заголовке PE-файла.

Корректировка контрольной суммы
Корректировка контрольной суммы

Сделать это также можно разными способами, я воспользуюсь PEiD с плагином FixCRC.

Программа успешно "зарегистрирована"
Программа успешно "зарегистрирована"

Запускаем программу, все работает. Никаких сообщений о битом файле, никаких окон при запуске и генерации отчета, никаких посторонних надписей в главном окне. Цель достигнута.

Поделиться ссылкой ВКонтакте
Просмотров: 295 | Комментариев: 9

Комментарии

Отзывы посетителей сайта о статье
pawel97 (19.11.2023 в 01:30):
У этой конторы строка standard edition сидит и правится на professional где-то в ресурсах, после чего код можно не патчить.
p.s. Для лазаруса бы такой idr...
ManHunter (12.11.2023 в 08:42):
А фаерволы для чего придуманы? То, что изначально не заточено для работы с интернетом, там вообще появляться не должно. И без разницы, платное или бесплатное.
Илья (12.11.2023 в 01:18):
Приятная программа, чувствуется немецкое качество и чёткость.

Скорее всего вы не выпускали программу в интернет. Если выпустить, то будет ещё одна проблема - появляется не пропадающее окно, в котором просят ввести ClientID. Я решил проблему просто: испортил все адреса (4 шт.), содержащие www.ascomp.de/api от греха подальше.
Noobie (11.11.2023 в 16:36):
Весьма признателен за помощь, все скачал, нашел искомое место, буду разбираться.
ManHunter (11.11.2023 в 13:50):
Noobie, вот целая коллекция подобных софтин: https://www.manhunter.ru/under..._faylah.html
Но они вряд ли помогут, если навскидку ничего из очевидного не найдено, значит автор все-таки заморочился на каком-то кастомном решении. А тут может быть что угодно.
Noobie (11.11.2023 в 09:27):
Напомните мне, пожалуйста, название утилиты, которая позволяет определить всякого рода крипту и прочие заморочки в PE файлах. Точно была на компе, но начисто забыл имя, поиски дали только x3chun's Crypto Searcher [For Public Version], но вроде это не та. Гугление тоже не помогло. Если таковой в хозяйстве нет, то каким образом в дебаггере определить где сидит проверка чексуммы экзешника? Симптомы такие: если  патчить хотя бы один байт, софт внешне никак не реагирует, но перестает работать как положено. Разумеется, лодырь помогает, но хотелось бы докопаться до сути :-)

P.S. Правка в PE заголовке не помогает, проверка более хитрая.
Илья (09.11.2023 в 17:18):
Спасибо за ответ. Так и не смог найти ничего подобного в оригинальном файле. Сделал лоадер (благодаря вашей статье про патчеры и лоадеры), где пропатчил все переходы в памяти, связанные с триалом. Цель достигнута.
Подозреваю, что игра была всё-таки частично упакована. Т.к. вылет происходит на том адресе, которого изначально нет, и который появляется уже при запуске программы (например в отладчике). Если интересно - игра MaxGammon v1.05.
ManHunter (08.11.2023 в 21:20):
Проверка по сертификату WinVerifyTrust или MsiGetFileSignatureInformation, через MapFileAndCheckSum, через штатную криптографию, про кастомные подсчеты вообще можно сколько угодно говорить.

Реакцию тоже можно накрутить как угодно, например, пара переходов с использованием контрольной суммы в качестве целевого адреса. В нетронутом файле все идет куда надо, в патченном гарантированно перейдет не туда.
Илья (08.11.2023 в 21:00):
А какие ещё бывают проверки целостности?

Симптомы: после пропатчинга хоть одного байта в любом месте программа загружается, но в течении 20 секунд (время может варьироваться) вылетает по исключению (обращение в недопустимую область памяти)

Добавить комментарий

Заполните форму для добавления комментария
Имя*:
Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.
Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.
Это я :-)
Если программист в девять утра уже на работе, значит он там же и ночевал
Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина
Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал
Ограничение по возрасту 16+ Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.
Метки статей
.NET (27), AJAX (5), Assembler (333), COM (36), CSS (38), Exif (15), FASM (8), Firefox (7), HDD (16), Hello Teddy (9), HTML (46), iconBIT (4), JavaScript (65), MySQL (12), Nikon (19), PDF (9), PHP (115), Samsung (6), SEO (12), Sublime Text (9), TintonLife (4), UGREEN (4), Windows 7 (66), аккумуляторы (22), аксессуары (12), анализаторы файлов (8), архиваторы (5), аттракционы (7), безопасность (55), браузеры (16), бытовая техника (18), варенье (18), ВВЦ (9), ВДНХ (13), видео (20), Воробьевы горы (8), вторые блюда (115), выпечка (26), выставки (114), генератор ПСЧ (10), графика (114), десерты (31), Египет (8), заготовки на зиму (45), закуска (21), закуска к пиву (24), зарядные устройства (23), защита (15), зоопарки (10), игры (35), иконки (22), интерфейс (26), исследование защиты (296), каша (4), клавиатура (7), Коломенское (37), консоль (7), концерты (52), Кузьминки (4), куклы (27), ледяные скульптуры (6), мои программы (67), мониторы (6), музеи (72), мультимедиа (65), мясо (57), напитки (13), ноутбуки (6), обфускация (7), окна (69), оформление сайта (46), парки Москвы (7), песчаные скульптуры (13), плееры (10), подводная съемка (4), поздравления (123), полезные функции (39), прохождения (4), процессы (23), птица (18), путешествия (25), распаковка (18), реверсинг (49), рыба (34), салаты (18), сброс триала (4), сеть (35), система (174), Сокольники (8), соусы (13), супы (14), телефоны (8), Тунис (6), умный дом (11), файлы справки (6), фаст-фуд (17), фестиваль цветов (5), флешки (5), фото (23), хеши (16), числа (8), юмор (12), яйца (16), Яндекс (8)
Вам помог этот сайт?
Сказать спасибо! Поблагодарили 33,580 раз
<< 2023 - ДЕКАБРЬ >>
Пн Вт Ср Чт Пт Сб Вс
        1 2 3
4 5 6 7 8 9 10
11 12 13 14 15 16 17
18 19 20 21 22 23 24
25 26 27 28 29 30 31
День образования подразделений по контролю за оборотом наркотиков системы МВД России
Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите
Ctrl
+
Enter
Буду очень благодарен, если размеcтите мою кнопочку:
Личный блог ManHunter'а
Valid CSS Valid XHTML 1.0 Transitional Valid mobileOK Basic Valid RSS
Яндекс тИЦ: {YANDEX_TIC} Яндекс ИКС: 400
Сейчас я слушаю
---
Имя:

Сообщение:

Осталось символов: 200

   
-
Наверх
Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2023
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.07 сек. / MySQL: 2 (0.0029 сек.) / Память: 4.5 Mb
Наверх