Приветствую.
Есть программа, была упакована ASPack. Защиту сняли, импорт восстановили, экзешка ззапускается, вроде работает даже
После долгого и мучительного (давно не было практики) анализа и поиска места проверки серийника выяснил следующее:
0) C++ Builder
1) при вводе серийник не проверяется, не считая длины а просто закрывается
2) он проверяется при запуске программы, где хранится - непонятно, ProcMon наталкивет на мысль, что все хранится в конфиге (ни к чему подозрительному не обращается прога наша больше), но похожих на хеши и пароли строчек там нет.
3) периодически через какие-то промежутки времени выскакивает диалог, и говорит мне, что я нехороший буратина. В окрестностях вызова диалога проверки также не нашел.
4) эта пакость при запуске 100500 раз считывает с файла по 1 байтику, чем сильно захламляет логи...

Собсно как можно выявить место проверки серийника при запуске? По логике я думаю, что нужно реверсить механизм чтения настроек, можно ли это как-то сделать красиво и быстро? Может проверенные методики, тулзы?

| Сообщение посчитали полезным:

Macr0s, почитай хотя бы Рикардо Нарваха (http://wasm.ru/series.php?sid=17).
"Реверсинг" процмоном - лишь частный случай изучения сабжа.

-----
z+7v+/Lq4CAtIO/l8OL76SD44OMg6iDv8O7i4OvzLiCpIMPu7OXwINHo7O/x7u0=

| Сообщение посчитали полезным:

Macr0s
Ссылку на прогу дай ибо как можно что-то советовать, разве что гадать...?

-----
We do what we want because we can.

| Сообщение посчитали полезным:

Возьми какую-нибудь прогу которая умеет делать снимки реестра и файлов и сравни снимки до и после ввода номера.

| Сообщение посчитали полезным:

Vovan666
Да зачем блин? не проще ли бряк на апи поставить?

GetPrivateProfileString
ReadFile
RegOpenKey

| Сообщение посчитали полезным:

inf1kek пишет:
Да зачем блин? не проще ли бряк на апи поставить?
Иногда нет. А уж ТС тем более.

| Сообщение посчитали полезным:

verdizela пишет:
сравни снимки до и после ввода номера.
прога может выдать меседж типа "перезапусти меня" а сама чекать серийник и, в случае его невалидности, она его в реестр и незапишет

| Сообщение посчитали полезным: ClockMan

Macr0s
Включи логику. Серийник либо поверяется при вводе, либо куда-то записывается. Проще отследить именно этот момент - здесь меньше посторонних вызовов.
Про мусор в логах - раз его много, то придется таки искать причину диалога про буратину.
Серийник может проверятся динамически на валидность - например если он из цифр, то буква просто взведет флажок и СЕРЬЕЗНОЙ проверки не будет.

| Сообщение посчитали полезным: Macr0s

tundra37 ты прав оказался, при вводе легкая проверка идет, скипаются все символы кроме hex цифр. Потом еще нашел прверку по таймеру В проге генерится аппаратно-зависимый ключ, так что кроме самой проверки придется искать место генерации ключа

| Сообщение посчитали полезным:

А что обычно используют для генерации аппаратно-зависимого ключа? В смысле методы получения информации о железе? WMI?

| Сообщение посчитали полезным:

Macr0s пишет:
А что обычно используют для генерации аппаратно-зависимого ключа?
GetVolumeInformation
cpuid
Так же можно из реестра получить кучу инфы (название и серийники харда, материнки, проца и т.д.)
HWID получить существует куча способов.

| Сообщение посчитали полезным: Macr0s

продолжение... SystemBiosDate (дата биоса) кроме GetVolumeInformation , которое любым дискэдитором подменяеца, можно получить железный( заводской ) серийник винта/флехи, были извраты прога считала дату производства видеокарты (точнее ее биоса). еще был маразм, прога собирала че может проц(поддерживаемые инструкции и т.д.) на основе этого генерила хеш.. вощем извратов хватает
З.Ы. WMI лиш способ достучаца до инфы, как ты ее буш получать.. хоть своим драйвером с ринг 0.... дело десятое

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

Macr0s пишет:
Есть программа, была упакована ASPack. Защиту сняли, импорт восстановили,
Какой такой ASPack защита? ASPack - простой упаковщик.
Macr0s пишет:
4) эта пакость при запуске 100500 раз считывает с файла по 1 байтику,
С какого файла? Может CRC считает?

Ух, всю ману потратил, аж вспотел.

| Сообщение посчитали полезным:

Konstantin не придирайся к словам А с файла данные считывает по 1 байту, на полном серьезе, там скорее всего какой-то хитрый парсер настроек самописный - влом разбираться было.
В итоге нашел я валидный серийник для проги и место куда оно его пишет, осталось кейген сделать. Пока копался обнаружил, что оно получает серийный номер винчестера и хитрым образом меняет в нем символы перед всеми операциями после этого руки опустились... Дальше тут всё очень весело. Запрос на серийник (система отзыв-пароль) не совпадает с тем, на основании чего проверяется валидность ключа, хитрая функция почему-то после 2го прохода по массиву (по которому проверяется валидность ключа) выдает валидный ключ

Патчить прогу не хочу, алгоритм генерации серийника тут размазан хорошо по нескольким функциям и сам по себе довольно веселый... Зато адрес валидного серийника находится ровно в 36 байтах от начала введенного серийника, но после закрытия его формы ввода бесследно стирается. Есть идеи, как его отловить run-time?

| Сообщение посчитали полезным:

"Пациента" бы увидеть, а то сеанс телепатии просто

| Сообщение посчитали полезным:

Macr0s пишет:
с файла данные считывает по 1 байту, на полном серьезе, там скорее всего какой-то хитрый парсер настроек самописный
Улыбнуло
Macr0s пишет:
Есть идеи, как его отловить run-time?
Странно, что до сих пор людям не лень гадать, чаще сразу закрывают такие топики, когда автору лень жертву выложить, а он рассказывает какая злостная и неимоверная защита там стоит...

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Isaev пишет:
когда автору лень жертву выложить, а он рассказывает какая злостная и неимоверная защита там стоит...
Не то чтобы лень, есть другие моменты:
1) интересны общие принципы действий в аналогичных ситуациях
2) после прямых подсказок типа "да тут по этому вот адресу проверка, по этому jmp по этому генерация сериала" как-то неохота самому копаться что да как

А прога вот:
http://superbot.su/botva.php

Кстати обнаружилась онлайн-проверка, придется патчить

| Сообщение посчитали полезным:

Macr0s пишет:
обнаружилась онлайн-проверка, придется патчить
Если онлайн-проверка грамотная, то патч не поможет

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Isaev пишет:
Если онлайн-проверка грамотная, то патч не поможет

Это если патч не грамотный

-----
zzz

| Сообщение посчитали полезным:

zeppe1in пишет:
Это если патч не грамотный
Смело!
простой пример:
post запрос с HWID и KEY, проверка в php если KEY не от этого HWID функционал на стороне сервера выполнился не правильно, скрипт пернул пару килобайт не верного ответа и на его основе пошли дальше не верные вычисления и всё пошло не так
что будешь патчить?

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Isaev
Встречный вопрос
А ты что, кейген будешь делать?
Если верный ответ, по дальнейшим вычислениям угадать не представляется возможным, то единственная валидная пара решит проблему, и за патчу правильный ответ.
Тут или патч, или сервер свой поднимать. Как наверное с любой онлайн проверкой.

-----
zzz

| Сообщение посчитали полезным:

Тут или патч, или сервер свой поднимать
Сервер не получится, т.к. это бот для игры. Да и задачка не стоит усилий - полный бот стоит 500р

| Сообщение посчитали полезным:

согласен что 500 не деньги. но вот мне надо поднять 10+ мультов на разных компах. я разорюсь покупать бота для разных машин))

насчет онлайн проверки:
1. для самого бота - написана программа которая дает правильный ключ. для бота ключ введен правильно и он считает себя зарегенным.
2. бот делает онлайн проверку - отсылается сгенеренный ключ(зависит от конкретного компа) и еще какая то инфа. какая - неизвестно пока что.
3. первую пару дней - приходит валидный ответ от сервера и бот работает. затем начинает приходить другой ответ и прямо в тексте ответа текст: "Прога не зарегена и т.д.", который бот выбрасывает в мессаж боксе при получении и завершает работу.
4. запрет серверов для онлайн проверки - не дает результатов, бот пытается в бесконечном цикле все таки получить онлайн проверку и не работает.
5. демо версией можно пользоваться выходит 2-3 дня, после этого твой хардварный ключ блокируется на сервере, и всегда приходит ответ что прога не зарегена.
6. подмена ответа онлайн-проверки на валидный - который приходил в первые пару дней - не дает положительных результатов, бот снова шлет постоянно запросы на проверку.
7. подмена запроса с помощью прокси на другой хардварный ключ - дает валидный ответ(на пару-тройку дней). но в целом не помогает. ответ от сервера приходит валидный судя по всему для того ключа - который был отправлен. НО, скорее всего бот делает проверку ответа на основе твоего хардварного ключа и она тоже не проходит.

Есть идеи?

Есть смысл делать хук на функцию которая возвращает например серийный номер винта, на основании которого вычисляется хардварный ключ?

| Сообщение посчитали полезным:

SomeSpy пишет:
Есть идеи?
Найти функу генерации хвида и сделать её рандомной+периодически генерировать ключ для нового хвида

| Сообщение посчитали полезным:

SomeSpy пишет:
Есть смысл делать хук на функцию которая возвращает например серийный номер винта, на основании которого вычисляется хардварный ключ?
Зачем её хучить то? Вызови просто и получи номер винта )))

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Isaev пишет:
Зачем её хучить то? Вызови просто и получи номер винта )))

и? что мне это даст? номер своего винта и я так уже знаю. надо то бота обмануть

| Сообщение посчитали полезным:

zeppe1in
Если верный ответ, по дальнейшим вычислениям угадать не представляется возможным, то единственная валидная пара решит проблему

Ну вот, уважаемый человек, а такое говорите. Вы же наверняка про криптографию слышали, и про взлом алгоритма только лишь при наличии определённого колчиства plain-text и crypted text. Одной парой тут всё явно не ограничится. Возможно, вы что-то другое имели ввиду?

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

ARCHANGEL Он имел ввиду запатчить эту пару вовнутрь бота

zeppe1in ....и за патчу правильный ответ.

| Сообщение посчитали полезным:

Ну а как это на сервере запатчить?

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

Ну а как это на сервере запатчить?
На сервере никак. В экзе можно запатчить, чтобы выдавал "правильный" HWID, который зареган. Естественно придется 500р отстегнуть.
SomeSpy : для самого бота - написана программа которая дает правильный ключ.
Или имелось ввиду : менять через 2 дня этот ключ - естественно вместе с HWID.

| Сообщение посчитали полезным: