Регистрируем The Bat 2.0

Сегодня мы будум регистрировать хорошо
известную всем почтовую программу TheBat
версии 2.00.6.

Инструменты, которыми мы будем
пользоваться:

• отладчик SoftIce
• декомпилятор
  делфи форм DEDE

• hex-редактор
  hiew

Начнем. Для начала посмотрим чем
запакован главный файл программы "thebat.exe",
а еже ли не запакован, то на чем написан.
Сделаем это с помощью того же PEID, загрузим в
PEID "thebat.exe" и в меню программы выберем
"hardcore scan", увидим следующее: "Borland Delphi
6.0 - 7.0". Значит файл все же не запакован и
написан на delphi, скорее всего седьмой версии.

До версии 2.xx Бат защищался с помощью asprotect,
теперь, очевидно, авторы решили не тратить
зря денег и попробовать защитить его самим.
Вероятно это связано с существенным
подорожанием asprotect на рынке защит.

Что ж посмотрим, что получилось у авторов. Т.к.
это делфи приложение, исследовать будем с
помощью DEDE. Запустим DEDE откроем в нем файл
"thebat.exe" и нажмем кнопку "process",
после выполнения этого процесса нам
предложат провести дополнительный анализ
для нахождения нераспознанных процедур,
согласимся с этим  и немного подождем.
После того как DEDE завершит анализ, перейдем
во вкладку "Procedures", там присутствует
много форм, нам же нужна форма ввода
регистрационной информации. Выберем по
имени класса "TRegInputForm" и посмотрим ее
события:

FormCloseQuery 006A0D5C 0015 ; нам
нужно это событие
FormClose 006A0FD0 0010
bOKClick 006A1048 000F
bCencelClick 006A107C 0013
FormCreate 006A10B0 0011
_PROC_006A0E6C 006A0E6C FFFF
_PROC_006A0E6C 006A10D0 FFFF
_PROC_006A0E6C 006A1100 FFFF
_PROC_006A0E6C 006A1108 FFFF
_PROC_006A0E6C 006A117E FFFF

Дизассемблируем событие "FormCloseQuery",
щелкаем по нему правой клавишей мыши и
выбираем "disassemble". Теперь смотрим, что в
там происходит:

006A0D5C 55 push ebp
006A0D5D 8BEC mov ebp, esp
...вырезано...
006A0D79 55 push ebp
006A0D7A 68600E6A00 push $006A0E60

***** TRY
|
006A0D7F 64FF30 push dword ptr fs:[eax]
006A0D82 648920 mov fs:[eax], esp
006A0D85 8B45FC mov eax, [ebp-$04]

* Reference to control TRegInputForm.lPwd : TEdit
|
006A0D9F 8B80FC020000 mov eax, [eax+$02FC] ;

|
006A0DA5 E8EA22E5FF call 004F3094 ; получает
текст из поля "password", это поле имеет
атрибут visible=off, поэтому мы его не видим,
теперь это строка константа = "bat2"
006A0DAA 8B45B0 mov eax, [ebp-$50] ; помещается
по адресу eax
006A0DAD 50 push eax ; помещаем
eax в стек
006A0DAE 8D55AC lea edx, [ebp-$54]
006A0DB1 8B45FC mov eax, [ebp-$04]

|
006A0DBA E8D522E5FF call 004F3094 ; получает
текст из поля "Key Checksum"
006A0DBF 8B45AC mov eax, [ebp-$54] ; помещается
по адресу eax
006A0DC2 50 push eax ; помещаем
eax в стек
006A0DC3 8D55A8 lea edx, [ebp-$58]
006A0DC6 8B45FC mov eax, [ebp-$04]

|
006A0DCF E8C022E5FF call 004F3094 ; получает
текст из поля "The Bat! Key"
006A0DD4 8B45A8 mov eax, [ebp-$58] ; помещается
по адресу eax
006A0DD7 5A pop edx
006A0DD8 59 pop ecx

|
006A0E00 E83FE2E7FF call 0051F044 ; это
важная нам процедура, отметим ее, здесь
собственно и проверяется регистрационная
информация 
006A0E05 8B55FC mov edx, [ebp-$04] ;

* Reference to field TRegInputForm.OFFS_0360
|
006A0E11 81B860030000B8F00000 cmp dword ptr [eax+$0360], $0000F0B8 ; проверка,
равно ли значение по [eax+$0360], $0000F0B8? 
006A0E1B 7428 jz 006A0E45 ; если
значения равны, прыгает на адрес 006A0E45, иначе
продолжает 
006A0E1D 8B45FC mov eax, [ebp-$04]

|
006A0E20 E873B0E5FF call 004FBE98 ; сообщение,
о неверной регистрационной информации
006A0E25 8BD0 mov edx, eax

* Reference to: TeeLisB.TChartListBox.SetShowActive(TChartListBox;Boolean);
|
006A0E32 E8AD30E0FF call 004A3EE4 ;
здесь выводится сообщение, о неверной
регистрационной информации
006A0E37 8B45FC mov eax, [ebp-$04]

****** FINALLY
|
006A0E4D 68670E6A00 push $006A0E67с ; помещается
в стек, адрес возврата
006A0E52 8D45A8 lea eax, [ebp-$58]
006A0E55 BA03000000 mov edx, $00000003 ; помещается
в edx, 3

* Reference to: System.@LStrArrayClr(void;void;Integer);
|
006A0E5A E81140D6FF call 00404E70
006A0E5F C3 ret ; возвращается
на 006A0E67

****** END
|
006A0E67 5B pop ebx ; <- 006A0E67
006A0E68 8BE5 mov esp, ebp
006A0E6A 5D pop ebp
006A0E6B C3 ret

Теперь зайдем в отмеченную нами процедуру
по адресу 0051F044, где проверяется
регистрационная информация.

0051F044 55 push ebp
0051F045 8BEC mov ebp, esp
0051F047 83C4A8 add esp, -$58
0051F04A 8955F8 mov [ebp-$08], edx
0051F04D 8945FC mov [ebp-$04], eax
0051F050 33C0 xor eax, eax ; очищается
eax
0051F052 8945F4 mov [ebp-$0C], eax
0051F055 8D55A8 lea edx, [ebp-$58]
0051F058 8B45FC mov eax, [ebp-$04]
0051F05B B940000000 mov ecx, $00000040 ; помещается
в ecx 40h = 64 dec

* Reference to: System.Move(void;void;void;void;Integer);
|
0051F060 E89F3AEEFF call 00402B04 ; System.Move(void;void;void;void;Integer);
0051F065 8D45A8 lea eax, [ebp-$58]
0051F068 E86BFFFFFF call 0051EFD8
0051F06D 8D45A8 lea eax, [ebp-$58]
0051F070 E833FFFFFF call 0051EFA8
0051F075 66C745F2FFFF mov word ptr [ebp-$0E], $FFFF
0051F07B 8D45A8 lea eax, [ebp-$58]
0051F07E 8945EC mov [ebp-$14], eax
0051F081 33C0 xor eax, eax ; очищается
eax
0051F083 8945E8 mov [ebp-$18], eax
; начало цикла
0051F086 8B45EC mov eax, [ebp-$14]
0051F089 8B55E8 mov edx, [ebp-$18]
0051F08C 8A0410 mov al, byte ptr [eax+edx]
0051F08F 668B55F2 mov dx, word ptr [ebp-$0E]

* Reference to : TASN1Primitive._PROC_004484DC()
|
0051F093 E84494F2FF call 004484DC
0051F098 668945F2 mov [ebp-$0E], ax
0051F09C FF45E8 inc dword ptr [ebp-$18]
0051F09F 837DE840 cmp dword ptr [ebp-$18], +$40
0051F0A3 75E1 jnz 0051F086 ; цикл
проверки, после чего значение по [ebp-$0E]
должно быть F0B8 hex
; конец цикла
0051F0A5 66817DF2B8F0 cmp word ptr [ebp-$0E], $F0B8 ; если
значения равны - продолжает иначе прыгает
на 005205F2,
0051F0AB 0F8541150000 jnz 005205F2 ; где
выходит из процедуры и выводит сообщение о
некорректной регистрации
0051F0B1 8B45A8 mov eax, [ebp-$58]
0051F0B4 3D03459C00 cmp eax, $009C4503
0051F0B9 0F8FB70A0000 jnle 0051FB76
0051F0BF 0F8405150000 jz 005205CA
0051F0C5 3DF481CEC2 cmp eax, $C2CE81F4 ;
сравнивает eax с C2CE81F4 hex 
0051F0CA 0F8F57050000 jnle 0051F627
0051F0D0 0F84F4140000 jz 005205CA
0051F0D6 3D98DD60A1 cmp eax, $A160DD98 ; сравнивает
eax с A160DD98 hex 
0051F0DB 0F8FA6020000 jnle 0051F387
0051F0E1 0F84E3140000 jz 005205CA
0051F0E7 3D396C0092 cmp eax, $92006C39 ; сравнивает
eax с 92006C39 hex 
0051F0EC 0F8F53010000 jnle 0051F245
0051F0F2 0F84D2140000 jz 005205CA
0051F0F8 3D268EEC8A cmp eax, $8AEC8E26 ; сравнивает
eax с $AEC8E26 hex 
0051F0FD 0F8FA4000000 jnle 0051F1A7
...вырезано...
0052057F 7F12 jnle 00520593
00520581 7447 jz 005205CA
00520583 2D972F347B sub eax, $7B342F97 ;
вычитается из eax 7B342F97 hex

Не будем вникать в смысл этих проверок, а
просто пропатчим процедуру таким образом,
чтобы по [ebp-$0E] всегда было F0B8 hex и затем
происходил прыжок на адрес 005205D2, что
происходит в случае нормальной регистрации.

00520588 7440 jz 005205CA
0052058A 2D45659000 sub eax, $00906545 ; вычитается
из eax 00906545 hex
0052058F 7439 jz 005205CA
00520591 EB3F jmp 005205D2
00520593 2DE4C27D7C sub eax, $7C7DC2E4 ; вычитается
из eax 7C7DC2E4 hex
00520598 7430 jz 005205CA
0052059A 2DCBF5AE00 sub eax, $00AEF5CB ; вычитается
из eax 00AEF5CB hex
0052059F 7429 jz 005205CA
005205A1 EB2F jmp 005205D2
005205A3 3D7E11C07E cmp eax, $7EC0117E ; сравнивает
eax с 7EC0117E hex 
005205A8 7F12 jnle 005205BC
005205AA 741E jz 005205CA
005205AC 2DEACC947D sub eax, $7D94CCEA ; вычитается
из eax 7D94CCEA hex
005205B1 7417 jz 005205CA
005205B3 2D7AE40D00 sub eax, $000DE47A ; вычитается
из eax 000DE47A hex
005205B8 7410 jz 005205CA
005205BA EB16 jmp 005205D2
005205BC 2D0CB0767F sub eax, $7F76B00C ; вычитается
из eax 7F76B00C hex
005205C1 7407 jz 005205CA
005205C3 2D62AD3600 sub eax, $0036AD62 ; вычитается
из eax 0036AD62 hex
005205C8 7508 jnz 005205D2
005205CA 8B45A8 mov eax, [ebp-$58] ; в
eax помещается значение по адресу [ebp-$58]
005205CD 8945F4 mov [ebp-$0C], eax
005205D0 EB20 jmp 005205F2 ;
005205D2 8B55F8 mov edx, [ebp-$08]
005205D5 8D45A8 lea eax, [ebp-$58]
005205D8 B940000000 mov ecx, $00000040

* Reference to: System.Move(void;void;void;void;Integer);
|
005205DD E82225EEFF call 00402B04 ; System.Move(void;void;void;void;Integer);
005205E2 0FB745F2 movzx eax, word ptr [ebp-$0E]
005205E6 8B55F8 mov edx, [ebp-$08]
005205E9 0FB75209 movzx edx, word ptr [edx+$09]
005205ED 2BC2 sub eax, edx
005205EF 8945F4 mov [ebp-$0C], eax
005205F2 8B45F4 mov eax, [ebp-$0C]
005205F5 8BE5 mov esp, ebp
005205F7 5D pop ebp
005205F8 C3 ret

Т.о. эта процедура проверки правильности
регистрационной информации и вызывается
она всякий раз, когда нужно проверить эти
данные. Вызовем SoftIce, введем "addr thebat" и
поставим точку останова на начало
процедуры проверки 0051F044, для этого введем
"bpx 0051F044". Теперь отпустим SoftIce и
закроем TheBat. Запустим программу и окажемся
в отладчике в начале той самой  процедуры.
Теперь по F10 протрассируем код до адреса
0051FA5, или же поставим не него точку останова
"bpx 0051F0A5" и отпустим SoftIce, в любом случае
мы будем находится по адресу 0051F0A5, где
происходит сравнение значения по адресу
[ebp-$0E] с константой F0B8 hex. Запишем по [ebp-$0E] F0B8
hex, для этого введем в SoftIce команду "e
ebp-0E" и запишем B8F0 (в обратной
последовательности). Теперь введем "e
ebp-58+9" и запишем туда два нуля, т.к. в конце
процедуры от нужного нам числа F0B8 hex,
отнимается значение по адресу "ebp-58+9" и
если оно не равно нулю, число изменится, нам
же надо сохранить это значение по выходу из
процедуры.

005205E9 0FB75209 movzx edx, word ptr [edx+$09]
005205ED 2BC2 sub eax, edx ; F0B8 - 0 = F0B8

После этого отпускаем SoftIce и даем программе
запуститься. При этом пресловутое окно
отсчета времени пользования программой, не
появилось. Смотрим в окно "О программе",
надпись "UNREGISTERED EVALUATION COPY" исчезла,
вместо нее красуется "REGISTERED TO" и
беспорядочный набор символов вместо нашего
имени. Чтобы там стояло наше имя, нам надо
записать его по адресу после "ebp-58+9",
где мы вписывали два нуля. 

Теперь пропатчим thebat.exe, сделаем это с
помощью hex-редактора hiew. Запустим hiew,
откроем thebat.exe, нажмем F4 и выберем режим
дизассемблера, теперь перейдем по адресу
51f0a5, для этого нажмем F5 и введем этот адрес.
Нажмем F3, затем F2 и введем:

mov w, [ebp] [-0E], 0F0B8
lea eax, [ebp] [-58] [+9]
mov w, [eax], 0000
mov w, [eax+2], 31323300
jmp 11F9D2

31323300 - это опкод 123, на кого будет
зарегистрирована программа, можете
изменить это на ваше имя.

Вот собственно и все, теперь приведу,
произведенные в файле изменения:

0011E4A6: 81 C7
0011E4A7: 7D 45
0011E4AB: 0F 8D
0011E4AC: 85 45
0011E4AD: 41 B1
0011E4AE: 15 66
0011E4AF: 00 C7
0011E4B1: 8B 00
0011E4B2: 45 00
0011E4B3: A8 C7
0011E4B4: 3D 40
0011E4B5: 03 02
0011E4B6: 45 31
0011E4B7: 9C 32
0011E4B8: 00 33
0011E4B9: 0F 00
0011E4BA: 8F E9
0011E4BB: B7 13
0011E4BC: 0A 15

В процессе работы с программой нашел еще
одну серьезную недоработку, связанную с
защитой программы, с помощью которой любой
ничего не смыслящий в кракинге человек
может с легкость продолжить пользоваться
Батом после завершения пробного периода, не
переводя часы назад и ничего не меняя в
системных файлах. Как известно, после
завершения пробного периода программа
показывает соответствующее окно с тремя
кнопками: "OK", "EXIT" и "How To Buy",.
Если в одном из наших соединений стоит
опция "автоматически при старте
проверять почту" после нажатии кнопки
"EXIT" программа не выйдет, а предложит
завершить начатый сеанс связи, на что мы
ответим отказом, после чего поставим на
любом из представленных в списке
соединений опцию "Keep This Task". Теперь
сеанс связи будет всегда активен и
программа не завершит работу, а
следовательно мы снова сможем продолжать
ей пользоваться. 

Для нас это, конечно, не суть важно, скорее
это будет полезно самим разработчикам.

ЗЫ: Все написано единственно в учебных
целях, а не абы как...