Esta joya tiene toda la pinta de estar comprimida. Como no tenemos ni idea de que compresor han utilizado para hacer un poco de magia, vamos a echar mano de un útil programita. Se trata del Gettyp. Este programa, disponible en http://w3.to/protools/ nos proporcionara toda la información necesaria para descomprimir correctamente el archivo. Vaya, parece ser que se trata del "ASPACK 1.083"
Estupendo, parece que ahora ya podemos echar mano del ProcDump para descomprimir el .exe y poder desensamblarlo. A ver si hay suerte hombre. :o)
Abrimos el Procdump y seleccionamos Unpack, seleccionamos el compresor aspack 1.083 y le indicamos la ruta hasta nuestro WB2000.exe. Una vez cargado el Winboost, volvemos a la ventana del Procdump y si todo ha salido bien veremos una ventanita como esta:
Pulsamos el boton y esperamos, esperamos..... esperamos....ahh, por fin nos sale una opcion para guardar el archivo descomprimido. Umm vamos a llamarlo WB2000ecd.exe mismamente. :o) Process succesfully unpacked!!! Estupendo. Vamos a probar ese WB2000ecd.exe a ver si funciona bien. Como la seda, pero sigue estando "unregistered" :o) jejeje.
Ok, desensamblamos la octava maravilla y vamos a ver esas "String References". Aaaaaaaaargggggg !!! pero que pasa aqui???
Calma calamar. :o)
Lo que sucede es que el programa tiene una protección anti Dasm que te acaba de acojonar. Newbie, tranquilo, toma un poco de aire y al ataque:
Bien, despues de este estúpido inciso..... ¿cómo quitamos esa protección?.
(Ya vas cargando otra vez el ProcDump)
Pulsamos el boton Pe Editor y abrimos WB2000ecd.exe. Más botoncitos, pulsamos "Sections". Vaya una ventanita, para variar. :o) Pulsamos sobre "CODE" y le damos al boton derecho del raton. Nos sale un menu y seleccionamos "Edit section". Abajo, donde pone "Section Characteristics" vamos a modificar el valor C0000040 por E0000020 , Pulsamos "ok", otra vez, otra vez y finalmente "EXIT".
Desensamblamos..........¡¡¡¡BINGO!!!
Ahora empieza lo interesante :o)
Veamos, ¿por donde atacar? ¿recuerdas que no nos ha salido ningun mensaje de error al introducir nuestro fake serial?. Tsche!! "String References", ciertamente has acertado. Veamos si hay algo interesante que nos aproxime a nuestro ansiado Serial.
Umm, encontramos una referencia a "Winboost 2000 has been registered succesfully" en :004C3325
Si miramos un par de páginas hacia arriba nos encontraremos un monton de referencias a lo que parecen ser numeros de serie. ¿? Al llegar al final de los numeros vemos:
He puesto el cursor en el salto que nos evita llegar a todos esos numeros de serie. Fijate en esa call justo anterior.
:004C318B CALL 00403E20 La seguimos a ver donde nos lleva. Tiene toda la pinta de ser la que comprueba nuestro serial.
Efectivamente, Si cargamos el SoftIce Podremos observar que en :00403E27 CMP EAX, EDX se compara nuestro fake serial (guardado en EAX) con el verdadero numero de serie (en EDX), con solo escribir "d edx" en el softice veremos nuestro ansiado Serial.
Ahora te preguntaras..... ¿como hago para que el SoftIce se pare justo ahi? Si no me sale mensaje de error ni nada!!!
Pues muy sencillo.
|
Cargamos el winboost con el softice. Escribimos nuestro nombre y fake serial (no pulses el boton todavia). Pulsamos control+d y ponemos un breakpoint en hmemcpy Tal que asi: "BPX HMEMCPY" volvemos al winboost y ahora si que pulsamos el boton. Boom!! aterrizamos en el softice, pulsamos F5, F11 Y vamos pulsando F12 varias veces hasta llegar al codigo del winboost. Una vez en el, ponemos el "BPX 00403E20" . Cerramos el winboost, volvemos a cargarlo y choff, aterrizamos en el SoftIce, justo antes de entrar en la call. Pulsamos F8 para entrar e ir traceando hasta llegar a la CMP EAX, EDX.
Y el resto ya lo sabes. ¿no? :o) Estas hecho un fiera!! ;o)
Estupendo, borramos todos los breakpoints con "BC *" salimos del softice y metemos el nuevo serial. Heeeeeey!! estupendo, era ese. (Pues claro, que te creias? jeje). Salimos del winboost y esta vez lo abrimos pero con el exe original , con el comprimido. Mec, ventanita de REGISTRADO. :o). Si monitoreas un segundito con el "Regmonitor" podras observar la ABSOLUTA ESTUPIDEZ DE ESTA PROTECCION. Si, lamentable, realmente lamentable. Nos hemos tirado un buen rato analizando este programa ¿para estoooo??
NOTA Para la gente de www.magellas.com:
------------------------------------------------------------------------------------
Tanta compresión y protección anti desensamblador para estoooo??
Señores, seamos serios.
Se han dejado ustedes la puerta de atras completamente abierta!!!!
Registro de Windows --STOP-- Imbecilidad Absoluta --STOP-- Para protegerlo asi mejor regalarlo --STOP-- Aprendan Ingenieria Inversa y algo más --STOP--
[HKEY_LOCAL_MACHINE\Software\Magellass\WinBoost 2000]
"Registered"="True"
Siiiiii !!!! Acojonante!!!
Todo el mecanismo de registro depende de si el programa encuentra esa clave en el registro.
"Registered"="True" <---- Ni siquiera comprueba su valor, solamente que exista !!!!!
Creo que no hace falta que te recuerde el propósito de estos
tutoriales. ¿no?
NOTA: Estos tutoriales pueden contener errores intencionados (puede ser que el autor se haya saltado la explicación de algún paso, errores en las direcciones de memoria......etc).
El objetivo es que aprendas a crackear y que tengas ideas propias. ;o)
*▒▒========-*-*-*-* P E R S O N A L G R E E T Z *-*-*-*-========▒▒*
Dasavant, Niabi, r00ster, ZEncrakz, Azrael, Klimpong, Zor
Conde-Vampiro, Mac-Crack, Killer_P, ASTAGA, Harvestr, Iczelion
JosephCo, Carpathia, Taylor, Tapu, Ivanopulo, EgoistE, Torn@do,
JUANDA, Leoworld, ReKiem, Neural_N, Netking, Russ97,
Mr.Pink and of course all WKT Members ;o)
*------------------*
|WHISKEY KON TEKILA|
|Mr.WhiTe [WkT!99] |
|http://wkt.tsx.org|
|http://ecd.tsx.org|
*------------------*
|
