Исследование защиты программы ASM Visual

ASM Visual - интегрированная среда разработки для низкоуровневых программистов языка Ассемблер. Представляет собой средства ведения проектов и редактор кода с подсветкой синтаксиса и автодополнением, включая ряд дополнительных модулей: взаимодействие с компиляторами, информирование об ошибках, работа с отладкой, инструменты рефакторинга, метрики кода и т.д. Несмотря на список титулованных спонсоров, программа платная. Придется организовать волонтерскую организацию в поддержку ПО, за которое платить не надо.

Забираем с офсайта дистрибутив последней версии, устанавливаем, смотрим. Основной исполняемый файл ничем не упакован, внешний осмотр и специализированные анализаторы однозначно говорят, что он написан на дотнете. Хоть не на Java или на Qt, и на том спасибо. Раз использован дотнет, то инструментом для анализа будет dnSpy. Отправляем файл на декомпиляцию.


Ну и параллельно поищем какие-нибудь зацепки для анализа триальных веток алгоритма работы программы. В окне "О программе" незарегистрированной версии рядом с номером имеется надпись "Trial", это будет отправной точкой для поиска.


Первой же строкой результатов глобального поиска выходит функция IsTrial? возвращающая булево значение. Очень интересно, давайте посмотрим на нее поближе.


Да, тут прямо по коду видно, что проверяется время работы. Как сказано в описании программы, 24 часа она будет работать в полном функционале, вот оно тут и проверяется. На выходе при правильном раскладе должно получиться FALSE. Смотрим чуть выше. Тут функция IsPro, в которой проверяется какие-то идентификаторы, проверяется лицензия и всякое такое. Тут, очевидно, должно вернуться TRUE.


Оба метода можно изменить, они даже компилируются без ошибок. Но после сохранения модифицированной сборки получается нерабочий файл. Он вроде как запускается, но при попытке создания проекта падает с ошибкой.

Ну и ничего, на хитрую жопу есть хуй с винтом. Переключаем отображение кода в IL или даже IL with C#", это для удобства восприятия. По коду видно, что из каждой логической проверки могут быть несколько возвратов, результат возврата определяется командой ldc.i4.0 (false) или ldc.i4.1 (true) с последующей командой ret.



В первом случае нам надо поменять два возврата false на возвраты true, то есть заменить в отмеченных местах команды ldc.i4.0 на ldc.i4.1. Во втором случае надо заменить единственный возврат true на возврат false, то есть заменить команду ldc.i4.1 на ldc.i4.0. Это можно сделать средствами самого же dnSpy.


Теперь даже при невыполнении условий проверок обе функции будут возвращать нужное значение. Сохраняем сборку, проверяем. Увы, на хуй с винтом нашлась жопа с закоулками. Исполняемый файл точно так же падает с ошибкой при создании проекта. Но и тут ничего страшного, на жопу с закоулками должен найтись хуй с путеводителем. И такой есть. Точнее у нас есть адреса команд в исполняемом файле, а также их опкоды. Как видно на скриншотах, команде ldc.i4.0 соответствует код 16h, а команде ldc.i4.1 код 17h. Нужные смещения, по которым располагаются команды, соответственно, будут 0x00003233 и 0x00003264 для функции IsPro, а для IsTrial будет единственное смещение 0x000032D8. Это абсолютные значения от начала файла. Открываем оригинальный исполняемый файл в любом HEX-редакторе и поочередно заменяем три байта по указанным смещениям. 17h меняется на 16h и наоборот. Как вы понимаете, в этом случае файл не пересобирался, изменения были внесены напрямую в код. Сохраняем изменения, проверяем.


В окне "О программе" и в заголовке главного окна красуется надпись "Pro", никаких ограничений больше нет, падений с ошибкой тоже нет. Цель достигнута. Ну а пользоваться этим чудо-комбайном или нет - это уже личное дело каждого конкретного программиста. Мне, например, вполне хватает Sublime Text с подсветкой синтаксиса и подключенным компилятором FASM.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.