Исследование защиты программы Light Image Resizer

Программа Light Image Resizer предназначена для массового изменения размера изображений и конвертирования их в разные форматы. Лично у меня подобная необходимость возникала всего лишь несколько раз за всю жизнь, но раз есть задача, то должен быть и инструмент. Light Image Resizer позиционируется как бесплатная программа для домашнего использования, но, как часто бывает в таких случаях, это всего лишь маркетинговая уловка.

Скачиваем дистрибутив, запускаем установку, но делаем это очень осторожно. В процессе установки нам пытаются впарить загрузчик какой-то адвары, которую антивирус успешно блокирует. Еще на фаерволе отмечается какая-то сетевая активность установщика, что тоже должно незамедлительно пресекаться. Зато все бесплатно для домашнего использования, ага.


Перед запуском программы появляется вот такое окно со счетчиком времени и предложением выложить бабло на полную версию.


Просто выйти из программы тоже нельзя, перед завершением работы обязательно откроется еще одно рекламное окно.


Ну и совсем невинным на этом фоне смотрится надпись "Незарегистрированная" в окне "О программе". С чего начать исследование? Я считаю, что лучше сделать это с поиска начального триального окна. В ресурсах оно описано как "TFRMTRIAL".


Программа написана на Дельфи, значит лучше всего для анализа подойдет IDR. Я уже несколько раз описывал в статьях работу с этим замечательным инструментом, вот и на этот раз он нам очень поможет. Впрочем, от дизассемблера тоже отказываться рано, поэтому откроем исполняемый файл и в IDR, и в IDA. В IDR на вкладке "ClassView" поиском находим все, что связано с триальным окном.


Первые четыре обработчика триального окна относятся к его кнопкам и таймеру, а вот последний, ".Execute" - это именно то, что нас интересует. Он срабатывает при создании формы. Клик на названии обработчика и мы переходим к его дизассемблированному коду.


В правой колонке две перекрестные ссылки на него. Первая - из секции данных, вторая - из секции кода. Клик на второй и мы попадаем на участок кода, откуда вызывается обработчик ".Execute". Я специально выделил курсором строчку, где выполняется проверка и последующий условный переход. Обратите внимание, как обозначен байт, который проверяется. Это булева переменная, да еще и обозначенная как "fTrial".


На этом с IDR закончили, переходим в дизассемблер. В нем надо открыть тот же самый участок кода, который был найден в IDR в последнем действии.Самое интересное - это конструкция byte ptr [eax+761h]. Очевидно, что это какая-то структура, типа конфигурации программы, в которой записан байт, отвечающий за триальный или полный режим работы. Нам надо найти в коде, где этот байт инициализируется отличными от нуля значениями. Подобные конструкции лучше всего искать в дизассемблере по сигнатуре "+761h],". Поехали.Патчим условный переход по адресу 00E158BF, чтобы алгоритм сразу же переходил на "лицензионную" ветку. Можно было бы исправить команду mov byte ptr [eax+761h], 1 на mov byte ptr [eax+761h], 0 в триальной ветке алгоритма, но в "лицензионной" ветке выполняются еще какие-то действия. Я думаю, что в этом случае правильно будет подкорректировать именно условный переход. Едем дальше.Тут целых три блока с инициализацией триального флага, и вот их лучше пропатчить, заменив на mov byte ptr [eax+761h], 0. Больше ничего не найдено. Сохраняем изменения, запускаем программу.


Триальное окно при запуске программы пропало, в окне "О программе" теперь написано "Зарегистрированная версия", рекламное окно при выходе тоже не открывается. Вот и все, порядок наведен. Теперь программа стала действительно бесплатной для домашнего использования. Можете даже отредактировать строчку "Зарегистрированная версия" в языковом файле, вписав туда что-нибудь свое.

ЗЫ. Да, я знаю, что в интернете есть генераторы ключей для этой программы, но за каждым из них следуют сообщения пользователей, что эти ключи после перезапуска программы слетают. Так что патч в этом случае надежнее.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.