Русский / Russian English / Английский

Сейчас на форуме: (+4 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS ·

 eXeL@B —› Вопросы новичков —› Помогите по исследованию зашиты определенной программы
. 1 . 2 . >>
Посл.ответ Сообщение

Ранг: 1.4 (гость)
Статус: Участник

Создано: 25 февраля 2020 17:12 New!
Цитата · Личное сообщение · #1

Здравствуйте! У меня такая проблема. Есть одна программа для весового измерения ...... я скачал его с интернета и хотель пользоваться и понял что у него демонстрационный режим. Открыл таблицу ИНФО и там просить зарегистрировать программу чтобы полноценно пользоваться. Я думал что у него онлайн регистрация но нет программа автономная. Я решил самостоятельно регистрировать его (так как у меня был маленький опыт на счет этой темы ) открыл 12 мегабайтный файл на exeinfope.exe и прога показало что оно запакована на UPX и я скачал unpacker UPX и распаковал его ... все норм прога стал весить 44 мегабайт.
У меня в опыте был такой случай когда я открываю прогу на дизассемблере 64DBG делал там "поиск/все модели/ссылки на строки" там находился ключевое слово на пример "invalid key или the program is registered"
но в этой программе не могу найти ключевое слово чтоб остановить его или докопаться до регистрационного ключа. Когда на ПРОГРАММЕ нажимаю зарегистрироваться выводит окошку, там нажимаю на пример 203984209 пишет "файл ключа прошел проверку" открывается вторая окошка "Возможности программы ограничены до бесплатной версии"
(Из за любопытности я еще и открыл программу на Sisulizer 4.exe хотел там посмотреть можно ли менять интерфейс программы или иконки и увидел что что все настройки полного режима там присутствует можно менять все что угодно)
Можете помочь новичку справиться с данной проблемой? как мне найти те ключевые слова ? как найти ту точку остановки ? как найти ключ? как снять демонстрационный режим ? с чего начать ?
БУДУ ОЧЕНЬ БЛАГОДАРЕН - И ВСЕМ ЗАРАНЕЕ СПАСИБО!!!!!


Ранг: 256.3 (наставник)
Статус: Участник

Создано: 25 февраля 2020 17:14 New!
Цитата · Личное сообщение · #2

Если там сообщение по-русски, вероятней всего программа локализована, обычно такие строки лежат в ресурсах.

| Сообщение посчитали полезным: SYLARLee


Ранг: 1.4 (гость)
Статус: Участник

Создано: 25 февраля 2020 17:20 New!
Цитата · Личное сообщение · #3

а как до туда дойти ? есть какая то инструкция ? что делать ? с чего мне начать ?

Ранг: 44.3 (посетитель)
Статус: Участник

Создано: 25 февраля 2020 17:22 New!
Цитата · Личное сообщение · #4

Ну например Restorator
http://www.oszone.net/11338/Restorator
Только сомнительно что все так шоколадно как вы говорите

Ранг: 1.4 (гость)
Статус: Участник

Создано: 25 февраля 2020 17:31 New!
Цитата · Личное сообщение · #5

Открыл на "Restorator"e но если честно там много папок с многими файлами _ че тут сомнительного просто хочу пользоваться прогой по полной

{ Атач доступен только для участников форума } - ФОТО.png

Ранг: 44.3 (посетитель)
Статус: Участник

Создано: 25 февраля 2020 17:35 New!
Цитата · Личное сообщение · #6

SYLARLee пишет:
просто хочу пользоваться прогой по полной

Купите и пользуйтесь
Или закажите специально обученным людям
А то вас сложно понять легко не понять и невозможно понять - вы хотите сами программу взломать, но не умеете, и хотите чтобы вам взломали и по пунктам объяснили как в данном топике?

Ранг: 1.4 (гость)
Статус: Участник

Создано: 25 февраля 2020 17:59 New!
Цитата · Личное сообщение · #7

_MBK_ _ просто суть в том что хочу как то научиться ломать _ хочу больше опыта ... ломать всякие проги _ хочу сам на практике испробовать _ да и прога тоже дешевая-стоит 45 баксов _ это не проблема _ хочу научиться сам поискать как все устроено , правильно исследовать проги _ до пустим хочу стать крекером что ли )) смог теперь объяснить ?
Видел в интернете что этот сайт хвалит что тут отвечают на Все вопросы
вот и я решил вопрос задать
книгу читать с 400 листом тоже читать не охота


Ранг: 256.3 (наставник)
Статус: Участник

Создано: 25 февраля 2020 18:20 New!
Цитата · Личное сообщение · #8

SYLARLee пишет:
тут отвечают на Все вопросы

Я думал только на википедии такое бывает. Выложил бы ты саму прогу куда-нибудь на файлообменник, без конкретики почти ни на один вопрос ответить нельзя.

Ранг: 14.1 (новичок)
Статус: Участник

Создано: 25 февраля 2020 20:35 New!
Цитата · Личное сообщение · #9

SYLARLee пишет:
слово на пример "invalid key или the program is registered"

В этой проге,думаю,иначе потому,что она русская,как я понял.
SYLARLee пишет:
до пустим хочу стать крекером что ли ))

Становись.))

Вообще,думаю,что подобные вещи Арчи не любит,скоро пригремит и заявит,что вы нарушили правила форума,укажет пункт правил и пошлёт в тему по заявкам на взлом софта...

Ранг: 411.8 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 25 февраля 2020 21:21 New!
Цитата · Личное сообщение · #10

SYLARLee
По-порядку. Прогу распаковали - запускается и работает, по Вашим словам. Если это UPX - то, наверняка по секциям и OEP определяется компилятор: Micorosft Visual C++, Borland Delphi, Watcom и тд. Скорее всего, первый в Вашем случае. Теперь логично определить, каким способом выводится сообщение про registred/key. Покажите скринами само окошко, например. Если сообщения выводятся MessageBox, то капитан очевидность подсказывает, что первую точку останова нужно поставить на производные WinAPI MessageBox. Если нет - раскручивать SetWindowText, SendMessage(,WM_SETTEXT,,), вытянув handle из dialog в ресурсах или через WinSpy++ в динамике.
Впрочем, есть мнение, что Вам проще выложить распакованный .exe'шник с зависимыми dll'ками
SYLARLee пишет:
открыл 12 мегабайтный файл на exeinfope.exe и прога показало что оно запакована на UPX и я скачал unpacker UPX и распаковал его ... все норм прога стал весить 44 мегабайт

Для UPX?? Ничосебе, сильнее только сжимается пасажиротопок в вагоне с Выхино в 8 утра.

| Сообщение посчитали полезным: BiteMoon


Ранг: 1.4 (гость)
Статус: Участник

Создано: 26 февраля 2020 13:06 New!
Цитата · Личное сообщение · #11

BiteMoonf13nd_MBK_ я вроде правильно задал вопрос _ как получить регистрационный ключ или как сделать так чтобы прога работало не в демо а на полнофункциональном режиме _ что тут не понятного ? я вас не понимаю _ про рестаратор все знают_ что за детские шуточки ? я не понимаю вас. думал что Тут адекватные, более цивилизованные люди сидят ... а что вы Тут несете ? если не знаете ответы на мои вопросы зачем меня то унижать? как я понял вы сидите тут и рофлите над новичками ? или над теми кто хочет сам к чему то научиться ? КАКОЙ ТО РЕСТОРАТОР МНЕ ПОСОВЕТОВАЛИ - сейчас 2020 год вы че ребята ? серьёзно ? Обидно как то


Ранг: 256.3 (наставник)
Статус: Участник

Создано: 26 февраля 2020 13:16 New!
Цитата · Личное сообщение · #12

SYLARLee пишет:
как получить регистрационный ключ или как сделать так чтобы прога работало не в демо а на полнофункциональном режиме

С помощью программ, знаний и пионерского задора. Кстати упомянутый ресторатор вполне себе годится для того, чтобы идентификатор ресурса посмотреть. Конечно понимаю, что сейчас 2020 и все делается при помощи визора, но ретроманы предпочитают ресторатор.
SYLARLee пишет:
что за детские шуточки?

Что за идиотские вопросы?
SYLARLee пишет:
как я понял вы сидите тут и рофлите над новичками ?

А должны работать бесплатно и при этом соблюдать деловой этикет?

Ранг: 44.3 (посетитель)
Статус: Участник

Создано: 26 февраля 2020 13:24 New!
Цитата · Личное сообщение · #13

Гм, честное слово, мне прямо стыдно стало за свое поведение - вот так походя и оскорбил и унизил невинного человека...
Ресторатор получился исходя из предположения, что вы в отладчике не можете кириллические строки найти, вам и предложили воспользоваться редактором ресурсов
Но если вас унижают подобные предположения, примите мои искренние извинения, больше такого не повторится

Ранг: 1.4 (гость)
Статус: Участник

Создано: 26 февраля 2020 13:36 New!
Цитата · Личное сообщение · #14

ELF_7719116 привет ! все понял сейчас попробую _ вот ссылка на фото там 9 шт https://yadi.sk/d/G4YnU2DCMVI3yA

{ Атач доступен только для участников форума } - ПРИЛОЖЕНИЕ.zip

Добавлено спустя 7 минут
f13nd_MBK_ Я много чего делал _ локализировал или переводил проги иногда и прошивал много чего , опыт в есть во многом но крекингом заниматься тоже стало интересно _ есть более крутые проги и более удобные чем рестаратор _ ы вы начали издеваться надомной и мне обидно было конечно _ и сделал вывод для себя что вы тут сидите чтоб оскорблять новичков как будто вы БОГИ ПРОГРАММИСТОВ


Ранг: 256.3 (наставник)
Статус: Участник

Создано: 26 февраля 2020 14:02 New!
Цитата · Личное сообщение · #15

SYLARLee пишет:
локализировал или переводил проги иногда и прошивал много чего , опыт в есть во многом но крекингом заниматься тоже стало интересно _ есть более крутые проги и более удобные чем рестаратор

Крутые и удобные для чего? Для русифекализации? Ты этот свой опыт кнопкотыкания хочешь перенести на что-то еще, в чем ни бельмеса не понимаешь? Откуда у тебя уверенность в том, что ты прав?

Где ты увидел оскорбления? Тебе было сказано, что обычно не-аглицкие строчки загружаются из ресурсов и чтобы сказать что-то определенное не помешало бы на сам объект исследования посмотреть.


Ранг: 331.0 (мудрец)
Статус: Участник

Создано: 26 февраля 2020 14:13 New!
Цитата · Личное сообщение · #16

SYLARLee

> цивилизованные люди сидят

Не сидят, а находятся, гражданин майор!

> есть более крутые проги и более удобные чем рестаратор _ ы вы начали издеваться надомной

Чем же классика то не нравится, хочется сложного.. Что бы их заюзать нужно покодить, у тебя скилла для этого не хватит. Крути визором или на вирт машине и достань из памяти строки, расскажешь что получилось

> как получить регистрационный ключ

Реверсить механизм обработки ключа. Для этого нужно найти вначале как ключ получается, более точно - найти ввод данных(ключа). А далее смотреть все цепочки данных, начиная от полученных. Такой ответ тебя устраивает ?

Ранг: 44.3 (посетитель)
Статус: Участник

Создано: 26 февраля 2020 14:36 · Поправил: _MBK_ New!
Цитата · Личное сообщение · #17

Вспоминается старая армейская поговорка - сколько солдата не целуй, а у него везде жопа. Человек спросил ни о чем, ему начали задавать наводящие вопросы, а он на них обижается и даже строит предположения о квалификации отвечающих. Ну ладно, проехали, кому нравится ресторатор, а кому свиной хрящик, хорошо, выяснили, кириллические строки вы в отладчике находите прекрасно и без ламерских инструментов, но дальше в чем суть проблемы?

Ранг: 14.1 (новичок)
Статус: Участник

Создано: 26 февраля 2020 18:31 New!
Цитата · Личное сообщение · #18

SYLARLee пишет:
что тут не понятного ? я вас не понимаю

Что сделал сам?Из твоих скриншотов я понял,что ты только научился вводить не правильные данные в регистрационные формы,а дальше что?Программа пишет,что файл лицензии не обнаружен,значит программе нужен файл лицензии,который она читает,например,с помощью API-функции ReadFileA,следовательно нужно попробовать найти её в дизассемблере или отладчике,глянуть её аргументы,которые ей нужны и прикинуть что делать дальше...например,обойти проверку файла лицензии и прыгнуть с помощью ассемблерной инструкции JMP нужный адрес на вход платной лицензии...как-то так,но не обязательно так,код самой проги глянуть бы...

Ранг: 1.4 (гость)
Статус: Участник

Создано: 29 февраля 2020 17:16 New!
Цитата · Личное сообщение · #19

BiteMoon Спасибо братан сейчас попробую
Еще онду вещь заметил На программе который пропустил ранее_ При первом запуске программы в корне папки создается папка db а внутри файл в формате fbd (firebird)_ простите за пупой вопрос конечно _ эт разве не значить онлайн регистрация проги ?


Ранг: 266.8 (наставник)
Статус: Участник
very WELL :)

Создано: 29 февраля 2020 17:31 New!
Цитата · Личное сообщение · #20

SYLARLee пишет:
простите за пупой вопрос конечно _ эт разве не значить онлайн регистрация проги ?

SYLARLee
Ну и выводы у тебя.
Это просто формат БД.
Никакой связи с онлайн-регистрацией.

Ранг: 1.4 (гость)
Статус: Участник

Создано: 29 февраля 2020 18:13 New!
Цитата · Личное сообщение · #21

WELLпрости ! просто не получается найти развязку _ на IDA нет ReadFileA + там ReadFile и ReadFile_0 . на WinSpy++ вижу дисктриптор и хэндл но что сними сделать или как найти на отладчике не понимаю _ понимаю надоел вам со своими тупыми походу вопросами но блин мне так интересно все эт сделать самому __ ну прям горю

Ранг: 44.3 (посетитель)
Статус: Участник

Создано: 29 февраля 2020 19:00 · Поправил: _MBK_ New!
Цитата · Личное сообщение · #22

Хорошо, б-г с ним, с readфайлом, программа при загрузке десятки файлов читать может, давайте все ж вернемся к нашим баранам - вы таки нашли в коде строку о неправильной регистрации, ссылку на нее и место, где предупреждение выводится?

Ранг: 310.2 (мудрец)
Статус: Модератор
CrackLab

Создано: 29 февраля 2020 19:08 New!
Цитата · Личное сообщение · #23

SYLARLee пишет:
на IDA нет ReadFileA
Потому что ее не придумали. Почитай уже что-то для новичков.
--> Link <--
--> Link <--


Ранг: 331.0 (мудрец)
Статус: Участник

Создано: 29 февраля 2020 20:25 · Поправил: difexacaw New!
Цитата · Личное сообщение · #24

SYLARLee

> не получается найти развязку _ на IDA нет ReadFileA

А ида зачем, это же диз, а импорт может быть динамическим --> Link <-- поэтому нужен отладчик, а не диз. Ида как отладчик это полное говно. И вообще семпл вылажи, раз не получается, чего гадать.

Ранг: 411.8 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 1 марта 2020 18:40 New!
Цитата · Личное сообщение · #25

SYLARLee
Выложите .exe файл - дело пойдет быстрее.

Если это Borland Delphi 6, то имеет смысл утилитой dede пройтись - возможно окна или функции с именами registration, key найдутся быстрее.
Судя по скриншотам, прога сначала ищет файл с рег.дайнными - если сообщение 01 выводится, то перед ним наверняка будет обращение к такому файлу через CreateFileA / CreateFileW (последнее более вероятно). Файл лицензии может так и называться licence.dat, key.xml или просто иметь расширение *.lic, key, т.е. смысл понятен - наименование связано со словами licence, key. Но тут есть вариант:
SYLARLee пишет:
db а внутри файл в формате fbd (firebird)_

что регистрационные данные пишутся как раз в БД.
Так-же из скриншотов есть подозрение на онлайн-активацию через сервер.

Если Вы уж решили искать по словам, то среди всего прочего есть только одна действительно интересная вещь - "уникальный код". Явно имеется ввиду HWID (Hardware ID). С Вашего компа собираются идентефикационные данные по железу и формируется уникальный номер привязки. Логично предположить, что проверка ключа в файле лицензии как раз и работает по этому принципу только в обратной последовательности-->> ключ расшифровывается и сверяется по железу. У Вас есть Ваш номер на English мове, т.е. найти в памяти процесса его будет проще. Найдете его - раскрутите буфер, откуда он появляется, выйдете на процедуру его генерации (это может быть CPUID для процессора или серийный номер жесткого диска с различными арифметическими или логическими действиями). А там и до самой проверки ключа недалеко.

Ранг: 44.3 (посетитель)
Статус: Участник

Создано: 1 марта 2020 19:26 New!
Цитата · Личное сообщение · #26

Если вы все таки хотите пойти по тернистому пути поиска чтения из файла лицензии, то можно начать с освоения утилиты Process Monitor (procmon)
Возможно, вы снова сочтёте на то, что я над вами издеваюсь или мой класс невысок, раз пользуюсь таким лоховским инструментом, но при помощи него вы сможете довольно быстро вычислить имя и путь к ключевому файлу (или ключу реестра) если таковые имеют место быть

Ранг: 1.4 (гость)
Статус: Участник

Создано: 2 марта 2020 17:03 New!
Цитата · Личное сообщение · #27

ELF_7719116 я еще раз посмотрю _ завтра я дам ссылку на прогу _ спасибо вам в любом случае _ вы не поленившись отвечаете , помогите, описываете и объясняете ! спасибо ребята !

Добавлено спустя 3 минуты
_MBK_ ок понял сейчас же изучу спасибо ! ты прости просто в тот момент меня чет бомбануло ) прости ! сейчас я много изучаю и читаю_ мне тут реально помогают ваши советы и ваши инструкции ! спасибо за отклики ) )))) прости бро серьезно ! я был не прав

Ранг: 1.4 (гость)
Статус: Участник

Создано: 4 марта 2020 14:11 New!
Цитата · Личное сообщение · #28

ELF_7719116 В корне с прогой есть файл license.key открыл его через блокнот там оно сам по себе меняется _ вчера посмотрел, внутри было написано ASDS сегодня смотрю там LKJXSIDUJASDOASIJ и не понимаю от чего оно меняется (иногда там только цифры) Сейчас дам ссылку на прогу

Добавлено спустя 43 минуты
ВОТ ссылка на программу https://yadi.sk/d/5PvGVoijhMsqig ( просто скопировать на ДИСК "C" )

Ранг: 411.8 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 4 марта 2020 15:51 New!
Цитата · Личное сообщение · #29

license.ru.txt
Code:
  1.  
  2. 1. Вы не имеете права копировать, изменять, сдавать в аренду, продавать, распространять или передавать любые компоненты программного обеспечения, за исключением случаев, оговоренных в настоящем соглашении, а также обязуетесь принять меры по предотвращению незаконного копирования программного обеспечения.
  3. 2. Вы не имеете права на обратную разработку, декомпиляцию и дизассемблирование программного обеспечения.

[img]https://ibb.co/K5mdr6f[/img]

SYLARLee пишет:
есть файл license.key

license.key
собственно половина ответа на вопрос. Есть имя файла. Если поискать в дизассемблерованной проге ахахах по строкам (by string), то исходная ссылка найдется самой первой:
Code:
  1. CPU Disasm
  2. Address   Hex dump          Command                                  Comments                                                                 Label
  3. 016FAB1C  |.  BA CCAF6F01   MOV EDX,016FAFCC                         UNICODE "license.key"
  4. 016FAB21  |.  E8 9215D1FE   CALL (Delphi_String)
  5. 016FAB26  |.  8B45 DC       MOV EAX,DWORD PTR SS:[EBP-24]
  6. 016FAB29  |.  B2 01         MOV DL,1
  7. 016FAB2B  |.  E8 342BD3FE   CALL (Delphi_CreateFile)
  8. 016FAB30  |.  84C0          TEST AL,AL
  9. 016FAB32  |.  75 13         JNZ SHORT 016FAB47
  10. 016FAB34  |.  B1 02         MOV CL,2
  11. 016FAB36  |.  33D2          XOR EDX,EDX
  12. 016FAB38  |.  B8 F0AF6F01   MOV EAX,016FAFF0                         ASCII $
  13. 016FAB3D  |.  E8 06E6F6FF   CALL (показать сообщение - файл лицензии не найден)  
  14. 016FAB42  |.  E9 AB030000   JMP 016FAEF2
  15. 016FAB47  |>  B2 01         MOV DL,1

конечно не намекаю, но функцию старше адреса 016FAB47 и ее подвызов ниже, собствено и требуется обратно реверснуть
там попадаются всякие unicode-строки и даты
Code:
  1. 016FAE01  |.  50            PUSH EAX                                 /Arg1 = 18FF00
  2. 016FAE02  |.  A1 B4522602   MOV EAX,DWORD PTR DS:[22652B4]           |UNICODE "01.01.2050"
  3. 016FAE07  |.  8985 6CFFFFFF MOV DWORD PTR SS:[EBP-94],EAX            |
  4. 016FAE0D  |.  C685 70FFFFFF MOV BYTE PTR SS:[EBP-90],11              |
  5. 016FAE14  |.  8D95 6CFFFFFF LEA EDX,[EBP-94]                         |
  6. 016FAE1A  |.  33C9          XOR ECX,ECX                              |
  7. 016FAE1C  |.  B8 E4B16F01   MOV EAX,016FB1E4                         |UNICODE "Срок лицензии истекает %s!"
  8. 016FAE21  |.  E8 123DD3FE   CALL 0042EB38                            \gruzoves.0042EB38

дальше как-то сами


Ранг: 256.3 (наставник)
Статус: Участник

Создано: 4 марта 2020 16:12 New!
Цитата · Личное сообщение · #30

Создай пустой license.key, пропатчи в gruzoves.exe:
.016FAC4E 31 C0 40 E9 3E 01 00 00
На досуге можешь изучить что этот патч делает.

Добавлено спустя 58 минут
ЗЫ: 1-базовая, 2-стандартная, 3-расширенная, 4-максимальная.
. 1 . 2 . >>
 eXeL@B —› Вопросы новичков —› Помогите по исследованию зашиты определенной программы
Эта тема закрыта. Ответы больше не принимаются.

Видеокурс ВЗЛОМ