Исследование защиты программы ScriptFTP

ScriptFTP - интересная разработка компании FrozenFrog Software. Это FTP-клиент, который можно запрограммировать на выполнение различных действий при помощи своего скриптового языка. Так, например, вы можете по планировщику запускать синхронизацию или резервирование данных с удаленного сервера по FTP, загружать или скачивать файлы, выполнять другие действия. Примеры скриптов и подробная документация доступны на офсайте. Ранее я уже имел дело с этой программой, тогда она была написана на нормальном языке программирования и накрыта протектором Armadillo, а в нынешней версии ее зачем-то переписали на дотнете. Жадности, впрочем, от этого ничуть не убавилось.

Загружаем с офсайта дистрибутив, устанавливаем, смотрим. Внешне особых проявлений триальности не обнаруживается, кроме пункта меню "Enter license key". При клике на него открывается окно регистрации с полем ввода серийника.


На ввод неправильного серийного номера программа реагирует сообщением "The entered license key is not valid". Теперь у нас есть начальные данные для исследования, можно приступать к работе с исполняемым файлом.


Открываем файл в уже знакомой вам утилите ILSpy NEXT, но сразу же обнаруживаем, что все имена классов и методов в сборке представляют собой нечитаемую кашу. Ясно дело, что без обфускатора тут не обошлось.


С обфускацией легко справляется также знакомый деобфускатор de4dot, попутно сообщая название примененного обфускатора - Crypto Obfuscator. На всякий случай проверим работоспособность полученного после деобфускации файла, все должно работать как надо.


Открываем очищенный файл в ILSpy NEXT. Оригинальные имена классов восстановить не удалось, на то она и обфускация, но осмысленные имена все равно воспринимаются лучше.


Запускаем через меню поиск, в строке поиска вводим фрагмент сообщения, которое появляется при неправильной регистрации. Тип - константа. Через несколько секунд в результатах поиска появятся названия нескольких функций, судя по названию, принадлежащих ScriptFTP. Нас интересует первая, с характерным названием, которая отвечает за реакцию на нажатие кнопки "Validate license code".


Наведя курсор на название функции с очень характерным названием, получим название класса, в котором она находится. Переходим к списку и находим там его.


В этом классе несколько функций, но одна из них наиболее интересная. Из названия должно быть понятно, чем она занимается. Возвращает статус зарегистрированности программы. Нам надо сделать так, чтобы эта функция всегда возвращала статус "зарегистрировано".


Переключаемся на режим просмотра IL-кода, через контекстное меню заменяем последовательно две команды на установку нужного кода возврата и саму команду возврата. Обратите внимание, что патч выполняется не в самом начале функции, где инициализируется строка, а сразу за ней.


В результате пропатченная функция должна выглядеть, как показано на скриншоте.


Для верности переключаемся обратно на просмотр C#-кода и видим, что теперь функция должна возвращать статус "зарегистрировано" при любом раскладе.


Сохраняем изменения. Переходим в списке модулей на название исследуемого файла, в меню выбираем пункт "Save Assembly". Проверяем на работоспособность полученный файл. Меню для ввода серийного номера исчезло, перевод календаря на несколько месяцев вперед на работе программы также не сказался. Цель достигнута.


Точно так же патчится консольная версия программы ScriptFTP, но это вы теперь в состоянии сделать самостоятельно. С ростом популярности дотнета надо практиковаться в его "лечении" от всяких шароварных болезней, чем мы сегодня в очередной раз успешно занимались.

Комментарии

Добавить комментарий

Для вставки цитаты выделите текст и нажмите сюда

Имя*:

Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.

Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.