Lindo 6.1

From UIC

Lindo 6.1 Cracking

Lindo 6.1
Author:	Spider
Email:	spider_xx87 (AT) hotmail (DOT) com
Website:	http://bigspider.has.it/
Date:	19/11/2002 (dd/mm/yyyy)
Level:
Language:	Italian
Comments:	Lei: "Da quanto tempo non fai sesso?" Lui: "Dunque... lunedì, martedì, mercoledì... ...ah! ma tu dici con una donna??" Ezio Greggio in "Killer per caso"

Un esempio di target in cui la difficoltà non è insita nella protezione ma nella immane quantità di codice su cui essa è imperniata :)

Introduzione

Una tra le cose che più scoraggiano un reverser intento a far saltare la protezione di un programma è il cosiddetto jungle. Il termine "jungle", com'è evidente, significa "giungla", e fa riferimento al corposo e intricato codice su cui alcune protezioni si basano, addobbando le più banali procedure con quantità inimmaginabili di codice e call inutili. Sapersi districare in tali situazioni non è sempre facile, ma con un po' di intuito e, perché no, un po' di culo :) si può senz'altro riuscire a superare protezioni di questo tipo, senza uscir di senno studiando centinaia di kb di righe di codice assembler senza senso (o quasi).

Tools

• Softice 4.05 - IL debugger :)
• IDA Pro 4.15 o superiore - IL disassembler :)
• Un qualunque editor esadecimale (io uso Hex Workshop)

Si presume nel lettore una conoscenza base dei comandi di IDA; in caso contrario si rimanda al tutorial di Quequero.

Link e Riferimenti

h++p://www(dot)lindo(dot)com

Notizie sul programma

A che serve? Boh, non mi sono posto il problema... ad ogni modo il programma, una volta installato ed eseguito, mostra una finestra in cui permette di digitare una password o di eseguire il programma in licenza demo... Infatti esso dispone di 6 tipi di licenze: demo, trial, Super, Hyper, Industrial, Extended; ogni licenza ha le sue limitazioni:

Perché riporto tutti questi dettagli? Lo scoprirete a tempo debito.

Essay

Ok, cominciamo. Installiamo il programma, eseguiamo (nel frattempo iniziamo a disassemblare da IDA), ed ecco la finestrella che ci avverte che se non inseriamo una password corretta si avvierà il programma in versione demo. Mettiamo una password a caso, settiamo gli usuali breakpoint su GetWindowTextA e GetDlgItemTextA, e clicchiamo su OK. SoftICE poppa diligentemente per via del bpx sulla seconda API; premiamo F11 per tornare al codice del programma (il codice è preso da IDA):

Osservando il codice, vediamo che il serial da noi immesso viene salvato all'offset 004AD6A4 (che in IDA rinominiamo Serial); subito dopo la dialog viene chiusa, quindi è chiaro che il controllo del serial avviene da qualche altra parte. Osservando le xreferences a quella locazione, vediamo che ci sono ben 9 punti di codice che fanno riferimento ad essa; impiegheremmo 5 minuti a controllarle tutte, ma siccome noi siamo pigroni preferiamo impiegare 4 minuti usando softice (con il considerevole risparmio di 1 minuto!)... Torniamo dunque in softice, rimettiamo il breakpoint su GetDlgItemTextA, e quando softice poppa sullo schermo mettiamo un bel "bpm 4AD6A4 rw", ovvero chiediamo al softice di intercettare qualunque accesso in lettura/scrittura alla locazione in cui sappiamo che è contenuto il nostro serial. Premiamo F5 e softice riappare subito dopo. Un'occhiata veloce al codice e ci accorgiamo di trovarci su una piccola procedura che fa qualche manipolazione di stringhe, per cui premiamo F11 per giungere a questo codice:

Qui non troviamo nulla di interessante... A parte qualche chiamata a strlen e strcpy non troviamo niente di strano. Risaliamo perciò il codice e andiamo alla procedura chiamante:

Davvero gentili i programmatori... Hanno lasciato in chiaro i nomi di due chiamate di libreria che si trovano nella dll Lindolm.dll; oltre a queste due simpatiche funzioni della dll, IDA ce ne comunica altre:

Disassemblando la lindolm.dll si trovano decine di nomi interessanti, ma provate ad analizzare una qualunque di queste procedure... C'è da perdersi in mezzo a tutte le call e subroutines varie. Il reversing si prospetta lungo e noioso, per cui optiamo per un molto più rilassante e rapido cracking :-)

Dobbiamo però trovare il modo di evitare il fastidioso jungle e trovare un solido punto di attacco del programma. Ricordate lo schema che riguardava le limitazioni per i vari tipi di licenza del programma? È chiaro che il programma deve tenere in memoria una variabile per ricordarsi in quale licenza il programma debba girare, e regolarsi di conseguenza per gestire le limitazioni. Inoltre, dovrà anche ricordarsi da qualche parte le limitazioni per ogni tipo di licenza:

Trovare questa tabella tra i dati del programma potrebbe essere un ottimo punto di partenza. Ancora una volta il softice ci semplifica il lavoro. Avviamo il programma, digitiamo "MAP32 lindow32", ottenendo il seguente output:

Owner     Obj Name  Obj#  Address        Size      Type
LINDOW32  BEGTEXT   0001  017F:00410000  00000000  CODE  RO
LINDOW32  DGROUP    0002  0187:004A0000  00000000  IDATA RW
LINDOW32  .bss      0003  0187:00580000  00000000  UDATA RW
LINDOW32  .idata    0004  0187:00FA0000  00000000  IDATA RW
LINDOW32  .edata    0005  0187:00FB0000  00000000  IDATA R0
LINDOW32  .reloc    0006  0187:00FC0000  00000000  IDATA R0
LINDOW32  .rsrc     0007  0187:00FD0000  00000000  IDATA R0

La tabella che stiamo cercando è presumibilmente contenuta nella seconda sezione, che è appunto la sezione dei dati. Stranamente i campi Size sono azzerati, cmq è chiaro che la sezione DGROUP sia ampia 580000-4A0000=E0000 bytes. Dobbiamo adesso cercare in memoria i dati interessati basandoci su ciò che ci è noto di essi, ad esempio il valore 32000 (decimale) = 00007D00 (hex) che è sicuramente contenuto nella tabella. Per cui da softice digitiamo:

A cui softice replica con:

Pattern found at 0187:0057E104 (000DE104)

Bingo! Andando a vedere con IDA a quella locazione e alle locazioni circostanti scopriamo di incontrare proprio i valori che avevamo nella tabella (ho già rinominato le locazioni, raccolto ad array, e convertito tutto in decimale):

Abbiamo dunque tre array di sei elementi ciascuno, e guarda caso proprio 6 sono i tipi di licenza consentiti... Adesso che sappiamo dov'è la tabella possiamo analizzare le xref. Andiamo alla prima:

Il programma prende la dword all'offset 57E0C8 e la utilizza come indici per i tre array visti prima... È chiaro che se poniamo questa variabile a 5 il programma si autoconvincerà di essere registrato con la massima licenza possibile :-)

Rinominiamo la dword_57E0C8 con il nome di current_mode, e osserviamo le sue xreferences:

Up        o     BEGTEXT:00487D5A       push offset current_mode
Up        o     BEGTEXT:00487DEB       push offset current_mode
Up        w     BEGTEXT:00487E14       mov ds:current_mode,eax
Up        r     BEGTEXT:00487E7A       mov eax,ds:current_mode

L'ultima xref la conosciamo già; osservando il codice della penultima si nota anche ad una rapida occhiata che si occupa solo di azzerare un po' di variabili. Ci resta solo da analizzare il codice delle prime 2 xref:

In particolare poniamo l'attenzione alla prima parte di codice: contiene una serie di push (tra cui il push offset current_mode che costituiva la prima xreference) e una call; entrando dentro di essa scopriamo che è la stessa precedura che avevamo visto all'inizio e in cui sono contenute le chiamate a ValidatePassword e VerifyLicense!! Eravamo praticamente a due passi dalla soluzione e non ce n'eravamo accorti!... Gli scherzi del jungle ;)

Adesso mi sembra fin troppo chiaro quello che dobbiamo fare: facciamo saltare la call sub_42BF51 all'indirizzo 00487D78, aggiungiamo due righe di codice per settare a 5 la variabile current_mode, e noppare i due jnz dopo la call per essere certi di andare dove vogliamo noi :)

Questo:

Deve diventare così:

Effettuiamo le modifiche, eseguiamo e andiamo nell'aboutbox: nessuna traccia di time limit, limitazioni (Contraints, Variables, Int_Variables) sparite.

Spider

Note Finali

Saluti a Delfina con cui ho condiviso il cracking di questo programma.

Disclaimer