The Art of Reversing by Ap0x - Tutoriali.org

The Serials – KeyFile & Registry
Rec smo resili jedan crackme koji koristi keyfajlove za cuvanje i
verifikaciju registracije. Ovaj put nas problem je dodatno otezan cinjenicom
da nam je pored nepoznatog formata keyfajla nepoznat i potreban sadrzaj
Registry baze. Pa prva stvar prvo, otvorite crackme Crackme3.exe koji se
nalazi u folderu Cas03 kako bismo zapoceli sa reversingom.
Da bismo uopste poceli sa resavanjem ovog problema potrebno je da
pronadjemo mesto gde pocinje algoritam za proveru tacnosti serijskog broja,
a ovo cemo saznati tako sto cemo analizirati standardan poziv ka pravljenju
dijaloga koji se nalazi ovde:
00401273 |. 6A 00 PUSH 0 ; /lParam = NULL
00401275 |. 68 93124000 PUSH Crackme3.00401293 ; |DlgProc = Crackme3.00401293
0040127A |. 6A 00 PUSH 0 ; |hOwner = NULL
0040127C |. 56 PUSH ESI ; |pTemplate
0040127D |. FF35 B0314000 PUSH DWORD PTR DS:[4031B0] ; |hInst = NULL
00401283 |. E8 6E050000 CALL DialogBoxIndirectParam; \DialogBoxIndirectParamA
Odavde vidimo da se MessageLoop koji obradjuje poruke koje mi saljemo
nalazi na adresi 00401293 na kojoj se sigurno mora nalaziti i “link” ka kodu
koji vrsi proveru tacnosti unetog serijskog broja. Iz ovog razloga odlazimo
tamo i skrolujemo kroz kod sve dok ne ugledamo ovo:
00401361 . E8 FC030000 CALL 00401762
00401366 . 68 39314000 PUSH 00403139 ; /Arg4 = 00403139
0040136B . 68 D1124000 PUSH 004012D1 ; ASCII "Regkey"
00401370 . 68 AA124000 PUSH 004012AA ; ASCII "Software\DFCG Crackme"
00401375 . 68 3D314000 PUSH 0040313D ; |Arg1 = 0040313D
0040137A . E8 D1020000 CALL 00401650 ; \Crackme3.00401650
0040137F . 84C0
TEST AL,AL
00401381 . 74 44 JE SHORT 004013C7
Ovaj kod sigurno predstavlja prvi deo provere tacnosti unetog serijskog
broja, odnosno predstavlja deo koji se odnosi na verifikaciju stanja Registry
baze. Pre nego sto udjemo u CALL na adresi 0040137A, videcemo sta se
nalazi u CALLu koji prethodi Registry check CALLu. Dakle ulazimo u CALL na
adresi 00401361 i vidimo sledeci kod:
00401782 |. 50 PUSH EAX
00401783 |. 6A 00 PUSH 0
00401785 |. E8 3C000000 CALL ;
0040178A |. 8B45 FC
MOV EAX,DWORD PTR SS:[EBP-4]
0040178D |. 0FC8
BSWAP EAX
0040178F |. 05 47434644 ADD EAX,44464347
00401794 |. 68 C4314000 PUSH Crackme3.004031C4
00401799 |. 50 PUSH EAX
0040179A |. E8 CD000000 CALL Crackme3.0040186C
koji se koristi za dobijanje unikatne informacije o nasem kompjuteru na
osnovu podataka koje vraca funkcija GetVolumeInformation. Ti podaci su
uvek vezani za hard disk na kojem se fajl nalazi. Posto se racunanje
Computer IDa zasniva na podatku koji je specifican za svaki kompjuter,
odnosno u ovom slucaju svaki hard disk, rezultati koje ce vam program
prikazivati, a koji se zasnivaju na ovom broju, drasticno ce se razlikovati od
onih koje cu ja dobijati.
Posle izvrsenja poziva ka GetVolumeInformation APIju rezultat se smesta na
vec alocirana mesta na koja pokazuje EBP. Posle ovoga EAX dobija vrednost
parametra koji se nalazi na adresi EBP-4, a ova vrednost se prvo menja
pomocu BSWAP komande, a onda se na nju dodaje 44464347h. Ova konacna
The Art of Reversing by Ap0x Page 84 of 293