Май - Xakep Online

взлом
леониД «CR@WleR» исупов
/ crawlerhack@rambler.ru /
Без лома и молотка
ОбХОД ЗАщиты тВиКерА FREShuI
Может быть, ты пытался взломать программу, которая тревожила тебя надоедливыми
нагами. Результатом этого, наверняка, был шок: вместо читабельного листинга
отладчик выдавал код, похожий на мусор. Скорее всего, это произошло потому, что ты
нарвался на запакованную программу. Сегодня я на простом примере покажу тебе, как
бороться с пакерами.
INTrO
Сейчас мы займемся программой FreshUI (это
неплохой твикер для ОС Windows). Вообщето,
программа для домашнего пользователя
бесплатна, но после 11 дней ее использования
начинает болеть голова от появления окошка с
напоминанием о том, что мы должны заказать
ключ у разработчика (окошко, кстати, с каждым
днем держится на экране все дольше и дольше).
Может, кто-то и хочет засветить свой почтовый
ящик и занести его в спам-лист, но только не мы.
Мы пойдем другим путем.
распаковка
В работе мы воспользуемся замечательным
отладчиком OllyDbg — для исследования нашей
программы он подойдет лучше, чем монструозный
SoftIce от Numega. Итак, устанавливай
отладчик, если его все еще у тебя нет, и выбирай
/ 090
пункт меню «File Open». В появившемся окне
укажи путь к файлу нашей программы (freshui.exe).
Отладчик тут же сообщит тебе о том, что
программа, возможно, содержит самомодифицирующийся
код или упакованное тело. После
нажатия «Ok» OllyDbg спросит, надо ли анализировать
код. Эта медвежья услуга нам не понадобится,
ведь файл, скорее всего, запакован,
и никаких понятных листингов мы не получим,
так что смело отвечай: «No». Вот что мы видим,
глядя на начало дизассемблированного кода:
00565000 90 NOP
00565001 60 PUSHAD; Сохранение
регистров в стек
Опытный крякер, глядя на эти инструкции,
обрадуется :), так как почти все упаковщики
сохраняют регистры перед переходом на цикл
распаковки и это их выдает, что называется,
с потрохами. А это значит, нам нужно, следуя
логике, найти команду восстановления всех
регистров из стека (POPAD). Само собой, эта команда
выполняется после распаковки. При этом
нужно также учесть, что после этой инструкции
должен следовать безусловный переход вида
JMP N, где N — адрес оригинальной точки входа
программы (Original Entry Point, или OEP). Я хочу
сказать, что после распаковки кода программы и
восстановления регистров происходит прыжок
на начало кода, который приобрел работоспособность,
где мы и должны прерваться (о том,
зачем это нужно, речь пойдет ниже).
Наша цель — найти соседствующие команды
POPAD и JMP N и поставить точку останова на
POPAD. Поиск в OllyDbg () команды
POPAD проходит успешно, но вот незадача: она
нигде не соседствует с JMP N. Для того чтобы
xàêåð 05 /101/ 07