Amusons-nous avec l'assembleur .... (ACDSee v2.xx)

Par Nody

Logiciel : ACDSee 2.xx (la 2.22 est utilisΘe ici)

Source : trΦs facilement trouvable

Type de crack : mΘthode brutale pour choper un s/n

Niveau : apprenti

Outils : Soft-Ice, Θditeur hexa pour sauver le boulot, du temps, un peu de connaissance de l'asm

Intro.

ACDSee est un logiciel de visualisation d'images que tout le monde connait, et utilise, ne serait-ce que pour mater les images XXX illΘgallement importΘes d'Internet.

Il y a une Dialog Box qui se pointe de temps en temps et qui nous demande de nous enregistrer.

Cracker cette Dialog Box est assez simple, et τa a ΘtΘ dΘveloppΘe dans d'autres tuts. de mes confrΦres cracker. Nous on va faire autre chose : choper le bon s/n.

Attention !!!

Ce texte que vous lisez est un COURS, pour tenter de mieux comprendre l'assembleur. Si vous pensez avoir devant les yeux une mΘthode rapide et simple pour avoir votre s/n personnel pour ACDSee, c'est ratΘ, allez plut⌠t sur un site warez, et cherchez-y un gΘnΘrateur, ou mieux encore, achetez-le...

Reverse enginering d'ACDSee.

Tout d'abord, dΘmarrez ACDSee, et allez jusqu'α la Dialog Box de saisie du nom et du s/n.

Mettez le nom que vous voulez (j'ai mis "Nody CFC") et le reg. code de votre choix. Mettez un "bpx getwindowtexta" sous Soft-Ice et appuyez sur OK : on tombe 2 fois sous SI.

Comme je suppose que vous savez tracer un prog. (ou au moins l'utilisation des commandes "d" et "?" sous SI), je vous donne la source :

Il y a les commentaires α c⌠tΘ :

:00405C69 FFD7 call edi ; edi = GetDlgItemTextA

:00405C6B 8D44247C lea eax, dword ptr [esp+7C];eax = reg code

:00405C6F 8D4C243C lea ecx, dword ptr [esp+3C];ecx = nom

:00405C73 50 push eax ;sauvegarde du nom et du

:00405C74 51 push ecx ;regcode sur la pile

:00405C75 E846F8FFFF call 004054C0 ;routine de vΘrification

:00405C7A 83C408 add esp, 00000008 ;dΘcale la pile de 8

:00405C7D 85C0 test eax, eax ; eax = 0 ?

:00405C7F 7E6B jle 00405CEC ; si oui on saute (bad boy)

* Reference To: USER32.DialogBoxParamA, Ord:008Eh ; merci d'avoir acheter ACDSee

* Reference To: USER32.MessageBoxA, Ord:0195h ; vilain garτon

:00405D1C 81C468020000 add esp, 00000268

:00405D22 C21000 ret 0010 ; bye bye

Il y a donc un simple test de flag, qui nous envoie chier. Quand vous arrivez sur le test eax, eax en 00405C7D, sous SI, mettez 1 dans eax (r eax=1), et par enchantement, la version est enregistrΘe. Ne vous faites pas d'illusion, en redΘmarrant ACDSee la prochaine fois, vous verrez qu'elle n'est toujours pas enregistrΘe.

Nous savons que le call 004054C0 en 00405C75, a besoin de 2 paramΦtres placΘs sur la pile juste avant : c'est le push ecx qui contient le nom entrΘ et le push eax qui contient le reg code. Si vous essayez de tracer cette routine, au dΘbut vous vous direz que c'est facile, puis aprΦs que c'est chiant, et enfin, vous irez prendre une aspirine, aprΦs vous Ωtre perdu dans le code asm.

J'ai passΘ pas mal de temps α essayer de choper mon s/n, mais τa m'a assez pris la tΩte et j'ai prΘfΘrΘ utiliser une mΘthode brutale.

En fait, ACDSee ne crΘΘ pas le bon s/n en fonction du nom et le compare au s/n entrΘ, mais il fait la dΘmarche inverse : il chope le s/n que vous avez entrΘ, recompose une partie du nom avec, et le compare au nom entrΘ.

C'est parti, accrochez-vous :

:00405C6B 8D44247C lea eax, dword ptr [esp+7C];eax = reg code

:00405C6F 8D4C243C lea ecx, dword ptr [esp+3C];ecx = nom

En esp+7c, on a le s/n et en esp+3c, on a le nom. Evidement, le nom, on s'en tape pas mal. C'est le s/n qu'on va modifier α chaque passage tel que s/n := s/n + 1. Il y a un problΦme qui se pose d'entrΘe : esp+7c ne contient pas le s/n en tant que tel mais le code ASCII du s/n, donc il faudra Θcrire une routine en asm qui teste si le caractΦre est Θgale α ";" (code ASCII de ";" est 0x3A = 0x39+0x01 et 0x39 'est le caractΦre 9), et si il est Θgale α ";", on le remet α 0, et on incrΘmente le caractΦre α c⌠tΘ (par exple si on a "39", τa donnera "3;" aprΦs incrΘmentation du caractΦre α droite, et notre routine le transformera en "40" , OK ??).

Il faut tout d'abord connaitre le nombre de caratΦres qui compose notre s/n : on va utiliser ecx comme compteur :

: cmp eax, 00000000

: je (1)

DΘtails :

s/n :                  1         2        3         4        5         6        7         8        9         0

pointe en : [esp+7c] [esp+7d] etc .....

Or [esp+7d] = [esp+7c+1], d'o∙ l'utilisation du compteur ecx [esp+7c+ecx].

On initialise ecx α 10 (9 en fait car on a un dec ecx juste aprΦs) pour que le compteur n'aille pas au-delα de 9 caractΦres ie 9'999'999'999 au max. Evidemment, ce paramΦtre est modifiable.

Comme τa aprΦs ce premier algo, on a dans ecx le nombre de caractΦres qui composent notre s/n. Il reste plus qu'α l'incrΘmenter :

: jmp (2)               /

Attention : on a mis ecx sur la pile, ecx est un registre 32 bits donc 4 octets, donc on a dΘplacer la pile de 4 octets, d'o∙ on a un mov byte ptr [esp+ecx+80] au lieu de mov byte ptr [esp+ecx+7C] !!!! (0x80 = 0x7C + 0x04)

La  routine_3 est une routine spΘciale qui permet de passer de 999 α 1000 par exemple :

: mov byte ptr [esp+7C], al  ; et le replace en [esp+7c]

: jmp vΘrif ; retour α la routine de vΘrif'.

Il y a Θgalement la routine bye_bye :

: jmp vΘrif ; retour α la routine de vΘrif'.

Evidement, pas question d'Θcrire τa avec son pauvre Θditeur hexa, Soft-Ice nous permet d'assembler notre code α l'aide de la commande "a [adresse]".

Voici la source complΩte du reverse enginering d'ACDSee v2.22 avec les offsets (α assembler directement sous SI !!!). En noir : le code original et en rouge les offset modifiΘs.

:00405CF8 8A44247C mov al, byte ptr [esp+7C] ; routine 3

:00405D22 C21000 ret 0010

On sait que le jle en 0x00405C7F ne saut pas quand il a le bon s/n, c'est pourquoi juste aprΦs j'ai rajoutΘ un call ExitProcess. Il suffit de mettre un bpx sur la ligne avant ce call ExitProcess. Pourquoi ?? Vous allez entrer votre nom et votre s/n de dΘpart (je vous conseille de commencer α 1'000'000'000), puis α partir de ce moment, il va boucler, et boucler .... jusqu'α ce qu'il trouve le bon s/n et quand τa sera fait, le bpx posΘ permettra de stopper le programme et par la mΩme occcasion vous pourrez admirΘ le bon s/n d'ACDSee α l'aide d'un "d esp+7c".

Je vous prΘvient : c'est assez long. Sur mon humble K6-2 300 avec 32 Mo de SDRam, il balance 28600 s/n par seconde, et le mien Θtait :

nom : Nody CFC

s/n : 1130904563

Donc il a d√ balancer 130'904'563 s/n, soit 1h16 avant de le chopper !!!

Evidemment, vous pouvez sauvegarder ce travail α l'aide d'un Θditeur hexa en Θditant une copie d'acdsee32.exe.

Ce genre de cours est assez difficile α expliquer donc si vous avez des questions α poser, faites-le !!!!

nodless@usa.net

Merci α :

+Frog's Print

+Fravia

Cyberbobjr

La Main Rouge

ATP Team

le futur CFC.