Исследование защиты программы InspectExe

InspectExe - очень удобное расширение стандартного Проводника Windows для просмотра свойств исполняемых файлов. Кроме обычных вкладок добавляются новые вкладки с инструментами для просмотра секций исполняемого файла, функций импорта, ресурсов, параметров PE-заголовка, сертификатов и т.д. В общем, неплохое подспорье для реверсеров при первоначальном анализе своих жертв. InspectExe распространяется в двух вариантах - бесплатном с некоторыми заблокированными функциями и платном, где никаких ограничений, естественно, нет. Сейчас мы попробуем превратить бесплатную версию InspectExe в полнофункциональную, проведя анализ ее защиты, хотя в приличном обществе это называется не иначе как "вор у вора дубинку украл".

Скачиваем дистрибутив, устанавливаем. Запускать тут нечего, так как это динамическая библиотека, которая регистрируется инсталлятором и в дальнейшем подгружается Проводником по мере надобности.


Нам остается открыть свойства какого-нибудь исполняемого файла и посмотреть как проявляются ограничения незарегистрированной версии. Это два наг-окна примерно такого вида, как на скриншоте. Плюс невозможно посмотреть и скопировать ресурсы.


Откроем InspectExe.dll в редакторе ресурсов и поищем либо строки из наг-окна, либо диалоговые окна, которые с ними связаны. Вот первый наг-скрин. Его индекс в ресурсах - 116, или же 74h в шестнадцатеричной системе счисления. Поищем это значение в дизассемблере.Если пролистнуть код чуть повыше, то увидите, как там что-то активно ксорится с разными константами, идет работа с реестром, выполняются какие-то проверки, но вся эта свистопляска в итоге завершается или командой MOV AL,1 и возвратом, или же выдачей этого диалогового окна и AL=0. Очень похоже на проверку ключа или серийного номера. Перейдем в начало процедуры проверки и впишем в ее начало две команды MOV AL,1 и RET 4. Сохраняем изменения, проверяем результат путем вызова свойств какого-нибудь исполняемого файла. Опаньки, теперь нам доступны для просмотра ресурсы, мы можем их даже копировать. Половина дела сделана.


Осталась вторая половина. Этот наг-скрин обычно появляется при переходе между вкладками. Он также без труда находится в ресурсах внутри все той же InspectExe.dll, только под индексом 119 или 77h в шестнадцатеричной системе счисления. В дизассемблере по этому индексу найдется несколько обращений к курсорам, они нас не интересуют, и легко отсеиваются по названиям функций, например:А вот этот кусочек кода выглядит гораздо подозрительнее. Тем более, что он оформлен в самостоятельную функцию и находится сразу же над пропатченной функцией проверки ключа.Если посмотреть по перекрестным ссылкам все места откуда он вызывается, то можно увидеть, что это как раз участки кода, которые активируются при смене вкладок. Условных переходов тут нет, возвращаемые значения тоже никак не обрабатываются, поэтому просто записываем по адресу 1000FAF0 команду возврата RET 4 и сохраняем изменения.


Вот теперь все, теперь точно все ограничения по функционалу сняты, надоедливые наг-окна нас тоже не побеспокоят. Ну а как вы воспользуетесь свежеукраденной дубинкой - это уже остается целиком на вашей совести.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.