Программулина по фэншуй http://feng-shui.net.ru/fenshui/FenShui4.0.exe
Сначала защита показалась простой, но что-то посидел дня два, многое увидел, но проблему не решил. Но я не так уж много и знаю.

Что авторы правильно сделали, так это при вводе кода активации, если он неверный ничего не происходит, окон не выдается, так что и докопаться где проверка кода не так просто.

Программа привязывается к жесткому диску. Запрашивается номер виртуального диска стандартной функцией kernel32.GetVolumeInformationW. Мелькает номер лицензии в стеке. Пробовал ставить точки останова на память, чтобы поймать где он читает что-то ничего не вышло.

Ограничения программы состоят в том что годы расчета ограничены. Расчет ведется с 1998 года, а раньше выдается окно с предупреждением. Отследил я это окошко. Конечно его отключение ничего не дает. Это просто переферия. В адресе 0048ACAB просто ставим безусловный переход и окно не выдается.

Дальше, год меняется всегда на 1998. Это лечится занулением процедуры 004A46CA.

Пытался пойти от обратного, нашел процедуру в которой идет вывод информации в графической форме. По адресу 0049В66С. В этой процедуре данные читаются из массива в пами который расположен по адресу 008689F8, наел процедуру в которых и пишет в этот массив - 0043AEF0 и 0043E2D0.

Но пока не получается свести всё воедино.

В процедуре 0043A3A4 мелькают три строки в юникоде типа: ADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDINGPADDINGXXPADDI

и вообще мелькают разные цифры, ну записал, может думал как ключ ввести, нет не подходит. Да и в этой процедуре идет просто проверка года, чтобы он не выходил за рамки ограничений. Но в принципе должна производится проверка программы на зарегистрированность, иначе зачем проверять год?

Пока зашел в тупик, возможно кто-нибудь подскажет, что делать.

| Сообщение посчитали полезным:

Когда-то давно кейгенил (поищи на руборде), там банальный xor. Ищи константы:
0x12AC96ED
0x34AD56FE
и пляши от них.
ADDINGXXPADDINGPADDING... обычно это мусор который компиляторы добавляют в конец exe

| Сообщение посчитали полезным:

Можно фишингом.
Поставил бряк GetVolumeInformationA\W - пару раз брякнулся - дошел до адреса 00442C56, если немного потрейсить и увидишь серийник.

| Сообщение посчитали полезным: stoan

А ну да, сразу надо было плясать от GetVolumeInformationA\W, ключик увидел в стеке в явном виде. Спасибо, вопрос решен.

| Сообщение посчитали полезным:

Еще можно поставить бряк по этому адресу:

в EDX будет лежать ключик.

-----
We do what we want because we can.

| Сообщение посчитали полезным:

Як дети малые, подсмотр серийника это же банально.
Берем hwid 1111-1111-2222-2222-3333-3333
Переводим в 3 dworda 11111111,22222222,33333333
теперь
11111111xor34AD56FE=25BC47EF
22222222xor12AC96ED=308EB4CF
33333333xor34AD56FE=079E65CD
переводим в ключ
25BC-47EF-308E-B4CF-079E-65CD
Просто, не правда ли?

| Сообщение посчитали полезным: hlmadip, TLN, sivorog

Vovan666, так ты бы в первом посте это отписал они бы не мучались )

| Сообщение посчитали полезным: igorca

stoan писал: "Дальше, год меняется всегда на 1998. Это лечится занулением процедуры 004A46CA."

У меня вопрос от блондинко: как? (если делать в hex-editor)

| Сообщение посчитали полезным:

Mallia:
как? (если делать в hex-editor)

В смысле "Как делать зануление?"
Заполняешь где надо NOP (NO OPERATION - opcode: 0X90 on Intel 0x86 CPU). (http://en.wikipedia.org/wiki/NOP).
Если я, конечно, правильно понял вопрос...

-----
Give me a HANDLE and I will move the Earth.

| Сообщение посчитали полезным:

Ага, вопрос правильно понял Эх, я думала, мне кто-то готовый ответ даст, как мне в этом hex-эдиторе код занулить (на нолики поменять пробовала, оно ломается), я ж блондинка.
Но и на том спасибо! Пойду разбираться!

| Сообщение посчитали полезным:

блондинка c членом?

меняй на 0x90 а не 0x00

| Сообщение посчитали полезным:

SWR пишет:
блондинка c членом?

Почему с членом? Правда блондинка

SWR пишет:
меняй на 0x90 а не 0x00

Спасибо!

| Сообщение посчитали полезным: