Blog. Just Blog

Исследование защиты программы AWicons Pro

Версия для печати Добавить в Избранное Отправить на E-Mail 18.07.2011 | Категория: Темная сторона Силы | Автор: ManHunter
Скриншот программы AWicons Pro
Скриншот программы AWicons Pro

AWicons Pro - лучшая, на мой взгляд, программа для создания и редактирования иконок и курсоров. Она включает в себя множество профессиональных инструментов, таких как прозрачность и многоцветный градиент, функции модификации (Контрастность, Яркость, Размытие, Поворот, 3D тень, Aqua и другие), импорт иконок из исполняемых файлов и графических файлов, сохранение готовых изображений в разные форматы, работа с библиотеками иконок и мультииконками, и еще много-много других полезных возможностей. Но почему-то стоимость программы превышает предельно допустимый уровень в ноль рублей, значит будем смотреть на нее поближе и желательно изнутри.

Скачиваем дистрибутив, устанавливаем, смотрим на главный исполняемый файл. Он упакован Armadillo. Не страшно, навесная защита легко снимается с помощью ArmaGeddon'а:

Распаковываем программу
Распаковываем программу

Почистите распакованный файл от ненужных секций протектора при помощи CFF Explorer. Эта процедура уже не раз описывалась на сайте, в очередной раз дублировать не буду. Теперь обкатаем на жертве два новых инструмента. Первый - Armadillo Environment Variables Finder. Скармливаем ему распакованный файл, смотрим результат.

Используемые переменные окружения Armadillo
Используемые переменные окружения Armadillo

Ага, в программе содержится строка ALTUSERNAME, это одна из стандартных переменных окружения, устанавливаемых протектором Armadillo. Остальные данные нас не интересуют. По всей вероятности эта переменная устанавливается в случае зарегистрированной программы и должна содержать в себе имя пользователя. Пустим в дело нашу вторую новинку - Armadillo Environment Variables Injector.

Патчим переменные окружения Armadillo
Патчим переменные окружения Armadillo

Добавляем переменную окружения ALTUSERNAME с нужным вам значением имени, нажимаем кнопку Patch. В исполняемый файл будет добавлен код, который при запуске программы установит переменную окружения в нужное значение.

Программа успешно зарегистрирована
Программа успешно зарегистрирована

Проверим результат. Наг-окна при запуске и выходе из программы пропали, в окне "О программе" отображается введенное нами имя. Вот так мы нейтрализовали очередную защиту, но на этот раз обошлись совсем без отладчиков и дизассемблеров. А заодно освоили два новых полезных инструмента.

Поделиться ссылкой ВКонтакте
Просмотров: 6550 | Комментариев: 24

Внимание! Статья опубликована больше года назад, информация могла устареть!

Комментарии

Отзывы посетителей сайта о статье
ManHunter (15.10.2015 в 16:56):
Всё течет, всё изменяется.
brute (11.02.2015 в 21:03):
по ссылке "Скачиваем дистрибутив" лежит версия 10.3, которая ничем не накрыта. Соответчтвенно статья потеряла "академический интерес". Мне удалось её запатчить, но разобраться в алгоритме по-прежнему тяжело. Регистрация идет по адресу 004107D0, а проверка триала по адресу 0040D921.
ManHunter (20.07.2011 в 12:08):
Voffka, спасибо, так действительно работает. Вечером обновлю утилиты.
Voffka (20.07.2011 в 11:41):
Потестил на x64, результаты неутешительные. В патче используется базонезависимый код для поиска нужных данных, и он не работает на 64-битных системах.

Это не базонезависимый код, чушь какая-то...(имхо)
Убираешь в самом начале этот бред
    MOV EAX,DWORD PTR SS:[ESP+20]

@L00000001:
    DEC EAX
    CMP WORD PTR DS:[EAX],5A4D
    JNZ SHORT @L00000001

и как все белые люди получаешь базу кернела из PEB
MOV EAX,DWORD PTR FS:[30]
MOV EAX,DWORD PTR DS:[EAX+0C]
MOV EAX,DWORD PTR DS:[EAX+1C]
MOV EAX,DWORD PTR DS:[EAX]
MOV EAX,DWORD PTR DS:[EAX+8]

И всё прекрасно работает на xp,недовиндовс,7 x86-x64
ManHunter (19.07.2011 в 10:39):
Тогда уж проще саму программу патчить, старым проверенным методом. Но я уже начал думать над решением :) Еще бы где-нибудь найти побольше времени на исследования.
tester3000 (19.07.2011 в 09:23):
ManHunter, а может для Win 7 x64 сделать патч другим способом а не через SetEnvironmentVariable?
ManHunter (18.07.2011 в 13:56):
Потестил на x64, результаты неутешительные. В патче используется базонезависимый код для поиска нужных данных, и он не работает на 64-битных системах.
AyTkACT (18.07.2011 в 12:29):
>>>>Скоро доделаю приблуду для секций, будет удобнее делать обрезку. А то CFF Explorer все-таки тяжеловат для такой рутины.

Будем посмотреть. Вообщем ждём-с.
ManHunter (18.07.2011 в 12:25):
Попробую поставить на виртуалку x64, проверю.
tester3000 (18.07.2011 в 12:22):
На Windows 7 x64 после патча не работает а на Windows XP SP3 норм работает.
==DJ==[ZLO] (18.07.2011 в 09:19):
Доброго времени суток ;)
Win7 x86 все прекрастно отработало! Только я секции вообще не "чикал" (влом было искать правельные)
Огромное спасибо за утилиты! Удачи и всех благ!
tester3000 (17.07.2011 в 22:37):
ManHunter, большое спасибо за тулзы и статью!!!
p.s. ждем приблуду для секций)
tester3000 (17.07.2011 в 22:18):
ManHunter, блин хоть бы сказал а то я мучаюсь думаю как ты это сделал хелп армагедона уже раз 5 прочитал =)))
ManHunter (17.07.2011 в 22:07):
Ну так, немного облагородил, чтобы не путаться :)
tester3000 (17.07.2011 в 22:06):
ManHunter, да на WinXP SP3 полет нормальный посмотрел твой dumped_.exe а имена секций ты вручную что-ли правил?
Просто у меня видать опция генерить рандомные имена секций была включена http://i55.tinypic.com/2yma7x3.png хотя версия такая же вроде 10.2
ManHunter (17.07.2011 в 21:14):
Есть подозрение, что это какие-то несовместимости распаковщика с Win7 x64. Я для сложных случаев распаковки держу на VMWare чистенькую Windows XP, хотя ArmaGeddon 1.9 вполне корректно работает на 32-битной Win7.
tester3000 (17.07.2011 в 21:06):
ManHunter подскажи почему когда открываю AWiconsPro.exe через ArmaGeddon 1.9 процесс просто завершается вот скрин лога http://i51.tinypic.com/2hwcjrp.jpg
ManHunter (17.07.2011 в 17:25):
Скоро доделаю приблуду для секций, будет удобнее делать обрезку. А то CFF Explorer все-таки тяжеловат для такой рутины.
Dimas (17.07.2011 в 16:48):
Усе получилось прекрасно !
Так же узнал для себя новую прогу для работы с иконками (пользую честно крякнутую Microangelo)

В общем респект за статью как всегда!
oleg (17.07.2011 в 16:38):
Да, секции армагеддоном отрезал. Но в CFF Explorer'е размер получается огромный и отрезать по инструкции http://www.manhunter.ru/underg...ompiler.html не получается. Но с не обрезанными секциями после Environment Variables Injector все работает. Вот то что получилось http://zalil.ru/31432044
ManHunter (17.07.2011 в 16:23):
Распакованный файл испорчен при отрезании секций, HiEW и CFF Explorer в нем даже не показывают таблицу импорта. Секции армагеддоном отрезал? Надо было все-таки CFF Explorer'ом.
Должно получиться что-то такое: http://rghost.ru/14841911
oleg (17.07.2011 в 16:15):
ManHunter (17.07.2011 в 15:45):
Выложи куда-нибудь распакованный и пропатченный файлы, я проверю.
oleg (17.07.2011 в 15:31):
Сделал все как описано в статье. После использования Environment Variables Injector при запуске файла выскакивает ошибка, мол он не является приложением Win32. Попробовал использовать другую утилиту Armadillo Reducer 1.7.1 RC2. С ней с тем же параметром (ALTUSERNAME) прога запускается нормально, зарегенной. ОС: WinXP SP3. В чем может быть проблема?

Добавить комментарий

Заполните форму для добавления комментария
Имя*:
Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.
Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.
Это я :-)
Если программист в девять утра уже на работе, значит он там же и ночевал
Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина
Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал
Ограничение по возрасту 16+ Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.
Метки статей
.NET (30), AJAX (5), Assembler (361), COM (41), CSS (41), Exif (15), FASM (8), Firefox (7), HDD (17), Hello Teddy (9), HTML (51), iconBIT (4), JavaScript (73), MySQL (13), Nikon (19), PDF (9), PHP (122), Samsung (6), SEO (12), Sublime Text (9), TintonLife (4), UGREEN (4), Windows 7 (66), аккумуляторы (23), аксессуары (12), анализаторы файлов (8), архиваторы (6), аттракционы (7), безопасность (55), браузеры (16), бытовая техника (19), варенье (19), ВВЦ (9), ВДНХ (14), видео (20), Воробьевы горы (9), вторые блюда (125), выпечка (28), выставки (119), генератор ПСЧ (10), графика (120), десерты (31), Египет (8), заготовки на зиму (47), закуска (22), закуска к пиву (24), зарядные устройства (24), защита (15), зоопарки (10), игры (36), иконки (22), интерфейс (26), исследование защиты (315), каша (4), клавиатура (7), Коломенское (37), консоль (7), концерты (52), Кузьминки (4), куклы (27), ледяные скульптуры (6), мои программы (68), мониторы (6), музеи (78), мультимедиа (75), мясо (62), напитки (14), ноутбуки (8), обфускация (7), окна (69), оформление сайта (49), парки Москвы (7), песчаные скульптуры (13), плееры (10), подводная съемка (4), поздравления (129), полезные функции (42), прохождения (4), процессы (25), птица (20), путешествия (25), распаковка (22), реверсинг (51), рыба (35), салаты (19), сброс триала (4), сеть (36), система (178), Сокольники (8), соусы (14), супы (14), телефоны (9), Тунис (6), умный дом (13), файлы справки (6), фаст-фуд (18), фестиваль цветов (5), флешки (5), фото (23), хеши (16), числа (8), юмор (12), яйца (19), Яндекс (11)
Вам помог этот сайт?
Сказать спасибо! Поблагодарили 35,133 раза
<< 2024 - СЕНТЯБРЬ >>
Пн Вт Ср Чт Пт Сб Вс
            1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30            
Всемирный день уничтожения военной игрушки
Всемирный день бороды
Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите
Ctrl
+
Enter
Буду очень благодарен, если размеcтите мою кнопочку:
Личный блог ManHunter'а
Valid CSS Valid XHTML 1.0 Transitional Valid mobileOK Basic Valid RSS
Яндекс тИЦ: {YANDEX_TIC} Яндекс ИКС: 360
Сейчас я слушаю
---
Имя:

Сообщение:

Осталось символов: 200

   
-
Наверх
Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2024
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.08 сек. / MySQL: 2 (0.0089 сек.) / Память: 4.5 Mb
Наверх