Anon - Crackear Todos Los Programas de Visual Basic

Como crackear todos los programas de Visual Basic (un Tutorial)  por Razzia Razzia traducido por  ^[G]oLe[E]^  ^[G]oLe[E]^ ** Este Tutorial Tutorial fue tomado prestado de la p!gina de fra"ia de #ngenieria #n"ersa de C$digo *** Cortesia de la página de Fravia de ingenieria inversa ~ Este Tutorial Tutorial es EXTREMADAMENTE interesante: mas y mas programas han sido escrito en lenguajes sobreinflados como isual !asic o Delphy Delphy"" y como correctamente se#ala Razzia" esto hace $ue estos programas sean mas crac%eables $ue las aplicaciones &normales&' Adem(s encuentro sumamente inteligente el estilo de Razzia )los bloc%s &mas info acerca del programa&  deber*an ser usados por todos los crac%ers desde ahora" por ejemplo+ y muy  bien estructurado, -igue su consejo y siempre &haz el punto& )considera tu apro.imaci/n+ 0ANTE-0 de saltar a la sesi/n de crac%ing'  1tra t2cnica muy interesante" 3til para es$uemas de protecci/n $ue cambian el  algoritmo matem(tico cada 4ez $ue son instalados" es el parcheado de los dll  de ! por si mismo" para M1-TRARTE )en un mesagebo. $ue llamar(s+ $ue  pass5ord deber*as ingresar  ingresar  Disfruta' 

tutorial de ra%%ia para el crackeo de "& Introduction

Ultimamente mas y mas programas salen que son probramados en VB. Puesto que los programas en VB son material m aterial desconocido para la mayoria de los crackers, los ignoran y los tacan de !incrackeables!. "n este documento te mostrar# que esto no es cierto por su protecci$n basada en te%to &serials'reg(!s). Como erramientas solo necesitaremos *o+tC" y -ie en un caso. /demás, /demás, asumo que el lector está +amiliari0ado con el cracking. Para principiantes, recomiendo los grandes grandes tutoriales ecos por 1orc y ed2son sobre crackeo crackeo en indos. Pero tratare de acer el me3or es+uer0o para acer este te%to entendible para todos los que tienen un minimo conocimiento sobre cracking. 'reparandonos  /ntes de empe0ar a bombardearte bombardearte con listados en en asm, tomemos un momento para para pensar acerca de con que estamos estamos tratando. "stamos tratando tratando con e%e!s que no tiene c$digo por si mismos, pero que en lugar, l ugar, acen acen llamadas a librerias con +unciones standard. 4u# signi+ica esto5 esto signi+ica que ay una gran desventa3a para proteger programas escritos en VB. Por qu#5 piensas que los escritores de dll de VB acen 67 +unciones di+erentes que podr8as usar para comparar comparar 9 cadenas5 :o, :o, por supuesto que no. "llos acen acen

la dll para ser tan e+iciente como sea posible y peque;a como sea posible. Por consiguiente una buena suposici$n es que solo abrá 6 &o 9) lugar&es) dentro de la dll donde las 9 cadenas pueden ser comparadas. < este es el caso, como verás si terminas de leer este documento. >) :o ser8a grandioso si supieramos en que parte de la dll, son comparadas 9 cadneas5 *8, ser8a grandioso. "sto reducir8a el crackeo de VB a un aburrido traba3o de +i3ar un simple breakpoint en el lugar indicado. Continua leyendo para mas detalles.

Estrategia  /ntes de continar, ser8a sabio +i3ar una estrategia &como deberias acer siempre con todos los otros casos de cracking). Pensemos acerca de la protecci$n ... ngresas una cadena de te%to, presionas enter u !?@! o lo que sea. Auego indos pasa los dsatos ingresados en la dll VB. Aa dll VB ace lo que necesita para saber si los datos ingresados son correctos o incorrectos. < obtienes un mensage, diciendote que ingresaste un buen'mal c$digo.  /s8 que donde estar8a el eslab$n d#bil en la cadena5 la respuesta es donde indos pasa los datos que ingresaste a la dll VB. "se es nuestro punto de entrada. Podemos acer que *o+tC" interrumpa aqu8. < entonces estaremos en la +uente de la cadena de protecci$n. Con la ayuda de breakpoints podemos monitorear que pasa con nuestro te%to. Pienso que aora tenemos su+iciente in+ormaci$n de +ondo para crackear un primer e3emplo. Case   Te Collector "+, e collector es una utilidad para crear y mantener tu colecci$n de imagenes'+otos. :o está mal para ser un programa VB. as in+o sobre el programaD :ombre D e Collector v9.6 Eonde D ttpD''intranet.ca'~logic'collectr.tml ama;o D collectr.e%e  9GH.7GI bytes Protecci$n D serial EAA D usa un dll VBJ KLLLLLLLLLLLLLL VBJ.EAA "ncuentro +ácil e%plicar las cosas por pasos. Por lo tanto, dividir# el proceso de crackeo en peque;os pasos D Paso 6 D "3ecuta e Collector 3usto al inicio te pedirá el serial Paso 9D ngresa un serial tonto como !MNIHOGJ967!.

 /ora presiona control>d para entrar a *o+tC". "n *o+tC" escribe !bp% memcpy! para colocar un breakpoint en la +unci$n memcpy del kernel. &nterme00o D 4u# es memcpy5 indos usa muco memcpy en operaciones concernientes a caden0as. "n este caso, será usado para copiar el bu++er con el te%to que ingresamos al espacio de memoria de la dll CV. Qecuerdas cuando di3e que ibamos a interrumpir cuando indos pasara nuestra cadena a la dll VB5) Paso J D Ee3a *o+tC" con control>d. < presiona !?@R. "sto ará que *o+tC" interrumpa 3usto en el inicio de memcpy. Paso G D /ora continuaremos rastreando mas en la memoria de la +unci$n memcpy para encontrar donde será almacenada la cadena que ingresamos. antente presionando F67 asta que veas DDemoryScopyingSsnippet JMP 9E9F USH ECX CX,02 REPZ M!S" PP ECX $" ECX,0% REPZ M!S& XR "X,"X

;Estas líneas copian el SHR ;cadenas en ds:si a es:di ;el REPZ M!S"#

;el REPZ M!S&#

Paso OD Tusto antes de Q"P ?V*E as un !ed si!. Verás el te%to que ingresaste, en mi caso, muestra !7MNIHOGJ96!. -as un !ed esDdi! y no versa nada &an). Pero si presionas F67 y pasas el Q"P ?V*B versa el te%to siendo copiado a su nueva localidad, donde el dll VB puede accesarlo. Paso HD aora sabemos donde está locali0ado el te%to. Qevisemos nuestra estrategia aqu8. :uestro plan +ue encontrar donde la dll VB mantuvo nuestro serial, entonces pon un breakpoint en esa localidad de memoria y encuentra con que es comparado. /s8 que +i3emos un bpr &breakpoint en rango) en la localidad donde vive nuestra cadena. N esDdi>6 r!. :o presiones enter, lee el paso I antes. Paso ID /ntes de tocar enter, te dire que debes esperar. *o+tC" romperá todo lugar donde el bloque de memoria con la cadena es le8do o escrito. Por e3emplo romperas dentro de la +unci$n strlen donde la longitud de la cadena es calculada. < romperas donde la cadena es copiada a otro lugar en memoria &por e3emplo con Q"P ?V*). Cuando esto pasa, +i3a un nuevo bpr en la nueva localidad con la cadena. ambien interrumpirá cuando la cadena o parte de ella es borrada. *i la cadena completa no es borrada completamente, no remuevas el bpr correspondiente. *olo remu#velo cuando la cadena completa sea escrita sobre algo mas. ambi#n romperás de :uevo en memcpy. -memcpy leerá otro eco de la cadena en la memoria de la dll. Coloca un bpr all8 tambi#n. < +inalmente romperás en la parte del c$digo que ace la comparaci$n &la instrucci$n que verás es Q"P CP*B). Cuando alcanc# esa

parte de c$digo, tuve G breakpoints +i3ados. Un breakpoint para memcpy y J bpr!s en J ecos de la cadena &o partes de ella). Paso ND /ora emos encontrado el c$digo donde la dll VBJ ace la comparaci$n, aora podemso poner un breakpoint all8 y desactivar los otros breakpoints. :o los necesitaremos mas. -"?* ":C?:Q/E? el lugar donde las cosas son comparadas en VBJ. Ao que ves es estoD DeSVBJScompareSsnippet D : '&C( : F%( es:di : 5607 : 9F : 92 : '"
)o* c+, d+ -ep. c)ps/ ;1 a3í las cadenas en ds:si 4 8e 'C& ; son co)pa-adas la +c a+,d+ lea /+, =/p>0'? call 92C&

Tusto antes del Q"P CP*B si aces un !ed si! y un !ed esDdi!, verás con que es comparado. "n este caso, el segundo y tercer carácter de la cadena que ingresamos son comparados con !VN!. /s8 que si reinicias el programa e ingresas 7VNIHOGJ96 se registrará. Paso MD an no emos terminado. odo lo contrario2 Ee verdad, la parte importante es lo que acemos aora. Aa pro%ima ve0 que cono0camos un programa en VBJ &y conoceremos mucos de ellos D) queremos colocar un breakpoint en la localidad con el c$digo arriba y leemos el serial correcto. Como lo acemos5 rat#moslo rápido con nuestro ob3etivoD e Collector. nicia e Collector e ingresa un serial tonto. "ntra a *o+tC" y coloca un breakpoint en memcpy. Ee3a *o+tce y presiona !?@!, esto te regresará a *o+tC". /ora, sal del kernel y entra al c$digo de VBQU:J77 &presiona F66 y F67 asta que llegues all8)  /ora as una busqueda del partronD NB,C/,FJ,/H,IG,76,M+,M9,NE,O",7N,"N,7",7H este es el Rmov c%, d%R y el resto que emos visto arriba, buscaD s 7 l ++++++++++ NB,C/,FJ,/H,IG,76,M+,M9,NE,O",7N,"N,7",7H coloca un breakpoint en la direcci$n que es retornada &bp% KsegDo++setW) >presiona FO y aterri0aras en la mitad del c$digo de comparaci$n de arriba >solo queda algo por acer y es cequear los punteros en esDdi y dsDsi Caso 2 : Minimize Magic 1.2.4

Minimize Magic es una utilidad que puedes usar para minimizar tus programas en la  barra de tareas.   Mas del programa: Nombre Donde

: Minimize Magic 1.2.4 : http://www.genesoft.demon.co.u/

  !ama"o : minimagic.e#e $ 1%&.'44 b(tes )rotecci*n : password basado en una lla+e D,, : usa -4 dll 00000000000000 -4.D,,

Para crackear este programa puedes proceder en la misma +orma que usamos con e Collector. Comen0ando con memcpy, traba3ando a tu manera al c$digo que compara las cadenas que ingresaste. /lgo importante es saber que el dll VBG siempre convierte las cadenas al +ormato ideCar antes de acer algo con ellas. /s8 que en lugar de usar memcpy puedes +i3ar un breakpoint en ultiByteoideCar para romper. Cequea tu re+erencia a las /PXs de indos para aprender mas acerca de esta +unci$n. -e eco la parte dura del traba3o por ti y encontre el c$digo de la dll VBG que compara las 9 cadenas &en +ormato ideCar2). /qu8 está el listadoD : : : : : : : : : : : : :

< <5 '&5C2670 '&56260C '&6C2676 %%C0 F%(5 560< 7&C0 '%"'FF
p3s esi p3s edi )o* edi, =esp > 70? )o* esi, =esp > 0C? )o* ec+, =esp > 76? +o- ea+, ea+ -ep. c)ps@ ;a3í las cadenas en ds:esi 8e 0F59&%2 ; 4 es:edi son co)pa-adas s// ea+, ea+ s// ea+, FFFFFFFF pop edi pop esi -et 000C

 /ora sabemos lo su+iciente sobre la dll VBG, crackiemos inimi0e agicD Paso 6D inicia inimi0e agic y escoge registrar desde los menus. e preguntará tu :ombre y un Passord. ngresa un nombre y passord tonto. :o presiones !?@! an, continua con el siguiente paso. Paso 9D entra a *o+tC" y coloca un breakpoint en memcpy. *al de so+tice y presiona !?@!. /terri0aras en *o+tC". Paso JD Presiona F66 y F67 asta que estes +uera del kernel y en el c$digo de VBG77J9.dll.  /ora buscaremos el patron del c$digo de arriba. -as !s 7 l +++++++++ OH,OI,Nb,Ic,9G,67,Nb,IG,9G,7c,Nb,Gc,9G,6G! y coloca un breakpoint en la direcci$n que es retornada. Paso GD Presiona FO para salir de *o+tC"... romperas intermediamente de :uevo en el ob3etivo, 3usto al inicio del c$digo de arriba. /qu8 el pass que ingresaste sera comparado con el pass correcto. Qastrea asta 3usto antes de Q"P CP* y as un !ed esDedi!, esto mostrará el pass que ingresaste. *i aces !ed esi! versa el pass correcto. &esta cadena sera en +ormato ideCar por e3emplo podr8as ver /  Y - E " - E. "sto signi+ica que tu pass es  /Y-E"-E) ?kas, aora encontramos un pass +unctional que traba3ará solo para la versi$n instalada en tu compu. *i le das el pass a alguien mas, el programa no lo aceptará. "l pass es calculado desde una llave &key) que es

di+erente en cada compu. "sta @ey puede ser generada aleatoriamente en el setup o basado en la in+o de tu d, o en la +eca, el tiempo o en algo. Cualquiera que sea, podr8a ser di+8cil de encontrar como es generado o donde es almacenado.  /s8 que, como podemos acer un crack general5 Podr8amos usar el truco !agic indo! aqu8. !Qeprogramaremos! el VBG77J9.dll para mostrar el pass correcto. "l c$digo original en el VBG77J9.dll se ve como estoD :0F59&%6' < :0F59&%69 <5 :0F59&%6( '&5C2670 in-esaste :0F59&%6E 1A pass co--ecto :0F59&%<2 '&6C2676 :0F59&%< %%C0 :0F59&%<' F%(5 :0F59&%<& 560< :0F59&%<" 7&C0 :0F59&%
p3s esi p3s edi )o* edi, =esp > 70? ; es:ediA pass 3e '&56260C )o* esi, =esp > 0C? ; esi )o* ec+, =esp > 76? +o- ea+, ea+ -ep. c)ps@ ; los co)pa-a 8e 0F59&%2 s// ea+, ea+ s// ea+, FFFFFFFF pop edi pop esi -et 000C ; inal de esta p3s edi

; el cBdio a/a8o de

)o* edi, =esp > 0'? ;no es i)po-tante, )o* ec+, =esp > 70? ;necesita-e)os )o* ea+, =esp > 0C? o- esp, esp -epn. scas@ )o* ea+, 00000000 8ne 0F59&%'% lea ea+, =edi102? pop edi -et 000C

"l c$digo está locali0ado en el o++set IaIGN en el arcivo vbG77J9.dll. /s8, para acer que un crack general aga un parce que cambie el c$digo de arribaD :0F59&%6' < :0F59&%69 <5 :0F59&%6a '&5C2670 3e in-esate :0F59&%6E '&56260C co--ecto :0F59&%<2 '7%F5000%00 PCD  :0F59&%<' 5<25

p3s esi p3s edi )o* edi, =esp > 70?;es:edi 11Ate+to )o* esi, =esp > 0C? ;esi 11A pass c)p d@o-d pt- =edi?, 00%0050;edi 1A 8ne 0F59&%'7

;si no 1 sali-

:0F59&%<( '0%E00 líneas :0F59&%<" 5670 espacios :0F59&%
c)p /4te pt- =esi?, 00

1 estas

8e 0F59&%F

 ponen

add esi, 00000007

 ent-e

)o* /4te pt- =esi?, 20 8)p 0F59&%(

 11salta-

-et 000C ;11 esto p-e*iene 3n c-as add esi, 00000007  8)p 0F59&%<( 1 al )o* edi, =0F5&C6"C? G11 estas )o* esi, =esp > 0C? G lla)an a la p3s 00000000 G Messae&o+( p3s esi G pa-a )ost-ap3s esi G el pass co--ecto p3s 00000000 G call edi G pop edi pop esi nop -et 000C

ComentariosD usamos el espacio de 9 rutinas, para prevenir un cras tenemos que poner una +unci$n Q" en el inicio de la segunda +unci$n &original) &ver l8nea 7FIMBJHI). "sta parte del c$digo de dll VBG no es usada para cequear los passords. "s usada por otras partes del programa. Por lo tanto, necesitamos acer algo para que solo algo pueda ser mostrado cuando estamos tratando con una comparaci$n de passords. "sto es lo que el c$digo en la l8nea 7FIMBJO9 trata. Cequea para ver si "E apunta al siguiente te%to RPCR. /s8 podemos usar esto para activar el crack. Para activar el crack, RPCR tiene que ser ingresado en la cadena por pass cuando te registras. Aas l8neas marcadas con Z están all8 para poner espacios entre caracteres de la cadena. ?riginalmente all8 estar8a una cadena en +ormato ideCar. "sto signi+ica que en memoria abrán ceros entre los caracteres. Pero la +unci$n que emos usado para mostrarnos el te%to &essageBo%/) convierte los 7 al +inal de la cadena. /s8 que obtendr8amos solo 6 letra si no ici#ramos el reempla0o de los ceros con espacios. Aas l8neas marcadas con L están all8 para llama a la +unci$n essageBo%/ para mostrar el pass correcto. Qasgu# esos commandos del dll VBG. coloqu# un breakpoint en essageBo%/ para ver como VBG lo llamaba. Bien, esto es para inimi0e agic. Para acer  un crack general, un parce podr8a ser escrito para parcear el dll VBG en o++set IaIGN con el c$digo de arriba. Para usarlo, minimagic.e%e y vbG77J9.dll deber8an estar en un directorio temporal y el parce e3ecutarse all8. Auego

iniciar minimi0e.e%e desde ese directorio temporal y usar !PC! por pass. < voila, una ventana aparecerá con el pass correcto. Una ve0 el pass correcto es conocido, los arcivos temporales ser8an borrados y el pass puede ser usado en el inimi0e agic original. Caso -  .u& .tation /lpa +,0+ Aa mayoria de los programas VBG pueden ser crackeados con el m#todo descrito en el caso 9, pero e encontrado 9 programas que usan un m#todo distinto de comparaci$n. Uno de estos programas es *ub *tation /lpa 9.79. Usa una protecci$n que primero convierte un numero que ingresaste a su valor e% y luego lo compara con el numero correcto. Comencemos a crackear *ub *tation /lpa aoraD las cosas se aclararán. n+o acerca del programaD :ombre D *ub *tation /lpa 9.79 Eonde D ttpD''.esat.demon.co.uk'inde%.tml ama;o D H9M.9GN bytes Protecci$n D passord basado en un user name : Usa VBG dll EAA Primeramente mencion# que VBG convierte cadenas al +ormato idecar antes de acer algo con ellos. Por lo tanto usaremos esta +unci$n como punto de entrada. Ee nuevo lo aremos paso a paso =>>) Paso 6D inicia *ub *tation /lpa y escoge register desde los menus. ngres un nombre y un key de registro tonto. Paso 9D entra a *o+tC" y coloca un breakpoint en ultiByteoideCar &con el commando !bp% multibytetoidecar!) Paso JD aora, sal de *o+tC" y presiona RQegisterR. Paso GD *o+tice interrumpirá en el inicio de ultiByteoideCar, presiona F66 para salir. VerásD :FF7<00C25&0F :'&"' :'%FEFF :5<07 :6& :<% :(00 :FF7<7'C95&0F :'&E' :'
call =ER$EI%2#M3lti&4teoKideCa-? )o* e/+, ea+ c)p esi, FFFFFFFF 8ne 0F5%'&CF dec e/+ p3s e/+ p3s 00 call d@o-d pt- =0F5&C97'? )o* e/p, ea+ test e/p, e/p 8. 0F56&2%" inc e/+ p3s e/+ p3s e/p p3s esi p3s edi p3s 00 p3s 00

:FF7<00C25&0F :'&C< :<" :
call =ER$EI%2#M3lti&4teoKideCa-? )o* ea+, e/p ;11 as ed e/p a3í pop e/p pop edi pop esi

"l lugar importante está 3usto despues de la segunda llamada a ultiByte> oideCar. Eesactiva el primer bp en ultiByteoideCar y coloca un :uevo bp despues de la segunda llamada a la +unci$n &en la l8nea con ?V "/[,"BP). "n la l8nea "BP contendrá un puntero a una cadena en +ormato ideCar que +ue procesado. :o tiene que ser la cadena de la llave de registro. Por lo tanto, editaremos ese breakpoint para que traba3e solo interrumpiendo cuando este procesando la llave de registro. Como podemos acerlo5 Bien, la +unci$n ultiByteoideCar retorna la longitud de la cadena que procesa mas 6 en "/[. /s8 agregaremos una declaraci$n condicional en el breakpoint. -as !bl! para encontrar que es el numero en ese breakpoint. "ntonces as un !bpe (! y agrega !i+ alRKlengt?+@ey*tring16RW! al breakpoint. Por e3emplo, si ingresas !969696!, lengt?+@ey*tring ser8a H D>>). Paso OD /ora de3aremos corer el programa con FO. cuando *o+tce rompa as un !ed edp! y ve la +orma ideCar de la llave que encontraste. Colocamos un bpr en el bloque de memoria conteniendo la cadena y continuamos &FO). Ao que pasará es esto. *o+tice romperá en varios lugares. Ao que es importante es que rompera en el c$digo de ?A"/UJ9. cuando esto pase, rastrea un poco mas para ver que está pasando. Aas primeras veces saldrás de ?A"/UJ9 muy rápido. Pero eventualmente verás este c$digoD & listado de ?A"/UJ9.EAA) D<%6&&% %9 0C?, e/+ loop 3e :<%6&&5 5E76 8le <%6&C" :<%6&&9 %%C9 +o- ec+, ec+ de 3na :<%6&&& '"0692 lea ea+, =ed+ > en el inal :<%6&&E '(0E )o* cl , =esi? *alo:<%6&C0 6 inc esi cadena :<%6&C7 6F dec edi :<%6&C2 FF6C260C dec =esp > 0C? :<%6&C '"7667 lea ed+, =ec+ > 2Gea+? :<%6&C9 '
;

este es 3n

; *a a t-a*Ls de ; los ca-acte-es 6Ged+? ; cadena, ;

ed+ tend- el

;

e+ de la

;

ed+ es

:<%6&F '%C626 :<%6&F9 C27000

add esp, 00000026 -et 0070

Paso HD vimos que la llave es trans+ormada en su valor e% y guardada en un lugar en memoria. *i monitoreas esta localidad de memoria, terminarás en el dll VBG que la compara con otro valorD :0F5(2CE7 :0F5(2CE2 :0F5(2CE% :0F5(2CE< :0F5(2CE' :0F5(2CE( :0F5(2CE& :0F5(2CEE :0F5(2CF7 :0F5(2CF'

<( <' 2&C2 '%F'07 7&C0 <0 0F&50 '%C02 FF266
pop ed+ ; ca-a ed+ pop ea+ ; ca-a ea+ s3/ ea+, ed+ ; los -esta c)p ea+, 00000007 s// ea+, ea+ p3s ea+ )o*.+ @o-d pt- ea+, =esi? add esi, 00000002 8)p d@o-d pt- =2Gea+ > 0F5&99F6? call 0F5(2"&'

Vemos que "E[ y "/[ son cargados desde la pila y luego son restados. "sto es una +orma indirecta de comparar los 9 valores. *i revisas el contenido de "/[ y "E[, versa que uno tiene el numero que ingresaste y el otro tendrá el numero de registro correcto. Paso ID aora encontramos esta localidad, es sabio notar los valores e% del c$digo, para que puedas encontrarlos rápido cuando sospeces que otro programa VBG usa esta protecci$n.

1otas 2inales Bien, con las J t#cnicas de arriba e sido capa0 de realmente crackear algunos programas VBJ'G que usan la protecci$n basada en te%to. /lgunas veces cuando +i3as un breakpoint en la rutina de comparaci$n, *C" no interrumpira. rata entonces de ingresar una cadena con una longitud di+erente. Porque el programa podr8a ser cequeado por la longitud de la cadena que ingresas y entonces comparar los caracteres aislados, pero de nuevo ser comparados en las localidades declaradas en los e3emplos de arriba. Con programas VBO no tengo muca e%periencia, solo e crackeado uno. "s el -itlist Pro vJ.7. Parceando el dll VBO, pude remover su limitaci$n de J7 d8as 3usto como un programa regular. Por supuesto, el dll VBO tenia que ser colocado en el directorio principal de -itlist Pro, esto para prevenir que otros programas VBO usaran el EAA parceado. "so es todo amigos, pueden contactarme &si saben como =>>) en irc con retroalimentaci$n y preguntas.