Parcheando el Alcohol 120% 2.0
- ¿Que se planea lograr con este parche?
Lo que se planea es que nunca caduque el modo de prueba ( TRIAL ) .
- Tutorial
Lo primero que haremos y que es bueno siempre hacerlo cuando se planee crackear algún programa es ver si esta enpaquetado con algún packer , para esto utilizaremos el peid(web (http://www.peid.info/)) .
(http://r.i.elhacker.net/cache?url=http://img121.imageshack.us/img121/2925/peid.png)
Como vemos en el peid esta empaquetado con el UPX , existen varias opciones para desempaquetarlo yo usare el PE Explorer (web (http://www.heaventools.com/)) con este p`rograma solo abrimos nuestro exe ( el alcohol ) y este se desempaqueta automaticamente y luego lo guardamos con el nombre Alchol_UNPACK.exe .
Ejecutamos el alcohol ( el empaquetado o el desempaquetado da igual) luego cambiamos la fecha de nuestro sistema y la adelantamos un año esto lo haremos para vencer el modo de prueba , lo volvemos a ejecutar y nos saltara un mensaje como el siguiente
(http://r.i.elhacker.net/cache?url=http://img704.imageshack.us/img704/7972/vencido.png)
Ya teniendo el exe desempaquetado lo abrimos con una muy buena modificación del olly dbg que es el Olly Shadow( DESCARGAR (http://www.megaupload.com/?d=RD7WV7JP) ) , para obtener donde dice el programa que estamos vencidos usaremos de guia el mensaje anterior por lo tanto pondremos un "BP MessageBoxW" en la barra de comandos y le damos a enter .
(http://r.i.elhacker.net/cache?url=http://img179.imageshack.us/img179/4441/commandz.png)
Veremos que para cuando llama a MessageBoxW comprobamos que el mensaje sea el mismo que nos muestro si no es apretamos F9
(http://r.i.elhacker.net/cache?url=http://img266.imageshack.us/img266/9997/analisis3.png)
pero en el caso de ser vamos apretando F8 hasta que nos encontremos en el espacio de memoria del exe y no de la dll y llegaremos a un codigo como este
(http://r.i.elhacker.net/cache?url=http://img227.imageshack.us/img227/8715/analisis4.png)
analizamos un poco el codigo anterior al MessageBox hasta encontrarnos con unos saltos condicionales sospechosos , les pondremos un break point con F2 al test al,al y volveremos a lanzar el exe en este momento el exe parara en el BP y segurimos el anlaisis con F8 vemos que el JNZ luego del test al,al saltan al bloque cercano del codigo del MessageBox a si que cambiaremos la condición a JZ y le damos a F9 y EUREKA!!! nos muestra todo como si fuera dentro del plazo :P
Saltos sospechosos:
/*43A181*/ TEST AL,AL
/*43A183*/ JNZ SHORT Alcohol_.0043A1A4
/*43A185*/ MOV ECX,DWORD PTR SS:[EBP-134]
/*43A18B*/ CMP ECX,0F
/*43A18E*/ JG SHORT Alcohol_.0043A1A4
/*43A190*/ FLD QWORD PTR SS:[EBP-13C]
/*43A196*/ CALL Alcohol_.0063D450
/*43A19B*/ CMP EAX,0F
/*43A19E*/ JLE Alcohol_.0043A434
(http://r.i.elhacker.net/cache?url=http://img257.imageshack.us/img257/9476/analisis5.png)
SE NECESSITA ELIMINAR LA CARPETA LENGS
Hola!
Muy buen tutorial!
También podrías "reforzar" el escaneo del EXE con RDG Packer Detector.
Con el tema de la rutina, podrías haber parcheado dentro de la misma, así evitas parchear los saltos. Por ej. si la rutina se llama en otro lado, deberías parchear también el salto ese....
Pero bueno, son sólo pequeñas sugerencias. Por lo pronto, el tutorial está muy bueno!
Saludos!
Cita de: MCKSys Argentina en 20 Mayo 2010, 01:00 AM
Hola!
Muy buen tutorial!
También podrías "reforzar" el escaneo del EXE con RDG Packer Detector.
Con el tema de la rutina, podrías haber parcheado dentro de la misma, así evitas parchear los saltos. Por ej. si la rutina se llama en otro lado, deberías parchear también el salto ese....
Pero bueno, son sólo pequeñas sugerencias. Por lo pronto, el tutorial está muy bueno!
Saludos!
Fue una lucha con el RDG para que andara en mi windows por eso preferi al final excluirlo del tutorial :P
Lo de parchear la rutina tendria que analizar :P En todo caso a mi no me dado ningún problema hasta ahora esas cosas ya serian cosas de buenas costumbres mas que nada :P
Gracias por las sugerencias ;) :D ;D
Gracias por el aporte!!
buen tutorial.
Una pregunta ¿ Por que hay que eliminar la carpeta lengs?
Cita de: MCKSys Argentina en 20 Mayo 2010, 01:00 AM
Con el tema de la rutina, podrías haber parcheado dentro de la misma, así evitas parchear los saltos. Por ej. si la rutina se llama en otro lado, deberías parchear también el salto ese....
MCKSys Argentina
Esto que es, para que no se registre falsamente como me paso a mi con alquel Delphi no?
]
Muy buen tutorial, si señor!
Es bueno ver a la gente participar..
Buen trabajo ;)
slds
tena
Cita de: yako-_- en 20 Mayo 2010, 03:10 AM
Gracias por el aporte!!
buen tutorial.
Una pregunta ¿ Por que hay que eliminar la carpeta lengs?
Por que por lo menos a mi me cambiaba los mensajes a español entonces no lograba dar bien con las posiciones y para evitar mayores complicaciones ( inecesarias ) preferi eliminar los lenguajes externos :P