Защита от редактирования ресурсов и форм и вообще EXE

[Pantalone]

Давно не заходил. Как я погляжу, на всяких кряклабах и васмах народ оказался весьма ленивый

хм...отучить прогу от проверки мне удалось, правда частично....те он проверяет, градиент выдаёт, только мессага всёравно выскакивает

Так удалось или нет? Что значит в твоем понимании отучить, чтобы работала без файла или изменить название кнопки или ее размер и местороложение?

У меня пока результатов почти нет.
Вся фишка в вызове функции CallByName. С ее помощью вызывается процедура отрисовки синего фона и проверки (так мне кажется). И вся загвоздка в том, что отладчик (Olly, WDASM) у меня не хочет ставить бряки, точнее выдает непонятную ошибку. И я не могу отследить адрес вызываемой процедуры...

Насчет проблем в отладчике, хочу понять, это заслуга проги или самого VB?

В общем, в данном случае защита оказалась не достаточно хорошей. В смысле, если бы автор зашифровал все строки, было бы еще труднее взломать... Но и сейчас - я остановился в пяти байтах от цели - зная адрес функции wertqwerkut, я бы эту защиту добил... Но пока что, увы, не могу =(

Ну дык первое что пришло в голову и вообще первая моя попытке на поприще защиты, скоро продукт выпускать, а навесную защиту покупать накладно, тем более что ее все равно сломают. Так хоть свою сделаю, интересно и бесплатно
Скажи, что значит если бы зашифровал все строки, что ты имеешь в виду?

Если глянуть в таблицу импорта проги, то видна функция Rgb из msvbvm. Она вызывается в проге всего один раз и как раз из процедуры wertqwerkut и используется для преобразования цвета (так как Pantalone рисует градиент ручками). Перейди туда, и ты окажешься прямо в "сердце" wertqwerkut...

Ну да, функция-то считай всего одна. Как думаешь, если бы их было сотня, легко было бы ее найти?

[AjaxVS]

>Скажи, что значит если бы зашифровал все строки, что ты имеешь в виду?
Я имел ввиду, что неплохо бы строки спрятать от отладчиков типа OllyDbg, SoftIce etc..
Приведу примитивный пример:
Было:
s="wertqwerkut"
Стало:
s=Chr$(&h77) & Chr$(&h65) & Chr$(&h72) & Chr$(&h74) & Chr$(&h71) & Chr$(&h77) & Chr$(&h65) & Chr$(&h72) & Chr$(&h6B) & Chr$(&h75) & Chr$(&h74)

Хотя бы так... Но лучше эти цифры еще нактрутить на несколько занавесок +_+

[Twister]

Насчет проблем в отладчике, хочу понять, это заслуга проги или самого VB?

Если б я знал...

[Pantalone]

Все, кто-то головастый патч сделал к моему крякми.
Ознакомиться можно тут

[Pantalone]

Кто-нить шарит в С, как это сделано и как обойти?

[Twister]

Да уж... А я и не додумался с этой стороны подойти. Да, diamond шарит... А метод действительно изящный...

[Pantalone]

Twister
Для тех кто в танке, что за метод-то собственно?

[AjaxVS]

Млин, ну какой это "изящный метод", епта... =( Это давно известный "гордиев узел".
А я уж было размечтался, что защиту действительно обошли...
Прочитал его "способ", даже прогу не стал качать - и так стало ясно...

Способ его схож со способом устранения ошибок в Windows Media Player - т.е. "лечение" - просто его выкинуть =(
Глупый и не надежный. Применим исключительно к крэкмису.

Для тех, кто в танке:
Допустим, ты проверял CRC по формуле:
(значение 1 байта) + (значение 2 байта) = 100.
Если результат не равен 100, то защита ругается.

Что предложил diamond:
Для обхода надо изменить значение 1 байта на "+1". Тогда для молчания защиты надо значение 2 байта изменить на "-1". Тупо, правда?

Для тех, кто не в танке:
Способ:
1. Считается по формуле определения CRC общее отклонение тех байтов, которые мы изменили.
2. На месте nop-ов (в пустых местах секторов) разница из п.1. восстанавливается.

Почему это плохой способ:
1. Далеко не каждый человек (читай - только 1 +_+) станет выкладывать txt с адресами рядом с exe.
2. Формула, по которой считается CRC может быть в свою очередь более защищена и более сложна. (и не надо пугать меня, что это - блоуфиш).
3. Сама система защиты так и не была взломана. Был взломан общий подход, который, по словам самого Pantalone, был изобретен в первый раз за его defence-карьеру. Говоря проще, защита сломана не была, ее просто обошли.

Ну а что делать дальше - по-моему ясно - совершенствовать защиту и не делать таких ошибок, как в этом crackme.
GL!

[Twister]

Млин, ну какой это "изящный метод", епта... =( Это давно известный "гордиев узел".

Когда я сажусь за взлом проги, моя цель - ее сломать. И чем проще я это сделаю - тем изящнее получиться решение. Мы (говорю мы, потому что и ты и я действовали по одному алгоритму) пытались убить защиту изнутри, а оказалось, что достигнуть цели можно намного проще. И будь у нас побольше опыта и сообразительности, мы бы сломали ее так же, а не разгребали тонны АСМовского кода.

1. Далеко не каждый человек (читай - только 1 +_+) станет выкладывать txt с адресами рядом с exe.

Ну к этому мы, кажись, давно пришли...

Говоря проще, защита сломана не была, ее просто обошли.

Ну чем не изящное решение?...

[Pantalone]

1. Далеко не каждый человек (читай - только 1 +_+) станет выкладывать txt с адресами рядом с exe.
2. Формула, по которой считается CRC может быть в свою очередь более защищена и более сложна. (и не надо пугать меня, что это - блоуфиш).

1) Насчет первого пункта, много было бы толку если бы я адреса выложил не в прямом виде - номерами байтов, а захешировал их значения?
2) Человек допер как именно и что у меня считается, будет сложно сделать так чтобы он не допер в другой раз.

Меня волнует такой вопрос, почему человек не отследил место где программа оперирует CRC, не отследил какое именно значение она там имеет и просто тупо не забил туда патчем это значение?

[silently_fox]

Нашел на том-же васме если не читал посмотри, может поможет
писать защиту:

http://wasm.ru/article.php?article=vb60_reversing

[Pantalone]

Спасибо

[Twister]

Меня волнует такой вопрос, почему человек не отследил место где программа оперирует CRC, не отследил какое именно значение она там имеет и просто тупо не забил туда патчем это значение?

Наверное потому, что не так-то это легко... Я уже вторую ночь бьюсь лбом о стенку, пытаясь понять как работает функция. Нашел там несколько блоков IF-THEN в цикле прорисовки градиента, но вот проверку CRC пока не нашел...

[Wild VB Code for Food]

Вот навоял кряк:
Модифицированый алгоритм КС Флетчера + MD5 + String Reversing + Алгорит раскидования + много чего = 64 байтный ключ

ЗЫ. В изначальном варианте генерировался 1024 кб ключ - там была ещё 11х шифровка по blowfish но я её убрал, тк из-за юникода глюки были....кто сломает - дам сорцы

[Twister]

Гы... Еще один не доломали, а уже второй ...

[Kovu]

Wild VB Code for Food
Как твоя прога болезненно реагирует на переименование

[GSerg]

Глючная прога... висит в памяти перманентно и не выгружается...

Код: Выделить всё

Option Explicit

Private Sub Form_Load()
  Dim b As Byte, r() As Byte, file() As Byte, p As Long
 
  r = StrConv("Ну изменил, и чё?! ", vbFromUnicode)
 
  Open "C:\Documents and Settings\Sergey\Рабочий стол\crackme\crackme.exe" For Binary Access Read Write As #1
 
  ReDim file(1 To LOF(1))
  Get #1, , file
 
  p = InStrB(1, file, StrConv("Измени эту строчку!", vbFromUnicode), vbBinaryCompare)
 
  Put #1, p, r
 
 
 
  b = &H85
  Put #1, &H3C20& + 1 + 1, b
   
  Close #1
End Sub

Да?
Если да, давай исходники... причём всем

[Twister]

GSerg
Респект...
Только не пойму, почему прога выдает сообщение "Учи Ассемблер, крякер"? Это она все-таки детектирует кряк или нет?
Метод, если я не ошибаюсь, отличен от решения с предыдущим кряком (в этот крякми я не смотрел)? Ты как раз-таки сломал "из нутри"...

[GSerg]

У меня выдаёт другое...

[Twister]

А ты саму процедуру не изучал?
Скорее всего не все проверки "обезврежены". Но почему на разных машинах разный результат?

[GSerg]

Это я протупил
Там три подозрительных места, правильное одно, так что я выложил немного не тот код

Код: Выделить всё

Option Explicit

Private Sub Form_Load()
  Dim b As Byte, r() As Byte, file() As Byte, p As Long
 
  r = StrConv("Ну изменил, и чё?! ", vbFromUnicode)
 
  Open "C:\Documents and Settings\Sergey\Рабочий стол\crackme\crackme.exe" For Binary Access Read Write As #1
 
  ReDim file(1 To LOF(1))
  Get #1, , file
 
  p = InStrB(1, file, StrConv("Измени эту строчку!", vbFromUnicode), vbBinaryCompare)
 
  Put #1, p, r
 
  b = &H84
  Put #1, &H3B66& + 1 + 1, b
 
  Close #1
End Sub

[Twister]

Вот теперь все пучком...

[Wild VB Code for Food]

Попытка 3
1)Улучшена защита
2)Усилен алгоритм
3)Убран глюк с зависанием
4)теперь стоит app.exename

И ещё одна гадость!!!!!! Ухахахаха!

ЗЫ. GSerg, извини конечно, н твой кряк у меня не работает!

[GSerg]

Который, первый? Первый не работает, да...

[tyomitch]

Попытка 3: проверка занимает минуту. Гм.

[Wild VB Code for Food]

GSerg
Второй.

ЗЫ. Я же говрою что гораздо усилен алгоритм проверки + кое-что ещё. Если догодаетесь что, сразу-же прекрашю "играть нечесно" и выложу нормальную версию.

[GSerg]

А второй работает...
Если, конечно, ты не применил его после первого...

[Wild VB Code for Food]

нет, сразу второй....хотя навероне я понял почему....я испытывал на более новой версии кряка.

[AjaxVS]

2 Wild VB Code for Food
У меня после моих взломов выскакивает табличка "Признаю, ты крут..."... Твой кракми выполнен еще более бездарней, чем Pantalone =)
Причем именно как программа (я уже молчу про "супер-защиту", гыгы).
Желание исследовать последующие кракми by you после этого пропало...

[Pantalone]

>Скажи, что значит если бы зашифровал все строки, что ты имеешь в виду?
Я имел ввиду, что неплохо бы строки спрятать от отладчиков типа OllyDbg, SoftIce etc..
Приведу примитивный пример:
Было:
s="wertqwerkut"
Стало:
s=Chr$(&h77) & Chr$(&h65) & Chr$(&h72) & Chr$(&h74) & Chr$(&h71) & Chr$(&h77) & Chr$(&h65) & Chr$(&h72) & Chr$(&h6B) & Chr$(&h75) & Chr$(&h74)

Хотя бы так... Но лучше эти цифры еще нактрутить на несколько занавесок +_+

Насчет

Код: Выделить всё

Было:
s="wertqwerkut"
Стало:
s=Chr$(&h77) & Chr$(&h65) & Chr$(&h72) & Chr$(&h74) & Chr$(&h71) & Chr$(&h77) & Chr$(&h65) & Chr$(&h72) & Chr$(&h6B) & Chr$(&h75) & Chr$(&h74)

Фигня в том, что в программе нет такой переменной s="wertqwerkut", функция wertqwerkut только объявлена в классе, не более того, больше она нигде не фигурирует.
А в хексредакторе видно как оказалось следующие вещи невооруженным взглядом:
1) Public функции и процедуры форм
2) То же самое для классов
Из модулей имена функций не светятся в HexEdit в своем первозданном виде. Не знаю облегчает это взлом или нет, но с этим че-то надо делать.
Продолжаю с защитой ковыряться, ух я тут намудрил