Исследование защиты программы Shape Collage

Shape Collage - лучшая, на мой взгляд, программа для создания эффектных коллажей из набора фотографий. Коллаж в виде "разбросанных фотографий" создается буквально за несколько кликов, результаты ее работы я частенько использую при оформлении статей. Когда-то давно программа была бесплатной, затем аффтар решил подрезать с нее денег, в незарегистрированной версии добавил маркеры на готовый коллаж и запретил экспорт в .PSD-формат. Предыдущие версии были написаны на Java, регистрация с обязательной онлайн-активацией, поэтому нормально подкорректировать их мне не удавалось. С 3-й версии программа Shape Collage переписана на Qt, размер заметно подрос, но зато появилась возможность вносить в ее работу любые нужные нам изменения.

Скачиваем дистрибутив, устанавливаем, смотрим что у нас получилось. Среди мегатонн библиотек Qt находится главный исполняемый файл ShapeCollage.exe. Он ничем не упакован, отправляем его в дизассемблер и параллельно смотрим на поведение программы. А нам сразу же предлагают обновиться до версии "Pro", где нет маркеров и есть возможность сохранять коллажи в редактируемом формате PhotoShop.


При вводе ключа выполняется принудительная онлайн-проверка, она же активация. То есть какой бы мы ключ ни ввели, до момента проверки он будет считаться невалидным. Придется патчить, чтобы программа работала вообще без ключа или около того. Поскольку в Shape Collage заявлен так называемый режим "Pro", то есть полный, то искать надо что-нибудь связанное с этим словом. Например, по строке "Shape Collage Pro" поиск выводит нас на интересный участок кода, по всей видимости как раз отвечающий за реакцию на успешную или неуспешную активацию. Часть кода приходится пропускать, так как он не относится напрямую к интересующей нас ветке алгоритма.Что мы видим? Вызывается функция проверки по адресу 0047F460, на основании ее результата статус и заголовки программы меняются на "Pro" или выводится сообщение о неправильном лицензионном ключе. Значит, чтобы как минимум любой ключ считался правильным, функция проверки должна всегда возвращать AL=1. Для этого патчим ее начало командами MOV AL,1 и RET. Сохраняем изменения.


Патченная программа работает прекрасно, никаких ограничений по экспорту в .PSD, никаких маркеров при сохранении. Цель достигнута. При этом регистрационный ключ никуда вводить не пришлось, соответственно, онлайн-активация идет лесом. Но можно ли обойти момент активации, чтобы программа уже как бы проверила серийник и как бы признала его валидным? Предположим, что после активации введенные данные сохраняются где-то в сухом прохладном месте, и в дальнейшем программа проверяет их по мере возможности. Таких мест немного: или реестр, или файлы. Для отлова всех действий программы воспользуемся утилитой Process Monitor с фильтром по имени исполняемого файла.


Как видно в логе работы монитора, программе надо проверить два ключа в реестре - "name" и "license". Ну раз надо, значит надо. Открываем Блокнот и рисуем в нем файл реестра, в котором по уже известному нам пути пропишем имя и лицензионный ключ. Естественно, значение ключа берется от балды. Сохраняем в файл, например, register.reg, и добавляем данные в реестр.

REGEDIT4

[HKEY_CURRENT_USER\Software\ShapeCollage\OrganizationDefaults]
"license"="1234567890"
"name"="ManHunter / PCL"
Возвращаемся в дизассемблер к функции, которую мы недавно пропатчили, но на этот раз будем работать с оригинальным неизмененным файлом. Посмотрим на функцию проверки повнимательнее, предварительно загуглив назначение некоторых функций Qt:Оставим матерные комментарии по поводу чистоты и оптимизации кода, так как работа с библиотеками Qt находится где-то за гранью добра и зла. Загрузим программу в отладчик и до запуска поставим точку останова по адресу 0047F4DD, то есть перед непосредственным вызовом функции сравнения, после чего запускаем программу на выполнение. Когда отладчик остановится, посмотрим на стек. Как уже указанно в комментариях к коду, там должны содержаться указатели на сравниваемые строки.


Переходим из стека в дамп по первому адресу.


На строку это не очень похоже, зато похоже на адрес в памяти. Попробуем перейти по нему и посмотреть, что находится там.


Вот, уже лучше. Значит в стек кладется не просто указатель на строку, а указатель на указатель на строку. Это Qt, детка, улыбаемся и машем. В дампе на небольшом смещении от адреса, на который указывает указатель, отчетливо виден наш левый серийник из реестра. Проделаем тот же фокус со вторым адресом из стека.


Похожая структура, но строчка уже другая. Несмотря на все навороты Qt с какими-то префиксами данных, все сводится к сравнению двух юникодных строк: лицензионный ключ из реестра и строка "YXJT4QZDMA". Логично предположить, что это и есть правильный ключ для указанного имени. Заменяем строку лицензии в регистрационном файле на найденную строку из отладчика. Снова добавляем данные в реестр.

REGEDIT4

[HKEY_CURRENT_USER\Software\ShapeCollage\OrganizationDefaults]
"license"="YXJT4QZDMA"
"name"="ManHunter / PCL"
Запускаем программу, не забывая заблокировать онлайн-проверку фаерволом. На этот раз никаких окон регистрации нет, в заголовке указана Pro-версия, а в меню регистрационной информации красуется лицензионный ключ и имя из реестра.


Программа успешно зарегистрирована, на этот раз практически официально. Онлайн-проверку регистрации блокируем фаерволом. Можно было бы поставить точку, если бы не одно "НО". На своих компьютерах я наблюдал странное поведение программы, оно заключается в том, что при блокировке фаерволом, после завершения работы исполняемый файл ShapeCollage.exe остается в памяти. Не знаю, с чем связан такой косяк, кривизна рук аффтара, особенности работы библиотек Qt или все в совокупности, но факт остается фактом. Или патченный файл, выпущенный в интернет, или корректная регистрация под присмотром фаервола и последующие танцы с бубном по принудительному убиванию зависшего в памяти процесса. Для себя я решил проблему следующим образом. Я просто пропатчил в файле адрес URL, по которому выполняется проверка ключа.


Скучные логи снифферов трафика приводить не буду, главное, что был найден злополучный адрес. Теперь достаточно его пропатчить, забив нулями, и программу можно смело выпускать в сеть. Лицензия больше не слетит.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.