Il nostro 2° crack

Eccomi di nuovo qui a scrivere un altro tute, scusate la mia assenza ma sono stato estremamente impegnato e poi ho dovuto cercare un prog molto facile da craccare, questa volta parleremo di AdWiper v1.02, questo proggy non fa altro che velocizzare la connessione eliminando tutti quei noiosi banner.

Lo potrete trovare qui.

Iniziamo, per prima cosa installate il prog (mi sembra ovvio ;) ed apriamolo, vediamo subito un invitante bottone che ci chiede di registrare AdWiper (anche se a noi dice solo "crackami, cackami" ;), clickiamoci sopra e vediamo apparire un grazioso box che ci chiede un seriale....mmmmm bene.

Vogliamo trovare il seriale?

Non sia mai! Perchè sniffare il numero (che è da lamer) quando abbiamo le potenzialità di disabilitare il check?

In realtà questa è la soluzione più semplice da attuare, ed è questa la strada che prenderemo.

Apriamo il nostro fidato W32DASM, facciamogli disassemblare l'eseguibile, clickiamo sul secondo pulsante da sinistra (String Data Referencies) e vediamo di trovare qualche "clue" oppure la "Beggar off" cioè: Incorrect Password, Your number does not match, Number Incorrect ecc... Ci siamo capiti?

Sulla prima riga leggiamo "Thank you for registering" azzzz buono, facciamo doppio click sulla scritta ed avremo davanti qualcosa del genere:

 

* Referenced by a CALL at Address:

|:00402787

|

:00401400 6AFF push FFFFFFFF

:00401402 6891DF4100 push 0041DF91

:00401407 64A100000000 mov eax, dword ptr fs:[00000000]

:0040140D 50 push eax

:0040140E 64892500000000 mov dword ptr fs:[00000000], esp

:00401415 51 push ecx

:00401416 8B442414 mov eax, dword ptr [esp+14]

:0040141A 53 push ebx

:0040141B 56 push esi

:0040141C 57 push edi

:0040141D 8BF1 mov esi, ecx

:0040141F 50 push eax

* Possible Reference to Dialog: DialogID_0066

|

* Possible Reference to String Resource ID=00102: "Thank you for Registering!"

|

:00401420 6A66 push 00000066

:00401422 89742414 mov dword ptr [esp+14], esi

:00401426 E8EC110100 call 00412617

:0040142B 8D7E5C lea edi, dword ptr [esi+5C]

 

Mmmm questa cosa non mi piace, non vedo nè jump nè test nè altro, molto male, allora forse non va bene qui, cosa facciamo?

Nulla, apriamo di nuovo SDR (String Data Referencies) e facciamo un altro doppio click sulla prima riga....dovremmo avere qualcosa del genere:

 

:004021BB E890140000 call 00403650

:004021C0 83C408 add esp, 00000008

:004021C3 85C0 test eax, eax

:004021C5 745F je 00402226 <----Ricordate il numero 745F ci servirà dopo

* Possible Reference to Dialog: DialogID_0066

|

* Possible Reference to String Resource ID=00102: "Thank you for Registering!"

|

:004021C7 6A66 push 00000066

:004021C9 8D4C240C lea ecx, dword ptr [esp+0C]

:004021CD E8B6440100 call 00416688

:004021D2 6A00 push 00000000

 

Adesso va bene, come potete vedere all'indirizzo 004021C5 troviamo un bel "jump if equal", se la funzione in quel punto non salta si dovrebbe avere il messaggio di ringraziamento (ma che bravi questi programmatori, ci ringraziano anche se crackiamo i loro programmilli ;), provvediamo allora alla registrazione, dovrebbero bastare due semplici "nop" per registrare il prog, ma a questo punto come facciamo a cambiare i "connotati" all'adwiper?

Nulla di più semplice: andiamo in W32DASM, facciamo doppio click sull'indirizzo del salto (004021C5) e se guardiamo in basso a destra dovremmo avere una scritta di questo genere: @Offset xxxxxxxxh, che nel bostro caso dovrebbe essere 000015C5h (la "h" sta a dire che si tratta di un numero esadecimale).

Copiamo da qualche parte questo offset, apriamo l'Hex-Workshop, carichiamo AdWiper.exe ed andiamo in Edit|Go to..., inseriamo l'offset di prima e premiamo invio, ci troveremo davanti ad un ammasso di cifre esadecimali e guarda caso il cursore si ferma su un 7 seguito da un 4 un 5 ed una F, in totale:745F, se andiamo a guardare in W32DASM, affianco all'istruzione JE 00402226 c'è scritto proprio 745F, ciò significa che questo è il codice esadecimale del salto, cavolo che carino.....adesso per patchare il prog dobbiamo sostituire questo numero con 9090 che significa (come dovreste sapere) nop nop, cioè la funzione arrivata in quel punto non fà nulla e passa oltre, cioè alla registrazione.

Salviamo il file e quando ci viene chiesto di farne un backup diciamo di si tanto per essere sicuri.

Il prog ogni volta che veniva avviato controllava se era stato registrato e quindi faceva apparire il pulsante register... e cazzi vari, adesso come potrete felicemente constatare viene presentata all'inizio la scrittina "Thank you for Registering".

Bhè ci vediamo al prossimo tutorial.

Vorrei cogliere l'occasione di salutare alcuni cari amici come:

NeuRaL_Noise, +Malattia, War-lock, Alor, Along3x, _GEnius, ^courier, YanOrel, Killexx, d4emon, Insanity, EL_Diablo (e la sorella ;), T3x, KeRoUaC, Anub|s, N6U5, Vecna e basta, se ho dimenticato qualcuno non l'ho fatto di proposito.

Se volete contattarmi mi troverete spesso su IRCnet, fatemi una query.

Alla prossima, Quequero