Crackeando (na marra) o Intranet Sleuthhound Pro 1.4 (rev 1.1)

Transcrição

1 Crackeando (na marra) o Intranet Sleuthhound Pro 1.4 (rev 1.1) por n2u, em 21/9/2007 Olá! Primeiramente, para quem não conhece o software que dá nome ao título, o mesmo serve para criar zonas de busca em seu computador, que poderão ser acessadas via interface web. Tipo um mini google em sua rede, para localizar texto no conteúdo ou no nome dos arquivos compartilhados. Softwares deste tipo geralmente são instalados em servidores de arquivos. Esse tutorial é na marra porque tal software mantém um menu para registro desabilitado. Eu até tentei por lá, habilitei, gerei serial com a ajuda do Dark Link (obrigado brother) mas o software não registrava. Parece que a rotina de registro efetivo foi realmente removida. Então, vamos na mão e no soco! Informações sobre a vítima Nome: Instranet Sleuthhound Pro. Versão: (trial). Desenvolvedor: isleuthhound Technologies ( Plataforma: Windows 2000/XP/2003. Proteção: tem limitações de uso: somente podem ser criadas até 2 zonas de pesquisa sendo cada uma delas com no máximo 5000 arquivos e o número de licenças de clientes para usar a aplicação simultâneamente é fixado em 10. Além disso, só pode ser usado por 30 dias. Packer: UPX. Ferramentas utilizadas todas disponíveis em UPX 1.24 RDG Packer Detector 0.65 OllyDbg ExeCryptor Edition IDA Pro 5.0 Vamos começar! Ao instalar o programa e rodar, vamos no menu Help > About e vemos que o software nos diz as limitações: Na minha máquina mostra que vai expirar em 3 dias porque eu já tinha instalado o software a algum tempo mas na primeira vez, ele exibe 30 dias. Essa é a primeira limitação que teremos que quebrar. Mas antes vamos analisar o executável (não feche o software, só minimize o).

2 1. Identificando o packer e o compilador utilizado na vítima 1.1 Abra o arquivo ISleuth.exe no RDG Packer Detector e clique em Detectar. Como podemos ver, está packeado com o UPX. 1.2 Ainda no RDG, clique no botão número 5 e escolha Compiler detector. Agora localize o processo isleuth.exe e clique em Detectar. Vemos que foi detecado Visual C mas não confie de cara, porque o arquivo está unpackado e depois do unpacking outro compilador pode ser detectado. Está claro que devemos unpackar primeiro (retirar o UPX). Neste caso, está sendo utilizada a versão original do UPX, sem alterações, então podemos unpackar com o próprio UPX. Segue abaixo.

3 2. Removendo o UPX (unpackando) Antes de tudo, faça um backup do arquivo ISleuth.exe. Depois disso, copie o executável do UPX (upx.exe) para o diretório onde o Intranet Isleuthhound foi instalado, abra tal diretório no console do DOS e comande upx d isleuth.exe, como sugere a imagem abaixo. Se der tudo certo, a mensagem Unpacked 1 file aparecerá. Agora o arquivo Isleuth.exe está unpackado. Você pode conferir abrindo o no RDG novamente: Como disse no passo 1.2, o compilador mudou. Agora acusa Borland C++. De qualquer forma, sabemos que foi escrito em C++. Mas veja que não há mais assinatura do packer UPX. Podemos seguir com o cracking.

4 3. Removendo o limite de 30 dias Para vermos o que acontece quando passam se 30 dias, adiante a data do Windows para um mês à frente antes de continuar. 3.1 Abra o arquivo ISleuth.exe no Olly e mande rodar (F9). Recebemos a mensagem de que o período de teste do programa acabou e precisamos obter a cópia completa. A partir daí, tudo o que tentarmos fazer dentro do software resultará nesta mesma mensagem, ou seja, o software praticamente pára de funcionar. 3.2 Vamos procurar pela mensagem apresentada. Volte ao Olly, clique com o botão direito no disasm e escolhar Search for > All referenced text strings. Na janela de strings que abrir, clique com o botão direito e escolha Search for. Agora digite trial, desmarcamos a caixa Case sensitive e marcamos Entire scope e damos OK. Caíremos numa mensagem bem suspeita: 3.3 Dê dois cliques na linha marcada em amarela e caíremos aqui:

5 3.4 Se analisarmos bem os saltos, vemos que lá em cima (role pra cima) tem um salto incondicional que sairia de toda essa rotina de geração da mensagem. Este salto é o JMP em A, que leva ao RETN, que é a saída da CALL. Mas para que ele seja executado, precisamos alterar o salto acima dele, no endereço C. Pois este último, se saltado, pula nosso querido JMP e continua a rotina que nos vai gerar a mensagem. Pois bem, vamos alterá lo para NOP (No Operation): clique com o botão direito do mouse em cima da linha C e escolha Binary > Fill with nops. Isto fará com que o salto em A seja executado e a execução do programa pule para que chega ao fim da CALL. Agora reinicie o programa (CTRL+F2), depois aperte CTRL+P e depois a barra de espaços (isso é para reativar nossa alteração de JE pra NOP) e rode o programa. Pronto. A mensagem de fim de período de utilização já era!

6 4. Removendo o limite máximo de 2 zonas de pesquisa Se tentarmos criar a terceira zona de pesquisa (não vou explicar como se cria as zonas no programa isso faz parte do software, além de ser muito intuitivo), receberemos a mensagem: APIs. Não adianta procurar pelo texto desta mensagem pois não vamos achar. Então vamos partir para as 4.1 Dê OK nesta tela, volte ao Olly e coloque um BP na API ShowWindow (basta digitar na command bar: BP ShowWindow) e rode. Agora aperte ALT+F9 para executar até sair da chamada da API. Bom, temos um problema porque são muitas, mas muitas CALLs que estamos dentro. Então, é interessante tentarmos localizar o endereço de onde começa o evento click do botão Next que apertamos e a bad_message apareceu. Existem várias maneiras. Eu usei o IDA.

7 4.2 Abra o executável no IDA e espere a análise terminar (marque a caixa Analysys e siga clicando Next ). Navegando pela janela Names eu achei uma string TFWSelectbbNextClick. Esse pode ser nosso evento do botão Next da janela de criação de zonas. Se dermos dois cliques nessa string, veremos o código diassemblado: O procedimento começa em 00455E34. Então voltemos ao Olly e coloquemos um BP neste endereço pra ver se é realmente ali que vai parar quando clicarmos no botão Next. Na mosca! Este é o início do procedimento do botão Next! Fora de todas aquelas CALLs fica bem mais fácil. Não feche o IDA, vamos usá lo novamente no item 6.

8 4.3 Agora voltemos ao Olly e vamos debugando com F8. Percebemos que quando passa da CALL em 00455F68, a janela de erro se cria (ainda vazia sem texto). Chegamos então à conclusão de que é lá que é feita a verificação para ver se já existem duas zonas. 4.4 Temos algumas opções, uma delas é entrar na CALL e ver onde está a comparação e a outra é simplesmente NOPar toda a CALL. Vamos na segunda opção! Faça o processo descrito no item 3.4 em cima da CALL, no endereço 00455F Agora rode o programa (F9). A mensagem ainda aparecerá porque nós NOPamos a CALL depois que ela já foi executada. Não tem problema, dê OK na janela de erro e depois clique em Next novamente. Pronto, o limite de 2 zonas foi quebrado! ;o)

9 5. Removendo o limite máximo de 5000 arquivos por zona de pesquisa Antes tudo, vamos ver o que acontece quando tentamos criar uma zona com mais de 5000 arquivos. Aqui eu gerei 5000 arquivos.txt com um.bat simples. Seguinte: Criei uma pasta com um arquivo chamado texto.txt. Criei um.bat com o código: :loop copy texto.txt %RANDOM%.txt goto loop Executei o.bat e fiquei observando a pasta que foi enchendo de arquivos.txt. Quando passou de 5000 arquivos, parei a execução do.bat usando CTRL+C. Você pode fazer do jeito que melhor lhe convir. Ao tentar criar uma zona com todos esses arquivos, surge a mensagem: Ao clicar em OK, encerra se a adição dos arquivos e a zona é criada com apenas 5000, mesmo que tenhanmos adicionado muito mais que isso. Veja novamente o item 3.2 e preste atenção na imagem que coloquei. No endereço C1 tem uma string MSG_BASE_LIMIT. Devemos sempre estar atentos e lembrar do que vimos. Parece suspeito. Então, repita os passos do item 3.2 neste momento e dê um duplo clique no endereço em questão.

10 Cairemos aqui: Repare na linha que marquei em vermelho, uma comparação do valor em EAX com 1001h (4097 em decimal). É um valor muito próximo de 5000 em decimal. Ao trabalho! 5.1 Coloque um BP nesta linha, volte ao software, apague a zona limitada criada com 5000 arquivos e tente criá la novamente com mais de 5000 arquivos. Não parou e a bad_message apareceu novamente. Bom, ainda é suspeito o valor Volte ao Olly e, na linha da comparação de EAX com 1001, clique com o botão direito do mouse e escolha Find references to > Immediate constant. Analise o que aparece: Há duas comparações de EAX com 1001h. Se não funcionou na comparação, vamos tentar aquela linha 004A176E, onde o valor 1001h é movido para uma posição na pilha. Dê dois cliques nela.

11 Cairemos aqui: Repare que ECX é comparado com EDX, e depois vem um JB (Jump If Below Salte se abaixo) que vai saltar para a linha 4A177D. Lembre se que ECX é um registrado usado como contador. Estamos diante do loop de contagem dos arquivos. Ou seja, a contagem irá seguir enquanto o valor em ECX estiver abaixo do valor de EDX. Vamos ver que valor está em EDX neste ponto. 5.3 Coloque um breakpoint na comparação (linha 004A176A), vá ao software e tente novamente criar uma zona com mais de 5000 arquivos. O Olly vai parar na comparação: EDX vale 1388h que é 5000 em decimal e ECX vale zero porque a contagem dos arquivos ainda está começando. Se você for executando passo a passo, vai voltar com ECX valendo 1, 2, 3, e assim sucessivamente até o número da quantidade de arquivos que você adicionou. O problema é que quando ECX for igual a EDX, a linha 004A176E será executada e o valor 1001h será colocado na pilha e depois o JMP da linha 004A1778 também será executado desviará o fluxo para o fim da contagem. Ou seja, a contagem pára. A solução mais prática é alterar o JB para JMP, que é o salto incondicional. Assim, sempre pulará para o endereço 004A177D e a contagem continua, independente do resultado da comparação de ECX com EDX.

12 5.4 Clique na linha do JB, aperte a barra de espaços e mude somente o JB, para JMP. Depois clique em Assemble. Ficará assim: 5.6 Agora remove o breakpoint da linha do CMP (porque isso é um loop e vai parar toda hora caso não seja removido) e rode o programa. Pare o processo de criação de nova zona (botão Stop ) e reinicie, ou seja, recrie a. Pronto! Limite de 5000 arquivos por zona removido. ;o) 5. Alterando o número máximo de licenças que está fixado em 10 O método utilizado para tal resenha foi proposto pelo amigo Dark Link, que fez, obteve sucesso e me passou. Só fiz algumas adaptações. Se tentarmos alterar o número de licenças para mais que 10 na janela abaixo, ao clicar em Apply, o programa volta com o valor 10 no campo que tentamos alterar Então, precisamos começar procurando pelo que acontece ao clicarmos neste botão. E para isso precisamos do endereço onde começa o evento click dele. Novamente, podemos usar o IDA pata achar tal endereço.

13 6.1 Volte ao IDA e busque novamente por uma string na janela Names. Clique na janela Names e pressione ALT+T para usar a busca. Vamos procurar pela string de texto apply e torcer para que o programador tenha dado nomes aos botões. Vá seguindo com o Search Next (CTRL+T) e analisando cada resultado. Um deles é o mais suspeito de todos: TFMain_bbApplyClick. Tá na cara. Agora dê dois cliques neste resultado e o disasm do IDA nos mostra: O endereço do início do procedimento do evento click do botão Apply é 4048C0.

14 6.2 Voltemos ao Olly e vamos para o endereço que achamos: aperte CTRL+G, coloque o endereço 4048C0 e dê OK. Aproveite e coloque um breakpoint nele (F2), rode o programa e tente alterar o número de licenças 30 (que é 1E em decimal). O Olly vai parar aqui: Vamos descendo com F8 e analisando o estado dos registradores na janela Registers do lado direito. Você verá que passará pelos registradores os valores 1010, que é a porta onde o programa escutará (a opção de mudar essa porta é aplicada pelo mesmo botão Apply ) e continuando com F8 e prestando atenção nos registradores e na janela abaixo do disasm, na linha 4080C1, chegaremos em numa comparação do registrador EAX com um valor na memória, atente para o que ela compara: O valor de EAX, que é 1Eh (nosso 30 em decimal que colocamos no campo de licenças do programa) é comparado com o valor 0Ah (10 em decimal) na memória. Nas linhas seguintes o 10 será setado no campo, forçando o a ficar imutável.

15 Precisamos então, achar onde este 10 é escrito na memória e assim alterar para que seja escrito outro valor que desejemos. Ao trabalho! 6.3 Clicamos com o botão direito do mouse na linha que nos mostra o valor na posição de memória e escolhemos Follow address in Dump : A a janela do dump mostrará o conteúdo que escolhemos na memória. Vamos atentar ao endereço de memória onde está o 10 (0Ah), que no meu caso, é o B990A Clicamos com o botão direito do mouse no byte 0A, presente neste endereço e vamos colocar um hardware breakpoint on write para que o programa pare assim que escrever neste byte, ou seja, quando colocar um valor neste byte do endereço de memória em questão: Agora precisamos reiniciar o programa no Olly (CTRL+F2) para que o breakpoint que colocamos nos dê algum resultado. Faça isso e rode o programa. O Olly vai parar.

16 6.3 Agora temos que observar o que é escrito no byte onde colocamos o breakpoint, então vá em Debug > Hardware breakpoints. Aparecerá uma janela com o endereço onde colocamos nosso BP. Cliquem em Follow 1 e o dump nos mostrará o valor atual do byte no endereço: Dê OK e agora vem a parte chata: temos que ir apertando F9 pra rodar e ir observando o byte até que ele contenha o valor 0A. Para adiantar, segure o F9 até o programa rodar pois o valor 0A é o último a ser escrito neste byte antes da tela do programa abrir (pra descobrir isso eu apertei F9 mais de trezentas vezes e a cada teclada fiquei olhando o byte pra ver se mudava pra 0A). Pararemos aqui: Perceba na linha que marquei em vermelho que a constante 0A é copiada para o endereço de memória em questão. Então basta alterar essa constante. Como é um byte, não podemos alterar para mais que Ffh (255 em decimal). É o máximo que dá pra fazer com este método. Então mãos à obra!

17 6.4 Edite esta linha (clique nela e aperta a barra de espaços) e mude o byte 0A para 0FF (o zero é necessário porque o Olly precisa dele na frente de valores hexa que começam com letras). Depois clique em Assemble. E agora, reinicie o programa no Olly, remova o hardware breakpoint (Debug > Hardware breakpontis > Delete 1), aplique todos os patches na janela Patches (CTRL+P para exibi la) e rode o programa. Como pode se ver, o campo Maximum clients está em 255 agora. Basta salvar as alterações clicando com o botão direito no disasm e escolhendo Copy to executable > All modifications > Copy All, depois clique novamente com o botão direito e escolha Save file, dê um nome, salve e pronto, você terá seu executável crackeado. Pode até usar o UPX emcima de novo se quiser mas não precisa. Como disse anteriormente, essa é a forma que eu encontrei de crackear este software. Existem outras, faça a sua. =) E uma última coisa. Ao clicar em Help > About ainda ficam as informações de trial e blá blá blá, mas isso é facilmente contornado editando o arquivo \Languages\English.lng que está no diretório onde o software foi instalado. Aí você pode personalizar:

18 7. Agradecimentos Esse tutorial foi dedicado ao felixcatx, meu eterno mentor! Como sempre, um agradecimento especial aos amigos da BRCrackers que tanto me ensinam! E pro grande Dark Link, responsável pelo byte patching no item 6. ;o) n2u@37.com