Исследование программы Заказы и заявки 1.8

Сейчас на форуме: asfa, bartolomeo (+6 невидимых)

. 1 . 2 . >>

Посл.ответ	Сообщение
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 08 августа 2012 17:31 · Личное сообщение · #1 Приветствую. Решил поизучать эту программку. Хомяк: softstudio.ru/orders/ Стоит недорого, просто решил с чего-то начать. Запакована она UPX'ом, что не составило труда её распаковать. Как пишут на сайте программы, то в демо-режиме у неё есть какие-то ограничения. Из найденных мною, это были сообщения при старте программы, о том, что она незарегистрирована: И в меню Справочники -> Курсы валют: Так же при старте программа выдает окно для ввода регистрационного номера (но она не показывает его, если в поля были введены любые данные, даже неправильные). Это самое окно я убрал, чтобы оно не показывалось, даже, если данных в полях нет. А вопрос мой, как новичка, заключается в следующем: каким путём идти, чтобы в Olly отыскать места вызовов, как я понимаю getDlgItem, ведь это они изображены на скриншотах. Это нужно для того, чтобы убить окно с предупреждением при старте программы, ну и начать разбираться со вторым окном, которое выпадает при попытке открыть Справочники -> Курсы валют. Заранее спасибо.

Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 08 августа 2012 17:51 · Личное сообщение · #2 ge0rgich ну а как ты убрал Это самое окно я убрал, чтобы оно не показывалось, даже, если данных в полях нет. также убирай и остальные окна? ----- [nice coder and reverser]
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 08 августа 2012 18:01 · Личное сообщение · #3 Hellspawn Дело вот в чем. То окно, в котором вводятся регистрационные данные, оно программное. Т.е. программист нарисовал его, так сказать =) Выследил я его каким образом: запустил Олю, Seacrh for -> All referenced text strings. Получил такой нехилый список строчек. Привлекла меня сразу строка с надписью ASCII "Registration". Сделал Follow in disassembler и попал по адресу. Далее прошелся по шагам и заменил то, что требовалось, чтобы сработал JE. А вот как тут найти нужный мне GetDlgItem с текстом на кириллице - я не в курсе Да и ещё определить, кто и когда его вызывает. Вот в чём проблемка-то.
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 08 августа 2012 18:04 · Личное сообщение · #4 ge0rgich ясно, в OllyDbg можно искать кириллицу: alt+m (карта памяти), выделяешь свой ехе, потом правой кнопкой search и в поле ascii прямо по-русски пишешь, попробуй. ----- [nice coder and reverser] \| Сообщение посчитали полезным: ge0rgich
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 08 августа 2012 18:15 · Личное сообщение · #5 Hellspawn Когда я вбиваю в поле Search кириллицей, то буквы не отображаются Вбил туда адрес почтового ящика, который фигурирует в сообщении, и Оля нашла что-то. Затем перешёл в дампе по этому адресу, который она мне указала. Оно или не оно, пока сказать не могу. Как действовать дальше?
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 08 августа 2012 18:18 · Личное сообщение · #6 вообще это очень похоже на реальную демку 0040EDB4 - процедура проверки ключа после проверки прога в любом случае выходит на показ сообщения о демке. ищи команды типа MOV EDX,DWORD PTR DS:[7B3208] это _msgAlert \| Сообщение посчитали полезным: ge0rgich
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 08 августа 2012 18:21 · Личное сообщение · #7 Vovan666 Не совсем понял, что вы имеете ввиду под словами "реальная демка"? Функционал-то полной программы в ней есть. Сейчас поищу, что вы предлагаете. Спасибо.
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 08 августа 2012 23:32 · Личное сообщение · #8 При загрузке убрал окно с предупреждением. Теперь наступает самое весёлое - убирать окна в курсе валют и при этом заставить прогу показывать рабочее окно с курсами этих самых валют. Пока у меня ничего не вышло, я лишь только положил насмерть прогу с ошибками В общем, предупреждение, которое вылезает вызывается тут: Code: 0040517D CALL Orders.0040EDB4 ; Тут собственно происходит вызов и проверка регистрации, как и писал Vovan666 00405182 MOV EDX,DWORD PTR DS:[7B3208] ; Orders._msgAlert Помогите, пожалуйста, с процедурой проверки ключа. Благодарствую.
DimitarSerg Ранг: 253.5 (наставник), 684thx Активность: 0.26↘0.25 Статус: Участник radical	Создано: 08 августа 2012 23:57 · Поправил: DimitarSerg · Личное сообщение · #9 ge0rgich Что значит помогите ? Трассируй, смотри, анализируй... Не думаю, что найдутся добродеятели, которые закейгенят за тебя (уже был опыт, когда закейгенили за просто так, типа ради интереса человека в реверсе, а оказалось не совсем так). Если интересует именно сторона реверса - разбирайся с функой сам (а она там не маленькая, и спец, который ценит свое время меньше чем за 100$ и пальцем не пошевелит), спрашивай конкретно - тогда помогут, а если нужно лекарство (кейген) - то либо в поиск специалистов, либо купи ! ----- ds \| Сообщение посчитали полезным: ARCHANGEL
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 09 августа 2012 00:24 · Поправил: Flasher-11 · Личное сообщение · #10 Попробуй использовать связку Оля + SourceRescuer, найдешь окно регистрации и адрес кнопки, а там и до кейгена не далеко ну или патча, главное упорство и тщательный анализ Попробуй поставить бряк на реестр, т.к ключ он там хранит DimitarSerg пишет: а патч - не интересно Кому как, мне лично больше патч нравится, но это дело вкуса. Vovan666 пишет: вообще это очень похоже на реальную демку Пожалуй соглашусь, т.к форма таковая вообще отсутствует
DimitarSerg Ранг: 253.5 (наставник), 684thx Активность: 0.26↘0.25 Статус: Участник radical	Создано: 09 августа 2012 00:59 · Поправил: DimitarSerg · Личное сообщение · #11 Flasher-11 пишет: найдешь окно регистрации Code: procedure TdlgRegistration.OKBtnClick(Sender: TObject); begin // Address $428414 end; и че дальше ? Ниже пробежавшись видно считывание серийника по частям: Code: CALL <Orders.TControl::GetText(void)> И что серийник лежит в реестре тут: Code: HKEY_CURRENT_USER\Software\ATStudio\Orders Параметр Registration Так что толку с этого всего 0 и до кейгена все же далековато, если он хочет разбираться в проверке ключа - пусть разбирает(адрес функи есть, осталось подключить мозг), а патч - не интересно ge0rgich Для упрощения создай мап-файл Идой или DeDe и подцепи его плагом MapImp ----- ds \| Сообщение посчитали полезным: ge0rgich
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 09 августа 2012 04:29 · Личное сообщение · #12 Code: /404B75/ JE SHORT 00404B9F===============>jmp /40CAF4/ PUSH EBP //FormShow=============>ret /405164/ PUSH EBP //actRateJournalExecute====>ret Чистой воды демка Vovan666 писал выше регистрация навешана для понтов ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
evggrig Ранг: 19.9 (новичок), 31thx Активность: 0.03↘0.01 Статус: Участник	Создано: 09 августа 2012 10:47 · Личное сообщение · #13 ПРи попытке удалить заказ тоже вылазит наг
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 09 августа 2012 10:48 · Поправил: ge0rgich · Личное сообщение · #14 Всем спасибо. Буду для начала пробовать сделать патч. Как появятся вопросы, то отпишу сюда. ClockMan, как это для понтов регистрация? У них на сайте покупается ключ, который вбивается в прогу. Или вы хотите сказать, что они обманывают? Не совсем понятно. evggrig, угу. Вчера нашёл этот наг.
evggrig Ранг: 19.9 (новичок), 31thx Активность: 0.03↘0.01 Статус: Участник	Создано: 09 августа 2012 10:55 · Личное сообщение · #15 ge0rgich http://rghost.ru/39664939 там пропатченый exe. Скорее всего при покупке высылают полную версию с ключем.
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 09 августа 2012 11:03 · Поправил: ge0rgich · Личное сообщение · #16 evggrig блин. Качал я этот пропатченный exe-шник. Халтура. Вы меня сердечно простите, но, вроде как, я в школе учился и читать умею. Это я про сайт программы: softstudio.ru/shop_item.php?idd=265498&codepage=0&currency=WMR Товар: текстовая информация (371 байт) Описание товара: Регистрационный ключ. Либо лыжи не едут, либо я - ... Такие дела, да.
ManHunter Ранг: 104.9 (ветеран), 46thx Активность: 0.04↘0.02 Статус: Участник	Создано: 09 августа 2012 11:30 · Личное сообщение · #17 ge0rgich пишет: Товар: текстовая информация (371 байт) что мешает в "текстовую информацию" включить еще и приватную ссылку на закачку полной версии программы?
negoday Ранг: 21.5 (новичок), 9thx Активность: 0.02↘0 Статус: Участник	Создано: 09 августа 2012 11:36 · Поправил: negoday · Личное сообщение · #18 Видел подобную защиту в программе Товар-Деньги-Товар, там демонстрационная версия отличается от полной тем, что туда нельзя ввести регистрационные данные - это первое, второе - в демо версии на каждую процедуру навешан наг, срабатывающий на разницу в документах 3 месяца. Таким образом ломание демо версии крайне трудоёмкое и малоперспективное занятие. Тут, видимо, та же ситуация. Нужна полная версия которую и нужно ломать. Судя по пиару сего сабжа на руборде - автор его воодушивился успехами фирмы провизион и решил идти тем же путём
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 09 августа 2012 11:38 · Поправил: Kindly · Личное сообщение · #19 ge0rgich пишет: У них на сайте покупается ключ, который вбивается в прогу. вот когда купишь, тогда и пришлют тебе с ключом FULL дистрибутив. опоздал ----- Array[Login..Logout] of Life
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 09 августа 2012 11:38 · Личное сообщение · #20 ManHunter Моему мозгу мешает описание: Регистрационный ключ. Ладно, как бы то ни было, я все равно собирался покупать прогу, но и исследовать её я не брошу. Вечером куплю эту "текстовую информацию (371 байт)" и отпишу, что там было А пока продолжаю вылавливать окна.
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 09 августа 2012 18:40 · Личное сообщение · #21 Итак, купил я серийник. Хочу отметить, что прислали именно серийник, а не как предполагали тут ссылку на полную версию и т.д. Серийник состоит из 5 блоков. Первый блок содержит только буквы, остальные блоки - буквы и цифры. После ввода серийника ограничения, как и заявлено на сайте, снимаются. Хотелось бы уточнить строки у ClockMan: Code: /404B75/ JE SHORT 00404B9F===============>jmp /40CAF4/ PUSH EBP //FormShow=============>ret /405164/ PUSH EBP //actRateJournalExecute====>ret С чего вы решили, что это именно демка? И каким путём идти сейчас, имея серийник - писать патч, убивающий наги и открывающий функционал, или же изучать как проверяется серийник?
evggrig Ранг: 19.9 (новичок), 31thx Активность: 0.03↘0.01 Статус: Участник	Создано: 09 августа 2012 18:54 · Личное сообщение · #22 ge0rgich Имея серийник проще сделать второе. Если делать первое то достаточно отследить последний оставшийся наг на удалении заказов. Два из них убираются если патчить так как написал ClockMan. Первый джамп похоже отвечает за вызов окна ввода серийника при запуске.
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 09 августа 2012 18:59 · Личное сообщение · #23 evggrig На удаление, на обновление курса валют еще наг висит. С ним я вообще ничего не понял. Пытался найти это окно в памяти (которое полсе нага будет появляться), но его нет
Vnv Ранг: 88.6 (постоянный), 50thx Активность: 0.04↘0.02 Статус: Участник	Создано: 09 августа 2012 19:02 · Поправил: Vnv · Личное сообщение · #24 ge0rgich Серийник проверяется здесь: 0040EDB4. Происходит замена 2D (-) на Z, перетасовка символов, замена из своей таблицы и сравнение: сумм некоторых символов, делений других символов и т.д. Разбирать весь механизм - влом. P.S. Посмотри ЛС.
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 09 августа 2012 19:06 · Личное сообщение · #25 Vnv да, спасибо. Выше уже говорили про этот адрес. Сейчас буду смотреть, как прога себя ведёт с валидным серийником.
Vnv Ранг: 88.6 (постоянный), 50thx Активность: 0.04↘0.02 Статус: Участник	Создано: 09 августа 2012 22:08 · Поправил: Vnv · Личное сообщение · #26 Vovan666 пишет: 0040EDB4 - процедура проверки ключа после проверки прога в любом случае выходит на показ сообщения о демке. При вводе "правильно" серийника вызывается Exception и процедура проверки серийника не доходит до своего логического завершения!!!
Vnv Ранг: 88.6 (постоянный), 50thx Активность: 0.04↘0.02 Статус: Участник	Создано: 09 августа 2012 22:24 · Поправил: Vnv · Личное сообщение · #27 Yes!!! ge0rgich Лови пролеченный: http://rghost.ru/private/39681978/2801d647694de53fe188c65306880459 Пароль на всё - твой ник, захочешь - удалишь ссыль.
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 09 августа 2012 22:36 · Личное сообщение · #28 Vnv Хм. Что-то он не пролеченный какой-то. Все наги на месте.
Vnv Ранг: 88.6 (постоянный), 50thx Активность: 0.04↘0.02 Статус: Участник	Создано: 09 августа 2012 22:41 · Личное сообщение · #29 ge0rgich пишет: Что-то он не пролеченный какой-то. А по подробней? У меня после ввода серийника "все единицы" - фунциклирует нормально.
ge0rgich Ранг: 5.4 (гость) Активность: 0.01↘0 Статус: Участник	Создано: 09 августа 2012 22:44 · Личное сообщение · #30 Vnv, а. Ну дык надо было предупредить, что какой-нибудь серийник вбить надо ) Собственно, хотелось бы пояснений, как и что вы сделали?

. 1 . 2 . >>

Для печати