Издательский дом ООО "Гейм Лэнд"

ЖУРНАЛ ХАКЕР #105, СЕНТЯБРЬ 2007 г.

Мобильное укрощение

Крис Касперски

Хакер, номер #105, стр. 054

Основы взлома мобильных игр

Надоело платить за мобильные игры? Заколебала череда бесконечных смертей? Хочется переделать спрайты/тексты/заставку под свой вкус? Нет ничего проще! Мобильные игры весьма компактны и потому просты для взлома и анализа, а надругаться над ними по силам даже начинающему хакеру. Эта статья поможет ему сделать первые шаги, после которых он будет оттачивать хакерское мастерство уже самостоятельно.

Популярность мобильных игр стремительно растет. Они прочно оккупировали рынок сотовых телефонов, коммуникаторов, смартфонов, карманных компьютеров и других аналогичных устройств. Большинство игр распространяется на условно-бесплатной основе, когда необходимо платить, иначе блокируют часть возможностей и/или ограничивают количество запусков. Но даже полностью бесплатные игры не лишены недостатков. Неудобное управление, быстро кончающиеся жизни - да мало ли существует причин, побуждающих хакера дорабатывать код в соответствии со своими предпочтениями? Этические проблемы взлома нас не волнуют, поэтому мы немедленно переходим к технической части, благо хвост уже зудит, чешется и рвется в бой. О взломе мобильных игр написано много, но все как-то неконкретно и не в тему. Не так-то просто обобщить свой опыт и передать его другим. Но я все же попробовал.

Мобильные платформы

Основная масса мобильных игр (по некоторым оценкам аж до ~70%) пишется на Java, а точнее, на J2ME, что расшифровывается как Java 2 Micro Edition. Это урезанная версия языка Java, ориентированная на маломощные системы и поддерживающая огромное множество мобильных устройств. Вместо живого машинного кода, сотовому телефону подсовывают так называемый «байт-код», исполняющийся на виртуальной Java-машине (Java Virtual Machine, или сокращенно JVM). Теоретически игра, написанная для одного сотового телефона, будет работать на любом другом, независимо от особенностей его аппаратного обеспечения, что очень хорошо (хотя на практике переносимость намного хуже). Расплачиваться за это приходится драматическим падением производительности в условиях и без того маломощных микропроцессоров.

Продвинутые игры (наподобие Fight Hard 3D и RiderX 3D) пишутся на чистом машинном коде и потому могут исполняться только на микропроцессорах одного семейства (например, ARM 6), что ограничивает сферу их применения. В настоящей статье они не рассматриваются. Поскольку нельзя объять необъятное, мы сосредоточимся исключительно на взломе Java-приложений, а до Fight Hard доберемся не раньше, чем я куплю соответствующий сотовый телефон.

Чем мы будет ломать

Выбор хакерского инструментария — дело сугубо личное, индивидуальное и, можно даже сказать, интимное. Поэтому не следует воспринимать приведенный ниже список как догму. Это всего лишь один из вариантов. Практически все обозначенные утилиты реализованы в двух-трех вариантах, как консольных, так и графических. Так что каждый может найти программу на свой вкус. Предлагаемая подборка включает в себя только бесплатные программы, игнорируя их коммерческие аналоги, иначе это не хакерство получилось бы, а сплошной рекурсивный спуск (чтобы сломать мобильную игру, нужно хакнуть программу, которая ее ломает).

Прежде всего нам потребуется спецификация на байт-код виртуальной Java-машины, выложенная на официальном сайте корпорации Sun (на английском языке): http://java.sun.com/docs/books/jvms/second_edition/html/VMSpecTOC.doc.html, при этом знать сам язык Java нисколько не обязательно, хотя и желательно. Во всяком случае, я несколько лет успешно хачил Java-приложения непосредственно в JVM, пока, наконец, не купил «Горький вкус Java» Брюса Тейта и не разобрался с основными языковыми концепциями, которые, кстати сказать, ничуть не облегчили ни дизассемблирование байт-кода, ни его анализ.

Лучшим дизассемблером Java-программ была и остается легендарная IDA Pro, распространяющаяся на коммерческой основе за нехилые деньги, однако при желании можно обойтись и без нее, воспользовавшись штатным дизассемблером, входящим в бесплатный Java SDK, или любой другой утилитой аналогичного назначения, коих в последнее время развелось как грибов (смотри JavaBite, описанный ниже).

Чтобы не корячиться над анализом байт-кода, имеет смысл прогнать ломаемое приложение через Java-декомпилятор, выдающий вполне читабельные и структурированные листинги. Java-декомпиляторов существует много. Хороших и разных. Я рекомендую бесплатный avaDec by wl, которым пользуюсь сам и который можно скачать с www.wasm.ru/baixado.php?mode=tool&id=362. Еще стоит попробовать JDecompiler с http://java-decompiler.qarchive.org. Он тоже неплох и бесплатен. Декомпилированный код можно хачить прямо в исходных текстах с последующей рекомпиляцией, но я этого делать не рекомендую, поскольку декомпилятор не всегда работает корректно и повторная компиляция зачастую ведет к краху программы, поэтому лучше патчить непосредственно сам байт-код.

Для модификации байт-кода (то есть «бит-хака») подойдет любой hex-редактор, например всем известный hiew, однако лучше использовать специализированные инструменты, лучшим из которых является бесплатный JavaBite by BitArts, наглядно отображающий дерево классов, а также включающий в себя дизассемблер и ассемблер байт-кода (www.wasm.ru/baixado.php?mode=tool&id=284).

Мобильные игры, как правило, распространяются в виде упакованных jar-файлов, создаваемых одноименной утилитой, входящей в состав Java SDK, однако это не единственно возможный вариант. Архиваторы 7ZIP (бесплатный) и WinAce (условно-бесплатный) справляются со своей задачей ничуть не хуже. Исключение составляют Java-приложения, снабженные цифровыми подписями. Ни 7ZIP, ни WinAce их создавать не умеют, да этого и не требуется. Любой сотовый телефон загрузит jar-архив и без подписи.

Иногда рядом с jar-архивом лежит jad-файл, без которого некоторые модели телефонов откажутся загружать Java-приложение, и тут приходится прибегать к помощи бесплатной утилиты JADgen, генерирующей jad-файлы на основе jar-архивов (http://softsearch.ru/programs/134-892-jadgen-download.shtml).

Некоторые хакеры для проверки работоспособности взломанных игр рекомендуют использовать эмулятор сотового телефона, другие же предпочитают живое железо, тем более что закачать приложение на телефон не проблема. Однако при этом существует возможность завесить аппарат так, что придется вынимать батарею или даже делать полный reset, удерживая определенные клавиши при включении (у каждой модели телефона свои), описание которых можно найти в сервисной документации. Впрочем, риск угробить телефон некорректным взломом очень сильно преувеличен. В 90% случаев некорректный хак пресекается жутко матерящимся Java-верификатором. В 9% случаев игра просто зависает, подвешивая за собой весь телефон. И только на 1% приходится разрушение содержимого энергонезависимой памяти и прочий бэд, так что неуверенным в себе хакерам все-таки стоит пользоваться эмулятором.

Что мы будем ломать

А ломать мы будем милую игрушку Macroman (реинкарнацию культовой компьютерной игры, выпущенной в 1979 году японской компанией Namco Тору и реализованной практически на всех 8-битных компьютерах типа ZX-Spectrum), демонстрационная версия которой распространяется бесплатно и валяется практически на любом мобильном сайте: www.cec.ru/Files/macroman_demo.jar.

Поставим себе задачу обессмертить колобка, чтобы игра никогда не кончалась. Главное — разобраться с техникой и стратегией взлома, освоив основные хакерские трюки и приемы. Остальные программы ломаются аналогичным образом, и неважно, что это — вечная жизнь или снятие ограничения с количества запусков.

Короче, кончай курить, мужики! Курить мы будет потом, а сейчас глотнем пива и возьмемся за дело.

Как мы будем ломать

Пускаем мы, значит, Macroman и даем ему умереть в зубах зловредных существ (типа приведений), агрессивно бегающих по лабиринту. На экране появляется надпись: «1 Life Left» («Осталась одна жизнь»). Очевидно, что код, выводящий эту строку, так или иначе связан с кодом, уменьшающим количество жизней при каждом акте поедания колобка. Во всяком случае, во всех императивных языках программирования (к которым принадлежит и Java) ситуация обстоит именно так.

Вот эту строку мы и будем искать. Но сначала распакуем jar-архив, пропустив его через 7ZIP (предварительно изменив расширение с jar на zip). И вот что мы получим в результате:

Содержимое распакованного jar-архива с ломаемой игрой

META-INF // директория с файлом манифеста в текстовом формате

IMAGES // директория с изображениями лабиринта и спрайтов в png

MACROMAN // директория с файлом MacromanMidlet.class в байт-коде

b.class \

c.class |

d.class |

e.class +- файлы классов в байт-коде

f.class |

g.class /

Берем FAR (или любой другой файл-менеджер), давим <ALT-F7> (Search), вводим маску файлов «*» (все файлы) и строку для поиска «Life Left», которую и обнаруживаем через секунду поиска в файле e.class, занимающем всего 19 Кб.

Прогнав e.class через JDec (или любой другой декомпилятор), мы получаем текстовой файл e.java размером порядка 36 Кб. Открываем его в FAR'е по <F4> (Edit), давим <F7> (Search) и вновь ищем строку «Life Left», затаившуюся в недрах следующего кода:

Декомпилированный фрагмент Java-программы, найденный поиском строки «Live Left»

if(ax < 0) // <- переменная ax, хранящая в себе количество жизней

{

byte4 = 2;

as1 = new String[2];

as1[0] = "Game Over";

as1[1] = "HiScore: " + aq.e;

break;

}

if(ax == 1)

{

byte4 = 1;

as1 = new String[byte4];

as1[0] = ax + " Life Left"; // искомая строка

}

Машинная логика вполне стандартна и особых пояснений не требует. Если переменная ax становится меньше нуля, мы получаем «Game Over», в противном случае на экран выводится количество оставшихся жизней.

Следовательно, чтобы взломать программу, необходимо найти код, уменьшающий переменную ax на единицу при каждом акте смерти. А как мы его найдем? Да все тем же контекстным поиском! Ищем ax, анализируя прилегающий к ней код. Довольно быстро мы выкупим строку инициализации, устанавливающую начальный счетчик жизней, равный двум (на самом деле трем, поскольку смерть наступает, только если ax меньше нуля):

Фрагмент кода, отвечающий за начальное количество жизней

private byte ax;

...

av = 0;

ax = 2; ; // инициализация счетчика жизней

f.a(this, a4);

Можно, конечно, заменить строку «ax = 2» строкой «ax = 69» (например), но это порочный путь. Во-первых, вечной жизни мы все равно не обретем, а во-вторых, еще неизвестно, как программа отреагирует на такие издевательства (поскольку количество оставшихся жизней отображается в виде колобков внизу экрана, то при слишком большом их числе поведение программы рискует стать непредсказуемым и крышесрывательным).

Ладно, идем дальше... и видим заветную команду «ax--» в методе f(), уменьшающую значение переменной ax на единицу:

Декомпилированный фрагмент метода f(), уменьшающего переменную ax (счетчик жизней) на единицу

public void f()

{

MacromanMidlet.c();

as = 3;

removeCommand(b);

if(ay <= 10)

{

addCommand(a);

addCommand(e);

}

else

{

ax--; // <- вот здесь уменьшаются наши жизни!!!

if(ax < 0)

{

addCommand(a);

addCommand(e);

if(av > aq.e)

aq.e = av;

}

else

{

addCommand(f);

}

c();

}

Вот это — то, что нам нужно! Остается найти байт-код, соответствующий этой конструкции языка высокого уровня. Вот тут-то нам и пригодится IDA Pro, ну или утилита JavaBite. Открыв файл e.class в любой из этих программ, переходим к методу f() и внимательно исследуем код на предмет обращений к переменной ax.

Как легко увидеть, в методе f() обращение к переменной ax встречается дважды:

Фрагмент дизассемблированного байт-кода метода f(), уменьшающего переменную ax (счетчик жизней) на единицу

met016_44: ; CODE XREF: f_1+22^j

042 aload_0 ; var016_0

089 dup

180 001 199 getfield ax B ; // читаем переменную ax, закидывая ее на стек

004 iconst_1 ; // закидываем на стек константу 1

100 isub ; // стягиваем со стека две ячейки и вычитаем их

145 int2byte ; // преобразуем в int и забрасываем на стек

181 001 199 putfield ax B ; // обновляем содержимое переменной ax

042 aload_0 ; var016_0

180 001 199 getfield ax B

156 000 047 ifge met016_106

А что если заменить команду isub (опкод 64h/100) «парной» ей командой iadd (опкод 60h/96)? Эту операцию легко осуществить в любом hex-редакторе, например в hiew'е. Просто ищем последовательность «042/089/180 001 199/004/100/145/181 001 199» (окружающую инструкцию isub) и меняем 100 на 96. Тогда при каждом столкновении со злобными приведениями количество жизней будет увеличиваться на единицу и... в конце концов, мы получим незапланированное переполнение, и наступит трындец. А нам трындеца не надо! Нам надо корректный взлом.

Хорошо! Попробуем заменить инструкцию isub командой nop (опкод 00h). Кстати говоря, это можно сделать прямо в JaveBite, не прибегая к помощи hiew'а. Достаточно подвести курсор к isub, щелкнуть правой кнопкой мыши и в появившемся контекстном меню выбрать пункт Edit Instuction. Откроется диалоговое окно со списком всех возможных команд. Находим nop, жмем OK и давим <Ctrl-S> (Save Class), чтобы сохранить результаты правки на диск.

Вот только результаты эти, мягко говоря, довольно удручающие. При запуске программы Java-верификатор завершает ее выполнение в принудительном порядке. Это в x86-процессорах, с их регистровой архитектурой, инструкцию SUB можно безболезненно менять на NOP. Виртуальная машина Java «исповедует» иной принцип, и аргументы команды isub предварительно забрасываются на вершину стека в расчете на то, что она стащит их оттуда. Изменение isub на nop вызывает дисбаланс стека, и, чтобы восстановить статус-кво, необходимо также занопить и команду iconst_1. Инструкцию int2byte можно не трогать, поскольку она дает нулевой побочный эффект, сохраняя стек в том состоянии, в каком он был до ее вызова.

Короче говоря, корректно хакнутый байт-код выглядит так:

Байт-код, получивший «бессмертие»

met016_44: ; CODE XREF: f_1+22^j

042 aload_0 ; var016_0

089 dup

180 001 199 getfield ax B ; // читаем переменную ax, закидывая ее на стек

000 nop ; // ничего не делаем

145 int2byte ; // преобразуем в int и забрасываем на стек

181 001 199 putfield ax B ; // обновляем содержимое переменной ax

Мы сохраняем изменения в класс-файле по <Ctrl-S> (или по <F9>, если мы работаем в hiew'е) и нам остается только упаковать все файлы обратно в jar-архив и залить его на сотовый телефон. Для тестирования, так сказать.

При использовании WinAce достаточно выделить все файлы (включая каталоги), в типе архива указать JavaSoft-Jar и плюхнуться на ОК. А вот среди выходных форматов, поддерживаемых архиватором 7ZIP, никакого jar'а нет! То есть он, конечно, есть, просто называется ZIP'ом. В Archive format указываем ZIP, в Compression level – Normal, поле Compression method выставляем в Deflate. Остальные параметры оставляем по умолчанию — как есть. Главное - не забыть вместо расширения zip указать jar. Ну а имя файла может быть каким угодно.

Заливаем игру на телефон

Вот мы имеем свежехакнутый файл Macroman.jar. Будем заливать его на телефон? А то! Сделать это можно разными путями. Например, по инфракрасному порту, голубому зубу, прямому кабельному соединению или выкладывая файл на свой собственный http-сервер, а потом стягивая его оттуда через GPRS. В общем, вариантов множество. Лично я предпочитаю ИК.

Итак, игра залита на телефон и... дрожащими от волнения руками (все-таки, как-никак, наш первый взлом) мы едва попадаем по клавишам, запуская игру. О чудо!!! Она работает (то есть не падает)! И самое главное — счетчик жизней навечно застыл на отметке «2». Мы обрели бессмертие, а вместе с тем утратили весь игровой азарт и интерес :). Ну какой интерес играть в игры? Вот ломать их — настоящий кайф!

Заключение, или что еще можно сделать

Вот мы и совершили наш первый взлом мобильной игры! Как видишь, ничего сложного и сверхъестественного в этом нет. Не маги программы ломают. Это доступно каждому! Главное — сделать первый шаг, а там уж поле деятельности практически безгранично. Можно заменить все текстовые строки, в том числе относящиеся к копирайту компании-создателя. Не то чтобы это было законно, но показывать друзьям мобилу с надписью «Hacked by...» достаточно приятно.

Более творчески настроенные кодокопатели наверняка уже загружают спрайты в графический редактор, коверкая их в готическом хакерском стиле, или меняют логотип на заставке, который также находится в png-файлах, собранных в директории image.

Конечно, мы рассмотрели простейший случай взлома незащищенной программы. Некоторые игры и приложения тем или иным образом проверяют целостность байт-кода, а также пропускаются через обфускаторы, добавляющие «мусорные» инструкции, которые отвлекают внимание и затрудняют анализ, но базовая техника взлома при этом все равно остается той же. «Найти и обезвредить» — вот наш девиз! Знания приходят с опытом, а опыт — со временем, проведенным за ломанием игр. Да, и еще: не слишком-то распространяйся о своих хакерских наклонностях. А то ведь и повязать могут, хотя «взлом для себя» закон не запрещает, но это уже тема совсем другого разговора.

WWW

Macroman - Java-игрушка, над которой мы издеваемся на протяжении всей статьи: www.cec.ru/Files/macroman_demo.jar;
The JavaTM Virtual Machine Specification Second Edition - официальная спецификация на байт-код Java-машины (на английском языке): http://java.sun.com/docs/books/jvms/second_edition/html/VMSpecTOC.doc.html;
avaDec 0.9b by wl - хороший Java-декомпилятор, распространяемый на бесплатной основе: www.wasm.ru/baixado.php?mode=tool&id=362;
JDecompiler (Java Decompiler) 1.0 - еще один хороший и абсолютно бесплатный декомпилятор для Java-программ: http://java-decompiler.qarchive.org;
IDA PRO - лучший дизассемблер всех времен и народов, поддерживающий также и байт-код виртуальной Java-машины, распространяемый за нехилые деньги: www.idapro.com;
JavaBite - дизассемблер, ассемблер и модификатор байт-кода JVM в одном флаконе, распространяемый бесплатно с кучей разных плагинов и прочих тулз: www.wasm.ru/baixado.php?mode=tool&id=284;
JADgen - бесплатный генератор jad-файлов, требуемых некоторыми моделями телефонов: http://softsearch.ru/programs/134-892-jadgen-download.shtml;
7ZIP - бесплатный архиватор, позволяющий создавать в том числе и jar-архивы: www.7-zip.org;
Winace 2.6 - условно-бесплатный архиватор, в явном виде поддерживающий формат jar: www.tucows.com/software_detail.html?id=194310;
Creating a JAR File - штатная утилита для работы с jar-архивами от компании Sun с возможностью создания цифровых подписей и прочих прибамбасов, бесплатная: http://java.sun.com/docs/books/tutorial/deployment/jar/build.html;
Bluejacking «У вас осталось 10 дней (J2ME)» - познавательная статья, описывающая основы взлома мобильных игр на конкретных примерах для начинающих (на русском языке): http://netgigg.livejournal.com/8631.html.

Содержание