Estupendo. Vamos a comprobar que compresor ha utilizado el autor. Para ello cargamos el Gettyp y le indicamos que abra el kyodai.exe.
Ummmf, aparece un error relacionado con el DOS. jeje. Parece que vamos a necesitar la version para DOS del Gettyp. Una vez localizado y configurado (realmente lo mejor es no configurarlo) abrimos la ventanita de Ms-Dos y escribimos "gt.exe kyodai.exe" ummmmm, nos dice que esta comprimido con el UPX. :o)
Ahora que ya sabemos que compresor ha usado el autor, abrimos el Procdump, seleccionamos unpack y le indicamos el UPX. Se carga el Kyodai... volvemos al Procdump y pulsamos el boton. Esperamos....., por fin nos sale una ventana para guardar la versión descomprimida del jueguecito. Vaya, si que estaba comprimido!! :o)
Es hora de volver al Wdasm a ver esas bonitas "string references".
Bingo!! ahora si que se ven
Tenemos que encontrar aquel feo mensaje de error que nos aparece al introducir un serial incorrecto.
Lo localizamos en :004648BC
Muy bien, estamos sobre la pista. Lo que necesitamos es evitar que el programa llegue a este mensaje. Así que subimos un poco y miramos desde donde se llega aquí.
Como podemos observar, al mensaje de error se llega desde un salto condicional en:
:00464886 7424 je 004648AC
Pero lo verdaderamente interesante es esa Call que aparece justo encima del salto, antes de comprobar el valor de AL.
Apuntemos el OFFSET porque será un buen lugar para empezar a jugar con el SoftIce. :o)
:0046487F
Cargamos en el SoftIce el archivo que hemos descomprimido antes con el procdump y nos las arreglamos para poner un Breakpoint justo en :0046487F. Para ello lo mejor es entrar en el Kyodai a traves de la funci≤n HMEMCPY y una vez que estamos dentro del código del kyodai ponemos el "bpx 0046487F".
¿Ya tienes puesto el bpx? :o) pulsamos F8 en el SoftIce para entrar en esa call e ir traceando el código (Pulsando F10).
Si antes de cargar el SoftIce te has pasado por esta call desde el Wdasm veras unas cosas muy interesantes. :o) Jejeje, el programador ha hecho una lista negra con los nombres de algunos de los mejores crackers, vaya... por ahi veo a mi amigo DASavant de [AnThraX] ;o)
A lo que ibamos: si te fijas en el código anterior a la famosa lista negra verás que en :004796B1 hay una call y justo despues un salto condicional que si lo seguimos.... nos saltamos toda la lista negra. Ummmmm, que cosas!! :o)
Entraremos en esa Call a ver que se cuece. (Pon un breakpoint en el SoftIce)
Traceando traceando llegamos a :00403D7B 39D0 CMP EAX,EDX
uMMM, ¿y si miramos el contenido de esos dos registros?
Escribimos "d edx" y obtenemos nuestro fake serial.
Escribimos "d eax" y obtenemos nuestro verdadero serial.
That's all Folks!!
Me temo que pronto vereis a alguien más en esa lista negra. :oD
Veamos donde guarda la información de registro. Porque el numero de serie seguramente lo guarde en alguna parte. Tras un monitoreo con el Regmonitor no vemos indicios de que utilice el Registro del Windows. Sin embargo, un minuto con el FileMonitor y descubriremos que Nuestro serial es almacenado en: Kyodai.ini
A pelo!! ni encriptación ni historias. Total... ¿para que? Si tengo una lista negra en el programa de asustar. (Si, asustar asusta, la verdad).
Una vez más nos topamos con otra absurda e inútil protección. Triste, pero real. :o(
Hasta la próxima. Mr.WhiTe [WkT!]
Creo que no hace falta que te recuerde el propósito de estos
tutoriales. ¿no?
NOTA: Estos tutoriales pueden contener errores intencionados (puede ser que el autor se haya saltado la explicación de algún paso, errores en las direcciones de memoria......etc).
El objetivo es que aprendas a crackear y que tengas ideas propias. ;o)
*▒▒========-*-*-*-* P E R S O N A L G R E E T Z *-*-*-*-========▒▒*
Dasavant, Niabi, r00ster, ZEncrakz, Azrael, Klimpong, Zor
Conde-Vampiro, Mac-Crack, Killer_P, ASTAGA, Harvestr, Iczelion
JosephCo, Carpathia, Taylor, Tapu, Ivanopulo, EgoistE, Torn@do,
JUANDA, Leoworld, ReKiem, Neural_N, Netking, Russ97,
Mr.Pink and of course all WKT Members ;o)
*------------------*
|WHISKEY KON TEKILA|
|Mr.WhiTe [WkT!99] |
|http://wkt.tsx.org|
|http://ecd.tsx.org|
*------------------*
|
