Статьи, Обзоры, Учебники

"Исследование FlipAlbum 5 Standart."
июль 2003 г.
Статья перепечатана с http://cracklab.narod.ru/doc/flipalb.htm



Хотя данная статья и написана довольно давно (2003г.), но, учитывая, что материалов по FlipAlbum в Рунете
практически нет, она, и сегодня, может быть полезной.

Tools: SoftIce 3.25 и выше Upx 1.72 QVIEW Brain обязательно...

Начнем наши исследования.
Попался мне , на днях, в руки диск Chip 12/2002 с Sharewares програмами. Покапавшись там я нарыл вот эту
прекрасную программу. Что она делает: программа для создания реалистичных "перелистываемых"
фотоальбомов с эффектами тени и быстрым переходом между изображениями. Закладки, смена "шкур",
воспроизведение аудио при просмотре, поиск изображений по комментариям и многое другое. Ну очень уж она
мне понравилась.
Запустивши программу увидим Nag-скрин - сколько нам осталось до окончания Trialа. Сразу отметим что окошко
не стандартное и ловить его на MessageBox, GetWindowText безрезультатно. Пробуем зарегистрировать, лезем
в Help и тут - опаньки загвоздочка - видим, что Registration не доступен.
Загвоздка так загвоздка. Ну да ладно если взялись то... Есть два способа: 1. Сделать так, чтобы Registration был
доступен, а после зарегестрировать. 2. Убрать все ограничения. Первый способ мне было лень делать(кто сделает
напишите art_a@bk.ru), копаться в недрах DLL-лок та еще запаковыных - ВРЕМЕНИ НЕ БЫЛО.
Второй способ, как говорит мой сосед цитирую: "Пропатчить может любой... даже самый маленький...".
Ну что смог то смог. Запускаем программу, нажимаем CTRL+D(тем самым мы активизируем SoftIce) ставим breakpointe: bpx GetLocalTime
жмем F5 и сразу попадаем в айс F11 и мы тут: (листинг взят из айса)
0167:0046B839 MOV CX, [ESP+OE] //день
0167:0046B83E MOV DX, [ESP+OA] //месяц
0167:0046B843 MOV AX, [ESP+08] //год
0167:0046B848 CALL 0046B5BC
0167:0046B84D FSTP REAL PTR [ESP+18]

Из этого листинга видно - записываем текущий день, месяц и год в регистры. Топчим F10 и попадаем сюда:

0167:005F78C5 CALL 004A0534
0167:005F78CA MOV EAX, [EBP-04]
0167:005F78CD MOV EDX, [EAX+00000974]
0167:005F78D3 MOV EAX, [006611B0]
0167:005F78D8 MOV EAX, [EAX]
0167:005F78DA MOV ECX, 0000001E
0167:005F78DF CALL //показывать сообщение или нет

Итак мы нашли где оно окошко выскакивает и почему. Вы уже наверное заметили, что мы находимся не
FlipAlbum.exe, а в Facommon.dll его системной библиотеки запакованой UPX 1.72 Так что прейдется
распаковывать, предварительно сохранив орегинал. Закрываем айс. Пишем в ком.строке :
UPX -d Facommon.dll
Распакованый Facommon.dll запихиваем в QVIEW находим байтики нашего Call и забиваем его 5 NOPами.
Сделали... Запускаем программу и видим NAG-окна НЕТУ!!! С чем себя и поздравим. Переведя часы на год вперед запустим программу. И на тебе неподавая не каких признаков программа
запустилась и зразу закрылась.
"Непонял" - скажишь себе. Я тоже себе сказал такое, но покавырявши дальше прогу увидил в чем же дело.
Проделываем все как было описано выше и после Call который мы забили идет еще одна проверка.

--------------SKIP----------------------------
0167:005F78F9 TEST EAX, EAX
0167:005F78FB JL 005F7902
0167:005F78FD CMP EAX, 1E //вот она
0167:005F7800 JNL 005F7919
0167:005F7802 MOV EAX, [EBP-04]
0167:005F7805 MOV BYTE PTR [EAX+00000950], 00

Меняем регистр JL 005F7902 на JMP 005F78FD, а также регистр JNL 005F7919 на JPM 005F7919.
Переводим часы на 10лет вперед запускаем программу и радуемся жизни -:) Все.
P.S. Запомните все материалы публикуются только в учебных целях и автор за их использование
ответственности не несет!!


SouL. июль 2003 г.