eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 8 мая!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: (+1 невидимый пользователь)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Вопросы новичков —› Помогите отвязать программу от Регистрационного ключа.
. 1 . 2 . >>
Посл.ответ Сообщение

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 12:56 New!
Цитата · Личное сообщение · #1

Дорогие Друзья, форумчани, программисты и те кто просто зашел посмотреть!))

Дело в том что я пытаюсь отвязать программу от регистрационного ключа, который проверяется через сайт, или базу данных владельца.

Что я сделал : Я снял защиту Aspack 2.12b и сделал dump файл. (в папке под названием WebPOоost)
На файлах dll. как мне сказали пользователи и PEID что там нет защиты.

Что нужно сделать? : Как я понимаю, нужно найти тот код, который отвечает за ответ получаемый с сервера владельца, и редактировать его. Что бы он выдавал положительный ответ. (Будто в базе данных есть такой код)
Если я не прав, то подскажите.

Я натравил на нее DEDE потому что я как понял, программа написана на Delhpi.
Нашел такие модули как :

IdeMailAddres
IdtUserPassProvider
Send_Mail_For_Ewb
и еще куча..

Но именно эти мне показались нужными.

Вопрос : Скажите, или направьте меня на правильный путь. Что мне нужно дальше сделать?
Работать с этими модулями или искать другие? Или причина не тут?
За помощь благодарю финансово.

Добавлено спустя 19 минут
Кстати вот подопытная программа.
http://share.bashtel.ru/files/473125

Добавлено спустя 3 часа 29 минут
Пароль кодируются на VMProtect Ultimate

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 26 января 2015 17:03 New!
Цитата · Личное сообщение · #2

Отснифать на какой скрипт пост/гет запрос отправляется.В теле проги точно относительный путь к скрипту можно найти.В конечном итоге 2 варианта - поднимать локальный сервак и перенаправить запрос к скрипту или же запатчить все так, чтобы ответ от сервака активации и вовсе игнорился.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 17:13 · Поправил: makflay007 New!
Цитата · Личное сообщение · #3

Я задумал действовать по второму плану. Что бы ответ от сервака шел положительный. Но не знал что искать.)
Спасибо за подсказку.
Но собственно до конечного итога еще ползти и ползти.
В Олли я пробовал ставить бряки на функции GetWindowTextA, GetDlgItemTextA. Но они не срабатывают.

Как мне можно узнать какой скрипт выполняет эту функцию? (Как отснифать) Может есть статья какая нибудь? Буду благодарен.

Получается этот skript считывает указанный пароль и отправляет его на базу владельца для сверки?

Ранг: -0.8 (нарушитель)
Статус: Участник

Создано: 26 января 2015 17:41 New!
Цитата · Личное сообщение · #4

makflay007 пишет:
Дело в том что я пытаюсь отвязать программу от регистрационного ключа


Не заморачивайся, вряд ли возможно эту программу вообще отвязать от почты.
У меня была подобная программа, т.к ее и ни кто не смог снять. Ну практически )))
Был один под ником "wolf" или еще что то, вот он отвязал за час или два. Та же там система была что и здесь.
Больше ни кто не смог. Просто НЕ СМОГЛИ. А тут ты новенький в этом деле, шансов еще меньше.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 17:46 New!
Цитата · Личное сообщение · #5

Roma Vi пишет:
Был один под ником "wolf" или еще что то, вот он отвязал за час или два.


Да, я тоже слышал что кто - то смог его отвязать. Так что старичок, я буду вторым кто это сделает


Ранг: 1984.9 (!!!!)
Статус: Модератор
retired

Создано: 26 января 2015 17:53 New!
Цитата · Личное сообщение · #6

Не обязательно было регать 2 ника на форуме, чтобы пообщаться с самим собой, можно было это и перед зеркалом сделать.

| Сообщение посчитали полезным: 4kusNick


Ранг: 376.0 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 26 января 2015 18:04 · Поправил: ELF_7719116 New!
Цитата · Личное сообщение · #7

Archer пишет:
Не обязательно было регать 2 ника на форуме

+50 К РЕШАЕМОСТИ ПРОБЛЕМЫ
Roma Vi пишет:
Archer, Он меня регитсрировал. Это запрещено форумом?

запрещено разводить бесполезную демагогию!

Итак!!! вообщем глянул я! буквально пару заходов-минуты две. Судя по всему, имеем кусок асм кода в программе, пошифрованного RSA(наверно)...во всяком случае, от истины недалеко соврал.
смотрим начала сюда:
Code:
  1. 00937977  |.  FFB5 48FFFFFF PUSH DWORD PTR SS:[EBP-0B8]              ; /Arg1 = UNICODE "www.addnews.biz"
  2. 0093797D  |.  8D8D 44FFFFFF LEA ECX,[EBP-0BC]                      
  3. 00937983  |.  66:BA 0700    MOV DX,7                                 ; |
  4. 00937987  |.  66:B8 BB03    MOV AX,3BB                               ; |
  5. 0093798B  |.  E8 34EEFFFF   CALL 009367C4                            ; |
  6. 00937990  |.  FFB5 44FFFFFF PUSH DWORD PTR SS:[EBP-0BC]              ; |
  7. 00937996  |.  8D85 50FFFFFF LEA EAX,[EBP-0B0]                        ; |
  8. 0093799C  |.  BA 03000000   MOV EDX,3                                ; |
  9. 009379A1  |.  E8 4A0DADFF   CALL 004086F0                            ; |
  10. 009379A6  |.  8B95 50FFFFFF MOV EDX,DWORD PTR SS:[EBP-0B0]           ; |
  11. 009379AC  |.  8B45 F0       MOV EAX,DWORD PTR SS:[EBP-10]            ; |
  12. 009379AF  |.  59            POP ECX                                  ; |
  13. 009379B0  |.  E8 F7F3FFFF   CALL 00936DAC                            ; \WebPOsss.00936DAC
  14. 009379B5  |.  8B45 E8       MOV EAX,DWORD PTR SS:[EBP-18]
  15. 009379B8  |.  0345 E4       ADD EAX,DWORD PTR SS:[EBP-1C]
  16. 009379BB  |.  2B45 E0       SUB EAX,DWORD PTR SS:[EBP-20]
  17. 009379BE  |.  8B55 DC       MOV EDX,DWORD PTR SS:[EBP-24]
  18. 009379C1  |.  8BCA          MOV ECX,EDX
  19. 009379C3  |.  03D2          ADD EDX,EDX
  20. 009379C5  |.  03D2          ADD EDX,EDX
  21. 009379C7  |.  03D2          ADD EDX,EDX
  22. 009379C9  |.  2BD1          SUB EDX,ECX
  23. 009379CB  |.  2BC2          SUB EAX,EDX
  24. 009379CD  |.  8B15 E41DA400 MOV EDX,DWORD PTR DS:[0A41DE4]
  25. 009379D3  |.  8902          MOV DWORD PTR DS:[EDX],EAX
  26. 009379D5  |.  33C0          XOR EAX,EAX
  27. 009379D7  |.  5A            POP EDX
  28. 009379D8  |.  59            POP ECX
  29. 009379D9  |.  59            POP ECX
  30. 009379DA  |.  64:8910       MOV DWORD PTR FS:[EAX],EDX
  31. 009379DD  |.  68 F2799300   PUSH 009379F2                            ; Entry point
  32. 009379E2  |>  8B45 D4       MOV EAX,DWORD PTR SS:[EBP-2C]
  33. 009379E5  |.  E8 EEE0ACFF   CALL 00405AD8

ГДЕ 009379B0 CALL 00936DAC ВЫПОЛНЯЕТ post-запрос на http://www.addnews.biz/wp.php
выше этого вызова, кстати там RSA сто пудов идет.
выходим из этой функи тут:

Code:
  1. 00938BFC  |.  E8 DBE8FFFF   CALL 009374DC                            ; [WebPOsss.009374DC
  2. 00938C01  |.  80BE A3030000 CMP BYTE PTR DS:[ESI+3A3],1
  3. 00938C08  |.  0F85 87020000 JNE 00938E95
  4. ...
  5. 00938CBD  |.  50            PUSH EAX                                 ; /pOldProtect => OFFSET LOCAL.7
  6. 00938CBE  |.  6A 40         PUSH 40                                  ; |NewProtect = PAGE_EXECUTE_READWRITE
  7. 00938CC0  |.  8B45 EC       MOV EAX,DWORD PTR SS:[EBP-14]            ; |
  8. 00938CC3  |.  83C0 04       ADD EAX,4                                ; |
  9. 00938CC6  |.  50            PUSH EAX                                 ; |Size
  10. 00938CC7  |.  53            PUSH EBX                                 ; |Address
  11. 00938CC8  |.  E8 F74FADFF   CALL 0040DCC4                            ; \KERNEL32.VirtualProtect
  12. ...
  13. 00938D22  \>  E9 02010000   JMP 00938E29
  14. 00938D27      C0            DB C0
  15. … (ПОШИФРОВАННЫЙ КОД)
  16. 00938E1E      0E            DB 0E
  17. 00938E1F      2B            DB 2B                                    ; CHAR '+'
  18. 00938E20  /.  92            XCHG EAX,EDX
  19. 00938E21  |.  05 C0FD7ED2   ADD EAX,D27EFDC0
  20. 00938E26  |.  55            PUSH EBP
  21. 00938E27  |.  A7            CMPS DWORD PTR DS:[ESI],DWORD PTR ES:[ED
  22. 00938E28  |.  96            XCHG EAX,ESI

WinAPI Virutal Protect, и перепрыгивание какой-то пошифрованной части кода. Дальше сами...
Единственное что, если для Вас выполняется условие 00938C01 CMP BYTE PTR DS:[ESI+3A3],1-то наверняка можно эмульнуть ответы от сервера и плясать от этого.

| Сообщение посчитали полезным: makflay007


Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 18:05 · Поправил: makflay007 New!
Цитата · Личное сообщение · #8

Только что до меня дошло о чем тут речь :DD

Добавлено спустя 6 минут
SSL/RSA/MD5/DES/AES

Добавлено спустя 7 минут
ELF_7719116 пишет:
Ой от души дружище. Дальше я сам как нибудь ))
А в чем ты это юзал?

Ранг: 376.0 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 26 января 2015 18:16 New!
Цитата · Личное сообщение · #9

makflay007 пишет:
Дальше я сам как нибудь ))
А в чем ты это юзал?

я надеюсь, что дальше ты сам. SNDOlly, а там чем Вам нравится - обычный OllyDbg и тд

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 18:33 New!
Цитата · Личное сообщение · #10

ELF_7719116 пишет:
SNDOlly

А есть ссылка на сборку Olly-SnD ?
Пробежался по форуму, все ссылки мертвые.

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 26 января 2015 18:44 New!
Цитата · Личное сообщение · #11

makflay007 пишет:
А есть ссылка на сборку Olly-SnD ?
Пробежался по форуму, все ссылки мертвые.

https://tuts4you.com/download.php?view.3479

| Сообщение посчитали полезным: makflay007


Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 18:54 · Поправил: makflay007 New!
Цитата · Личное сообщение · #12

unknownproject
Спасибо. !

Добавлено спустя 45 минут
ELF_7719116

Понял только что ты кроме Ольки еще чем-то юзал. Чем перехватил post-запрос на http://www.addnews.biz/wp.php ?
Существует ли как вариант, достать этот php из хоста, отредактировав закинуть на другой адрес? Далее сменить путь запроса.

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 26 января 2015 19:44 · Поправил: unknownproject New!
Цитата · Личное сообщение · #13

Открытие Socks Proxy сервера в связке Charles + Socks Cap для снифа любой проги.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 19:56 New!
Цитата · Личное сообщение · #14

Charles
Точнооо.. У нас же чарли есть!)))))
Хорошо, а что по поводу

"Существует ли как вариант, достать этот php из хоста, отредактировав закинуть на другой адрес? Далее сменить путь запроса. " ?

Добавлено спустя 25 минут
unknownproject пишет:
в связке Charles + Socks

Нее, на винде 64 битке не идет SocksCap.
По идеи чарли же должен показывать любую ссылку к которому идет запрос.
При попытке запустить программу, он молчит. Мол, запросов не было (

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 26 января 2015 20:24 · Поправил: unknownproject New!
Цитата · Личное сообщение · #15

makflay007 пишет:
При попытке запустить программу, он молчит. Мол, запросов не было (

Значит он неправильно настроен.
makflay007 пишет:
винде 64 битке

Я на 7 x64 им пользовался, ща проверю на 10 tech.

Проверил.Открыл сокс сервер чарли на 8889 порту, указал в настройках SocksCap в качестве сервера 127.0.0.1, порта 8889 и добавил прогу.Получили аналогичный результат.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 20:37 New!
Цитата · Личное сообщение · #16

unknownproject
Я пока искал, качал эти программы. Столько говна накачала ;D
И то нашел какие то слабенькие. Но чарли у меня версии 3.9

Добавлено спустя 30 минут
unknownproject
Если не сложно, скинь ссылки, старина ))

Добавлено спустя 32 минуты
На SocksCap а чарли я свой оставлю пожалуй.

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 26 января 2015 21:14 · Поправил: unknownproject New!
Цитата · Личное сообщение · #17

makflay007 пишет:
Если не сложно, скинь ссылки, старина ))

--> Rghost <--

--> share.bashtel.ru <--

makflay007 пишет:
На SocksCap а чарли я свой оставлю пожалуй.

Скачал актуальную версию.Все нормально, там ничего существенно не поменялось, так что настраивается все аналогично.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 21:16 New!
Цитата · Личное сообщение · #18

404 this page is not found. Что то с файлообменником.

Добавлено спустя 4 минуты
Кинь ее на share.bashtel.ru

Добавлено спустя 18 минут
unknownproject

Спасибо что пытаешься помочь. Но к сожалению та же ошибка. "Не удалось запустить программу из-за несовместимости Windows 64 бит"

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 26 января 2015 21:39 New!
Цитата · Личное сообщение · #19

makflay007 пишет:

Спасибо что пытаешься помочь. Но к сожалению та же ошибка. "Не удалось запустить программу из-за несовместимости Windows 64 бит"

Я сам сижу с 64 битной win и у меня ни разу таких ошибок не вылазило.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 21:44 New!
Цитата · Личное сообщение · #20

Максималка? Есть TeamViewer ? Я тебе показал бы всю систему ))

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 26 января 2015 21:53 · Поправил: unknownproject New!
Цитата · Личное сообщение · #21

makflay007 пишет:
Максималка? Есть TeamViewer ? Я тебе показал бы всю систему ))

Максималка была 7, обновил ее до 10 tech x64.Трудностей с работой 32 битных прог нет никаких.

makflay007 пишет:
404 this page is not found. Что то с файлообменником.

Обменник работает, его просто локает твой провайдер.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 22:19 · Поправил: makflay007 New!
Цитата · Личное сообщение · #22

unknownproject
Да пофиг, сейчас как нибудь попробую без нее обойтись. Нужно php файл с сервера вытащить.
Этот чувак который выше, за 2-3 мин нашел то, что я ищу 3-й день.
Просто путем не знаю Ольку.

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 26 января 2015 22:55 New!
Цитата · Личное сообщение · #23

makflay007 пишет:
Да пофиг, сейчас как нибудь попробую без нее обойтись. Нужно php файл с сервера вытащить.
Этот чувак который выше, за 2-3 мин нашел то, что я ищу 3-й день.
Просто путем не знаю Ольку.

Если адрес функции неизвестен, то бряк на все команды и снимать их до того момента, как форма не станет вновь активной и появится возможность нажать кнопку, т.е. установить их после запуска проги.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 26 января 2015 23:18 · Поправил: makflay007 New!
Цитата · Личное сообщение · #24

unknownproject
Как я помню это же при МessageBoxA так делают. Ставят бряки пока не наткнуться на ту функцию, которая вызывает это окно. А далее забивают нупами.
А здесь я даже не знал какую функцию нужно искать, тк. тут не вылетает блокирующее окно. Программа запускается без проблем пока ты сам в самой программе не запустишь какие нибудь функции. Только тогда можно по строке ошибке перейти в дизсамб и поискать что-то.
Возможно мне нужно идти и учить все книги по программированию для чайников. Не спорю.
Но в данный момент мне эта программа очень нужна. Я готов просто идти до конца.

Пользователь под ником "ELF_77.." нашел адрес "009379B0" CALL 00936DAC с которого выполняется post-запрос. Как он это увидел? Через socks control and Charli ? Или это можно увидеть в Олли?

Добавлено спустя 1 час 41 минуту
unknownproject ELF_7719116
Ребят я достал этот файл http://www.addnews.biz/wp.php но он весит 1 байт ((

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 27 января 2015 11:18 · Поправил: unknownproject New!
Цитата · Личное сообщение · #25

makflay007 пишет:
Ребят я достал этот файл http://www.addnews.biz/wp.php но он весит 1 байт ((

Там Delphi + Idhttp.В строках проги видно начало тела запроса, а так же один из отправляемых скрипту параметров:
Code:
  1. 00937761    68 447A9300     PUSH WebPOsss.00937A44                   ; UNICODE "do="

Ранг: 1.8 (гость)
Статус: Участник

Создано: 27 января 2015 12:18 New!
Цитата · Личное сообщение · #26

unknownproject пишет:
UNICODE "do="

Это и есть do get_last_message?

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 27 января 2015 12:36 New!
Цитата · Личное сообщение · #27

makflay007 пишет:
do get_last_message

do - это сам параметр, а get_last_message - это значение.
Со структурой пост запросов не знаком или не программировал никогда ? Когда пост запрос передается, то в лог сервера кладется только путь к скрипту, отличие от гета, в котором параметры передаются после "?" в строку запроса.
Меня смутил только инвалидный ответ в один байт.Пытался дернуть логи рядом со скриптом активации, но ничего не вышло.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 27 января 2015 12:45 New!
Цитата · Личное сообщение · #28

unknownproject
Я не знаком (
Я вот что интересное заметил, у меня есть аналогичная программа но только ее взломали уж другие ребята и работают с ней.
Суть вот в чем, я ради интереса решил попробовать отснифать уже эту программу, в желанию увидеть на какой хост ссылается запрос. Увидев я конечно удивился, но запрос ссылается на тот же http://www.addnews.biz/wp.php.
Тогда получается нам ее вообще трогать не нужно??

Добавлено спустя 2 минуты
Аналогичная программа

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 27 января 2015 13:27 New!
Цитата · Личное сообщение · #29

makflay007 пишет:
Тогда получается нам ее вообще трогать не нужно??

Все зависит от того, какие ограничения наложены на функционал в том случае, когда программа не активирована.

Ранг: 1.8 (гость)
Статус: Участник

Создано: 27 января 2015 13:29 · Поправил: makflay007 New!
Цитата · Личное сообщение · #30

Добавлено спустя 8 часов 11 минут
Ребят, а возможно ли такое что 80% кода подгружается из сервера? Или это блеф ?)

Цитирую разговор с владельцом этой программы :
Я:
http://www.addnews.biz/ это получается ваш общий хост?

Владелец webPoster :
да наш сервер
смысла отвязывать от сервера ее нет
Я:
Почему это?
Владелец webPoster :
без сервера программа бонально не будет работать
Я:
Ведь пасс имнно там поверяется
Владелец webPoster :
так как 80% кода програмы подгружается с сервера
тут нужно ламать сервер а не программу)
. 1 . 2 . >>
 eXeL@B —› Вопросы новичков —› Помогите отвязать программу от Регистрационного ключа.
Эта тема закрыта. Ответы больше не принимаются.

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS