Невидимая война

Ara (ara@cracklab.ru)

Хакер, номер #085, стр. 085-064-2

Ответ не заставил себя долго ждать. Так как он довольно большой по объему (на половину статьи), приводить тут я его не буду, лишь основные моменты. Самое главное - это фраза «…Перед оплатой скачайте архив коммерческой версии программы с адреса http://.... Архив защищен паролем. Пароль для распаковки архива сообщается сразу после получения подтверждения оплаты». Ну и далее, собственно, про регистрацию - отослать автору код компьютера, сгенерированный программой регистрации и получить ответный лицензионный код. Не кажется вам, что слишком закручено? Сперва оплатить программу, получить пароль на архив. Разархивировав, получить код и только потом автор вышлет ответный. Ну что ж, все равно эти пересылки ключей, денег и паролей не для нас, так как у нас есть полная версия.

[где искать пароли ZIP?]

Для восстановления забытых паролей к архивам существует довольно много утилит. Наверное, самые известные из них - это продукты от компании ElcomSoft, специализирующейся на вытаскивании паролей из всего, куда они были введены ранее. Мы будем пользоваться пакетом Password Kit Enterprise v7.0, который содержит довольно много различных утилит для подбора паролей, в том числе и для архивов ZIP. Попутно следует отметить, что подбор паролей к архивам ZIP зачастую является не таким уж и долгим, как к примеру к аналогичному архиву RAR. А уникальная возможность SureZip и вообще делает подобную защиту легко преодолимой. К сожалению, она работает только с версиями WinZip 8.1 и ниже, да к тому же файлов в архиве должно быть не меньше пяти. Но нас это как раз устраивает - файлов у нас много, а так как программа старовата, то явно она была запакована нужной нам версией. Запускаем утилиту ZipKey, выбираем SureZip в опциях, указываем наш архив и идем пить чай с бутербродами. Дальше будет интереснее. Через несколько минут пароль найден.

[исследование программы]

Архив распакован, можно спокойно устанавливать программу. Теперь программа не запускается вообще. Зато появился новый файлик, regcm.exe. Это и есть файл регистрации, сделан столь топорно, что сразу наталкивает на мысль о спешке, в которой автор делал регистрацию. На рисунке можно оценить этот шедевральное творение.

Все в точности, как и писал автор. Генерируется «код вашей ЭВМ», который нужно отослать автору, в ответ надо ввести присланный код. Введем любые цифры - сообщений никаких не выдается. Придется догадываться самим. Вариантов много, поэтому я просто запустил программу - проверить что будет. Однако, прога запустилась с ошибкой, да и при нажатии на любую иконку она вылетает (там где раньше было сообщение о демо-версии). Понятно, код-то у нас неверный. Теперь можно запускать свои любимые отладчики и дизассемблеры. У меня это OllyDbg и IDA, в дальнейшем всю работу будем проводить в них. Конечно, наш любимый DeDe тоже может помочь. Благо программа написана на Delphi и ничем не пакована (достаточно редкий случай в наше время).