Взлом IDA Pro Demo

Автор: FreeMan / TPOC

Введение.

Прочёл я о замечательной проге, которая называется IDA. Ну и как каждый нормальный человек (спорный вопрос, прим. Bill Prisoner) я решил посмотреть эту софтину. По описанию это был крутой дизассемблер. Я дизасмом пользуюсь редко, но было сказано, что он запросто запускается под линухом через Wine. Так как к этому времени я не нашёл хорошего дизассемблера под моего тукса, я решил взять этот. Полез в инет и сразу нашёл IDA 4.8. Но это оказалась демо-версия ? ограничения такие: работаем только некоторое время, дизассмим только ЕХЕ-РЕ файлы, пункты меню Save, Save as заблокированы. Но я не растерялся. Я полез в инет поискать какую-нибудь крякалку. Зашел на несколько сайтов, но там были крякалки для старых версий, либо при загрузке страницы сайта мне пытались отдать коллекцию троянов. Сначала я слегка расстроился, но решил присмотреться к софтине. Действительно, дизассемблер жутко навороченный, файлы типа ЕХЕ-РЕ хавал и не давился. Но ведь нужно не только РЕ. И в этот момент, на протяжении семи вдохов, я принял решение сломать аццкую сотону. Первым делом я попытался сломать IDA, исспопод льзуя IDA ?. Но было выведено сообщение о том, что демо-версия сама себя ломать не будет. Чтож. «Простив лома нет приёма, если нет другого лома». С этими словами я запустил OllyDbg – проверенный дебагер. Жму F3 открываю idag.exe, который находится в папке, куда мы установили IDA. Получаю сообщение о том, что у файлика Entry Point далеко за кодом, что, возможно, это самораспаковывающийся или самомодифицирующийся файл.

Процесс.

Итак, пришло время рассказать тебе, как сломать такую простенькую защитку. Перед тем, как совершать судорожные движения, я решил посмотреть, что думают люди об упаковщиках. Советую и тебе не полениться и перед тем, как что-то делать посмотреть, не сделал ли кто-нибудь это до тебя (незачем изобретать велосипед). Оказалось, что снять упаковщик может любой желающий. Достаточно поискать что-то похожее на это:

Чтож, теперь видно, что тебе нужно поискать, скажем, popad. Смело дави ctrl+f. Вбивай popad. Popad имеет опкод 61h, этот байт встретится несколько раз в составе других команд. Нажимая ctrl+l пропускай неверные результаты и вскоре попадёшь на такую последовательность:

Это то, что надо, ведь тут и popad, и push, и retn. А значит пришло время ставить бряк. Бряк на команду POPAD. Для этого ставь туда указатель (левым кликом) и жми f2. Теперь надо прогнать прогу до этой команды, а для этого надо жать f9. И происходит чудо. Кусок памяти превращается в:

Теперь ты видишь, что расспакованная прога будет начинаться с адреса 00401650. Если отнять базу образа (400000h), то получиться RVA точки входа в расспакованный код (1650). Чтож, ты сделал очень много, положил упаковщик на лопатки, осталось добить. Но это легче. Ставишь указатель на retn, нажимаешь пробел, вводишь jmp 007AE3BF, тем самым зацикливая прогу. И тут на сцену выходит LordPE. Эта прога умеет делать снимок памяти проги. А ведь ИДА сейчас висит в бесконечном цикле, а её главная часть расспакована, а значит можно заполучить эту распакованную часть. В LordPE клик правой кнопкой мыши на процессе. В появившемся меню выбираешь “dump full”. Сохраняешь образ. Теперь у тебя есть расспакованный файл. Но если его попытаться запустить то просто вылезет сообщение об ошибке. Это связано с тем, что появились проблемы с точкой входа и таблицей импорта, которую заполнял распаковщик.
Качай Import Reconstructor. Запускай idag.exe. Главное запустить не образ, сделанный с помощью LordPE(он выдаёт еррор), а именно idag.exe. Запускай Import Reconstructor. Выбери процесс Иды. В строку OEP введи 1650 (это рва точки входа). Жми IAT AutoSearch. Вылезет сообщение о положении таблицы импорта. RVA=229000, size=5000. Вводишь эти значения в соответствующие поля. Жмёшь GetImports. Программа выдаёт кучу записей импортов. Но многие помечены “NO”. Их надо убрать. Жмём ShowInvalid (показать инвалидов). Теперь правый клик по любому из выделенных импортов и в меню выбираем Delete Thunk(s)

Тепрь тебе следует исправить покалеченный распакованный образ, нажимая Fix Dump и выбирая расспакованный файл. Получаешь работоспособный расспакованный файл. Если это кажеться для тебя слишком, сложным, то это тебе только так кажеться.
Теперь можно приступать непосредственно к исследованию и исправлению IDA. Eсли запустить полученный файл (у меня ххх_.ехе), то можно немного посмотреть на то, как работает прога. Кстати ххх_.ехе запросто смог себя задизасмить, но священный idag.exe не тронул, сказал, что это itself. Так вот, главная наша проблема – это то, что прога дизасмит только ехе-ре. Посмотри, что получиться, если попытаться скормить ей что-то другое.. Получишь сообщение.

Это очень хорошая зацепка. Открываешь расспакованную иду в олли. Переходи в окно дампа, пресс ctrl+b и вводишь пару слов из сообщения. Я взял слова The demo. Нажимаешь ОК. В результате поиска найдена строка. В отладчике выглядит примерно так:
 

Ниже строка
 

А это и есть то, что тебе нужно. Правый клик на начале строки «%». В контекстном меню выбираем Breakpoint>Memory, on access. Этот бряк сработает тогда, когда что-то попытается к этому куску памяти обратиться. Теперь переходи в главное окно и нажимай f9 для выполнения проги. В проге открывай файл (не ре-ехе, можно взять текстовый файл). Прога останавливается. Переходи в олли и увидишь, что прога остановилась на:
 

Видно, что указатель находится в какой-то процедуре. Следует найти то место, откуда эта процедура вызывается.
Открою огромный секрет – адрес возврата помещается в стэк при вызове процедуры. Поэтому посмотри туда внимательно.

Видишь адресс возврата из подпрограммы? Return в переводе с ламериканского переводиться как Возврат. Жми ctrl+g и вводи 41EBE1, для перехода на этот адрес (или Enter, когда укзатель на адресе). Смотри, куда попал.

А нового практически ничего нет, ты просто попал в очередную подпрограмму. Чтож, надо узнать откуда она вызываеться. Поставь бряк на её начало (установить курсор и нажать f2), а бряк с куска памяти убери (в контекстном меню Breakpoint>Remove memory breakpoint). Жми f9, в ИДЕ получишь знакомое сообщение. Давай делать очередной удар головой об эту стену. Открывай файл ещё раз. Иди в олли. Прога остановилась на бряке. Смотри стек

Снимаешь текущий бряк. Иди на… 4D3C6B, там очередная подпрограмма. Ставишь бряк на начало, f9, опять сообщение, опять открываем, опять срабатывает бряк… Так тебя будет обламывать несколько раз. Повторяй шаманские движения, пока не увидишь, что то похожее на:

Настораживает проверка регистра есх, ведь если есх не равно 0, тогда место вызова процедуры, откуда вызывается процедура из которой вызывается процедура…, которая вызывает процедуру, которая обращается к строке. Хм, о чём это я.. Так вот, это место перепрыгивается. Устанавливай бряк на эту проверку. Последний раз открывай файл (не ре-ехе). Попадёшь на проверку, где установлен бряк. В регистре есх 0, то есть JNZ не сработает. Чтоб избежать этого установи указатель на

Нажми пробел и вместо jnz напиши jmp. Жми Assemble. Теперь пришло время посмотреть на эффективность этого простого действия. Переходи к главному окну Олли и нажимай f9. Переходи к ИДЕ и наслаждайся – нет ругани на тему «Такого мы дизасмить не умеем». Поздравляю, первый баръер продолён, теперь его надо сохранить. Вызывай контекстное меню, жми Copy to executable>All modifications. Олли крикнет, что файл отличается от оригинала. Настаивай на том, что хочешь сохранить этот файл.
Теперь у тебя есть файл, который может дизасмить не только ехе-ре. Кстати, когда я исправлял джамп, я заметил, что выше находиться аналогичная проверка, исправив которую можно заставить демо версию задизассмить себя. Я конечно-же её пофиксил. Думаю, что и ты сможешь.

Хм. Теперь будем искать ещё какие-нибудь строки, вдруг повезёт. Но делать это надо с умом. Заметим, что Строка действительно состоит не только из самого сообщения, но ещё из пары нецензурных слов вида ICON ERROR. Их и следует поискать, ведь все ругательные сообщения имеют такой «заголовок». Идём в окно дампа ctrl+b, вбиваем ICON ERROR жмем Ок. Нажимаем ctrl+L, пока не увидим строку о каком то ограничении
 

Ставь курсор на начало строки и жми ctrl+r, чтоб найти где к этой строке происходит обращение. Хм, найдено всего одно обращение. Двойной клик на результате поиска.

Знакомая ситуация – опять можно перепрыгнуть. Дерзай.

Дальше я расскажу как убрать два назойливых окна – первое выскакивает при запуске, когда сообщается об ограничениях, а второе – когда программа заканчивает работу (благодарит за использование демоверсии). Если ты устал, то лучше пойди отдохни, потому-что убирать эти окна – занятие, требующее свежести ума.

Готов? Тогда начинаем. Грузи иду в олли. Итак, опять смотри, что там в окне написанно. Ага, есть слово Version. За него и следует цепляться. Вызывай контекстное меню олли, а там выбирай Search for>All referenced text strings. В появившемся окне выбирай пункт Search for text контекстного меню. Вводи Version. Жми ок. А теперь надо найти нужную строку, для поиска следующего упоминания слова Version тебе придётся нажимать ctrl+L. Буквально спустя пару нажатий ты попадёшь на такой фрагмент, как показан на рисунке.

Чтоб вернуться из этого мира строк жми alt+c, а за тем уверенной рукой запускай прогу на выполнение. Останов в подпрограмме. Находи место вызова. Это ты уже делал (поставь бряк на начало подпрограммы). И ты оказываешься в знакомой ситуации, но немного более сложной: есть вызов (в любом случае) и есть параметр в еах.
 

В зависимости от СL в еах попадает или 1 (тогда появляется окно) либо 0 (оно не появляется). Если СL=0, то еах=1. Для того, чтоб избежать этого, надо исправить условный переход JE SHORT xxx1_.00436548. Как это сделать – думай сам. Когда придумаешь – не забудь сохраниться.

Пришло время убрать ещё одно окно – финальное. Конечно, ты, наверное, сразу полезешь искать строку… Чтож, можешь искать, но я буду убирать это окно другим способом.
Итак, запускаем прогу на выполнение и закрываем её. В результате этих действий должно появиться окно с благодарностью за использование данной демо-версии. Если его закрыть – закроется прога.
Переходи в олли. Сейчас, когда окно «висит», прога выполняется где-то в н-ной подпрограмме. твоя задача найти, где вызывается она. Для этого переходи в окно стэка и нажимай *. В окне стэка будет примерно следующее

Переходи на адрес возврата. Для этого установи курсор на соответствующую ячейку стэка и нажми Enter. Ты попал в подпрограмму. Как и во всех предыдущих случаях тебе следует искать такую конструкцию, в которой от джампа будет зависить – появиться окно или нет, либо просто вызовб который можно затереть.
 

Тут джампов не видно. Надо найти откуда вызыается подпрограмма, в которую ты попал. Эта подпрограмма может вызываться из разных частей проги, поэтому если ты сейчас установишь бряк на начало и перезапустишь прогу, то можешь попасть в ситуацию, когда эта подпрограмма будет вызываться очень часто и тебе просто надоест жать f9. Но следует вспомнить, что программа в ожидании твоего нажатия на кнопку «крутиться» в бесконечном цикле. А значит ты можешь без проблем попасть на начало подпрограммы не перезагружая прогу. Для этого поствь бряк на начало подпрограммы и нажми f9. Ты окажешься в начале подпрограммы и сможешь посмотреть адрес возврата стэке. Перейти и посмотреть, что там - а там ещё одна подпрограмма. Но без перезагрузки проги ты сможешь «гулять» не долго. Очередной раз переходя на адрес возврата ты попадёшь сюда:

А это и есть тело цикла, в котором прога ждёт нажатия на батон. Теперь, чтобы посмотреть адресс возврата из этой подпрограммы нужно ставить бряк и перезагружать прогу (ctrl+f2). Нашел адрес возврата? Отлично. Похоже ты попал куда надо
 

Чтобы проверить, что вызов окна происходит именно здесь, можешь поставить бряк на 004072DD и перезагрузить прогу. Этот бряк сработает до того, как появиться окно. Когда бряк сработал меняй CALL на кучу nop’ов. И наслаждайся результатом, который следует сохранить.
На этом заканчиваю свой рассказ.

Заключение.

Это мой первый взлом защиты проги. Ломал я её 2 часа имея ноль знаний о взломе(на туториал ушло в 2 раза больше времени). Если тебе скажут – ломай крэкмисы и ты станешь крутым крэкером – это неправда, так как я до этого взлома сломал только один тупой крэкми (больше не ломал, потому что не в кайф). Намного интересней написать крэкми или ломать защиты реальных программ. Если эта стотья помогла тебе в чём-нибудь – не ленись, расскажи об этом мне (емайл смотри на сайте). Критикам просьба не беспокоить. Я знаю, что сломать можно это всё и легче, и что у меня полно ошибок.

Благодарности:

Ct757/tpoc, SuRiV, Bill Prisoner/tpoc, IDA developers.

Наши новости

Новые события из жизни нашей лаборатории

Статьи

Статьи и переводы лаборатории TPOC

Программы

Программы лаборатории TPOC

Релизы

Здесь мы сообщаем Вам, какие творения скоро появятся

Ссылки

Ссылки на сайты, где можно найти больше информации

Наша лаборатория

История нашей лаборатории и ее члены