Исследование защиты программы Visual Watermark

13.07.2013 | Категория: Темная сторона Силы | Автор: ManHunter

Скриншот программы Visual Watermark

Программа Visual Watermark предназначена для нанесения текстовых и графических водяных знаков или подписей на цифровые фотографии. Программа очень проста в использовании, имеет простой и дружественный интерфейс, поддерживает все популярные графические форматы, имеет функцию пакетной обработки изображений. Все это можно сделать совершенно бесплатно в любых графических программах, а можно выложить денежку и сделать в программе Visual Watermark. А можно и не выкладывать ничего, и точно так же сделать в программе Visual Watermark. Последний вариант мне нравится больше.

Скачиваем дистрибутив, устанавливаем, запускаем. Исполняемый файл ничем не упакован, поэтому параллельно открываем его на анализ в дизассемблере. А пока посмотрим, как программа реагирует на неправильную регистрацию:

Сообщение о неправильной регистрации

Нужная строка легко находится в файле:

Строка сообщения найдена

Дальше в дизассемблере по перекрестным ссылкам находим код, где она используется и смотрим условия ее появления:

Code (Assembler) : Убрать нумерацию

.text:00457360 sub_457360 proc near
.text:00457360 arg_0 = dword ptr 8
.text:00457360 push ebp
.text:00457361 mov ebp, esp
.text:00457363 mov eax, [ebp+arg_0]
.text:00457366 inc dword ptr [eax+30Ch]
.text:0045736C mov edx, [ebp+arg_0]
.text:0045736F cmp dword ptr [edx+30Ch], 3
.text:00457376 jge short loc_457394
.text:00457378 push 10h ; uType
.text:0045737A push offset aRegistration_1
; "Registration"
.text:0045737F push offset aTheKeyYouEnter
; "The key you entered is not valid. Pleas"...
.text:00457384 mov eax, [ebp+arg_0]
.text:00457387 call @Controls@TWinControl@GetHandle$qqrv
.text:0045738C push eax ; hWnd
.text:0045738D call MessageBoxA
.text:00457392 pop ebp
.text:00457393 retn

Вывод сообщения о неправильной регистрации оформлен в виде отдельной процедуры, которая, в свою очередь, вызывается отсюда:

Code (Assembler) : Убрать нумерацию

; Вызвать процедуру проверки
.text:004572B5 call sub_42920C
.text:004572BA pop ecx
; ПоXORить результат функции с константой 35h
.text:004572BB xor eax, 35h
; Сохранить результат в ячейку памяти
.text:004572BE mov [ebp+var_44], eax
.text:004572C1 mov [ebp+var_28], 14h
; Сравнить результат с числом 24h
.text:004572C7 cmp [ebp+var_44], 24h
; Если не равно, то показать сообщение о неправильной регистрации
.text:004572CB jz short loc_4572D8
.text:004572CD push [ebp+var_3C]
; Сообщение о неправильной регистрации
.text:004572D0 call sub_457360

Вызывается процедура проверки по адресу 0042920C, если она вернула значение, которое после XORирования с константой 35h дает значение 24h, то регистрация правильная. Несложной математикой получаем нужное значение - 11h. Сама же функция проверки достаточно громоздкая, но тут нам на помощь приходит замечательный плагин для дизассемблера IDA - Hex-Rays. Он позволяет перевести ассемблерный листинг в C-подобный псевдокод. Скомпилировать его, конечно, не получится, но зато псевдокод в разы облегчает анализ файла. Вот что получается после преобразования функции проверки в псевдокод:

Code: Убрать нумерацию

int __cdecl sub_42920C(char a1)
{
__InitExceptBlockLDTC();
System__AnsiString__AnsiString(&a1, &a1);
v12 = 2;
v11 = 8;
v9 = sub_42919C(a1);
if ( sub_429350(&unk_6D71F8, &unk_6E0E38, &v9) > (unsigned int)&unk_6E0E34
|| (v8 = sub_42919C(a1),
v2 = __rwstd____RW_array(&unk_732B08),
v3 = unknown_libname_34(&unk_732B08),
v4 = sub_429350(v3, v2, &v8),
v4 != __rwstd____RW_array(&unk_732B08))
|| System__AnsiString__Length(&a1, v1, v7) != 19
|| *(_BYTE *)System__AnsiString__operator__(&a1, 5) != 45
|| *(_BYTE *)System__AnsiString__operator__(&a1, 10) != 45
|| *(_BYTE *)System__AnsiString__operator__(&a1, 15) != 45 )
v10 = 6681;
else
v10 = 17;
v6 = v10;
--v12;
sub_6C8040(&a1, 2);
return v6;
}

Все как на ладони. Тут и проверка на длину серийника - 19 символов, и проверка на наличие разделителей (символов с кодами 45 в десятичной системе, это символы "-") в позициях 5, 10 и 15. А также еще одна дополнительная проверка, к которой мы вернемся чуть позже. А пока мы выяснили формат и длину серийного номера, это должно быть что-то типа "ABCD-EFGH-JKLM-NOPQ". Теперь нас интересуют два вызова - это функция sub_42919C и sub_429350. Первая представляет собой последовательность вызовов:

Code (Assembler) : Убрать нумерацию

.text:0042919C sub_42919C proc near
.text:0042919C push ebp
.text:0042919D mov ebp, esp
.text:0042919F add esp, 0FFFFFFD4h
.text:004291A2 mov eax, offset stru_6E0F50
.text:004291A7 call @__InitExceptBlockLDTC
.text:004291AC mov [ebp+var_8], 1
.text:004291B3 lea edx, [ebp+arg_0]
.text:004291B6 lea eax, [ebp+arg_0]
.text:004291B9 call @System@AnsiString@AnsiString
.text:004291BE inc [ebp+var_8]
.text:004291C1 mov [ebp+var_14], 8
.text:004291C7 lea eax, [ebp+arg_0]
.text:004291CA call @System@AnsiString@c_str$xqqrv
.text:004291CF push eax
.text:004291D0 lea edx, [ebp+var_2C]
.text:004291D3 push edx
.text:004291D4 call sub_4291FC
.text:004291D9 add esp, 8
.text:004291DC push eax
.text:004291DD dec [ebp+var_8]
.text:004291E0 lea eax, [ebp+arg_0]
.text:004291E3 mov edx, 2
.text:004291E8 call sub_6C8040
.text:004291ED pop eax
.text:004291EE mov edx, [ebp+var_24]
.text:004291F1 mov large fs:0, edx
.text:004291F8 mov esp, ebp
.text:004291FA pop ebp
.text:004291FB retn
.text:004291FB sub_42919C endp
;-------------------------------------------------------
.text:004291FC sub_4291FC proc near
.text:004291FC push ebp
.text:004291FD mov ebp, esp
.text:004291FF push [ebp+arg_4]
.text:00429202 call sub_429FC0
.text:00429207 pop ecx
.text:00429208 pop ebp
.text:00429209 retn
.text:00429209 sub_4291FC endp
;-------------------------------------------------------
.text:00429FC0 push ebp
.text:00429FC1 mov ebp, esp
.text:00429FC3 push ecx
.text:00429FC4 xor eax, eax
.text:00429FC6 mov [ebp+var_4], eax
.text:00429FC9 jmp short loc_429FDF
.text:00429FCB ; ---------------------------------
.text:00429FCB loc_429FCB:
.text:00429FCB mov edx, [ebp+var_4]
.text:00429FCE lea edx, [edx+edx*4]
.text:00429FD1 mov ecx, [ebp+arg_0]
.text:00429FD4 movsx eax, byte ptr [ecx]
.text:00429FD7 add edx, eax
.text:00429FD9 mov [ebp+var_4], edx
.text:00429FDC inc [ebp+arg_0]
.text:00429FDF loc_429FDF:
.text:00429FDF mov edx, [ebp+arg_0]
.text:00429FE2 cmp byte ptr [edx], 0
.text:00429FE5 jnz short loc_429FCB
.text:00429FE7 mov eax, [ebp+var_4]
.text:00429FEA pop ecx
.text:00429FEB pop ebp
.text:00429FEC retn

При помощи того же плагина Hex-Rays этот код сворачивается в абсолютно понятный псевдокод:

Code: Убрать нумерацию

int __cdecl sub_429FC0(int a1)
{
int v2; // [sp+0h] [bp-4h]@1
v2 = 0;
while ( *(_BYTE *)a1 )
v2 = *(_BYTE *)a1++ + 5 * v2;
return v2;
}

Под отладчиком эта процедура становится еще понятнее, в ней считается некая контрольная сумма от всего серийного номера, включая разделители. Алгоритм заключается в последовательном сложении и умножении на 5 всех символов строки серийного номера. На выходе получаем контрольное значение. Вторая функция - это проверка контрольного значения. Я приведу только ее часть, остальное лучше смотреть под отладчиком.

Code (Assembler) : Убрать нумерацию

.text:00429350 sub_429350 proc near
.text:00429350 push ebp
.text:00429351 mov ebp, esp
.text:00429353 add esp, 0FFFFFFF8h
.text:00429356 lea eax, [ebp+var_8]
.text:00429359 push eax
.text:0042935A push [ebp+arg_8]
.text:0042935D push [ebp+arg_4]
.text:00429360 push [ebp+arg_0]
.text:00429363 call sub_429370
.text:00429368 add esp, 10h
.text:0042936B pop ecx
.text:0042936C pop ecx
.text:0042936D pop ebp
.text:0042936E retn
.text:0042936E sub_429350 endp
;-------------------------------------------------------
.text:00429370 sub_429370 proc near
.text:00429370 push ebp
.text:00429371 mov ebp, esp
.text:00429373 push ecx
.text:00429374 mov eax, [ebp+arg_4]
.text:00429377 sub eax, [ebp+arg_0]
.text:0042937A test eax, eax
.text:0042937C jns short loc_429381
.text:0042937E add eax, 3
.text:00429381 loc_429381:
.text:00429381 sar eax, 2
.text:00429384 sar eax, 2
.text:00429387 mov [ebp+var_4], eax
.text:0042938A cmp [ebp+var_4], 0
.text:0042938E jle short loc_4293F1
.text:00429390 loc_429390:
.text:00429390 mov edx, [ebp+arg_0]
.text:00429393 mov ecx, [edx]
.text:00429395 mov eax, [ebp+arg_8]
.text:00429398 cmp ecx, [eax]
.text:0042939A jnz short loc_4293A2
.text:0042939C mov eax, [ebp+arg_0]
.text:0042939F pop ecx
.text:004293A0 pop ebp
.text:004293A1 retn
.text:004293A2 ; ------------------------------------------
.text:004293A2 loc_4293A2:
.text:004293A2 add [ebp+arg_0], 4
.text:004293A6 mov edx, [ebp+arg_0]
.text:004293A9 mov ecx, [edx]
.text:004293AB mov eax, [ebp+arg_8]
.text:004293AE cmp ecx, [eax]
.text:004293B0 jnz short loc_4293B8
.text:004293B2 mov eax, [ebp+arg_0]
.text:004293B5 pop ecx
.text:004293B6 pop ebp
.text:004293B7 retn
.text:004293B8 ; ----------------------------------------------
.text:004293B8 loc_4293B8:
.text:004293B8 add [ebp+arg_0], 4
.text:004293BC mov edx, [ebp+arg_0]
.text:004293BF mov ecx, [edx]
.text:004293C1 mov eax, [ebp+arg_8]
.text:004293C4 cmp ecx, [eax]
.text:004293C6 jnz short loc_4293CE
.text:004293C8 mov eax, [ebp+arg_0]
.text:004293CB pop ecx
.text:004293CC pop ebp
.text:004293CD retn
...

В листинге код не очень понятен, а вот отладчик вносит ясность. В программе по адресу 006D71F8 содержится массив заранее определенных проверочных значений для серийных номеров в формате DWORD размером 10000 элементов:

Code (Assembler) : Убрать нумерацию

.data:006D71F8 dword_6D71F8 dd 0C6DDDh
.data:006D71FC dd 1267C1h
.data:006D7200 dd 14EC36h
.data:006D7204 dd 15BFAFh
.data:006D7208 dd 1F2B5Bh
.data:006D720C dd 259E5Ch
.data:006D7210 dd 3F92A6h
.data:006D7214 dd 47A33Eh
...

Если рассчитанное проверочное значение совпадает с одним из значений их массива, то программа считается зарегистрированной. То есть какого-либо особого алгоритма подсчета серийного номера нет, все возможные значения заранее определены. Итак, мы знаем формат серийного номера, алгоритм подсчета контрольного значения и массив из 10000 проверочных значений. Кейген пишется на базе простейшего брутфорса.

Программа успешно зарегистрирована

Защиты такого типа, где серийный номер сравнивается с заранее подготовленным списком, встречаются не очень часто, но все-таки авторы упорно продолжают их использовать. И хорошо, если для хеширования используется что-то типа MD5 или более серьезные алгоритмы, а что если при слабом алгоритме хеширования ключ из списка будет подобран брутфорсом или реверсом алгоритма из исходного значения? Автор, по идее, должен забанить такие ключи сразу после релиза. Что же в этом случае делать легальным пользователям? Вопрос остается без ответа.

Просмотров: 7646 | Комментариев: 16

Метки: исследование защиты, графика

Внимание! Статья опубликована больше года назад, информация могла устареть!

Хотел разминки ради заломать "самостоятельно", но в новых версиях (3.4 - с сервера/4.3 - с сайта) всё поменялось - и интерфейс и защита. Похоже, накрыто армой_4.х. То есть, статья не актуальна..

Alex (09.01.2016 в 21:21):

ты супер .....

ManHunter (19.07.2013 в 19:39):

This is a "HiEW" -> hiew.ru or google for warez.

vhexr (19.07.2013 в 19:24):

I wonder what is the name you use the software ?

this pic

http://www.manhunter.ru/upload...28828fa5.gif

sim31 (18.07.2013 в 13:07):

Спасибо за упоминание о программе, давно что-то подобное искал (в Irfan View тоже можно делать и даже автоматизировать хоть 10 000 файлов одним кликом), но тут нагляднее, и за картинку 7fb45f10190c1bac07ad20058b93f6f7.gif :)

ManHunter (15.07.2013 в 23:09):

vhexr, I never do that and will not do.

vhexr (15.07.2013 в 23:07):

Hi ManHunter please this release video tutorial

Noobie (15.07.2013 в 13:47):

>патчится один из хешей
Само собой, так и было сделано, дел на 5 минут по часам :-) Но всегда хочется чего-то большого и чистого.

Vladimir (15.07.2013 в 11:36):

Fix CRC v1.01 от PEiD прекрасно помог, после патча программа запускается и работает. Пытался патчить проверку CRC, но не разобрался с этим madExcept. <offtop>Сам люблю в программах портативность, потому серийные номера не так интересны.</offtop>

ManHunter (15.07.2013 в 10:55):

Ну или же как вариант можно сделать лоадер и патчить программу в памяти. Но это если уж совсем скучно и нечем заняться.

irokkezz (15.07.2013 в 09:14):

Спасибо большое!

ManHunter (15.07.2013 в 09:12):

Хех :) Я специально не рассматривал тут вариант с патчем :)
А копать надо в направлении CRC в PE-хидере, защита основана на ней. Достаточно пофиксить заголовок после модификации файла и все заработает.

irokkezz (15.07.2013 в 09:09):

Доброе утро!
Попробовал пропатчить процедуру 0042920C:
mov eax,11h
ret
Под отладчиком программа запускается без триальных ограничений, а в обычном режиме выводится сообщение о том, что файл поврежден. Попытался определить условие вывода этого сообщения и совсем запутался.
Не подскажете, в каком направлении копать?

ManHunter (15.07.2013 в 08:15):

В таких случаях генерируется какой-нибудь свой серийник и патчится один из хешей под него. MD5 при 25 цифрах брутить очень гиморно.

Noobie (15.07.2013 в 06:48):

Спасибо за статью, как всегда наглядно и доходчиво. Вопрос - встретилась программа с аналогичным методом защиты, серийник 25 цифр, первые 5 известны, считается MD5 и сравнивается с несколькими десятками зашитых значений. Насколько реально брутфорснуть, путем тупого перебора значений MD5 и их сравнения с валидными?

Добавить комментарий

Заполните форму для добавления комментария

Если программист в девять утра уже на работе, значит он там же и ночевал

Главная страница Web-мастеру и не только Образ мышления: Assembler Мои программы Software Темная сторона Силы Обзоры техники А еще я туда ем! Жизнь в оффлайне Всякая всячина

Карта сайта Ссылки Обратная связь Правила сайта Настройки сайта RSS-канал

Материалы, опубликованные на этом сайте, не рекомендуются к просмотру лицам в возрасте до 16 лет без присутствия взрослых.

Метки статей

Свернуть

Вам помог этот сайт?

Поблагодарили 35,328 раз

День кадрового работника

Всемирный день борьбы с артритом

Нашли на сайте орфографическую ошибку? Выделите ее мышкой и нажмите

Ctrl

Enter

Буду очень благодарен, если размеcтите мою кнопочку:

<a href="https://www.manhunter.ru" target="_blank"><img src="https://www.manhunter.ru/images/button.gif" alt="Личный блог ManHunter'а" title="Личный блог ManHunter'а" width="88" height="31" /></a>

$Яндекс тИЦ: {YANDEX_TIC}$

Яндекс ИКС: 360

Сейчас я слушаю

---

- автообновление

Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2024
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.08 сек. / MySQL: 2 (0.005 сек.) / Память: 4.5 Mb

	2024 - ОКТЯБРЬ
Пн	Вт	Ср	Чт	Пт	Сб	Вс
	1	2	3	4	5	6
7	8	9	10	11	12	13
14	15	16	17	18	19	20
21	22	23	24	25	26	27
28	29	30	31

Исследование защиты программы Visual Watermark

Комментарии

Добавить комментарий