Dama Deluxe 3.1

From UIC

Dama Deluxe 3.1 Cracking

Infos
Author:	Spider
Email:	spider_xx87 (AT) hotmail (DOT) com
Website:	http://bigspider.has.it/
Date:	??/08/2002 (dd/mm/yyyy)
Level:
Language:	Italian
Comments:	Que: Spi come al solito sei stato preciso e chiaro nella spiegazione, bravo

Introduzione

Oggi vi invito a pranzo... crackeremo la versione dimostrativa di un interessante programmino chiamato Dama Deluxe 3.1. È un gioco di dama italiana molto ben fatto, ma che nella demo presenta diverse limitazioni:

1. Nag Screen iniziale per almeno 20 secondi (argh!)
2. Possibilità limitata di scelta della mossa (ossia alcune mosse vengono scelte casualmente dal programma, facendovi praticamente perdere anche una partita già vinta :-) )
3. Possibilità di salvare la partita in corso ma non di aprire una partita precedentemente salvata.
4. Comandi "Annulla mossa" e "Ripristina mossa" non disponibili.

Aperitivo

Avviamo il programma e compare la bella NagScreen :-) Clicchiamo su Informazioni e ci compare l'help su una paginetta piena di cose inutili... Solo l'ultimo paragrafo è interessante:

Esiste un crack per Dama Deluxe? ;-)

Un crack, cioè uno di quei piccoli programmi che trasformano la versione shareware in registrata, non esiste e non esisterà mai!!!
Questo non perché le tecniche di protezione sono troppo sofisticate, ma per il semplice motivo che il codice che esegue le funzioni non disponibili (es. Apri partita) non è presente nel file eseguibile, in quanto è stato rimosso dai sorgenti prima della compilazione della versione shareware. L'unico modo è diffondere la propria versione completa, ma in questo caso posso immediatamente risalire a chi l'ha distribuita, perché ogni versione registrata ha codificato all'interno il nome a cui appartiene.

Questo per scoraggiare coloro i quali vogliono usufruire del programma, ma non ritengono giusto versare un minimo contributo per le ore di lavoro (e sono state tante) impiegate per creare Dama Deluxe.

Bene bene! Il programmatore ci lancia una sfida e noi la raccogliamo: dopo aver eliminato NagScreen e limitazione sulla scelta delle mosse, aggiungeremo il codice per "Apri partita" :)

Tools

• SoftICE 4.05
• IDA Pro 4.15 o superiore
• Resource Hacker 3.2.6.51
• Hex Workshop 3.11
• PEditor 1.7
• IceDump 6.23 o un altro dumper.

Si presuppone nel lettore una conoscenza base dei comandi di IDA; in caso contrario, si rimanda al tutorial di Quequero.

Link e riferimenti

Potete scaricare la versione dimostrativa da hxxp://volftp.mondadori.com/italiani/galletta/

ADDENDUM: Il link precedente non funziona più, ma cercando in rete si dovrebbe trovare comunque.

Essay

Primo piatto - Eliminiamo la Nag Screen

Come già detto in precedenza, all'avvio il programma mostra una Nag Screen che tiene per ben 20 secondi prima di abilitare il pulsante OK per avviare il programma. Dopo qualche tentativo (non riuscito) di breaking, decidiamo di optare per un'altra strada. Riteniamo subito improbabile che il programmatore abbia usato CreateWindowExA per ogni finestra e controllo che crea, perciò diamo un'occhiata alle risorse del proggie (a tal scopo io ho usato Resource Hacker 3.2). Osserviamo che non ci sono risorse di tipo Dialog, ma, accanto ai classici tipi di risorse, troviamo uno sconosciuto tipo di risorse chiamato RCData. Esso è composto dalle seguenti risorse:

DVCAL
TFRMAUTORE
TFRMGRAFICO
TFRMMAIN
TFRMOPZIONI
TFRMPDNHEADER
TFRMPDNMAN
TFRMPREF
TFRMREGIS
TFRMSHARE

Notate niente di strano? Sì, direte voi... a parte la prima, sono tutti nomi che ricordano proprio le finestre del programma:

TFRMAUTORE
TFRMGRAFICO
TFRMMAIN
TFRMOPZIONI
TFRMPDNHEADER
TFRMPDNMAN[AGER]
TFRMPREF[ERENZE]
TFRMREGIS[TRAZIONE]
TFRMSHARE[WARE]

In particolare ci interessa l'ultima resource... Basta dare un'occhiata allo script mostrato da ResHacker per capire che si tratta della nostra bella (si fa per dire...) NagScreen... :)
Lo script è un po' grandicello, per cui ne riporto solo uno spezzone:

Come vedete c'è una sintassi molto chiara e leggibile e, soprattutto, ci sono TUTTI i nomi in chiaro :-)) Ciò semplificherà molto il nostro lavoro di reversing. Ciò che però salta ancora più all'occhio sono queste 2 righe:

1. OnCloseQuery = FormCloseQuery
2. OnShow = FormShow

Assomigliano molto ad eventi... traducendo in italiano quelle righe significano palesemente:

1. Quando si tenta di chiudere la finestra chiama la funzione FormCloseQuery; 2. Quando la finestra viene visualizzata chiama la funzione FormShow;

Perfetto, direte voi... sappiamo che ci sono le funzioni FormShow e FormCloseQuery, ma a cosa ci serve tutto ciò se non sappiamo dove si trovano tali funzioni? Niente di + semplice... come non lo sappiamo noi non lo saprebbe neppure il programma stesso, tranne che non mettesse in memoria da qualche parte l'indirizzo di tali funzioni. Apriamo Dama.exe dall'HexWorkshop e cerchiamo la stringa FormShow; com'era prevedibile troviamo la stringa diverse volte all'interno del file: FormShow è un nome molto generico, evidentemente lo stesso evento viene gestito anche nelle altre finestre. Però noi sappiamo un'altra cosa: nella finestra TFRMSHARE gli unici eventi gestiti sono OnShow e OnCloseQuery, per cui in memoria dovremmo aspettarci di trovare adiacenti o comunque molto vicini i nomi delle due funzioni FormCloseQuery e FormShow... e difatti li troviamo all'offset 000C18BE:

Notiamo, immediatamente prima della stringa "FormShow", la presenza di una dword (0040BEF4) il cui significato è più che evidente: è un indirizzo, e guarda caso è proprio l'indirizzo dell'evento FormShow, cosa di cui possiamo facilmente accertarci mettendo un breakpoint a quell'indirizzo e avviando il programma.

Il primo tentativo che ci viene in mente per eliminare la nagscreen è quello di eliminare la risorsa TFRMSHARE. Facciamo una copia di backup di dama.exe, e da Resource Hacker eliminiamo la dialog relativa alla nagscreen, e a parte un crash non otteniamo nulla. Decidiamo di cambiare strada...

È ovvio che ad "ordinare" la visualizzazione della NagScreen sia codice appartenente alla finestra principale del programma, dato che quando la Nag compare sullo schermo la finestra principale è già visualizzata sullo schermo. Osservando lo script relativo alla dialog TFRMMAIN, notiamo le seguenti 5 righe:

OnActivate = FormActivate
OnCloseQuery = FormCloseQuery
OnKeyDown = FormKeyDown
OnPaint = FormPaint
OnResize = FormResize

Tra questi eventi l'unico in cui può sembrar plausibile che si trovi il codice che richiama la nagscreen è chiaramente l'evento OnActivate. Cercando nell'HexWorkshop la stringa FormActivate scopriamo che questa funzione si trova all'indirizzo 004020A8. Apriamo IDA e disassembliamo il file. All'indirizzo 004020A8 abbiamo la seguente procedura (che non riporto per intero a causa delle dimensioni) che da IDA ho rinominato frmMain_FormActivate:

Poiché il codice è piuttosto corposo e ci sono diverse call, prendiamo la saggia decisione di passare al softice :-)
Mettiamo un bpx all'indirizzo 004020A8 e avviamo il programma. Softice brekka immediatamente dopo la comparsa su schermo della finestra principale. Iniziamo a steppare con F10 (NON con F8 altrimenti ci perderemmo allinterno delle varie call) e vediamo che steppando la call all'indirizzo 4020ED softice sparisce e ripoppa solo dopo la chiusura della nagscreen. Bene, noppiamo la call e la prima parte del lavoro è terminata :-). Avviamo il programma e finalmente non dovremo + aspettare per 20 secondi prima di poter giocare a dama :P

Secondo piatto - La limitazione sulla scelta delle mosse

Abbiamo eliminato la NagScreen, adesso possiamo farci una bella partitina a dama... Clicchiamo su "Nuova partita", e giochiamo... stiamo vincendo, abbiamo già 2 pedine di vantaggio... Ma ecco saltar fuori una MessageBox che ci dice:

"Versione SHAREWARE: questa mossa la scelgo io!"

Risultato? Abbiamo perso :)
Non è molto bello giocare così, perciò rimettiamoci al lavoro.

Entriamo in softice e mettiamo un breakpoint su MessageBoxA. Iniziamo una partita e aspettiamo che softice becchi il breakpoint... e difatti dopo un po' di mosse compare il nostro amato debugger :) Premiamo F12, clicchiamo su OK nella MessageBox e, non appena SoftICE ripoppa sullo schermo, ancora altre due volte F12, fino ad arrivare in questo punto di codice:

Se guardiamo cosa c'è agli indirizzi puntati da ebp-008C e ebp-74 troviamo le stringhe "Limitazione shareware" e "Versione SHAREWARE: questa mossa la scelgo io!", rispettivamente il titolo e il contenuto della MessageBox. Intuiamo subito che all'indirizzo 004BA9CC abbiamo una funzione ponte per l'API MessageBoxA.
Mano ad IDA... Risaliamo un po' dal disassemblato il codice appena visto e troviamo ciò che segue:

Come potete vedere, ci sono diversi jump condizionali che puntano ad un indirizzo ben oltre il codice che visualizza la MessageBox. È evidente che forzando il jg all'indirizzo 00406BB4 il problema sia risolto... ma per vederci più chiaro mettiamo un bpx all'indirizzo del jg. Osserviamo che Softice breaka ad ogni mossa effettuata, e ad ogni break il valore di ecx diminuisce di 2. Inoltre il jump condizionale salta sempre, tranne quando il valore di ecx raggiunge 0. È quindi chiaro che il programma utilizzi un contatore di mosse e decida che sia il momento di rompere con la sua MessageBox ogni qualvolta tale contatore giunge a 0 :-). Trasformiamo il jg in jmp e finalmente possiamo farci una partita seriamente e senza interruzioni :)

Dolce - Abilitiamo il comando "Apri Partita"

Con le modifiche effettuate abbiamo già una versione perfettamente giocabile del programma. Ma il programmatore ci ha lanciato una sfida... Secondo lui crackare completamente il programma è impossibile perché il codice manca... Io dico che si sbaglia... Come ha scritto lui quel codice, possiamo farlo anche noi! :)

Osserviamo bene la situazione: è meglio avere le idee chiare, ci eviterà di perdere tempo inutilmente. Iniziamo una partita e facciamo qualche mossa. A questo punto clicchiamo sul menu "Partita" alla voce "Salva partita". Vediamo che il programma funziona regolarmente, e al percorso indicato troveremo il file che abbiamo salvato. Diverso è ciò che accade appena clicchiamo su "Apri partita": il programma ci lascia scegliere un file, ma non appena premiamo il pulsante OK ci lancia una bella MessageBox che ci avvisa che il comando APRI non è disponibile nella versione shareware.

I più attenti avranno già notato quello che sarà il nostro punto d'attacco. Il programma ci consente di salvare, e questa è una debolezza: studiando il codice di salvataggio potremo molto più facilmente risalire al codice usato per aprire una partita salvata, o comunque ad un codice funzionante.

Per trovare il codice di salvataggio ricorriamo al solito metodo; osservando le risorse del file notiamo infatti che la funzione che viene richiamata quando si clicca su Salva Partita prende il nome di mnuSalvaPartitaClick (di seguito uno spezzone dello script di Resource Hacker relativo alla risorsa TFRMMAIN):

object mnuSalvaPartita: TMenuItem
  Bitmap.Data = {
    36030000424D3603000000000000360000002800000010000000100000000100
    [. . .]
    BFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBFBF}
  Caption = '&Salva partita...'
  HelpContext = 104
  ShortCut = 115
  OnClick = mnuSalvaPartitaClick
end

Dall'Hex Workshop cerchiamo la stringa mnuSalvaPartitaClick, che troviamo all'offset C025C; poco prima troviamo la dword 00402258 che è proprio l'indirizzo della funzione cercata (e che da IDA rinomineremo in mnuSalvaPartitaClick per rendere più chiaro il codice):

Vediamo che il codice è relativamente poco: impossibile che qui dentro ci sia il codice che si occupa di salvare la partita corrente. È dunque evidente che questa funzione demandi il lavoro di salvataggio ad una delle subroutines che richiama. Per individuare quale potremmo provare qualche breakpoint, oppure se siete pigri e non vi va di entrare nel softice ;-) basta ragionare: tale procedura deve essere piuttosto corposa e deve presumibilmente essere richiamata una sola volta (ossia non deve avere altre xref oltre a quella della procedura mnuSalvaPartitaClick. Dopo una breve ricerca concludiamo che l'unica subroutine che corrisponda a questi requisiti è la sub_40A1DC. Entriamo in essa, e troviamo conferma di ciò un po' più giù nel codice:

Abbiamo quindi trovato la funzione di salvataggio (che da IDA rinominiamo SalvaPartita); ora non ci resta che... studiarla :-) Ma niente paura, non dobbiamo studiare TUTTO il codice, potremo direttamente saltare alla parte che si occupa di scrivere su file.
Per far ciò, chiediamo aiuto al nostro bravo softice che mai ci abbandona... Potremmo mettere un breakpoint su CreateFileA per vedere dove il file viene aperto, oppure possiamo saltare direttamente al punto in cui il programma scrive su file. Iniziamo una partita, facciamo un paio di mosse, clicchiamo su Salva Partita, diamo il nome al file, e prima di premere ok entriamo in SoftICE e mettiamo un breakpoint su WriteFile. SoftICE breakka, premiamo F12 e notiamo di trovarci in una piccola procedura che inizia all'indirizzo 004A5E28 e che altro non è se non una funzione ponte per richiamare WriteFile (e che pertanto rinomineremo da IDA _WriteFile). Premiamo F12 per tornare al chiamante e ci troveremo all'interno di una procedura che inizia all'indirizzo 0040A574 e che riporto di seguito:

La funzione _WriteFile del programma richiede i seguenti parametri, passati attraverso i registri:

eax = hFile del file su cui si scrive
ecx = numero di bytes da scrivere
edx = indirizzo dei bytes da scrivere

Ci sono 4 chiamate a WriteFile: le prime 3 hanno indirizzi (messi in edx) costanti e lunghezze (in ecx) costanti, l'ultimo ha invece un indirizzo costante ma una lunghezza variabile: poiché la scacchiera ha sempre le stesse dimensioni, è ovvio che l'ultimo WriteFile scriva la lista delle mosse effettuate fina a quel momento, dato che questo è l'unico parametro variabile. La call sub_4A5E60 si occupa infine di chiudere il file con CloseHandle.

Adesso che conosciamo il codice di salvataggio possiamo cominciare a progettare il codice che dovremo aggiungere: dovremo aprire il file con CreateFileA e leggerne il contenuto con delle chiamate a ReadFile.
Inoltre, poiché il quarto WriteFile non è necessario per i nostri scopi (lo sarebbe se volessimo abilitare anche i comandi "Annulla mossa" e "Ripristina mossa"), ci limiteremo a considerare solo i primi 3.
La seguente tabella riassume quello che dovremo fare con i 3 ReadFile:

Indirizzo: 004BDE62h (indirizzo della stringa "Dama Del 31")
Lunghezza: 0Bh bytes

Indirizzo: 004CDC84h
Lunghezza: 98h bytes

Indirizzo: 004CDD1Ch
Lunghezza: 85Ch bytes

Poiché non ho voglia di cercare una cava nel codice :P, aggiungeremo comodamente una sezione tramite il PEditor. Apriamo il PEditor, carichiamo il file, clicchiamo su "sections" e avremo la lista delle sezioni. Click con il pulsante destro del mouse e poi sulla voce "add a section". Diamo un nome alla sezione ("Spider" :)), settiamo le characteristics a E0000020 (per avere possibilità di lettura, scrittura ed esecuzione), e modifichiamo Virtual Size e Raw Size portandoli a 00001000. Ricordiamoci il Virtual Offset (004D8000), che convertito in Virtual Address (tramite il FLC) corrisponde ad 8D8000, e il Raw Offset (2AE800): ci serviranno in seguito. A questo punto abbiamo il file pronto per l'aggiunta del codice necessario al raggiungimento dei nostri obiettivi :)

Adesso dobbiamo cercare la porzione di programma da modificare per aggiungere il nostro codice. Come al solito, cerchiamo dall'Hex Workshop la stringa "mnuApriPartitaClick", che troviamo all'offset C0424; poco prima troviamo la dword 004021EC che è proprio l'indirizzo di tale funzione (che provvediamo a rinominare da IDA):

Il codice è molto simile a quello della funzione mnuSalvaPartitaClick, e anche qui dopo una breve ricerca concludiamo immediatamente che la subroutine che si occupa (o che dovrebbe occuparsi, dato che nella versione demo non lo fa :) ) di aprire sia la sub_40A048. Ecco il codice (che non riporto per intero):

Il programma richiama CreateFileA per aprire il file selezionato, e un po' di righe più giù passa il return value ad una subroutine...ciò dovrebbe insospettirci... Entriamo nella sub_40917C:

Bingo! Questa è la funzione che nella versione registrata si sarebbe dovuta occupare di aprire il file... e che tra poco lo farà anche nella versione dimostrativa :P
La chiamata alla sub_4BA9CC serve per visualizzare la MessageBox di errore; noppiamo il push 10h per evitare di ritrovarci con lo stack rovinato e trasformiamo la call 004BA9CC in call 008D8000 (che punta all'inizio della sezione da noi aggiunta, dove inseriremo il nostro codice).

Adesso ci resta solo da scrivere il codice necessario nella nostra sezione. Per far ciò potremmo scrivere e assemblare il codice a parte e poi applicare le dovute correzioni, oppure potremmo scrivere direttamente in memoria (tramite il softice) il codice che ci serve e poi dumparcelo su disco e aggiungerlo nell'exe tramite un HexEditor. Io prediligo sempre la seconda opzione. L'unica cosa che ci serve sapere è l'indirizzo del thunk all'API ReadFile, che possiamo facilmente sapere da IDA (basta premere G e digitare "ReadFile"); tale thunk si trova all'indirizzo 004BB736.
Carichiamo l'IceDump, avviamo il file dama.exe tramite il symbol loader del softice, e settiamo un "bpx 008D8000". A questo punto lasciamo runnare, clicchiamo su Apri File e selezioniamo un file precedentemente salvato. SoftICE breaka immediatamente, togliamo il breakpoint e assembliamo il seguente codice (ricordatevi che in esi abbiamo l'hFile del file aperto!):

Fate attenzione durante la scrittura del codice e controllate che le opcodes generate dal softice siano esatte: mi è capitato più di una volta che il softice assembli in maniera errata; in questi casi scrivete l'opcode manualmente.

Una volta scritto il codice, lo dumpiamo con "/dump 8D8000 1000 c:\dump.bin" e premiamo F5... se non funziona o il programma va in crash rifate tutto da capo perché avete sbagliato qualcosa :), altrimenti aggiungete il file dumpato alla fine di dama.exe e avrete finalmente un "Apri Partita funzionante" :))

Spider

Note Finali

Saluti ad AndreaGeddon che ha scritto il tutorial su Tarantula :) (Crackme 39 nella pagina Crackme 26 - 50)

Disclaimer