Исследуем защиту WMMail Autoclicker'а

В этой статье я подробно распишу процесс распаковки программы и отлов ключа.



Инструмент:
IDR - Отладчик для Delphi приложений
OllyDBG - Отладчик + плагин OllyDump.dll
ImpRec - понадобится для восстановления импортов

Начнём с того что определим упаковщик, для этого я использую программу под названием ProtectionID

Как мы уже поняли - стандартным UPX'ом с ключём -d распаковать не получится.
Придётся распаковывать в ручную...

Для начала грузим упакованный файл в OllyDBG и оказываемся по адресу 005AF200, после чего прокручиваем в самый низ и видим такое:

Это прыжок на OEP, тобишь оригинальную точку входа, ставим на ней бряк (Я уже это сделал клавишей F2) и стартуем программу на выполнение клавишей F9. Программа выполнилась и мы оказываемся на точке останова, жмём 1 раз клавишу F8 (пошаговое выполнение) и нас перекидывает на OEP самой программы:

Программа распакована и находится в памяти, теперь нам надо сделать дамп.
Для того что бы сделать дамп воспользуемся плагином OllyDump, находится он в меню => Plugins => OlleDump => Dump Debugged Process, после чего откроется такое окошко:

Копируем адрес и снимаем галочку с Rebuild Import, после чего жмём кнопку DUMP и сохраняем распакованный файл.

Но радоваться пока рано, надо ещё восстановить импорты, делается это с помощью программы под названием Import Reconstructor

Что бы восстановить импорты запускаем упакованную программу и ImpRec, в нём выбираем процесс программы и в поле OEP вводим 1201EC

Нажимаем IAT AutoSearch и если всё сделали правильно появится такое сообщение:

Далее жмём на кнопку Get Imports и наблюдаем следующие:

Отлично, осталось только профиксить дамп! Для этого жмём кнопку Fix Dump и выбираем наш дамп, после чего полностью распакованный файл будет сохранён в папке с программой.

Переходим к "исследованию защиты"

Для этого грузим наш распакованный файл в IDR и заходим в обработчик события OnCreate

Отсюда мы видим, что в папке с программой должен быть файл activecode.key для того, что бы началась проверка лицензии.

После беглого осмотра строк я выяснил что ВСЕ проверки лицензии происходят в Button4.Click, и там же происходит генерация ключа в функции по адресу 00509310 (если вы захотите сделать кейген) Даже в обработчике OnCreate программа кликает на Button4.

Отловить регистрационный ключ не составляет проблем, ставим точку останова на адрес 00518050 и в стеке наблюдаем ключик:

Вводим этот ключ в программу и радуемся только что "купленной" лицензии:

Заключение:
Даже, казалось бы, на первый взгляд сложная защита имеет большой минус - это генерация ключа и хранение его в открытом виде.Так же если вы накроете чем то простым типо UPX'а то скрамблер вам, увы, не поможет (но от школьников защитит).

Скачать программу можно с офф сайта.