Май - Xakep Online

взлом
DVD
На нашем DVD ты
найдешь все программы,
упомянутые
в этой статье.
!
Эта статья — плод
воображения автора.
Все совпадения с
реальным взломом
— случайность :).
Помни: за нарушение
тобой закона ни
автор, ни редакция
ответственности не
несут!
Никаких нагов!
выделив его целиком и выбрав в меню правой кнопки мыши
«Delete Thunks». Таблица импорта воссоздана, осталось исправить
файл дампа. Для этого нажми на кнопку «Fix Dump» и
укажи программе файл dump.exe. В директории с программой
будет создан файл dump_.exe, который и следует запустить.
Он работает, а это значит, что мы распаковали исполняемый
файл. Теперь нужно лишь набраться терпения и, отыскав
сообщение о необходимости получения регистрационного
ключа, удалить его.
Взлом
Переходим к основной части нашего тривиального взлома.
Загрузи dump_.exe под OllyDbg. Теперь в коде можно легко
отыскивать нужные места и патчить их как заблагорассудится,
ведь AsPack уже снят. Поговорим о выдаваемом
сообщении. Запуская наш твикер, мы видим, что кнопка
«OK» на диалоговом окне-наге недоступна для нажатия
до тех пор, пока не пройдет определенное количество
времени. Это означает, что здесь не обошлось без таймера.
Последний обычно устанавливается функцией SetTimer.
Попробуем установить на нее точку останова. Жми
(если у тебя стоит плагин CommandBar) и вводи команду bpx
SetTimer. Запускай программу на исполнение (). Мы тут
же прервемся по адресу 0043557f, где и находится нужная
нам функция. Теперь необходимо проанализировать, что же
происходит после того, как «время пошло». После установки
таймера программа выдает окошко (ShowWindow), поэтому
нужно немного протрассировать программу () — до
места, где эта процедура вызывается (это происходит по
адресу 0048221E). По логике, проверка того, не закончилось
ли время, отведенное таймером, является циклом. Поэтому
трассируем и дальше, пока не наткнемся на цикл по адресу
00482838 (на то, что это то, что мы искали, указывает и функция
SendMessage, расположенная чуть выше). Я расскажу,
Восстановление импорта в ImpRec
как деактивировать его. Переходом на начало цикла управляет
инструкция:
0048287E JE SHORT dump_.00482838
Нам нужно всего лишь удалить этот переход! Для этого
выдели его, нажми пробел и введи в появившемся окне
«nop» (это инструкция «холостого хода», она ничего не
выполняет), установи флажок «Fill with NOP’s» и дави «OK».
Теперь нажимай . Все получилось! Осталось лишь
сохранить сделанные изменения: выдели nop’ы, которыми
мы заменили переход, располагавшийся по адресу 0048287E,
нажми на правую кнопку мыши и выбери «Copy to executable
Selection». Далее в появившемся окне в меню выбери
«Save File» и сохрани файл под любым именем (к примеру,
dump_2.exe). Запускай этот файл и наслаждайся результатом! z
/ 092
xàêåð 05 /101/ 07