Регистрация UltraEdit32 10.00b

Перейти на главную страницу, индексную страницу.


Автор: bi0w0rM <bioworm@mail.ru>


Message:
Дравствуйте! Мне очень дорога программа, которую я хочу описать, поэтому я хочу, чтобы Вы тоже её по достоинуству оценили. А как это сделать? Уж с триальным сроком мало чего оценишь, так надо значит его убить =)

Что же нам понадобится:
TRW2000 - отладчик
w32dasm - Дизассемблер. Версию типа 8.93 или более
HIEW или QVIEW. - вообще любой хекс-редактор, который Вам роднее!
Примечание: Кто-нибудь может подсказать мне хекс-редактор, имеющий Decode Mode, как в HIEW и QVIEW?

Так что же за прога, с которой я так хочу Вас познакомить?? UltraEdit - это очень крутой, прямо таки продвинутый текстовый и хексовый редактор, который заткнет WinHex, HIEW, HexWorksHop и Блокнот вместе взятые =)) Ну я уже к HIEW привык, так что в моих глазах он всегда останется "моим" hex-редактором. Так вот этот UltraEdit имеет много всяких фич: поддерживает HTML, C/C++, BAT, INI и другие форматы. Не стоит конечно обольщаться, что он заменит Вам браузер, ведь его задача не смотреть страницы html, а редактировать код. Пробовал ему давать C-исходники - всё понимает. Также в нем есть Replace In Files - очень нужная фича. Ну что, развел я вас на взлом? =))
Еще я не назвал главную фичу программы: стоит 35 баксов и имеет триальный срок. И еще наг, который начинает раздражать при каждом обращении к программе. Чтобы полностью остановиться, проге всего надо 45 дней... После этого появляется приглашение ввести серийник, а иначе - выход. А редактировать файлы и подопытные проги требуется всегда, так что надо бы наг как-то убить.
Так как я написал туториал в образовательных целях, то хочу поделиться методами удаления нага:
- Командой s 0 ffffffff '[Сообщение Нага]' в TRW(в S-ICE тоже можно найти) находим эту строку. Она находится по такому-то адресу. Вот ставьте на этот адрес бряк bpm [АДРЕС]. Потом, чтобы не мешало bd *(запретить все бряки). Далее в TRW снова загрузите прогу и "разрешите" все бряки be *. Потом F5 и начинайте трассировать, пока не найдете, что патчить.
- Наг появляется по ShowWindow! Значит ставьте бряк bpx ShowWindow и находите нужные байты. Окно может создаваться еще и функциями CreateWindowExA и просто CreateWindowA. Какой-то из них точно сработает, если наг - простое окно.
- Порой наг показывает, сколько осталось дней до конца триала. Значит это какая-то из функций проверки времени - bpx GetLocalTime и GetDateFormatA. Может рядом найдете и проверку "общей" степени зарегистрированности.

Ну ето всё теория. Есть также еще несколько способов убить наг, но это нафиг.
Значит так, сделайте копию uedit32.exe - backup.exe. Теперь у вас два файла. Работать будем с первым. Запускайте TRW2000. Укажите путь к нашему файлу и нажимайте Load. Смотрим, осталось 45 дней до кончины проги. Также сходите в About - там тоже на нас наезжают, что мы unregistered. Ладно, запустите прогу еще раз и смотрим сообщение нага: 'This is an unregistered copy' и т.д. Пишем это в TRW:
s 0 ffffffff 'This is an unregisterd copy' . Теперь вам покажут, по какому адресу находится данная инфа. Поставьте на неё бряк! bpm ВАШАДРЕС . У меня было Ну выходите из проги. Снова загружайте её. Теперь F5 и снова выскакивает TRW. Значит бряк сработал. Теперь жмите F5 до того момента, пока не покажется окошко UltraEdit. Соображайте: вот-вот появится наг. Дотрассируйте по F12 до модуля родной программы(не KERNEL, а наш uedit32). Всё Мы почти в заветном месте. Стирайте бряк bc 01. И ставьте бряк на то место, где Вы сейчас, а Вы сейчас примерно здесь:
:00514FD1 C20C00 ret 000C
:00514FD4 8B442404 mov eax, dword ptr [esp+04]
:00514FD8 6A01 push 00000001

Если не здесь, то не кричите, а пробуйте снова. Значит бряк bpx 514FD1. Всё! Теперь попробуем докопаться - недалеко проверка на зарегенность. Потрассируем по F10. Рано или поздно будете здесь:
:004ACAC8 85C0 test eax, eax
:004ACACA 7506 jne 004ACAD2
:004ACACC 899E50010000 mov dword ptr [esi+00000150], ebx

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004ACACA(C)
|
:004ACAD2 391D24D15900 cmp dword ptr [0059D124], ebx
:004ACAD8 0F8591000000 jne 004ACB6F <--- Найден методом научного тыка!
:004ACADE 399E50010000 cmp dword ptr [esi+00000150], ebx
:004ACAE4 0F8485000000 je 004ACB6F
:004ACAEA FF3520D15900 push dword ptr [0059D120]

* Possible StringData Ref from Data Obj ->"Settings"
|
:004ACAF0 BFBCCC5800 mov edi, 0058CCBC
:004ACAF5 8BCE mov ecx, esi

* Possible StringData Ref from Data Obj ->"MousePos"
|
:004ACAF7 68A8A45800 push 0058A4A8
:004ACAFC 57 push edi
:004ACAFD E88202F7FF call 0041CD84
:004ACB02 FF353CDA5900 push dword ptr [0059DA3C]
:004ACB08 8BCE mov ecx, esi

* Possible StringData Ref from Data Obj ->"Days to expire" <== Xe-xe
|
:004ACB0A 6868CD5800 push 0058CD68
:004ACB0F 57 push edi
:004ACB10 E86F02F7FF call 0041CD84
:004ACB15 A120D15900 mov eax, dword ptr [0059D120]
:004ACB1A A324D15900 mov dword ptr [0059D124], eax

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004ACBA3(C)
|
:004ACB1F 391D18DD5900 cmp dword ptr [0059DD18], ebx
:004ACB25 7519 jne 004ACB40 <--Избегает UpdateWindow

* Possible Reference to String Resource ID=00005: "ULTRAEDT.MAC"
|
:004ACB27 6A05 push 00000005
:004ACB29 8D8E34010000 lea ecx, dword ptr [esi+00000134]
:004ACB2F E8B7C00600 call 00518BEB
:004ACB34 FFB650010000 push dword ptr [esi+00000150]

* Reference To: USER32.UpdateWindow, Ord:0291h

Итак, я запатчил байт 4ACAD8 и 4ACB25. Нага не стало. Думаете всё? Да нет, не всё. Выходите из проги и давайте переведем дату на 45 дней(лучше 46) вперед - типа кончился триал. Тоже всё нормалек. Ну если у вас не так, то напишите - обсудим. Чё дальше? Давайте уберем из About лишнюю инфу. А то чем хвастать будешь. Ну а это сам сделаешь - хвастать своим трудом будешь =)) Подскажу лишь: ищи в w32dasm строку "Thank you for supporting shreware".
P.S.: Вроде прога больше нигде не наезжает. После этого я её спокойно юзал без ограничений. Только не знаю вот, может у тебя будет всё сложнее? Обсудим по мылу - bioworm@mail.ru Исследовалась версия 10.00 b - говорят, делалась в 2003 году.. Плоховата защита, сейчас такую мало где встретишь - даже UPX не нацепили. Может это не так и есть подводные камешки, ноо я их пока не нашел - прога хорошо юзается. Во время написания туториала, я прогу кракнул заново как бы. Вот, чтот я делал до этого - байтов попатчил очень много(результат файл-компарера с некракнутым екзешником):

FileSize: 1F4000h
DD 5405h
DB 7Dh
DB 7Fh
DD 8200h
DB 74h
DB 75h
DD B151h
DB 74h
DB 75h
DD 35750h
DB 75h
DB 74h
DD ACAD9h
DB 85h
DB 84h
DD ACB25h
DB 75h
DB 74h

Исходник кряка не прилагаю - кряки распространять нехорошо!
Пока!


Материалы находятся на сайте http://cracklab.narod.ru/doc/






Hosted by uCoz