Исследование защиты программы Photo EXIF Manager

Photo EXIF Manager позволяет просматривать и редактировать различные теги цифровых фотографий стандарта EXIF. Вы можете добавлять, изменять, удалять некоторые теги, а также есть функция удаления всей EXIF-секции из файла. Как видите, ничего принципиально нового или уникального программа не предлагает, но денег все равно за это требует.

На сайте написано, что для работы программы требуется установленный Framework .Net 4.0, значит для нас это хороший провод потренироваться в работе с исполняемыми файлами на дотнете. Скачиваем с офсайта дистрибутив, устанавливаем, смотрим. На первый взгляд все нормально, на файл ничего не навешано, но окончательные выводы пока делать рано. Признаки пакера/протектора, характерные для обычных файлов, на .NET-сборках могут выглядеть совсем не так. Зато при запуске программа сразу встречает нас наг-окном с предложением зарегистрироваться.


Для декомпиляции файла воспользуемся JetBrains dotPeek. Это хороший инструмент, дающий на выходе красивый листинг с удобной навигацией и позволяющий проводить дальнейшие исследования. Отправляем исполняемый файл в декомпилятор, через пару секунд можно открывать дерево со структурой проекта.


Но сразу же становится видно, что имена в дереве объектов пустые, в декомпилированных функциях тоже творится полный хаос. Все указывает на то, что над файлом потрудился какой-то обфускатор. Анализаторы DNiD и DotNet Id, заточенные на дотнетовские протекторы и обфускаторы, ничего не показали. Значит самое время воспользоваться мощнейшим инструментом для таких задач - de4dot. Это бесплатный универсальный деобфускатор и распаковщик файлов, написанных на .Net.


de4dot распознал, что файл был обработан с помощью Eazfuscator.NET, и, как видно из лога, успешно его нейтрализовал. Закрываем в JetBrains dotPeek защищенный файл, вместо него отправляем на анализ очищенный файл photo-exif-manager-cleaned.exe


Вот теперь другое дело, все имена классов, свойств и методов видны, код функций чистенький, можно приступать к анализу. Анализ дотнетовских сборок отличается от анализа обычных PE-файлов, начнем с просмотра списка классов. В глаза бросается класс, отвечающий, по всей видимости, за форму ввода серийного номера.


Тут интерес представляет функция обработки нажатия на кнопку OK, то есть она вызывается после ввода серийника. Строчка "Class2.smethod_0(this.textBoxSN.Text)" говорит о том, что вызывается функция Class2.smethod_0 и ей передается введенный серийный номер. Открываем Class2 в дереве классов.


Класс не такой большой, но весь листинг я приводить тут не буду, посмотрите его сами. Интерес представляет функция smethod_3. Даже не будучи знакомым с .NET, по названиям используемых функций можно догадаться, что там происходит. Берется строка серийного номера, из нее удаляются разделители "-", затем от полученной строки считается хэш SHA256, кодируется в base64 и после этого результат поочередно сравнивается с сотней готовых хэшей, захардкоденных в программе. По результатам сравнения из функции возвращается false или true. Уже можно сделать первые выводы: создать генератор ключей не получится, обойти защиту можно только патчем. Надо сделать так, чтобы функция всегда возвращала true. Может быть кто-то помнит все опкоды команд наизусть, я же воспользуюсь возможностью JetBrains dotPeek для просмотра IL Code.


Как видите, разница между командами возврата результата - "ldc.i4.1" для true и "ldc.i4.0" для false. К сожалению, JetBrains dotPeek не может сразу же вносить изменения в файл, поэтому закрываем декомпилятор и запускаем очередной первоклассный инструмент отечественной разработки - .NET Patcher от Medsft. Точно так же открываем в нем деобфусцированный файл, находим Class2 и затем открываем на редактирование smethod_3.


Напомню, что надо заменить "ldc.i4.0" на "ldc.i4.1". Правый клик на нужной команде - "Binary Edit", в открывшемся окне меняем "16" на "17". Сохраняем изменения, запускаем пропатченный файл.


Надоедливое окно пропало, в окне "О программе" написано, что программа зарегистрирована. Регистрационного имени нет, ну да и ладно. Цель достигнута, а мы научились работать с целой кучей полезных инструментов.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.