Amusons-nous avec l'assembleur .... (ACDSee v2.xx)

Par Nody

Logiciel : ACDSee 2.xx (la 2.22 est utilisée ici)

Source : très facilement trouvable

Type de crack : méthode brutale pour choper un s/n

Niveau : apprenti

Outils : Soft-Ice, éditeur hexa pour sauver le boulot, du temps, un peu de connaissance de l'asm

Intro.

ACDSee est un logiciel de visualisation d'images que tout le monde connait, et utilise, ne serait-ce que pour mater les images XXX illégallement importées d'Internet.

Il y a une Dialog Box qui se pointe de temps en temps et qui nous demande de nous enregistrer.

Cracker cette Dialog Box est assez simple, et ça a été développée dans d'autres tuts. de mes confrères cracker. Nous on va faire autre chose : choper le bon s/n.

Attention !!!

Ce texte que vous lisez est un COURS, pour tenter de mieux comprendre l'assembleur. Si vous pensez avoir devant les yeux une méthode rapide et simple pour avoir votre s/n personnel pour ACDSee, c'est raté, allez plutôt sur un site warez, et cherchez-y un générateur, ou mieux encore, achetez-le...

Reverse enginering d'ACDSee.

Tout d'abord, démarrez ACDSee, et allez jusqu'à la Dialog Box de saisie du nom et du s/n.

Mettez le nom que vous voulez (j'ai mis "Nody CFC") et le reg. code de votre choix. Mettez un "bpx getwindowtexta" sous Soft-Ice et appuyez sur OK : on tombe 2 fois sous SI.

Comme je suppose que vous savez tracer un prog. (ou au moins l'utilisation des commandes "d" et "?" sous SI), je vous donne la source :

Il y a les commentaires à côté :

:00405C69 FFD7 call edi ; edi = GetDlgItemTextA

:00405C6B 8D44247C lea eax, dword ptr [esp+7C];eax = reg code

:00405C6F 8D4C243C lea ecx, dword ptr [esp+3C];ecx = nom

:00405C73 50 push eax ;sauvegarde du nom et du

:00405C74 51 push ecx ;regcode sur la pile

:00405C75 E846F8FFFF call 004054C0 ;routine de vérification

:00405C7A 83C408 add esp, 00000008 ;décale la pile de 8

:00405C7D 85C0 test eax, eax ; eax = 0 ?

:00405C7F 7E6B jle 00405CEC ; si oui on saute (bad boy)

* Reference To: USER32.DialogBoxParamA, Ord:008Eh ; merci d'avoir acheter ACDSee

* Reference To: USER32.MessageBoxA, Ord:0195h ; vilain garçon

:00405D1C 81C468020000 add esp, 00000268

:00405D22 C21000 ret 0010 ; bye bye

Il y a donc un simple test de flag, qui nous envoie chier. Quand vous arrivez sur le test eax, eax en 00405C7D, sous SI, mettez 1 dans eax (r eax=1), et par enchantement, la version est enregistrée. Ne vous faites pas d'illusion, en redémarrant ACDSee la prochaine fois, vous verrez qu'elle n'est toujours pas enregistrée.

Nous savons que le call 004054C0 en 00405C75, a besoin de 2 paramètres placés sur la pile juste avant : c'est le push ecx qui contient le nom entré et le push eax qui contient le reg code. Si vous essayez de tracer cette routine, au début vous vous direz que c'est facile, puis après que c'est chiant, et enfin, vous irez prendre une aspirine, après vous être perdu dans le code asm.

J'ai passé pas mal de temps à essayer de choper mon s/n, mais ça m'a assez pris la tête et j'ai préféré utiliser une méthode brutale.

En fait, ACDSee ne créé pas le bon s/n en fonction du nom et le compare au s/n entré, mais il fait la démarche inverse : il chope le s/n que vous avez entré, recompose une partie du nom avec, et le compare au nom entré.

C'est parti, accrochez-vous :

:00405C6B 8D44247C lea eax, dword ptr [esp+7C];eax = reg code

:00405C6F 8D4C243C lea ecx, dword ptr [esp+3C];ecx = nom

En esp+7c, on a le s/n et en esp+3c, on a le nom. Evidement, le nom, on s'en tape pas mal. C'est le s/n qu'on va modifier à chaque passage tel que s/n := s/n + 1. Il y a un problème qui se pose d'entrée : esp+7c ne contient pas le s/n en tant que tel mais le code ASCII du s/n, donc il faudra écrire une routine en asm qui teste si le caractère est égale à ";" (code ASCII de ";" est 0x3A = 0x39+0x01 et 0x39 'est le caractère 9), et si il est égale à ";", on le remet à 0, et on incrémente le caractère à côté (par exple si on a "39", ça donnera "3;" après incrémentation du caractère à droite, et notre routine le transformera en "40" , OK ??).

Il faut tout d'abord connaitre le nombre de caratères qui compose notre s/n : on va utiliser ecx comme compteur :

: cmp eax, 00000000

: je (1)

Détails :

s/n :                  1         2        3         4        5         6        7         8        9         0

pointe en : [esp+7c] [esp+7d] etc .....

Or [esp+7d] = [esp+7c+1], d'où l'utilisation du compteur ecx [esp+7c+ecx].

On initialise ecx à 10 (9 en fait car on a un dec ecx juste après) pour que le compteur n'aille pas au-delà de 9 caractères ie 9'999'999'999 au max. Evidemment, ce paramètre est modifiable.

Comme ça après ce premier algo, on a dans ecx le nombre de caractères qui composent notre s/n. Il reste plus qu'à l'incrémenter :

: jmp (2)               /

Attention : on a mis ecx sur la pile, ecx est un registre 32 bits donc 4 octets, donc on a déplacer la pile de 4 octets, d'où on a un mov byte ptr [esp+ecx+80] au lieu de mov byte ptr [esp+ecx+7C] !!!! (0x80 = 0x7C + 0x04)

La  routine_3 est une routine spéciale qui permet de passer de 999 à 1000 par exemple :

: mov byte ptr [esp+7C], al  ; et le replace en [esp+7c]

: jmp vérif ; retour à la routine de vérif'.

Il y a également la routine bye_bye :

: jmp vérif ; retour à la routine de vérif'.

Evidement, pas question d'écrire ça avec son pauvre éditeur hexa, Soft-Ice nous permet d'assembler notre code à l'aide de la commande "a [adresse]".

Voici la source complête du reverse enginering d'ACDSee v2.22 avec les offsets (à assembler directement sous SI !!!). En noir : le code original et en rouge les offset modifiés.

:00405CF8 8A44247C mov al, byte ptr [esp+7C] ; routine 3

:00405D22 C21000 ret 0010

On sait que le jle en 0x00405C7F ne saut pas quand il a le bon s/n, c'est pourquoi juste après j'ai rajouté un call ExitProcess. Il suffit de mettre un bpx sur la ligne avant ce call ExitProcess. Pourquoi ?? Vous allez entrer votre nom et votre s/n de départ (je vous conseille de commencer à 1'000'000'000), puis à partir de ce moment, il va boucler, et boucler .... jusqu'à ce qu'il trouve le bon s/n et quand ça sera fait, le bpx posé permettra de stopper le programme et par la même occcasion vous pourrez admiré le bon s/n d'ACDSee à l'aide d'un "d esp+7c".

Je vous prévient : c'est assez long. Sur mon humble K6-2 300 avec 32 Mo de SDRam, il balance 28600 s/n par seconde, et le mien était :

nom : Nody CFC

s/n : 1130904563

Donc il a dû balancer 130'904'563 s/n, soit 1h16 avant de le chopper !!!

Evidemment, vous pouvez sauvegarder ce travail à l'aide d'un éditeur hexa en éditant une copie d'acdsee32.exe.

Ce genre de cours est assez difficile à expliquer donc si vous avez des questions à poser, faites-le !!!!

nodless@usa.net

Merci à :

+Frog's Print

+Fravia

Cyberbobjr

La Main Rouge

ATP Team

le futur CFC.