Archivi RAR Protetti

From UIC

WINRAR 3.51 it: Operare sugli archivi bloccati

Infos
Author:	Lucifuge.:.IseduceWITHfear
Email:	.:.
Website:	.:.
Date:	25/03/2006 (dd/mm/yyyy)
Level:
Language:	Italian
Comments:	Qui è la MACCHINA. Dorme tranquilla eppure è vulnerabile. Qui è la MACCHINA. Con il suo respiro liquido/elettrico. Potrebbe svegliarsi e cancellarci tutti. Potrebbe svegliarsi e cadere come altri idoli per mani umane. Qui è la MACCHINA. Con il suo dolore/piacere. Que: Eccellente tutorial anche questo, rinnovo i complimenti!

.:.Introduzione

WinRAR è la versione per piattaforma Windows del gestore di archivi creato da Alexander Roshal. Attualmente è disponibile, in prova per quaranta giorni, la versione stabile 3.51 in italiano. Tra le molteplici funzioni offerte dal programma, oltre al celebrato algoritmo di compressione, per le finalità che qui interessano vi è quella di prevenire modifiche agli archivi creati mediante una apposita funzione di "blocco". In questo tutorial vedremo come sussista la possibilità di operare anche sugli archivi "bloccati" sfruttando una banale vulnerabilità offerta proprio dallo stesso programma.

NB. Per il tutorial utilizzeremo a scopo didattico la versione di prova del programma e non procederemo a modificarne il sistema di registrazione.

.:.Tools

• URSoft W32Dasm Ver 8.93 + Bratalarm Patch 3.0 - final (http://processor.at/asm)
• UltraCompare Professional Version 3.10 (http://www.ultracompare.com/)
• UltraEdit-32 Professional Text/HEX Editor Version 11.20b (http://www.idmcomp.com/)
• Lo stesso target ossia WinRAR (www.winrar.it/)

.:.Essay

Come ricordato nell'introduzione, WinRAR permette di creare archivi ai quali, spuntando l'opzione "Blocca l'archivio", non è più consentito apportare modifiche.

La funzione è accessibile in vari modi ad es. all'interno dell'applicazione è possibile attivarla selezionando un archivio precedentemete creato

e premendo Alt+B. Questo è il pannello di WinRAR che si aprirà (in giallo è evidenziata la funzione) :

1) Primo tentativo di operare su archivi bloccati.

Nel pacchetto di installazione si trova allegato un documento chiamato NoteTecniche.txt.

In esso è contenuta una serie di informazioni molto interessanti sul formato degli archivi RAR.

Per quel che ci interessa, veniamo a conoscenza che in ogni archivio è presente un insieme ben preciso di blocchi ordinati allo scopo di qualificare in modo esatto cosa esso sia e cosa contenga.

Ecco alcuni passi estratti dal documento :

Dunque, quando WinRAR procede a bloccare un archivio non fa altro che modificare 2 bytes nell'intestazione dei medesimi (HEAD_FLAGS), con il valore corrispondente all'Attributo "archivio bloccato".

Ora possiamo provare a creare due archivi, del medesimo contenuto, di prova [PROVA1.RAR e PROVA2.RAR] il secondo dei quali sarà "bloccato".

Verifichiamo con WinRAR la presenza del blocco nel secondo archivio creato :

Lanciamo UltraCompare ed analizziamo le divergenze fra i due file :

Così rispettivamente agli indirizzi 0x0007 e 0x000A sono state apportate da WinRAR delle modifiche all'intestazione dell'archivio.

I valori presenti nel file PROVA1.RAR erano rispettivamente CF90 per l'indirizzo 0x0007 e 00 per l'indirizzo 0x000A.

Mentre i valori del file PROVA2.RAR erano 1537 per l'indirizzo 0x0007 e 44 per l'indirizzo 0x000A.

Ora rinominiamo il file di installazione di WinRAR ossia WRar351it.exe come PROVA3.RAR ed utilizziamolo come bersaglio del nostro piccolo esercizio.

Clicchiamo sul file appena rinominato per aprirne il contenuto in WinRAR e verifichiamo le informazioni ivi contenute :

Bene, tra le altre è presente il "Blocco archivio". Chiudiamo l'applicazione e riapriamo lo stesso file con UltraEdit-32. Si lo so che dall'intestazione si tratta di un file eseguibile, per la precisione un archivio auto-estraente che contiene al suo interno il file RAR, e precisamente all'indirizzo 0x00E400 troviamo l'intestazione a cui ci eravamo abituati (se il file di installazione in vostro possesso è diverso dal mio potete utilizzare la stringa Rar! come argomento di ricerca) :

Procediamo alla sostituzione dei seguenti byte 984F con CF90 e 0C con 00. Salviamo il tutto e riapriamo l'archivio con WinRAR. Controlliamo le informazioni contenute nel file :

Il "Blocco archivio" è sparito (purtroppo non vengono più riconosciuti i dati di autenticazione).

Ora possiamo procedere con un altro tentativo ad esempio creando un archivio bloccato di grosse dimensioni ed a modificare rispettivamente CF90 per l'indirizzo 0x0007 e 00 per l'indirizzo 0x000A, ed otterremo sempre come risultato un archivio sbloccato.

2) Secondo tentativo di operare su archivi bloccati.

Lanciamo WinRAR.EXE e proviamo ad aggiungere altri file all'archivio PROVA2.RAR.

Si aprirà la finestra diagnostica rilevando un preciso valore di errore nell'applicazione :

Creiamo una copia del file WinRAR.EXE e rinominiamola STUDIO.EXE

Apriamo con il W32DASM il file Studio.EXE e cerchiamo la stringa corrispondente all'errore ossia "Impossibile modificare un archivio bloccato" :

Notiamo la presenza di un salto condizionato ed esattamente 751B ossia eseguirà il salto tutte le volte che la condizione (ossia il rapporto che lega dl a 01) sarà diversa da zero (ZF=0), mentre quando la condizione non sarà verificata allora genererà l'errore "archivio bloccato".

Possiamo procedere invertendo l'ordine dei fattori del test ossia invece di test dl,01 con test 01,dl.

Apriamo WinRAR.EXE con UltraEdit e premiamo Ctrl+G ed inseriamo l'indirizzo corrispondente alle istruzioni da modificare ossia

0x00198c (se non sapete ricavare l'indirizzo guardate in basso nella finestra di W32Dasm o di IDA) :

E modifichiamo F6C201 con F601C2 ossia il nostro test invertito. Salviamo ed avviamo WinRAR.

Proviamo nuovamente ad operare con l'archivio PROVA2.RAR e constatiamo che è possibile aggiungere dei file all'archivio nonostante sia presente il "Blocco archivio". L'effetto è un po' bizzarro lo devo ammettere e come entrare dentro una casa con la porta chiusa….

Lo stesso risultato è raggiungibile modificando solo il salto condizionato 751B in un salto incondizionato ossia EB1B.

Infatti allo stesso modo potremo aggiungere od aggiornare un archivio bloccato.

Con questo metodo non possiamo però eliminare i file già presenti in un archivio "bloccato", questo perché vi è un altro controllo eseguito da WinRAR sulla intestazione del file che influenza il comportamento del tasto destro del mouse dove è presente la voce "elimina file/cartelle" ed i comandi presenti nel menu.

Riapriamo il file con W32Dasm è cerchiamo il punto dove viene effettuato il controllo sull'intestazione rammentando le informazioni contenute nel file NoteTecniche.txt.

Per i nostri scopi sono interessanti le seguenti linee di codice

Possiamo procedere nel seguente modo  :

L'inconveniente di questo metodo consiste solo nel fatto che WinRAR non visualizzerà correttamente la presenza del "blocco archivio".

Saranno, infatti, falsate tutte le informazioni relative nell'apposito box.

Proviamo allora a cercare dove la stringa relativa venga caricata. La porzione di codice che ci interessa è la seguente :

Per fare ciò andremo a modificare le premesse che determinano il salto al valore "Assente" (salta se la condizione è uguale a zero) ossia all'indirizzo 0x069c0d sostituiremo il valore 00 con 01.

Lanciamo WinRAR e proviamo ad operare su un archivio privo di blocco. Tutto funziona regolarmente.

Ripetiamo l'operazione con un archivio in cui il blocco è presente. Anche qui tutto funziona regolarmente.

Ora potremo aggiungere, aggiornare ed eliminare file o commenti da qualunque archivio "bloccato" senza che le informazioni sulla presenza della protezione vengano falsate.

,.,.,.,LUCIFUGE[2006]-IseduceWITHfear.,.,.,.

.:.Note Finali

Ringrazio in ordine sparso tutti Voi e QUEQUERO (ma quanta pazienza hai?). Ringrazio quel pozzo di superficialità che è la Libera Università Internazionale degli Studi Sociali Guido Carli. Ringrazio i Rhapsody, gli Angra, i Dreamtheater, i Depeche Mode, i Darkness, Giuseppe Verdi ed Antonio Vivaldi.

.:.Aprite i vostri occhi

Vi è una stretta assonanza tra l'antica pazienza dell'Orologiaio e quella tutta moderna del Reverser. Non mi si perdoni il paragone perché lo ritengo molto calzante. Entrambi lavorano su una materia prima ed entrambi spesso "sezionano" un'opera intellettuale altrui. Provate ad immaginarli. Li vedete. Osservate la cura dell'Orologiaio con in mano il suo pezzo d'alta manifattura. Squadra il quadrante con il monocolo in tutte le sue finiture ed osserva la qualità delle lancette… i dettagli su quadrante… ascolta il passo dell'orologio saggiando il ticchettio del suo cuore. Poi eccolo pronto all'opera di "disassemblaggio". Armato della sua chiave apre il fondello e rimuove i fermi che fissano il calibro alla cassa. Estrae la corona di carica ed infine adagia il cuore ancora pulsante in un contenitore adatto. Procede con calma a smontare ogni componente svitando con mano decisa e leggera ogni piccola vite. Alla fine del suo paziente lavoro, disteso su un piano privo di polvere, c'è un intero codice meccanico fatto di parti piccolissime… molle rotelle ponti ecc… Perché ? per passione innanzi tutto e anche per arte. L'Orologiaio svolge il suo compito per apprendere il funzionamento di un orologio e non fa differenze se si tratta di un movimento standard considerato dai più "unadjustable" o di una manifattura. Appreso il suo funzionamento potrà ripare il movimento danneggiato, procedere ad una sua revisione pulendo l'olio invecchiato ed aggiungendone di nuovo come potrà decidere di apportare modifiche al movimento stesso. Un movimento però che normalmente è un prodotto intellettuale di altri. È questo farà l'orologiaio tranquillamente nella sua bottega. Immaginate con me ? Quante volte è accaduto già ? Nel mondo orologiero è una consuetudine che una casa acquisti un movimento X e proceda ad una sostituzione dei suoi pezzi al decoro dei ponti od alla scheletratura ed esso diventi un nuovo prodotto intellettuale. La caratteristica unica dell'essere umano è il creare il nuovo dal nuovo e dal nuovo ancora. Per questo ci "evolviamo" perché anche un'idea vecchia ci sembra di colpo nuova grazie ad uno stimolo sorto dentro di noi. Il Reverser è come un Orologiaio nei termini in cui apre e studia un prodotto intellettuale altrui. Studia per passione, per imparare ed anche per apportare modifiche. Cerca nuovi stimoli. Quando si parla di orologi non è possibile ascoltare le impressioni dei semplici utenti. Perché persone che si limitano ad indossare semplicemente un orologio potranno discutere di estetica dell'orologio ma cosa comprenderanno? ... della differenza che passi tra un orologio che monta 35 rubini, di cui 25 realmente necessari a sovrastare l'attrito e ben 10 disposti solo per scena, ed un orologio che ne monta solo 25, ma tutti realmente necessari ? Solo appassionati di orologeria e tecnici potranno apprezzare una soluzione tecnica rispetto ad un'altra e così via. Dunque quando parliamo di reversing intendiamo programmatori od autodidatti (come me) che nell'analisi del codice altrui trovano uno stimolo non fine a se stesso. Studiano con passione, per imparare ed anche per apportare modifiche. Certo esiste la "pirateria" (o meglio ora esiste un tempo la faccenda dei corsari era tutta un'altra storia). Certo va combattuta ma è anche vero che se esistono ladri di auto non per questo tutti coloro che la mattina mettono le mani nel motore della propria vettura o della vettura altrui sono "i ladri"… così come se esistono coloro che fanno orologi falsi non è vietato agli orologiai aprire e smontare gli orologi altrui. Almeno questa è la visione del sottoscritto ,.,.,.,LUCIFUGE[2006]-IseduceWITHfear.,.,.,..

Disclaimer