The Art of Reversing by Ap0x - Tutoriali.org

Reversing CRC32 checks
Jedna od veoma cesto koriscenih anti-cracking tehnika je provera CRC
checksuma nekog fajla. Sta je to CRC CRC je tehnika koja omogucava
proveru sadrzine nekog fajla. Ona jednostavno uzme neki fajl, napravi
njegovu “sliku” i to pretvori u osmocifreni heksadecimalni broj koji
predstavlja unikatnu “sliku” posmatranog fajla. Posto CRC zavisi od sadrzine
fajla to znaci da razliciti fajlovi imaju razlicite CRCove. CRC je broj koji se
nalazi u rasponu od 00000000 pa do FFFFFFFF. Ovo ujedno znaci da ako
promenimo neki fajl patchovanjem promenicemo mu i CRC pa ce sam
program jednostavnom proverom znati da je modifikovan. Imajte na umu da
ako je ova zastita dobro implementirana u program bice vam potrebno
izuzetno mnogo vremena i zivaca da pronadjete gde se to tacno nalazi CRC
provera u programu koji reversujete. Primer koji sam ja za ovu priliku
napravio je veoma lak i necete imati nikakvih problema da ga reversujete.
Primer se nalazi ovde: …\Casovi\Cas7\CRC\crc32.exe, a sadrzi i pomocni fajl
crc32table.txt koji u stvari cuva enkriptovani CRC32 checksum crc32.exe fajla.
Primecujete da se u txt fajlu cuva CRC checksum koji program koristi da ga
uporedi sa svojim CRCom i pitate se zasto je to ovako Zasto program ne
cuva svoj CRC u samom sebi Pa odgovor je veoma jednostavan: Ako bi
program cuvao svoj CRC u samom sebi CRC bi se uvek menjao, ako
kompajlujemo program koji cuva u sebi jedan CRC, zbog tog broja CRC bi se
promenio, a ako bismo taj broj promenili u novi CRC, onda bi se CRC opet
promenio pa se zbog toga CRC cuva u posebnom fajlu ili u Registryju. Ako
startujete ovaj primer videcete da se pojavljuje standardan NAG ekran pre
samog startovanja i zatvaranja aplikacije. Ono sto moramo da promenimo u
ovom primeru je da ubijemo ovaj NAG. Ovo je veoma lako i to, ako ste citali
knjigu lepo sa razumevanjem, morate da znate da uradite sami. Kada ovo
uradite snimite fajl kao crc32.exe a stari reimenujte u crc32_1.exe. Ako sada
startujete crc32.exe fajl prikazace se poruka o pogresnom CRCu. Mozete i
nju naci i promeniti. Ovo je isto lako:
00451104 |. E8 DB3AFBFF CALL crc32.00404BE4
00451109 |. 74 40 JE SHORT crc32.0045114B
0045110B |. 6A 40
PUSH 40; MB_OK|MB_ICONASTERISK|MB_APPLMODAL
0045110D |. 68 C0114500 PUSH crc32.004511C0 ; |Title = "Error"
samo treba promeniti skok na adresi 00451109 iz JE u JMP i to je to. Kao sto
rekoh ovo je veoma laka “zastita”, dok ce vas lepo implementirana CRC
provera posteno namuciti. Pogledajmo malo ovu CRC zastitu koja pocinje na
adresi 00450ED0. Jednostavnim pregledom stringova videcemo da program
otvara fajl crc32table.txt i kopira crc32.exe u bak.bak da bi najverovatnije na
novom bak.bak fajlu proverio CRC. Ovo je zanimljivo posto kako vidimo
program koristi specificno ime crc32.exe a ne neku promenljivu u slucaju da
se ime exe fajla promeni. I ovo mozemo da iskoristimo. Iskopirajmo
crc32.exe u novi fajl new.exe i u new.exe fajlu samo ubijmo NAG. Ako sada
startujemo new.exe videcemo da nema NAGa ali da nema ni poruke o
pogresnom CRCu jer se CRC32 proverava na kopiji crc32.exe fajla a ne na
samom sebi, u ovom slucaju new.exe-u. Naravno ako u praksi nadjete ovako
glupu zastitu posaljite mi email programera koji ju je napisao da ga castim
pivom :) A posto sam ovako glupu zastitu napisao ja sam, mislim da cu
The Art of Reversing by Ap0x Page 132 of 293