Уж извините за форму написания ведь он почти первый (че-то я в последнее время расщедрился)

Мини тутор по снятию триал-защиты с игр от Alawar`a

Инструмент: Shadow with bpmx да голова
Кролик : Игра "Разгадай код Да Винчи"

Как обычно приобрел очередной ComputerBild и на диске прилагаемом к нему нашлась игруха от алавара
"Разгадай Код Да Винчи". На все про все наиграться мне отвели 30 минут а игруха класная новый вариант
Lines.Поскольку я никогда не смотрю что мне нужно оттдать за то чтобы вдоволь насладится очередным
программным продуктом пришлось на время отложить работу и взятся за сей продукт.
При первом рассмотрении PEid нашел Aspr.Периодически лазить в реестр и что нибудь там чистить это не по мне.
Не долго думая обработал поделку stripper`ом.Получилось.Причем stripper сказал что триал инфы
не используются. Уже интересно ДА.
Однако продукт после распаковки запускаться не захотел и улетал в несуществующие адреса.
Как же так несправедливо получается уже потрачено 5 минут драгоценного времени впустую 8-( не отступать
рано продолжим. Загрузил дамп в shadow и своим трейсером дошел до места где вызываются не существующие адреса.
Выглядело это место примерно так call dword [4383a8] где по этому адресу лежало 00401440 естественно указывающее
вникуда. Беда но зачем же отступать. Я рассудил так раз такой call есть значит что-то не до конца обработало
дамп не доведя до ума т.е. при распаковке процедуры приведения проги до нормального вида не включались
а сидели в апи аспра т.е. где то же они есть.Поиском всех референсов на адрес 004383а8 нашлась интересное
место:

1 PUSH da_vinci.0040E36D ; /Arg5 = 0040E36D
2 PUSH DWORD PTR DS:[428F44] ; |Arg4 = 00000000
3 PUSH da_vinci.0042839C ; |Arg3 = 0042839C
4 PUSH da_vinci.004210DC ; |Arg2 = 004210DC ASCII "GetLocaleInfoW"
5 PUSH da_vinci.00420F50 ; |Arg1 = 00420F50 ASCII "kernel32.dll"
6 CALL da_vinci.0040E02F ; \da_vinci.0040E02F
7 JMP DWORD PTR DS:[42839C] ; da_vinci.0040D9F0
8 PUSH da_vinci.0040E24E ; /Arg5 = 0040E24E
9 PUSH DWORD PTR DS:[428F40] ; |Arg4 = 00000000
10 PUSH da_vinci.004283A8<---вот он адресок ; |Arg3 = 004283A8
11 PUSH da_vinci.004210EC а это то что должно быть --> ; |Arg2 = 004210EC ASCII "GetProcAddress"
12 PUSH da_vinci.00420F50 ; |Arg1 = 00420F50 ASCII "kernel32.dll"
13 CALL da_vinci.0040E02F ; \da_vinci.0040E02F
14 JMP DWORD PTR DS:[4283A8]
15 PUSH da_vinci.0040E2AA ; /Arg5 = 0040E2AA
16 PUSH DWORD PTR DS:[428F3C] ; |Arg4 = 00000000
17 PUSH da_vinci.004283B8 ; |Arg3 = 004283B8
18 PUSH da_vinci.004210FC ; |Arg2 = 004210FC ASCII "LoadLibraryW"
19 PUSH da_vinci.00420F50 ; |Arg1 = 00420F50 ASCII "kernel32.dll"
20 CALL da_vinci.0040E02F ; \da_vinci.0040E02F
21 JMP DWORD PTR DS:[4283B8] ; da_vinci.0040DA3A

Осмыслив данный кусок кода начинаю понимать что это то что надо однако ни одного референса на 1 строку
решаю рискнуть выставляю оер на строку 8 и жму F8 до 14 строки и о радость по адресу 4383a8 цифирки
меняются на почти (внимательно) валидные адреса.


1 PUSH da_vinci.0040E36D ; /Arg5 = 0040E36D
2 PUSH DWORD PTR DS:[428F44] ; |Arg4 = 00000000
3 PUSH da_vinci.0042839C ; |Arg3 = 0042839C
4 PUSH da_vinci.004210DC ; |Arg2 = 004210DC ASCII "GetLocaleInfoW"
5 PUSH da_vinci.00420F50 ; |Arg1 = 00420F50 ASCII "kernel32.dll"
6 CALL da_vinci.0040E02F ; \da_vinci.0040E02F
7 JMP DWORD PTR DS:[42839C] ; unicows.GetLocaleInfoW
8 PUSH da_vinci.0040E24E ; /Arg5 = 0040E24E
9 PUSH DWORD PTR DS:[428F40] ; |Arg4 = 00000000
10 PUSH da_vinci.004283A8 ; |Arg3 = 004283A8
11 PUSH da_vinci.004210EC ; |Arg2 = 004210EC ASCII "GetProcAddress"
12 PUSH da_vinci.00420F50 ; |Arg1 = 00420F50 ASCII "kernel32.dll"
13 CALL da_vinci.0040E02F ; \da_vinci.0040E02F
14 JMP DWORD PTR DS:[4283A8] <-видите куда теперь он указывает ; unicows.GetProcAddress

И так если использовать данную процедуру (их кстати 2 не небольшом расстоянии друг от друга
и дальше (естественно пропуская jmp`ы) можно полностью раскодировать импорт, он там небольшой
около 20 имен функций.Но вот зараза если внимательно приглядеться то можно заметить что GetProcAddress
находится не во всеми любимом kernel32.dll а в какои то херне под названием unicows.dll (Кстати
это микрософтовская библиотека я так не хера и не понял зачем она нужна.Плюс с ней программа не пожелала
запускаться. Чтож отступать поздно потрачено уже около 25 минут.Думаю дальше. Далее найдется
до фига желающих меня обласкать за то что я пошел обходным путем однако ничего не попишешь в тот
момент ко мне пришла такая идея. Я взял да подставил в эту микротаблицу импорта правильные адреса
всех фунции т.е. теперь по адресу 4283a8 лежал указатель не на unicows.GetProcAddress а на
kernel32.GetProcAddress.
Все прекрасно прога запустилась но функции триала остались. Думаю дальше ведь времени уже потрачено
около 40 минут.
Анализ данного импорта показал что wrapper юзает функции в том числе CreateFile и CreateProcess,
WriteProcessMemory т.е. по сути wrapper создает отдельный файл и потом его контролирует.
Что ж ставим бряки на эти функции и отпускаем прогу нажимаем в ней продолжать играть и вываливаемся
на создании файла game32.img.(нужно только поменять атрибуты для файла на Normal) Все вроде бы готово.
Уф.Глушим прогу Переименовываем его в game32.exe и пытаемся запустить и...... ОБЛОМ. Прога не
запускается. Думаю дальше. Посмотрим на oep (game32.exe) и видим что не все так просто просто там ничего
нет. Загружаем в олю родителя оставляем бряки на старом месте.СТАРТ. Проходим как описано выше до создания
дочки (game32....) жмем еще раз f9 и вываливаемся на бряке WriteProcessMemory первый пропускаем он просто
записывает дочку а вот когда прогавалится еще раз смотрим что же она пишет и о боги видим что в наш
game32... на место оер записывается 6 байт посмотрев в буфер запоминаем их а затем подправляем наш
game32.exe. все игра заработала..Облегчение.....

P.S. Я не знаю сколько продержится эта защита после опубликования данного минитутора пользуйтесь пока.

| Сообщение посчитали полезным:

specz пишет:
а вообще гавнотема, своих ломать - пиздец докатились..

Дык, вроде они только локализацией занимаются, игрухи не наши, или я ошибаюсь?
А вообще надо совершенствовать защиту и делать доступные цены, чтобы ломать было накладнее, чем купить.
В случае Starforce это начинает работать, лицензионный диск с игрой за 200руб купить реально, а копать StarForce долго и муторно.

| Сообщение посчитали полезным:

90 рублей - это дорого?
может у нихъ конечно защита хромает, но лучше бы тогда не выкладывали анвраппер на паблик, а просто распакованные ехе.. имхо

| Сообщение посчитали полезным:

specz пишет:
90 рублей - это дорого?

Ну насчет цены - это я в общем сказал.
А касательно алавара, то цены доступны, но надо поработать над защитой.
Ибо если не мы, так все-равно другие сломают без проблем.
В принципе мы показываем слабые места защиты.

| Сообщение посчитали полезным:

Привет всем. Не буду флудить просто пара вопросов:
1) Вы про какой Alawar толкуете? Судя по nfo REVENGE всё-таки RU.
2) Скажите в какой ещё конкретно игре Вы видели wrapper описанный Medsft-ом. В течении 2005-06 годов регулярно скачиваю с RU-сайта игры и потихоньку отламываю (для сына, сам не играю) - ни в одной локализованной игре я не встретил дополнительного WRAPPER-а, кроме "чуда Лёшки". Всё равно попробовал оба unwrapper-a, в качестве "кроликов" выступали следующие игры:
1. Все русские версии "медведей" (aka SnowyBear);
2. Фобос;
3. Маленькие бомберы (Артёмки Скакунова);
4. Загадки Египта;
5. Грибоед;
6. Братья драконы (вместе с оригиналом из COM, причём по 2 версии-где ещё был ASPR1.2);
7. Побег Макса;
8. Куриная месть;
9. Кристалликс;
10. Страйкболл;
11. Ферма Джо;
12. БитлДжу (вместе с оригиналом);
13. Электра;
14. Приключения диггера;
15. Братья гномы;
16. Alien Outbreak 2 (русская версия);
17. Чэбомен (вместе с оригиналом);
18. Метаморфозы;
19. TreasureMole (вместе с оригиналом);
Чудо-лечилка (+Get Serial) PE_Killa выдает: ERROR: Can't load resources!, от TSRH просто запускает игрухи и конкретно задумывается, даже когда убиваешь игру (в качестве операционки выступали XP SP2 и 2000 Server, на случай привязки к операционнке). Может я не те игрухи лечу или надо подсовывать Registrator.exe? Вот тут-то я затупил, ну ни одну из игр, скаченных с alawar.ru, вылечить с помощью предложенных средств не смог. Ещё раз повтарюсь- все перечисленные игрухи я отломал "вручную", 60 % из них юзают стандартные ASPR-ие API для своей защиты.

| Сообщение посчитали полезным:

MEW пишет:
Чудо-лечилка (+Get Serial) PE_Killa выдает: ERROR: Can't load resources!, от TSRH просто запускает игрухи и конкретно задумывается, даже когда убиваешь игру (в качестве операционки выступали XP SP2 и 2000 Server, на случай привязки к операционнке). Может я не те игрухи лечу или надо подсовывать Registrator.exe? Вот тут-то я затупил, ну ни одну из игр, скаченных с alawar.ru, вылечить с помощью предложенных средств не смог. Ещё раз повтарюсь- все перечисленные игрухи я отломал "вручную", 60 % из них юзают стандартные ASPR-ие API для своей защиты.
смахивает на старые версии враппера.. поищи в этом топике старые анрврапперы и попробуй =)

-----
Тут не могла быть ваша реклама

| Сообщение посчитали полезным:

Скачал Alawar Wrapper Protected Games UniCrack + KeyFinder v0.1 от LAMERZ GROUP, испробовал на медведях, грибоеде и дракончиках (дальше нет времени) - медведи выдают непонятную ошибку (пустая Messaga), остальные !!!This is not Wrapper ......!!!. К сожелению этих игр у меня нет: P.S. Was tested on Страйк Бол II v2.11,Секрет Да Винчи v1.0, Tiny Worlds v1.1,Flower Quest v1.0., но подозреваю, что они от одного и того-же разработчика (Alawar игры не разрабатывает), в таком случае речь идёт не о глобальном "ломе" всех игр от Alawar, а о "криворукости" конкретного разработчика.

| Сообщение посчитали полезным:

Nitrogen пишет:
ну вот ты пишешь такие симптомы и после этого у тебя поворачивается язык говорить:
Я создал патч ко всем играм с этого сайта. Все ломается тривиально

где ж тривиально-то?..

А все ломается путем пропатчивания 0 на 1... Эт только одна такая игра...Причем она ломается, но и чудит после этого...newborn пишет:
чё за юморная игра такая ? можно лицезреть линк ?

Да пож-та
Это сайт с играми (ко всем идет мой Патч)

www.shoecakegames.com/ref=WinStart

SH_UNIPATCH.v1.1[SI] скачать-

d.turboupload.com/d/1221528/SH_UNIPATCH.v1.1SI.rar.html

А это сайт их партнеров с играми другими, но с похожей защитой...

www.f1-software.com

К ним тоже подходит мой патч...

А вот и игра подкольщица....

www.f1-software.com/pilesotiles/index.php

| Сообщение посчитали полезным:

забанен за оскарбления участников форума
// PE_Kill

| Сообщение посчитали полезным:

specz дай линк на закачку этих шахмат. Я же только на основе двух игр делал, может гдето не так что, я исправлю...

specz пишет:
а вообще гавнотема, своих ломать - пиздец докатились..
1) ASProtect тоже наш - не будем ломать?
2) Это наша фирма игры распространяет, а сами игры далеко не наши...

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

www.alawar.ru/games/chess/

аспр это совсем другое дело, да к тому же просто когда цена смехотворная ещё надо ломать.. ёпт 3 бутылки пива..

| Сообщение посчитали полезным:

specz пишет:
а вообще гавнотема, своих ломать - пиздец докатились..
Надо же моралист .. А наживать деньги на своих не гавнотема ?

| Сообщение посчитали полезным:

MEW пишет:
Чудо-лечилка (+Get Serial) PE_Killa выдает: ERROR: Can't load resources!
ищи в exe последовательность байт 61 38 B8 00 меняй 00 на 01
(анвраппер сотри нафиг,от него толку меньше чем от рваной резинки)

| Сообщение посчитали полезным:

PE_Kill пишет:
Это наша фирма игры распространяет, а сами игры далеко не наши...
их делают программеры из Новосибирска... так что не говори то,в чём абсолютно не разбираешься!!!

| Сообщение посчитали полезным:

Регулярно беру в сети вещи на кредитки. Честно хотел КУПИТЬ игру для девушки Поддержать отечественного производителя. Но после получаса возни с корявой платежной системой, и бесконечного ожидания confirmation mail понял: проще взломать. Вот и поддерживай после этого "наших".

| Сообщение посчитали полезным:

osjka пишет:
Регулярно беру в сети вещи на кредитки
На чужие наверно кредитки-то

| Сообщение посчитали полезным:

Наши - не наши... Такие страсти

Да Вы че , народ, мне довелось мылом пообщаться с аффтаром всего лишь свободного Мода к одной знаменитой игре... Вот его базар -

" В игры играют дети, а когда кончаются игры - начинаются деньги, все совсем по другому"

Это как бы о том, что видите ли нельзя фриварный мод положить на диск и прислать друзьям.Правильно, пусть люди на модеме парятся, качая по 100 метров.

И какие-такие наши после этого ? Жадный издатель клоп на одной стороне - гордый пользователь-взломщик Вареза на другой.

Качаешь вообще Варез, креки ? Тогда здесь все наши... Предпочитаешь тратить килобаксы на софт ? Пнх с этого форума на Амазон или Озон...

| Сообщение посчитали полезным:

C_L_OHEHOK пишет:
анвраппер сотри нафиг,от него толку меньше чем от рваной резинки
За базаром следи.

specz
Посмотрел шахматы, серийник там именно этот, ХЗ че там алаварцы намутили.

PS По поводу своих, пусть сделают защиту, которую нельзя на автомате, с помощью 100 ассемблерных строчек сломать, может и не буду ниче писать, много писать - пальцы болят потом.

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

PE_Kill пишет:
PS По поводу своих, пусть сделают защиту, которую нельзя на автомате, с помощью 100 ассемблерных строчек сломать

Я, о том же.

| Сообщение посчитали полезным:

PE_Kill пишет:
Посмотрел шахматы, серийник там именно этот, ХЗ че там алаварцы намутили.

Этот серийник который лежит в SMSKEY нужен для запуска игры, т.е. если этот ключь (строковой параметр Key,адрес можно узнать в PACKINFO->000001C0) при запуске есть в реестре, то запускается полная версия игры. Для ручной активации похоже используется совсем другой номер.
Короче что-то типа такого.

| Сообщение посчитали полезным:

Вчера отломал 2 старых игры с Альвара - АСПР 1.21 - ручками дампил + взлом...
Всю душу вынули А вы говорите Унвраппер...

[q]игра подкольщица....[/q]

Ну чего, никто не смотрел ?

| Сообщение посчитали полезным:

Это ты пошутил так ? Попробуй сломать АСПР, который сразу на 2х ЕхЕ , причем связанных + проверки.
Там в принципе не в нем дело, а в хитрой триальной проверке.
Впрочем, не будем разводить флейм.

| Сообщение посчитали полезным:

Интересно тут у Вас, полнейший оффтоп и непринятие критики, от темы топика давно уже отошли. Сами просили потестить Unwrapper - потестили, потратили целый час личного времени на установку игр и тестирование, выводы тестов - всю теорию об Alawar wrapper в топку, авторам тулз, как это и не приятно, надо признать тупиковый подход и поблагадорить тестеров (ну хотя бы изменить название и назначение тулз). Тем более на кон поставлена Ваша репутация и репутация Ваших комманд, сколько ещё, как тут выражаются, "гавномасс" будут вспоминать Вашу матушку - и тут банном не отчистишся. Тему закрывать рано, может кто нибудь доделает Syd-ий Stripper, чтобы он исправлял регистрационные флажки и строки хотя бы к Asp1.23 (эта версия пока установлена на Alawar-их игрушках, тем более один флаг все уже знают - осталось дело техники) - этот Alawar crack будет более жизнеспособным. Поле для деятельности огромное, остальной флуд переносить в другую ветку - о морали "ломки" программ и о конкретных играх в частности. Спасибо что дочитали до конца.

| Сообщение посчитали полезным:

Ломал "Пиратскую Монополию": stripper'ом снял АЦПРОТЕКТ c register.exe в нём с помощю ресхакера посмотрел внутренности стрингов. Серийный номер на полочке пылится и ещё пару игр таким же мокарам

| Сообщение посчитали полезным:

MEW пишет:
авторам тулз, как это и не приятно, надо признать тупиковый подход


Это ты о чем?

| Сообщение посчитали полезным:

MEW Во первых можешь для начала почитать *.nfo файл к моей тулзе, где сказано, как отличить новую защиту, от старой. Во вторых, так как я триал в нашей команде, все мои релизы сначала усиленно тестируются, причем мою тулзу тестировал сам NJOY и твой камень полетел именно в его сторону. А я сомневаюсь что тулза у него не сработала и он ее выложил. В третих, я так понял что ты тестишь на играх, которые ХЗ когда качал, т.к. на коде давинчи уже давно стоит новая защита, которую мой анвраппер снимает. Так что сначала проверяй а потом бросайся словами, иначе ты не лучше сергея лося, он же мистер гандон.

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

Ссори за офтоп
PE_Kill пишет:
Так что сначала проверяй а потом бросайся словами, иначе ты не лучше сергея лося
"Ха молодца а то даже попробовать немогут руки кривые а кричать так профи"
прога на самом деле отличная все пашет на ура.

PE_Kill пишет:
иначе ты не лучше сергея лося, он же мистер гандон.
А меня чуть за оскарбления не забанил.

PE_Kill пишет:
причем мою тулзу тестировал сам NJOY
Прошу не бросаться камнями,но кто такой NJOY,серьезно не разу не приходилось слышать.
После прочтения можно удалить а если решишь ответить можеш в личку.

| Сообщение посчитали полезным:

Dark Star пишет:
А меня чуть за оскарбления не забанил.
Я его ники озвучил. NJOY - лидер REVENGE Crew.

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

2 MEW:
Ты действительно не разобрался!
Тулза замечательно работает!
Но только на новой защите (где регистратор уже запихан в игру, типа аля рамблер-игры)
PE_Kill - Респект!!! Класная тулза!
Всё работает!

-----
AutoIt

| Сообщение посчитали полезным:

N0iD пишет:
Ломал "Пиратскую Монополию":

Я ломал эту игру, но тогда на ней была старая защита без врапперов... Если надо - крек приаттачу...

| Сообщение посчитали полезным:

Vovan666 пишет:
Этот серийник который лежит в SMSKEY нужен для запуска игры, т.е. если этот ключь (строковой параметр Key,адрес можно узнать в PACKINFO->000001C0) при запуске есть в реестре, то запускается полная версия игры. Для ручной активации похоже используется совсем другой номер.
Короче что-то типа такого.
Посмотрел сейчас Трёхмерные шарики и спокойно зарегистрировал ключём из SMSKEY именно в ручную. Но получилось не сразу. После распаковки стриппером открыл в Рестораторе и извлёк ресурс как текстовый файл. Ключ игра принимать не хотела. Поставил перед ключём точку ( пробовал и =), игра принимала ключ, но после перезапуска требовала вновь регистрацию. Потом открыл распакованный екзешник в PE Explorer и скопировал ключ прямо в окне программы. Удалил лишние строки и вуаля, прога зарегистрирована и больше ничего не просит. Ну так вот, если скопировать этот ключ в блокнот, то там перед его началом присутствует ещё какой то код. В окне регистрации игры он не отображается. В место него пробелы.

| Сообщение посчитали полезным: