Туториал по взлому QSetup Composer 7

Туториал по взлому QSetup Composer 7 (by rel4nium)

Инструменты:

PEiD
Upx_mod
KWdsm
OlyDGB
Hiew
t.p.e

Для начала определим, чем запакована наша жертва, для этого запустим PEiD:
UPX 0.89.6 - 1.02 / 1.05 - 1.24 (Delphi) stub -> Markus & Laszlo
Теперь нам потребуется анпакер для UPX, самому упиксу это не по зубам, так что будем использовать Upx_mod, для распаковки нас просто нужно запустить Upx_mod так:
unp1_24.exe -d QSetup.exe
Так программа распакована, все остальные операции мы будем проводить над распакованным exe-шником, размером 1,69. Теперь нам нужно посмотреть какие виды защиты используются в программе:


Итак у нас 3 способа защиты, теперь нам нужно найти эти фразы/слова в дизасэмблере, запускаем KWdsm. Определимся, что будем искать:
1) Illegal Registration Code!
2) Unregistered Copy(DEMO)
3) QSetup Composer(DEMO)
Итак после того, как найдены эти фразы, и найдены ближние функции (я всегда ищу ближние переходы функции, т.е je, jne, jmp;):
Illegal Registration Code! - jne 0051D4FB
Unregistered Copy - jmp 0051D369
QSetup Composer - jne 0051DBA8
Ещё раз поясню, мы искали опорные точки для взлома, т.е если нам не удастся найти ошибку по функции, то мы будем использовать найденные с помощью DASM'a.Танцуем дальше, запускаем олли. Просто для интереса попробуем найти по функции:
bpx MessageBoxA
и нечего не находим, следовательно не зря мы искали фразы в дасме).Фраза нумбер один:
0051D4DF |. 75 1A JNZ SHORT QSetup.0051D4FB
Эта функция нам не интересна так как её предназначение вывести:
0051D510 |. BA 70D65100 MOV EDX,QSetup.0051D670 ; ASCII "You must have ADMINISTRATOR rights to Register !"
=> мы исследуем код выше:

0051D47A |. 84DB TEST BL,BL
0051D47C 74 57 JE SHORT QSetup.0051D4D5 0051D47E |. E8 25B2FBFF CALL QSetup.004D86A8
0051D483 |. 84C0 TEST AL,AL
0051D485 74 0D JE SHORT QSetup.0051D494 0051D487 |. 8D45 FC LEA EAX,DWORD PTR SS:[EBP-4]
0051D48A |. BA 80D55100 MOV EDX,QSetup.0051D580 ; ASCII "QSetup PRO Registered OK!"
0051D48F |. E8 0077EEFF CALL QSetup.00404B94
0051D494 |> E8 A7B1FBFF CALL QSetup.004D8640
0051D499 |. 84C0 TEST AL,AL
0051D49B |. 74 0D JE SHORT QSetup.0051D4AA
0051D49D |. 8D45 FC LEA EAX,DWORD PTR SS:[EBP-4]
0051D4A0 |. BA A4D55100 MOV EDX,QSetup.0051D5A4 ; ASCII "QSetup LITE Registered OK!"
0051D4A5 |. E8 EA76EEFF CALL QSetup.00404B94
0051D4AA |> 68 C8D55100 PUSH QSetup.0051D5C8 ; ASCII "|&OK|&Cancel|&Yes|&No|&Abort|&Retry|&Ignore|"
0051D4AF |. 6A 00 PUSH 0
0051D4B1 |. 8D45 F8 LEA EAX,DWORD PTR SS:[EBP-8]
0051D4B4 |. 8B4D FC MOV ECX,DWORD PTR SS:[EBP-4]
0051D4B7 |. BA 00D65100 MOV EDX,QSetup.0051D600 ; ASCII "Congratulations
"
0051D4BC |. E8 4779EEFF CALL QSetup.00404E08
0051D4C1 |. 8B55 F8 MOV EDX,DWORD PTR SS:[EBP-8]
0051D4C4 |. B9 28D65100 MOV ECX,QSetup.0051D628 ; ASCII "Attention"
0051D4C9 |. B8 01000000 MOV EAX,1
0051D4CE |. E8 39B1F7FF CALL QSetup.0049860C
0051D4D3 |. EB 61 JMP SHORT QSetup.0051D536
0051D4D5 |> 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4]
0051D4D8 |. E8 2BACFBFF CALL QSetup.004D8108
0051D4DD |. 84C0 TEST AL,AL
0051D4DF 75 1A JNZ SHORT QSetup.0051D4FB
0051D4E1 |. 68 C8D55100 PUSH QSetup.0051D5C8 ; ASCII "|&OK|&Cancel|&Yes|&No|&Abort|&Retry|&Ignore|"
0051D4E6 |. 6A 00 PUSH 0
0051D4E8 |. B9 3CD65100 MOV ECX,QSetup.0051D63C ; ASCII "Error"
0051D4ED |. BA 4CD65100 MOV EDX,QSetup.0051D64C ; ASCII "Illegal Registration Code !"

Не знаю как вас, но меня заинтересовали строки:

0051D47C 74 57 JE SHORT QSetup.0051D4D5
0051D485 74 0D JE SHORT QSetup.0051D494

Разберёмся куда они ведут, как видиv, что в 1 место, а именно:

0051D4D5 |> 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4]

Можно понять, что этот переход идёт к фразе Illegal Registration Code !
Изменим сразу 2 перехода, так как если мы изменим 1, то никакого эффекта не будет:

0051D47C 74 57 JNE SHORT QSetup.0051D4D5
0051D485 74 0D JNE SHORT QSetup.0051D494

Итак, изменив выводы функций, получим:
QSetup PRO Registered OK!
Но радоваться рано, так как 2 другие защиты не взломаны, и если даже мы будем видеть весёлое окно о том, что программа зарегистрирована, это будет не так, так как 2 другие надписи на месте.
Займёмся ими, на очереди jmp 0051D369, не будем медлить и сразу же обратим внимание на код выше этой функции:

0051D2F3 |. 84C0 TEST AL,AL
0051D2F5 |. 74 4F JE SHORT QSetup.0051D3460051D2F7 |. E8 ACB3FBFF CALL QSetup.004D86A8
0051D2FC |. 84C0 TEST AL,AL
0051D2FE |. 74 0D JE SHORT QSetup.0051D30D
0051D300 |. 8D45 FC LEA EAX,DWORD PTR SS:[EBP-4]
0051D303 |. BA 94D35100 MOV EDX,QSetup.0051D394 ; ASCII "Registered Copy (PRO)"
0051D308 |. E8 8778EEFF CALL QSetup.00404B94
0051D30D |> E8 2EB3FBFF CALL QSetup.004D8640
0051D312 |. 84C0 TEST AL,AL
0051D314 |. 74 0D JE SHORT QSetup.0051D323
0051D316 |. 8D45 FC LEA EAX,DWORD PTR SS:[EBP-4]
0051D319 |. BA B4D35100 MOV EDX,QSetup.0051D3B4 ; ASCII "Registered Copy (LITE)"
0051D31E |. E8 7178EEFF CALL QSetup.00404B94
0051D323 |> 8B55 FC MOV EDX,DWORD PTR SS:[EBP-4]
0051D326 |. 8B83 DC060000 MOV EAX,DWORD PTR DS:[EBX+6DC]
0051D32C |. E8 6379F5FF CALL QSetup.00474C94
0051D331 |. 8B83 DC060000 MOV EAX,DWORD PTR DS:[EBX+6DC]
0051D337 |. 8B40 68 MOV EAX,DWORD PTR DS:[EAX+68]
0051D33A |. BA 180000FF MOV EDX,FF000018
0051D33F |. E8 989CF0FF CALL QSetup.00426FDC
0051D344 |. EB 23 JMP SHORT QSetup.0051D369
0051D346 |> BA D4D35100 MOV EDX,QSetup.0051D3D4 ; ASCII " Unregistered Copy (DEMO)"

Видим типичную защиту, но уже проще, эта функция JE SHORT QSetup.0051D346, если введённый СН будет не верен, выведет нам окно: Unregistered Copy (DEMO), и т.д.Поэтому изменим функции на:

0051D2F5 75 4F JNZ SHORT QSetup.0051D346
0051D2FE 75 0D JNZ SHORT QSetup.0051D30D

Теперь уже 2 простых алгоритма защиты программы взломано, остался один. Идем на найденную функцию в дасме: jne 0051DBA8.Смотрим код в совокупности, он отвечает за то, чтобы вывести в окне программы DEMO:

0051DBCB |. 8D45 FC LEA EAX,DWORD PTR SS:[EBP-4]
0051DBCE |. BA C4DC5100 MOV EDX,QSetup.0051DCC4 ; ASCII "QSetup Composer "
0051DBD3 |. E8 3072EEFF CALL QSetup.00404E08
0051DBD8 |. 8B55 FC MOV EDX,DWORD PTR SS:[EBP-4]
0051DBDB |. A1 40E25400 MOV EAX,DWORD PTR DS:[54E240]
0051DBE0 |. 8B00 MOV EAX,DWORD PTR DS:[EAX]

И ей безразлична петля идущая раньше:

0051DBA8 |> 6A 00 /PUSH 0
0051DBAA |. 6A 00 |PUSH 0
0051DBAC |. 49 |DEC ECX
0051DBAD |.^75 F9 \JNZ SHORT QSetup.0051DBA8

Всё идёт к тому, что есть ещё какой-то алгоритм проверки который мы не заметили. Теперь нам нужно опять открыть программу в дасме.После открытия опять же ищем фразу QSetup Composer и сразу же бросается в глаза:
0051DBC3 |. E8 48ABFBFF CALL QSetup.004D8710
Выполним этот call, просто путём нажатия на кнопку call в панели инструментов.
Оказываемся тут:

004D8710 /$ 53 PUSH EBX
004D8711 |. 8BD8 MOV EBX,EAX
004D8713 |. 8BC3 MOV EAX,EBX
004D8715 |. BA 54874D00 MOV EDX,QSetup.004D8754 ; ASCII "DEMO"
004D871A |. E8 31C4F2FF CALL QSetup.00404B50
004D871F |. E8 84FFFFFF CALL QSetup.004D86A8
004D8724 |. 84C0 TEST AL,AL
004D8726 |. 74 0C JE SHORT QSetup.004D8734
004D8728 |. 8BC3 MOV EAX,EBX
004D872A |. BA 64874D00 MOV EDX,QSetup.004D8764 ; ASCII "PRO"
004D872F |. E8 1CC4F2FF CALL QSetup.00404B50
004D8734 |> E8 07FFFFFF CALL QSetup.004D8640
004D8739 |. 84C0 TEST AL,AL
004D873B |. 74 0C JE SHORT QSetup.004D8749
004D873D |. 8BC3 MOV EAX,EBX
004D873F |. BA 70874D00 MOV EDX,QSetup.004D8770 ; ASCII "LITE"
004D8744 |. E8 07C4F2FF CALL QSetup.00404B50
004D8749 |> 5B POP EBX
004D874A \. C3 RETN

Опять же знакомая конструкция защиты, и теперь только остаётся изменить JE 004D8734 на JNE 004D8734 и программе в верхнем окне пишет PRO ).Вот и вся простая защита. Теперь нам осталось только пропатчить программу, можно с помощю hiew 'a.Патчить нужно функции по адресам:
0051D47C, 0051D485, 0051D2F5, 0051D2FE, 004D8726 все je нужно сменить на jne и программа будет вечно считать себя зарегистрированной.
После пропатчивания программы можно сделать патч с помощью тпе (о этом я рассказывал в предыдущих статьях так что не буду повторяться)
Программа взломана, патч создан...

Дата створення/оновлення: 25.05.2018