Часто приходиться сталкиваться с прогами проверяющими ключ на сервере через интернет.
Вот хорошая прога для авторегистрации сайта в сотнях поисковых систем, красивый интерфейс, удобная.
www.addsite.ru/addsite.exe (2 метра)
Распаковывается caspr11 (Asprotect 1.1) При вводе ключа записывает его в config.dat в папке проги.
При подключении к инету выдает сообщение об успешности/неуспешности. Пока соединения нет глубокомысленно думает. Основное ограничение неактивный список поисковиков.
В связи с вышесказанным вопрос:
Как ломаются такие проги (я слышал с помощью эмулятора)? Или нужно делать хакинг самого сайта?

| Сообщение посчитали полезным:

нах.
полови функции из wininet..

| Сообщение посчитали полезным:

Либо эмулятором сервера, либо дампом рабочей программы, это же ASProtect, если второй режим то всё - без хотя бы одного ключа вообще не распакуется, а вот когда распакуется надо уметь сдампить...

| Сообщение посчитали полезным:

Сервер хакать? Блин, одни хакеры пошли... Что творится...
Делай инлайн патч... Файервол покажет адрес на который ломится прога, а ты ищи потом в проге что-то похожее... Вот...

| Сообщение посчитали полезным:

иногда бывает от введённого ключа формируется урл и читается по этой ссылке с помощью InternetReadFile (вроде бы так) и потом смотрит результат

| Сообщение посчитали полезным:

Функции ловил apimonitor-ом15b, ничего не наловил. Уже не впервый раз сталкиваюсь с прогами у которых не получается отловить функции (приходится ставить бряки на все распознанные процедуры или секцию рессуров. Пока ничего умнее не придумал)

За советы спасибо попробую.

John Freeman пишет:
это же ASProtect, если второй режим то всё - без хотя бы одного ключа вообще не распакуется

Но ведь все распаковалось caspr-ом или это не такая распаковка, которая нужна?

Что такое эмулятор сервера и где его взять?

| Сообщение посчитали полезным:

Функции:

wininet.InternetOpenA
wininet.InternetSetStatusCallback
kernel32.WritePrivateProfileStringA - запись данных в файл.
wininet.InternetCrackUrlA www.addsite.ru/cgi-bin/p21/get.pl
wininet.HttpSendRequestA
&wininet.InternetConnectA>
wininet.HttpOpenRequestA

Прога ломится по адресу:
www.addsite.ru/cgi-bin/p21/get.pl/&ver=&pass=1234567&isgood=verify&reference=aeb22378de3a2030ba032e955151a24b&verdb=0
1234567 - ключ
aeb22378de3a2030ba032e955151a24b - ID пользователя

Как ломать дальше?

| Сообщение посчитали полезным:

Установи Apache Server. Заставь программу ломиться на localhost/... и попробуй поискать значение, которое должен вернуть сервер в случае успешной регистрации. Часто это бывает что-то вроде строки: "+OK".

-----
MicroSoft? Is it some kind of a toilet paper?

| Сообщение посчитали полезным:

Astrolog
берешь снифер ТСР и смотришь чего улетает/прилетает, выясняешь какие данные нужны программе и даешь их ;)
а вот если кусок скрипта выполняется на сервере, тоды ой

-----
Подписи - ЗЛО! Нужно убирать!

| Сообщение посчитали полезным:

Зачем ставить севрер, если никакого от этого толку-один хрен вся работа будет в отладчике. Можно попробывать перехватить передаваемые пакеты на ИП (сниффер можно слить ТУТ http://www.tamos.com/files/cv5.zip ), который покажет фаервол и соответственно принимаемые обратно. Ну и смотреть, как обрабатывает прога полученные данные. Это как вариант.

| Сообщение посчитали полезным:

лол, пока вставлял урл, найс опередил.

| Сообщение посчитали полезным:

1) В новых asprotect и вообще в новых протекторах используется SSL туннель, с ним одним возни выше крышы даже с ключом(его как правило выдрать легко)
2) А я как раз и сделал акцент на режим - без ключа распакуется trial...

| Сообщение посчитали полезным:

Забыл добавить - ЕСЛИ тот самый режим, защита может быть и тупая...

| Сообщение посчитали полезным:

Вот такие пакеты показал снифер

Это отправляет прога:

x0000 B6 45 20 00 01 00 00 00-01 00 00 00 08 00 45 00 ¶E ...........E.
0x0010 01 0A 00 6E 40 00 80 06-D6 DF 3E 21 E0 BC D9 70 ...n@.Ђ.ЦЯ>!ајЩp
0x0020 2A 52 04 07 00 50 C0 CB-0D F6 FF 13 84 DC 50 18 *R...PАЛ.ця.„ЬP.
0x0030 22 38 37 CC 00 00 50 4F-53 54 20 2F 63 67 69 2D "87М..POST /cgi-
0x0040 62 69 6E 2F 70 32 31 2F-67 65 74 2E 70 6C 20 48 bin/p21/get.pl H
0x0050 54 54 50 2F 31 2E 31 0D-0A 55 73 65 72 2D 41 67 TTP/1.1..User-Ag
0x0060 65 6E 74 3A 20 54 65 61-6D 53 6F 66 74 20 57 69 ent: TeamSoft Wi
0x0070 6E 49 6E 65 74 20 43 6F-6D 70 6F 6E 65 6E 74 0D nInet Component.
0x0080 0A 48 6F 73 74 3A 20 77-77 77 2E 61 64 64 73 69 .Host: www.addsi
0x0090 74 65 2E 72 75 0D 0A 43-6F 6E 74 65 6E 74 2D 4C te.ru..Content-L
0x00A0 65 6E 67 74 68 3A 20 38-33 0D 0A 43 6F 6E 6E 65 ength: 83..Conne
0x00B0 63 74 69 6F 6E 3A 20 4B-65 65 70 2D 41 6C 69 76 ction: Keep-Aliv
0x00C0 65 0D 0A 0D 0A 26 76 65-72 3D 26 70 61 73 73 3D e....&ver=&pass=
0x00D0 31 32 33 34 35 36 37 26-69 73 67 6F 6F 64 3D 76 1234567&isgood=v
0x00E0 65 72 69 66 79 26 72 65-66 65 72 65 6E 63 65 3D erify&reference=
0x00F0 61 65 62 32 32 33 37 38-64 65 33 61 32 30 33 30 aeb22378de3a2030
0x0100 62 61 30 33 32 65 39 35-35 31 35 31 61 32 34 62 ba032e955151a24b
0x0110 26 76 65 72 64 62 3D 30- &verdb=0


Следующие 2 получает

0x0000 00 00 01 00 00 00 B6 45-20 00 01 00 08 00 45 20 ......¶E .....E
0x0010 00 2D C1 43 40 00 38 06-5E C7 D9 70 2A 52 3E 21 .-БC@.8.^ЗЩp*R>!
0x0020 E0 BC 00 50 04 07 FF 13-86 2F C0 CB 0E D8 50 18 ај.P..я.†/АЛ.ШP.
0x0030 E4 20 0B AE 00 00 30 0D-0A 0D 0A д .®..0....


0x0000 00 00 01 00 00 00 B6 45-20 00 01 00 08 00 45 20 ......¶E .....E
0x0010 01 7B C1 3C 40 00 38 06-5D 80 D9 70 2A 52 3E 21 .{Б<@.8.]ЂЩp*R>!
0x0020 E0 BC 00 50 04 07 FF 13-84 DC C0 CB 0E D8 50 18 ај.P..я.„ЬАЛ.ШP.
0x0030 E4 20 07 3D 00 00 48 54-54 50 2F 31 2E 31 20 32 д .=..HTTP/1.1 2
0x0040 30 30 20 4F 4B 0D 0A 44-61 74 65 3A 20 53 61 74 00 OK..Date: Sat
0x0050 2C 20 32 35 20 4A 75 6E-20 32 30 30 35 20 31 35 , 25 Jun 2005 15
0x0060 3A 32 38 3A 32 35 20 47-4D 54 0D 0A 53 65 72 76 :28:25 GMT..Serv
0x0070 65 72 3A 20 41 70 61 63-68 65 2F 31 2E 33 2E 33 er: Apache/1.3.3
0x0080 33 20 28 55 6E 69 78 29-20 6D 6F 64 5F 66 61 73 3 (Unix) mod_fas
0x0090 74 63 67 69 2F 32 2E 34-2E 30 20 46 72 6F 6E 74 tcgi/2.4.0 Front
0x00A0 50 61 67 65 2F 35 2E 30-2E 32 2E 32 36 32 33 20 Page/5.0.2.2623
0x00B0 50 48 50 2F 34 2E 33 2E-31 30 20 6D 6F 64 5F 67 PHP/4.3.10 mod_g
0x00C0 7A 69 70 2F 31 2E 33 2E-31 39 2E 31 61 20 6D 6F zip/1.3.19.1a mo
0x00D0 64 5F 73 73 6C 2F 32 2E-38 2E 32 32 20 4F 70 65 d_ssl/2.8.22 Ope
0x00E0 6E 53 53 4C 2F 30 2E 39-2E 37 62 20 72 75 73 2F nSSL/0.9.7b rus/
0x00F0 50 4C 33 30 2E 32 30 0D-0A 43 6F 6E 6E 65 63 74 PL30.20..Connect
0x0100 69 6F 6E 3A 20 63 6C 6F-73 65 0D 0A 54 72 61 6E ion: close..Tran
0x0110 73 66 65 72 2D 45 6E 63-6F 64 69 6E 67 3A 20 63 sfer-Encoding: c
0x0120 68 75 6E 6B 65 64 0D 0A-43 6F 6E 74 65 6E 74 2D hunked..Content-
0x0130 54 79 70 65 3A 20 74 65-78 74 2F 68 74 6D 6C 3B Type: text/html;
0x0140 20 63 68 61 72 73 65 74-3D 77 69 6E 64 6F 77 73 charset=windows
0x0150 2D 31 32 35 31 0D 0A 56-61 72 79 3A 20 61 63 63 -1251..Vary: acc
0x0160 65 70 74 2D 63 68 61 72-73 65 74 2C 20 75 73 65 ept-charset, use
0x0170 72 2D 61 67 65 6E 74 0D-0A 0D 0A 37 20 20 0D 0A r-agent....7 ..
0x0180 62 65 64 70 61 73 73 0D-0A bedpass..

Т.е., как я понял сообщение о неверном пути, а путь формируется из кода, который я ввёл
Если код правильный, далее ссылка по ID пользователя.

Теперь наверное в отладчике нужно искать слова
Connection: close
bedpass
Или шестнадцатеричные коды этих слов. Правильно я понимаю?
Правильность кода проверяется наличием пути к нему. Можно ли сказать однозначно, что это работает скрипт на серваке?

| Сообщение посчитали полезным:

Да еще забыл. Эти пакеты являются возвращаемым значением функции или процедуры?
Эмулятор сервера - это просто локальный сервер не обязательно Apache Server, а любой?
Здесь наибольший интерес представляет возможность взлома без излишнего трафика, такое может обеспечить только эмулятор?

| Сообщение посчитали полезным:

ребят, а никто исходников снифера не видел? не хочется все заново самой писать.

| Сообщение посчитали полезным:

snt_swetlana
Кто-то в соседних топиках на днях говорил, что в инете их полно. А, вот топик http://exelab.ru/f/action=vthread&forum=2&topic=2260 . Вопрос интересный, я бы тоже посмотрел сорсы, особо если сделано на уровне драйвера.

| Сообщение посчитали полезным:

мне тут посоветовали winPcap - отзывы про него есть?

| Сообщение посчитали полезным:

snt_swetlana пишет:
отзывы про него есть?
А исходники? ;)

| Сообщение посчитали полезным:

tcpdump.org смотри - там и ссылки и исходники

| Сообщение посчитали полезным:

Перенаправил прогу на локальный сервер. Теперь она там пытается найти скрипт, который бы указал, есть ли регистрационный ключ на серваке. Я ей подсунул левый скрипт. Она его внимательно просматривает и выдает результат типа есть ли ключ на сервере - нет ли ключа на сервере неизвестно. Теперь наверное займусь тем что отслежу сообщение и попробую пропатчить. Не знаю написать скрипт наверное нереально.

| Сообщение посчитали полезным:

ребят, а не оценочная версия commview есть?

| Сообщение посчитали полезным:

Я как-то пытался отломать очень похожую по интерфейсу и тоже оценочную версию (100% одна контора делала) и ничего не вышло =((

| Сообщение посчитали полезным:

snt_swetlana
Есть, могу дать линки в приват

-----
Подписи - ЗЛО! Нужно убирать!

| Сообщение посчитали полезным:

Всем привет, у меня аналогичная прога(точнее игра), бьюсь с ней больше недели. Использую только олей. и вот что нашел. Смысл такой есть ланчер который открывает демку или полную игру. Ланчер просит ключ(полученый через SMS). при вводе ключа проверяет длинну(8 символов), затем наличие соединения с инет-ом, после посылает запрос на офицальный сайт. запрос посылает некая sendto.

Вот здесь я и повис. Может кто подсказать - как обойти этот запрос. И что можно сделать.

| Сообщение посчитали полезным:

o11y пишет:
Может кто подсказать - как обойти этот запрос.
JMP

софт надо выкладывать, и показывать адреса где повис

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Сама игра www.sexsplash.ru/stats/download_sinparty.php

| Сообщение посчитали полезным:

и скрин где застрял

fda3_11.10.2010_CRACKLAB.rU.tgz - Снимок.JPG

| Сообщение посчитали полезным:

патчишь просто тут

и тут

и играешь с любым номером

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

.code:00401607 jz loc_4017D4
а можно тут занопить и сразу играть
add: грёбаная змейка))

| Сообщение посчитали полезным: