Отловить момент загрузки dll

Сейчас на форуме: zds, UniSoft (+5 невидимых)

. 1 . 2 . >>

Посл.ответ	Сообщение
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 04 апреля 2013 14:40 · Поправил: egorovshura · Личное сообщение · #1 Собственно как это сделать? Перехват LoadLibrary не помогает. Через нее почему-то очень мало библиотек загружается. Каким образом еще библиотека может быть загружена в память процесса. Как этот момент отловить?

tihiy_grom Ранг: 441.3 (мудрец), 297thx Активность: 0.41↘0.04 Статус: Участник	Создано: 04 апреля 2013 14:44 · Личное сообщение · #2 LoadLibraryA, LoadLibraryW на крайняк поставить галку в оле "Break on Load DLL"
Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 04 апреля 2013 14:50 · Личное сообщение · #3 если вручную грузить, то ловить надо CreateFile - чтение файла VirtualAlloc - выделение памяти под длл VirtualProtect - раставление атрибутов секциям. или что-то типа того.
Veliant Ранг: 301.4 (мудрец), 194thx Активность: 0.17↘0.01 Статус: Участник	Создано: 04 апреля 2013 15:12 · Личное сообщение · #4 LdrLoadDll еще а к ручному способу загрузки еще MapViewOfFile или ZwCreateSection
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 04 апреля 2013 15:17 · Личное сообщение · #5 Видимо перехват CreateFile будет самый надежный способ.
hors Ранг: 136.0 (ветеран), 360thx Активность: 0.27↘0.14 Статус: Участник Qt Developer	Создано: 04 апреля 2013 15:21 · Поправил: hors · Личное сообщение · #6 egorovshura пишет: Видимо перехват CreateFile будет самый надежный способ. Самый надежный способ, перехват NtCreateSection ----- http://ntinfo.biz
VodoleY Ранг: 488.1 (мудрец), 272thx Активность: 0.35↘0 Статус: Участник	Создано: 04 апреля 2013 15:55 · Поправил: VodoleY · Личное сообщение · #7 а как вам вариант вмпрота? у него вообще формирование либы в памяти идет. есть такое мнение что человек на вмпрот и наступил. что мешает в память загрузить мусор.. расшифровать его.. и использовать? правильно.. особо ничего. ток процедура муторная ----- Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....
tihiy_grom Ранг: 441.3 (мудрец), 297thx Активность: 0.41↘0.04 Статус: Участник	Создано: 04 апреля 2013 18:39 · Личное сообщение · #8 Человеку не мешало бы сразу всю инфу выложить а то сидим тут гадаем, а он может вообще не отпишется в этом топике.
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 05 апреля 2013 02:01 · Личное сообщение · #9 это не вмпрот. Видимо там что-то самопальное используется.
hors Ранг: 136.0 (ветеран), 360thx Активность: 0.27↘0.14 Статус: Участник Qt Developer	Создано: 05 апреля 2013 10:21 · Личное сообщение · #10 egorovshura пишет: это не вмпрот. Видимо там что-то самопальное используется. Если это не секрет, то может быть покажете файл? ----- http://ntinfo.biz
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 05 апреля 2013 22:36 · Личное сообщение · #11 hors пишет: Если это не секрет, то может быть покажете файл? Там 200 мб файлов. Если есть желание скачайте AQTime с сайта.
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 05 апреля 2013 22:55 · Поправил: ELF_7719116 · Личное сообщение · #12 egorovshura пишет: Если есть желание скачайте AQTime с сайта. http://downloads.smartbear.com/AQtimeDemo.exe 229 Мбайт. демо?! Там сетап что-то про HASP 12.49.1.14179 заикнулся и оказался прав. Есть еще Code: 30361AEE \|. B8 68584D56 MOV EAX,564D5868 30361AF3 \|. BB 00000000 MOV EBX,0 30361AF8 \|. B9 0A000000 MOV ECX,0A 30361AFD \|. BA 58560000 MOV EDX,5658 30361B02 \|. ED IN EAX,DX ; I/O command 30361B03 \|. 81FB 68584D56 CMP EBX,564D5868 30361B09 \|. 0F9445 E7 SETE BYTE PTR SS:[LOCAL.7+3] Короче, граждане бандиты, качаем сию гадость 2009 года выпуска(как сервис -run) http://rghost.ru/45073472
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 06 апреля 2013 01:37 · Поправил: egorovshura · Личное сообщение · #13 ELF_7719116 пишет: Короче, граждане бандиты, качаем сию гадость 2009 года выпуска(как сервис -run) http://rghost.ru/45073472 Это не в менеджере лицензий происходит, а в самой программе.
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 06 апреля 2013 08:16 · Поправил: ELF_7719116 · Личное сообщение · #14 egorovshura пишет: а в самой программе. AQtimeCoreEx.dll тут ? Code: offset +0x13320 \|> 8B4E 40 /MOV ECX,DWORD PTR DS:[ESI+40] 02CF3323 \|. 8D4424 10 \|LEA EAX,[ESP+10] 02CF3327 \|. 50 \|PUSH EAX ; /Arg2 02CF3328 \|. 51 \|PUSH ECX ; \|Arg1 02CF3329 \|. E8 4271FFFF \|CALL 02CEA470 ; \AQtimeCoreEx.02CEA470 02CF332E \|. 8BF8 \|MOV EDI,EAX В функции по offset + E7B0 прослеживаются UNICODE строки типа Your License Has Expired, ~~HASP forever~~... Code: 02CF33AE \|. 50 \|PUSH EAX ; /Arg3 offset +133AF \|. 51 \|PUSH ECX ; \|Arg2 02CF33B0 \|. 57 \|PUSH EDI ; \|Arg1 02CF33B1 \|. 8BCE \|MOV ECX,ESI ; \| 02CF33B3 \|. E8 F8C3FFFF \|CALL 02CEF7B0 ; \AQtimeCoreEx.+ E7B0
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 06 апреля 2013 17:34 · Личное сообщение · #15 ELF_7719116 Да, защита в AQtimeCoreEx.dll. Момент ее загрузки я и хочу отловить, чтобы пропатчить. Только там не все так просто. Даже если пропатчить вещи вроде License expired, прога работать не будет. Там используется шифрование. Т.е. просто пропатчить условные джампы недостаточно.
Dr0p Ранг: 72.3 (постоянный), 133thx Активность: 0.38↘0 Статус: Участник	Создано: 06 апреля 2013 18:05 · Личное сообщение · #16 Забавно, но с LWE ниодин предложенный метод не сработает
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 06 апреля 2013 20:03 · Личное сообщение · #17 Dr0p пишет: Забавно, но с LWE ниодин предложенный метод не сработает Что есть LWE?
neoBlinXaker Ранг: 17.0 (новичок) Активность: 0.02↘0 Статус: Участник	Создано: 06 апреля 2013 21:01 · Личное сообщение · #18 egorovshura пишет: Что есть LWE? Конь сферический
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 06 апреля 2013 21:12 · Личное сообщение · #19 egorovshura пишет: Момент ее загрузки я и хочу отловить, чтобы пропатчить. оно не мудрено, там защита поработала - LoadLibraryExW(и ей подобные) похуканы. Вызовы идут через aqReporter.dll. Можно туть глянуть: Code: offset+18844 \|. 8B45 10 MOV EAX,DWORD PTR SS:[ARG.3] 3031883E \|. 8B4D 0C MOV ECX,DWORD PTR SS:[ARG.2] 30318841 \|. 50 PUSH EAX 30318842 \|. 51 PUSH ECX 30318843 \|. 57 PUSH EDI 30318844 \|. FF15 FC303D30 CALL DWORD PTR DS:[303D30FC] // там в выделенке 2 PUSH и JMP в уже норм исполнение WinAPI 3031884A \|. 85C0 TEST EAX,EAX 3031884C \|. 8945 F8 MOV DWORD PTR SS:[LOCAL.2],EAX 3031884F \|. 74 55 JE SHORT 303188A6 Непосредственной загрузкой AQtimeCoreEx.dll занимается библиотека AQtimeCore.dll(кто бы мог подумать): Code: offset+1160F9 \|. 8BC8 MOV ECX,EAX 331160FB \|. BA 509E1233 MOV EDX,OFFSET 33129E50 33116100 \|. B8 44611133 MOV EAX,33116144 ; UNICODE "AQtimeCoreEx.dll" 33116105 \|. E8 DE74EFFF CALL 3300D5E8 Что я думаю по этому поводу: 1) Можно попробовать самому подгрузить AQtimeCoreEx.dll и эпично наплевать на AQtimeCore.dll(который тоже подгружается в процессе) 2) aqReporter.dll загружается вместе с главным .exe - он хукает WinAPI, мы хукаем его.
Dr0p Ранг: 72.3 (постоянный), 133thx Активность: 0.38↘0 Статус: Участник	Создано: 06 апреля 2013 21:30 · Личное сообщение · #20 egorovshura .. cce2_06.04.2013_EXELAB.rU.tgz - lwe.zip
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 07 апреля 2013 00:28 · Поправил: ELF_7719116 · Личное сообщение · #21 Короче, взял и просто возвратил 0 в EAX (AQtimeCoreEx.dll) где Code: .text:10013320 loc_10013320: ; CODE XREF: sub_100132F0+75j .text:10013320 ; sub_100132F0+A2j ... .text:10013320 mov ecx, [esi+40h] .text:10013323 lea eax, [esp+18h+var_8] .text:10013327 push eax .text:10013328 push ecx .text:10013329 call sub_1000A470 // XOR EAX, EAX... оптимизируем + выпиливаем HASP ) .text:1001332E mov edi, eax .text:10013330 add esp, 8 и все запустилось И по хфиг, что служба засова не работает. Единственное, что отмечу - второе окошко все же появилось, но на него попросту забил (дело времени). Вообще wtf оно вылазит, баг чтоли?! Прога - демо, часть функций недоступна. 3e26_07.04.2013_EXELAB.rU.tgz - show_main_window.PNG
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 07 апреля 2013 01:47 · Поправил: egorovshura · Личное сообщение · #22 ELF_7719116 Это только начало. Ты занопил вызов функции которая вызывает hasp_login. Надо еще патчить hasp_get_session_info. Но самое главное надо перехватывать hasp_decrypt и подсовывать нужное расшифрованное значение. Потому что hasp_decrypt возвращает GUID интерфейса, который потом используется в проге. И если не вернуть нормальное значение, прога просто ничего делать не будет. Попробуй, например, загрузить какой-нить exe (тот же AQTime.exe) и запустить профайлинг нажав зелененькую кнопку "пуск". По идее ничего не должно произойти, хотя на самом деле должно запуститься профилируемое приложение. На самом деле, с большой долей вероятности можно сказать, что trial и pro версии - это один и тот же бинарник. Отличие только в лицензии. Т.е. если hasp взращает trial, то приложение и ведет себя как триал, а если pro, то и приложение превращается в про.
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 07 апреля 2013 09:35 · Личное сообщение · #23 Насколько я понимаю, hasp_login ещ хэндл возвращает и через него работает(типа CreateFile). AQtimeCoreEx.dll. hasp_get_session_info ? Code: .text:1000B5C0 sub_1000B5C0 proc near ; CODE XREF: sub_1000D050+6Ap .text:1000B5C0 ; sub_1000E2B0+50p ... .text:1000B5C0 .text:1000B5C0 lpMultiByteStr = dword ptr -14h .text:1000B5C0 var_10 = dword ptr -10h .text:1000B5C0 var_C = dword ptr -0Ch .text:1000B5C0 var_4 = dword ptr -4 .text:1000B5C0 arg_0 = dword ptr 4 .text:1000B5C0 arg_4 = dword ptr 8 .text:1000B5C0 arg_8 = dword ptr 0Ch .text:1000B5C0 arg_C = dword ptr 10h hasp_decrypt тоже в AQtimeCoreEx.dll?! Типа выделяется динамически память, ложатся закриптованые байты и туда вызов идет? Кстати, не заметил, что защита проверяла, патчены ли dll или нет. Опять же, свой загрузчик можно записать в aqReporter.dll(который постановку хуков выполняет) egorovshura пишет: Т.е. если hasp взращает trial, то приложение и ведет себя как триал здесь? Code: signed int __stdcall sub_1000DEB0(int a1, int a2) { OLECHAR v2; // edi@1 int* v3; // esi@3 signed int result; // eax@4 int v5; // eax@1 UINT v6; // eax@6 OLECHAR v7; // ST04_4@10 OLECHAR v8; // ST04_4@12 BSTR lpsz; // [sp+10h] [bp-8h]@1 int v10; // [sp+14h] [bp-4h]@1 lpsz = 0; v5 = (int)SysAllocString(L"//hasp_info/feature/license/license"); v2 = (OLECHAR )v5; v10 = v5; if ( !v5 ) loc_100021D0(-2147024882); v3 = sub_1000D050((int)&v10, (OLECHAR )&lpsz); SysFreeString(v2); if ( v3 >= 0 ) { if ( SysStringLen(lpsz) ) { v6 = SysStringLen(lpsz); CharLowerBuffW(lpsz, v6); } if ( (unsigned __int8)loc_1000A650(&lpsz, L"trial") ) { (_WORD )a2 = -1; SysFreeString(lpsz); result = 0; } else { if ( (unsigned __int8)loc_1000A650(&lpsz, L"expiration") ) { v7 = lpsz; (_WORD )a2 = -1; SysFreeString(v7); result = 0; } else { if ( (unsigned __int8)loc_1000A650(&lpsz, L"perpetual") ) { v8 = lpsz; (_WORD )a2 = 0; SysFreeString(v8); result = 0; } else { SysFreeString(lpsz); result = -2147467259; } } } } else { SysFreeString(lpsz); result = v3; } return result; }
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 07 апреля 2013 11:47 · Личное сообщение · #24 ELF_7719116 Да hasp_login возвращает хэндл, который потом во все функции передается. Code: hasp_status_t hasp_login(hasp_feature_t feature_id, hasp_vendor_code_t vendor_code, hasp_handle_t handle); hasp_status_t hasp_get_sessioninfo(hasp_handle_t handle, const* char format, char* info); hasp_status_t hasp_decrypt(hasp_handle_t handle, void** *buffer, hasp_size_t length); Но если патчить, то можно на него забить. Все hasp функции прилинкованы к AQtimeCoreEx.dll. hasp_decrypt тоже там. sub_1000DEB0 берет xml который возвращает hasp_get_sessioninfo Code: <?xml version="1.0" encoding="UTF-8"?> <hasp_info> <feature> <featureid>320</featureid> <maxlogins>1</maxlogins> <concurrency> <export>network,display,local</export> <count>station</count> </concurrency> <vmenabled>false</vmenabled> <currentlogins>1</currentlogins> <license> <license>trial</license> <time_start>1364209198</time_start> <total_time>1209600</total_time> </license> </feature> </hasp_info> и используя msxml берет значение элемента license. Я пробовал подменять trial на perpetual, но это только изменяет текст в Help/About. Pro фичи не включаются. Я так и не понял где еще проверяется на триальность. Возможно hasp API есть и в других модулях.
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 07 апреля 2013 13:12 · Поправил: ELF_7719116 · Личное сообщение · #25 Слово Demo мне не нравиться - может версия изначально урезана и pro фитчи тут попросту отсутствуют. Одна зацепка есть еще в самом AQtime.exe: Code: 00450DD1 \|. 837D F8 00 CMP DWORD PTR SS:[LOCAL.2],0 00450DD5 \|. 75 04 JNE SHORT 00450DDB 00450DD7 \|. B0 01 MOV AL,1 00450DD9 \|. EB 02 JMP SHORT 00450DDD //убило: AL = 1, но, блиа, надо все равно сравнить! 00450DDB \|> 33C0 XOR EAX,EAX //где оптимизация? 00450DDD \|> 84C0 TEST AL,AL 00450DDF \|. 74 2E JE SHORT 00450E0F 00450DE1 \|. 8B45 0C MOV EAX,DWORD PTR SS:[ARG.2] 00450DE4 \|. E8 BF05FBFF CALL <JMP.&AQtimeRTL_блаблабла 00450DE9 \|. 68 01400080 PUSH 80004001 00450DEE \|. 6A 00 PUSH 0 00450DF0 \|. 6A 00 PUSH 0 00450DF2 \|. 6A 00 PUSH 0 00450DF4 \|. B9 0C0F4500 MOV ECX,00450F0C; ASCII "You are using AQtime Trial. This version cannot be controlled through COM." 00450DF9 \|. B2 01 MOV DL,1 00450DFB \|. A1 5CD64600 MOV EAX,DWORD PTR DS:[<&AQtimeRTL_bpl.@Comobj@EOleException@>] 00450E00 \|. E8 D70DFBFF CALL <JMP.&AQtimeRTL_bpl.ещеблаблабла> 00450E05 \|. E8 6E03FBFF CALL <JMP.&AQtimeRTL_bpl.@System@@RaiseExcept$qqrv> 00450E0A \|. E9 8C000000 JMP 00450E9B
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 07 апреля 2013 14:14 · Личное сообщение · #26 Думаю, что бинарник все-таки не урезан. Иначе зачем им делать проверку на perpetual в xml. About box не статичный, а изменяет "показания" в зависимости от лицензии. Также предыдущие версии были полноценными. Это место из AQTime.exe похоже на один из методов COM интерфейса. При запуске не из-под COM брейк там не срабатывает.
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 07 апреля 2013 14:48 · Личное сообщение · #27 Не совсем в тему, но все равно хочу спросить, ибо не понимаю. К примеру, в этой AQTime обычный WinAPI MessageBox(который потом вызывает MessageBoxTimeoutA и тд) вызывается через 100500 обёрток(wrappers), которые, в принципе, не нужны. Возможно я не модный или отстал от программистского прогресса, неужели вся эта ересь - нормальное явление?
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 07 апреля 2013 16:10 · Личное сообщение · #28 Я так понимаю первая обертка - это чтобы WinAPI типы вроде LPSTR превратить в стандартные типы Delphi вроде string. Следующие обертки могут быть для того, чтобы выдавать определенный тип сообщений, например ошибку. Дело в том что Delphi очень плохо инлайнит функции. С++ компилятор мог бы самостоятельно заинлайнить несколько слоев, а Delphi так не может.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 07 апреля 2013 19:02 · Личное сообщение · #29 Гм, может, qt framework используется? Вот и обёртки. ----- Stuck to the plan, always think that we would stand up, never ran. \| Сообщение посчитали полезным: Dr0p
egorovshura Ранг: 122.2 (ветеран) Активность: 0.04↘0 Статус: Участник	Создано: 07 апреля 2013 20:11 · Личное сообщение · #30 UI написан на дельфи (VCL).

. 1 . 2 . >>

Для печати