Foxit Reader, come usare meglio i pdf protetti

From UIC

Foxit Reader, togliamo un po' di limitazioni.

Infos
Author:	Gotterdamerung
Email:	die.gotterdamerung@gmail.com
Website:
Date:	21/03/2007 (dd/mm/yyyy)
Level:
Language:	Italian
Comments:

Introduzione

Avete mai trovato in rete qualche file pdf che vi permette di essere letto, ma non stampato e salvato? Io personalmente li odio... ma come? Ti posso leggere, ma non ti posso stampare? Mi vuoi proprio distruggere gli occhi!! Beh, vediamo se ci si può fare qualcosa...

Tools

- OllyDBG
- per piazzare i breakpoint uso il plugin della command line di Quequero
- Regmon
- un file in pdf, protetto dalle modifiche

Link e Riferimenti

Foxit Reader è un carinissimo lettore di pdf, molto più veloce del reader di Acrobat.
La versione free (neanche troppo limitata) può essere scaricata dal sito del produttore, la versione a cui faccio riferimento in questo tutorial è la 2.0 build 1516.

Essay

Bene, cominciamo con le cose facili, scarichiamo il programmino, io preferisco la versione in formato .zip che contiene il solo eseguibile, quindi lo scompatto nella cartella C:\Programmi\Foxit Reader (che fantasia!).

A questo punto facciamo doppio click sull'eseguibile, in modo che si setti come lettore di pdf predefinito e crei le sue chiavi di registro.
Il nostro primo bersaglio saranno proprio queste ultime, partiamo!

Apriamo un pdf a caso e cominciamo a clickare qualche bottoncino, come minimo al terzo o quarto apparirà un popup che ci avverte che la feature che vogliamo utilizzare fa parte del PRO pack e che, anche se possiamo utilizzarla, il file salvato avrà delle informazioni aggiuntive.
Inseriamo ad esempio una nota e salviamo il file; a parte i due popup relativi, noterete che una antiestetica scritta compare sulla pagina del nostro pdf.

Andiamo con ordine:

I popup

Per fortuna qui le cose sono semplicissime, ogni popup che appare ha una casellina che si può spuntare e permette di non farlo più apparire.
Usando regmon mentre spuntiamo le suddette caselline possiamo accorgerci che le chiavi di registro che riguardano il programma sono in HKCU\Software\Foxit Software\Foxit Reader\.
Apriamo quindi il caro regedit di windows e visitiamo la chiave di cui sopra.
Tra le varie sottochiavi presenti ne troviamo una particolarmente interessante, ovvero MainFrame, che contiene al suo interno valori del calibro di CheckLicense, CheckRegister, altri check vari e alcuni ShowQualcosaAD_908.
Azzerando le chiavi giuste ci libereremo in un solo colpo dei popup e della pubblicità in alto a destra della finestra (non che sia così invadente, ma...)
A questo punto per velocizzare le cose possiamo crearci un file .reg e inserirci:

questo infatti sarà molto comodo nel caso in cui abbiate più di un utente, in quanto la chiave HKCU (HKEY CURRENT USER) vale solo per l'utente attuale :)

Fin qui era decisamente banale, andiamo avanti!

Salvare il file senza fronzoli

OK, adesso dobbiamo occuparci della brutta scritta che compare quando salviamo un file dopo averlo modificato.
Apriamo Olly e carichiamo il nostro Foxit Reader.
Come prima cosa (+Mala docet) cerchiamo qualche stringa, quindi avviamo il plugin Ultra String Reference e cerchiamo stringhe ASCII.
Cosa viene scritto quando salviamo il file? "Edited by Foxit Reader, Copyright(C) by Foxit Software Company,2005-2006, For Evaluation Only.", perfetto, ^F (ctrl+F serve a fare ricerche all'interno della finestra di Ultra String Reference) e cerchiamo, ad esempio, la stringa 'Edited by'.
BUM.
Tra tutte le stringhe del prog questa compare solo due volte, e guarda caso è proprio la stringa che cerchiamo noi!
Doppio click sulla stringa e ci ritroviamo nel codice:

questa parte mi è risultata un po' strana...
come si vede, subito prima della stringa che abbiamo cercato c'è un JE, allora ho messo un breakpoint su quella locazione e ho fatto un po' di prove, modificando e salvando il file... ma sembra che quella stringa non venga mai toccata, così sono passato a quella dopo:

mettendo invece un breakpoint sul JNZ prima di questa stringa e facendo qualche prova finalmente si vede che questa è proprio la parte di codice che ci interessa!
Viene caricata la stringa e passato il font con cui scriverla, inoltre il test in 42087E viene eseguito diverse volte (una volta per ogni pagina) e solo nelle pagine modificate viene scritto il testo caricato in memoria.
Per aggirare questo controllo sarà sufficiente sostituire il JNZ con un JMP in modo che ogni controllo semplicemente salti la procedura di scrittura del testo.

Veniamo al bello, stampare i pdf protetti

Eccoci quindi al succo del tutorial, ovvero il motvo per il quale mi sono dato al reversing di questo bel programmino: i pdf che si possono aprire, ma non salvare/stampare.

Attenzione, non sto parlando dei pdf protetti da password! Solo dei pdf con protezione da modifiche e stampe!

Bene, apriamo quindi un pdf protetto e proviamo a clickare sul tasto di stampa: verrà fuori di nuovo una bella messagebox che ci avverte che il file è protetto (ma va?).
Proviamo il solito approccio, ci segnamo la stringa e proviamo a cercare qualcosa in Olly, ad esempio la parola 'printing'.
Azz questa volta non ci è andata bene! La stringa printing non compare MAI tra le stringhe del programma... come facciamo ora?
Poco male, proviamo a mettere un bpx MessageBoxA e a riprovare a stampare.
Ok, Olly ferma l'esecuzione e ci troviamo nel modulo USER32, mentre la prima riga dello stack (la parte in basso a destra della finestra principale di Olly) ci dice:

Questo ci indica la riga successiva a quella da dove è stata chiamata la MessageBox, per tornare in quella parte di codice basta farci click con il mouse e pigiare invio.
Ci troveremo in questo blocco:

Questo codice è piuttosto pieno di test e salti relativi, ma NESSUNO di questi ci permetterà di saltare oltre la call incriminata!
Ciò ci fa capire che non è in questo blocco che viene controllato se il file è protetto o meno, ma nel codice precedente.
Come fare però a capire da dove veniamo esattamente? Prima di questo blocco c'è un RETURN e quindi sicuramente non veniamo da lì.
Beh, allora useremo esattamente lo stesso metodo che abbiamo usato ora, ovvero piazzeremo un breakpoint sulla prima riga di questo blocco (all'indirizzo 62BE07, subito dopo il RETN) e riproveremo a stampare. Quando Olly bloccherà l'esecuzione perché siamo passati sul breakpoint potremo guardare lo stack e vedere da dove siamo arrivati (e quindi dove dobbiamo andare).
Dovremo fare questa procedura un po' di volte prima di arrivare al punto in cui viene fatto il vero controllo; per ogni livello che risaliamo possiamo accorgerci che non è quello giusto semplicemente guardando i test e i jump, nessuno infatti ci permetterà di evitare il punto da cui siamo venuti (che è in realtà la direzione in cui va il programma, stiamo andando al contrario OK?), fino a che non arriveremo in questo punto:

Oltre al fatto che questo sia l'unico jump che ci fa evitare la CALL, risalendo ulteriormente andremmo a finire nel ciclo principale dell'applicazione, dove evidentemente non si può trovare il check, in quanto questo avviene dopo aver pigiato il bottone di stampa.
Bene, anche in questo caso quindi sarà sufficiente trasformare il JNZ in JMP per permetterci di stampare addiritto tutte le pagine del documento (toner/cartucce permettendo).

Ultimo appunto, salvare i pdf protetti

OK, ora il gioco si fa più difficile.
Il pulsante di save è disabilitato, ma curiosando nel menù vediamo che possiamo ancora 'salvare con nome'... ma che gentili alla Foxit :)
Certo, provando a salvare anche con un altro nome verremo avvisati che, per via dei soliti motivi di protezione, potremo salvare solo una copia dell'originale, che quindi non conterrà alcuna modifica.
Come abbiamo fatto per la stampa allora mettiamo un bel bpx MessageBoxA e salviamo il nostro documento con ctrl+shift+S e il nostro Olly ci porterà nel modulo USER32.
Di nuovo click sulla prima riga dello stack e invio per tornare al nostro programma, come la volta precedente risaliamo in cima a questa call e mettiamo un altro breakpoint all'inizio, ripetendo la procedura 3 - 4 volte, fino a che, come per la volta precedente, non arriveremo alla parte di codice subito dopo il ciclo principale, ovvero qui:

Ottimo, direte voi, l'abbiamo già fatto due volte finora... si cambia il JNZ in JMP ed è fatta!
E invece NO!
Se forzate il jump infatti, non succederà assolutamente niente... niente finestre, niente messaggi, niente di niente.
Allora proviamo a fare una cosa... prendiamo un normale pdf (non protetto) e apriamolo, lasciando un breakpoint in cima a questa call, proviamo a salvarlo CON NOME e vediamo come si comporta il programma:

Bene, ma allora perché se io lo forzo a saltare non riesco a salvare?
Segnamoci l'indirizzo a cui va la call (42E5C0) prima del salto ed esaminiamo invece la call successiva, che incontreremmo se avessimo fatto il salto, ovvero la call in 4252DD, in quanto all'interno di questa call ci deve essere qualche altro controllo sui diritti del file (sennò salverebbe lo stesso, no?).
Piazziamo quindi un breakpoint sul JNZ incriminato, salviamo con nome il nostro file protetto, quando Olly ci porterà su questo punto cambiamo il flag Z (alla destra del codice, nella finestrella Registers (FPU)) facendoci doppio click, in modo da farlo diventare 0.
A questo punto steppiamo con F8 fino a che non ci ritroveremo sulla call in 4252DD ed entrimoci dentro con F7, ci ritroveremo qui:

Ma guarda, in questa call troviamo una chiamata a qualcosa che abbiamo già visto, ricordate?
La call è la stessa del blocco precedente; quello che ci faceva o meno saltare a questa call che stiamo esaminando!
Da notare che anche il costrutto è lo stesso, la call a 42E5C0, un test sul valore di EAX e poi un jump.
Ne potremmo dedurre che la call restituisce un certo valore di EAX, se questo è 0 allora il file è protetto, altrimenti no...
Controlliamo allora (siamo alla fine) cosa succede all'indirizzo 42E5C0:

OK, non è difficile; basta ricordare che dopo la call viene controllato il valore di EAX e se questo è 0 il TEST EAX, EAX risulterà 0, mentre se è 1 il test risulterà 1 (TEST alla fine altro non è che un AND logico).
Se volete potete provare a vedere cosa succede all'interno di questa call con un pdf protetto e con uno non protetto, in pratica con quello protetto torneremo al primo RETN, mentre con i pdf non protetti i test falliranno e usciremo con EAX uguale a 1.
Ottimo, finalmente abbiamo la soluzione corretta! Per poter salvare basta forzare uno dei jump che fanno saltare il primo RETN e otterremo un EAX uguale a 1 che praticamente dirà al programma che il pdf non è protetto.

Un'ultima piccolissima (giuro) osservazione; se clickate con il mouse ad evidenziare la riga 42E5C0 in Olly, ovvero la prima riga di questa call, potrete vedere nel piccolo riquadro sotto il codice che questa call viene richiamata in ben cinque punti diversi del codice!
Questo ci potrebbe confermare che questa call è proprio usata per controllare i diritti sul file e viene chiamata ogni volta che c'è da attivare/disattivare una funzione!
Infatti questa call viene usata anche per disattivare il bottone di save! Modificando il jump e riaprendo il documento, il pdf verrà riconosciuto come non protetto e da ora potrete anche salvare tramite il comodo tastino sulla barra, anziché dal menù.

Ho finito sul serio! Ciauz a tutti!

Note Finali

Tutto ciò è nato solo dalla poca voglia di leggermi 5000 pagine sullo schermo del PC rischiando di perdere 5000 diottrie... e poi a me piace leggere a letto, non posso mica portarmi lo schermo a letto, no?

I ringraziamenti per avermi reso possibile tutto ciò sono prima di tutto per il Que, il Geddon e +Mala, poi ovviamente a tutti i ragazzi (e non) che contribuiscono alla UIC.

Chiedo scusa al Que per il tute non finito che ho lascito sul sito... pensavo di avere un po' più di tempo a disposizione :(

E infine... martedì prossimo ho l'esame di Gestione delle Reti e sono qui a scrivere tutorial... quando metterò la testa a posto??? :)

Disclaimer