Исследование защиты программы Quick Input

Программа Quick Input предназначена для ускорения ввода часто повторяющихся слов и словосочетаний. Что-то типа автокомплита в IDE, только работает в программах, где такого функционала нет в принципе. При вводе данных программа их запоминает, а в следующий раз по первым введенным буквам предложит варианты в виде выпадающего списка. И все бы было хорошо, если бы проект не сдох, унеся в небытие не только ставшие бесплатными последние версии, но даже возможность покупки. Будем работать с тем, что есть в наличии.

Забираем с файлообменника дистрибутив, устанавливаем, смотрим. Беглым осмотром убеждаемся, что файл упакован. По характерному названию секции "adata" можно предположить, что использовался ASProtect.


Программа ASPrINF любезно показывает нам версию ASProtect и прочую дополнительную информацию. Бггы. Кто не понял причину моего смеха, поясню. В каждый защищенный файл протектор ASProtect в обязательном порядке записывает данные, на которые протектор был зарегистрирован. Тут аффтар для защиты своего поделия воспользовался ломаным ASProtect, релизом от stephenteh из крякерской команды RESURRECTiON. Так что, следуя заветам Ильича, будем грабить награбленное.


При запуске вываливается триальное окно со счетчиком оставшихся дней. В окне "О программе" отображается "незарегистрированная версия". Но для начала надо снять навесной протектор. В автоматическом режиме с ним не справился ни DecomAS, ни Stripper, на этот случай у меня есть специальный нетбук с Windows XP, отладчик OllyDbg с плагинами ODbgScript, OllyDump и скрипт Aspr2.XX unpacker v1.15F от VolX.


Отправляем файл в отладчик, запускаем скрипт на выполнение. Когда он закончит работу, плагином OllyDump делаем дамп памяти процесса. Галочку восстановления импорта надо обязательно снять.


Теперь надо восстановить импорт, для этого воспользуйтесь вашим любимым инструментом для этих целей, у меня это будет The Cheap Imports Reconstructor. Предварительно открываем окно лога скрипта, там записаны важные значения: "RVA of OEP", "RVA of IAT" и "Size of IAT".


Переносим их в соответствующие поля The Cheap Imports Reconstructor, нажимаем кнопку "Get Imports". Останутся не восстановленными три функции, это ошметки ASProtect, их нужно просто удалить. После этого нажатием "Fix Dump" выбираем созданный ранее дамп и прикручиваем к нему импорт.


Если все сделано правильно, на выходе получаем распакованный и зарегистрированный файл, так как вся защита была реализована средствами навесного протектора. При распаковке скрипт эмулирует функции протектора, отвечающие за защиту. Вот и все, цель достигнута, программой можно пользоваться без каких-либо ограничений. Ну и заодно в очередной раз потренировались в ручной распаковке, этот навык терять нельзя.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.