+kurt page _ _+kurt page_ _ _ 머리말 _ 이 페이지에서는 크랙에 대한 이야기를 했습니다. 누구나 처음 부터 자전거를 잘 타는 건 아니에요. 자전거를 탈 줄 아는 사람에게는, 그게 아무 것도 아닌 것처럼 생각되도 처음 자전거를 배울 때에는 누구나 다 고생하면서 어렵게 배우지 않았나요. 저도 어렸을 때 자전거를 처음 배울 때, 고생(?) 많이 하면서 배운 기억이 나요. 뒤에서 아빠가 잡아 주면서 배우잖아요. 아빠가 몰래 손을 놓아서 나무에도 부딪히고, 하여튼 그런 기억이 나네요. 도대체 어떻게 두 바퀴만 가지고 넘어지지 않고 갈 수가 있는 건지 이해가 안 됐었죠. 제가 크랙이라는 것에 대해 처음 알아보기 시작했을 때도 마찬가지였던 것 같습니다. 우선, 크랙에 대한 글을 찾는 것부터가 저에겐 어려운 일이었습니다. 또, 그 글들 대부분은 쉽게 써 놓았다고 하는 것들도 저에게는 너무 어려웠었죠. 물론 저의 아둔한 머리 탓도 있었겠지만, '왕'초보를 위해 쓴 정말 쉬운 글은 그렇게 흔하지 않았던 것도 그 이유였던 것 같습니다. 그래도, 크랙이라는 건 저에겐 아주 매력적인 일이었습니다. 그래서 인터넷을 돌아다니면서 여러 글을 많이 읽었습니다. 그 중에서도 단연 +ORC의 강좌(_HOW TO CRACK, by +ORC, A TUTORIAL_)가 큰 도움이 되었는데요. 그런 글 덕분에 지금은 어떤 글을 읽으면 어느 정도 까지는 이해할 수 있고, 또 몇개의 프로그램은 도움을 받지 않고 혼자서 크랙도 할 수 있게 되었어요. 제가 처음 크랙할 때의 그 어려움을 생각하면서 이 홈페이지를 만들었습니다. 여기에는 제가 직접 쓴 글과, 다른 크랙커들이 쓴 글을 제가 우리말로 옮긴 글이 있습니다. 제가 직접 쓴 글에서는, 이 글을 읽고 있는 분들이 크랙에 대해서 전혀 모르고 있다고 생각하고 글을 썼습니다. 그 첫번째로 어떤 프로그램(PicaView32)이 등록번호를 만들어 내는 과정을 자세하게 살펴 보면서, 앞으로의 크랙에 많이 필요할 것 같은 어셈블리어에 대한 얘기와 SoftIce라는 디버거를 쓰는 방법에 대한 얘기를 주로 했습니다. 그리고, 다른 크랙커의 글을 옮길 때에는 덧붙임이나 빠트림없이 있는 그대로를 옮기려고 했습니다. 또, 그 글을 누가 썼는 지도 당연히 밝혔습니다. 따라서 외국 크랙커의 글은 쉬운 글, 설명이 비교적 많은 글 부터 옮겼습니다. 제가 아직도 초보 수준을 벗어 나지 못했기 때문에 다른 '훌륭한' 크랙커의 글을 옮기는 것도 꼭 필요한 일 일것입니다. 제가 직접 쓴 글과 다른 크랙커가 쓴 글을 옮긴 것은 그 글에 붙인 제목으로도 구분할 수 있을 거에요. *1999년 3월 11일 +kurt pluskurt@hanimail.com* *_preface_* _차례_ Page 1 W32Dasm ver 7 (demo) Picaview32 ver 1.3 WinRAR95 ver 2.0 AddWeb ver 1.23 HexWorkshop ver 2.53 크랙에 관한 첫번째 이야기. 크랙에 필요한 도구들에 대한 설명. PicaView로 크랙에 대한 이야기 시작 Page 2 Filo ver 1.7, WhoSock ver 1.91, ExIcon ver 1.9a, Horas ver 2.1 AddLink Picaview32 ver1.3 ArjSell32 이지 포스터98 ver 2.32, Visual Basic Crack 한 가지 방법으로 여러개의 프로그램 크랙하기 귀찮은 글 상자(NAG Screen)를 key-gen으로 만들기 PicaView 크랙 끝(11. Dumb) Flag를 이용한 크랙(ArjShell) 올해의 멍청한 protection scheme상 후보(1999 :) 이지 포스터98 v2.32 Visual Basic으로 만들어진 프로그램 크랙하기 Page 3 Hex Workshop v2.54, 메모장(Notepad),화면 보호기(Screen saver), 암호화(encryption)자바 스크립트 글상자 없애기(Netscape), PolyView 3.00 beta 9, Rhino32 Hex Workshop v2.54 3분만에 크랙 메모장(Notepad)의 글꼴 바꾸기(By Mammon_) 화면 보호기 비밀번호 크랙(By Mammon_) 암호화에 대한 강좌(By Jon) 자바 스크립트 글상자(JavaScript MessageBox) 없애기 크랙커처럼 생각하기(왕초보용) 날짜 제한 크랙(GetLocalTime) Page 4 새롬 데이타맨98 IMF 버전, Window$98 등록번호 확인, Netscape Navigator, Disassembly 강좌, K.실록, NuMega SoftICE 날짜 제한 크랙 Window$98 등록번호 확인 크랙 넷스케이프 단추 바꾸기 Disassembly 소스 파일에서 함수/인수/변수 알아내기(By Rhayader, *excerpt from cRACKER's nOTES*) 데이타 입력 제한 크랙하기 SoftICE 설치과정에서 등록하기 SoftICE KeyGen 만들기 Page 5 TurboGo for Window$95 v4.01 InstallSHIELD 크랙(By NaTzGUL) Sourcer 7.0 크랙 flag를 이용한 크랙 InstallSHIELD Script Cracking DOS Interrupt를 쓰는 크랙(BPINT) _*index*_ 낙서판 자료실(tools/links) mail to +kurt 글 고침 목록 초보 크랙커에게 FAQ == 알림 == 이 페이지의 목적은 '크랙'하는 방법을 얘기하는 것이지, 이미 만들어진 패치나, 등록번호와 이름 짝 들을 놓아 두는 게 아니에요. 그런 것들을 찾아 여기에 오셨다면, 다른 곳으로 가서 찾는 게 빠를 거에요. (This site contains no crackz/warez/serialz at all. So, if you'd been searching for them, try other pages.) 또, 뭐.. 이런 얘기까지 하면 너무 거창한 것 같지만, 이 페이지에 있는 내용은 '배우기' 위해서만 써 주세요(중국 글자말 쓰기 좋아하는 사람들은 '교육적'이란 표현을 쓸테지만요). 정당하게 구한 소프트 웨어를 '개인적' '교육적' 목적으로 크랙하는 것은 아무 문제가 없다고 생각합니다. 그렇게 만든 크랙을 돈받고 판다면 그건 protectionist와 다를 바 없지 않을까요 . 모든 정보가 공유되어야 한다고는 생각하지만, 저 같은 놈이 그런 거창한 것까지는 모르겠고, 적어도 정말 맘에 들어서 _오랫동안_ 쓰고 싶은 프로그램이 있다면 그걸 만든 사람에게 정당한 댓가를 주는 것이 옳다고 생각합니다. 이 페이지의 글 중 일부는 Micro$oft Internet Explorer로 봤을 때 한글이 깨져 보일 수 있습니다(그리고 그렇게 되는 게 제가 _의도_한 것이구요). M$-IE를 쓰는 분들에게는 죄송합니다. 별 볼일 없는 글에 대해서 이런 '_짓_'을 해 놓아서 말이에요. 하지만 어떤 '_회사_'를 싫어하는 것은 그 사람의 자유잖아요 혹시나 M$-IE가 아닌 다른 브라우져에서도 한글이 깨져 보이는 경우가 있으면 저에게 알려 주시면 고맙겠어요. (*CORPORATE MAGAZINES STILL SUCK - _Kurt Cobain_*). (*CORPORATE PROGRAMMERS STILL SUCK - _+kurt_*). _*notice*_ 낙서판 자료실(tools/links) mail to +kurt 글 고침 목록 초보 크랙커에게 FAQ *pluskurt@hanimail.com* 2. About A Girl 2. About A Girl 저는 크랙에 관한 대부분의 지식을 +ORC라는 크랙커가 쓴 강좌에서 얻었습니다. 정말 크랙커가 되려고 하는 사람이라면 꼭 한 번 쯤 읽어야 할 글이라고 생각합니다. 문서의 이름은 HOW TO CRACK, by +ORC, A TUTORIAL 입니다. 웹에서 쉽게 구할 수 있을 겁니다. 그 글에서 +ORC는 크랙을 배우는 방법으로는 오래된 프로그램을 크랙하는 데에서 부터 출발하는 방법이 좋다라고 했습니다. 몇 가지 이유가 있겠지만, 우선 쉽습니다. 오래 된 프로그램이라고 해서 모두 쉽게 크랙 할 수 있는 건 아니지만, 우선 .. 뭐라고 해야 할 지, 적당한 단어가 생각이 안 나네요, 우선 보안(?)하는 방법이 단순했기 때문에 쉽게 뚫을 수 있다고 하면 이해가 가실 겁니다. 그리고 그런 방법들은 지금도 크게 변하지는 않았습니다. 또 그 흐름이라는 게 있죠. 가령 어떤 회사 제품의 초기 보안 방법은 그 이후의 버전에도 약간의 변형이 있을 수 있지만, 대개 비슷하게 써 먹기 때문에, 초기 보안 방법을 안 다면 그 이후 버전도 쉽게 크랙할 수 있다는 얘기가 됩니다. 하지만 저는 그렇게 많이 알지는 못하니까, +ORC처럼 얘기를 풀어 나갈 수는 없습니다. 저는, 우선 하나의 프로그램을 크랙하면서, 그 과정을 아주 자세하게 얘기하려고 합니다. 그렇게 하면, 다른 프로그램을 크랙하는 데에도 필요한 여러가지 얘기들을 할 수 있으리라고 생각합니다. 하지만 먼저 해야 할 일이 있죠. 바로 '도구'를 크랙하는 겁니다. 우리가 주로 사용할 W32Dasm을 크랙하는 일이 그것입니다. 그래서 이 글에서는 W32Dasm을 크랙하겠습니다. 부끄럽게도 이 W32Dasm 을 크랙하는 방법은 다른 크랙커가 사용한 방법입니다. 제가 알아낸 방법이 아니라는 거에요. 글쎄, 제가 이런 생각을 해 낼 정도는 아니라고 생각합니다. 하지만, 그것을 처음 생각하기는 어려워도 그것을 이해하는 것은 별로 어렵지 않기 때문에, 이렇게 첫 글로 쓰기에도 적당할 것이라고 생각합니다. 원래의 글은 Frog's print, +Adynts에 의해 쓰여 졌습니다. 그것을 여기에 제가 다시 풀어 이야기 하는 겁니다. _W32Dasm7 크랙하기_ intro에서 말했듯이 w32dasm의 데모 버젼은 두 가지 제한 사항이 있습니다. 다시 한 번 말하 자면, 1. 하나의 소스 파일에 대해 작업 명령 횟수가 제한 되어 있다. 2. 소스 파일을 저장할 수 없다 는 겁니다. 첫번째 제한 사항을 시험해 보기 위해, 아무 프로그램(되도록 크기가 작은 게 좋겠죠. 시간이 적게 걸리니까요)이나 한 번 disassemble해 보세요. 그리고 '찾기(find)' 기능을 사용해서, 가령 mov라는 단어를 찾아 보세요. 몇 번 계속 찾기를 하다 보면 어느 순간에 데모 버전이니 더 이상 명령을 내릴 수 없다라는 글 상자가 나올 겁니다. 이게 첫번째 제한 사항이고요. 두번째 제한 사항은 말 그대로 disassemble 해서 얻어진 소스 파일을 저장할 수 없다는 겁니다. 우리는 그 소스 파일을 좋은 문서 편집기로 불러 들여서 잘 살펴 보아야 하는데, 이렇게 저장할 수 없다면, 안되겠죠. w32dasm은 종료와 함께 소스 파일을 '지워' 버리기 때문에 두번째 제한 사항이 생기게 되는 거에요. 우선 두 번째 제한사항 부터 없애 보도록 하죠. 첫 번째 제한 사항을 없애기 위해서는 두 번째 제한 사항을 먼저 없애야 합니다. 그러기 위해서 w32dasm의 소스 코드를 구해야 합니다. 그건, w32dasm을 이용해서 구할 수 있죠. 그러니까, w32dasm으로 w32dasm을 disassemble하는 겁니다. disassemble하는 방법은 다 알 수 있겠죠. 도구 모음 막대기 중에서 가장 왼쪽 단추를 누르거나, Disassembler->Open File To Disassemble..을 눌러서 프로그램(이 경우, w32dasm7.exe)을 선택하면 됩니다. disassemble을 마쳤으면 w32dasm화면에 소스 파일의 내용이 보일 것입니다. 아직은 그 소스 파일의 내용이 무엇을 뜻하는 지 모를겁니다. 그건 그렇고, 분명 이렇게 눈 앞에 보이는 소스 파일을 저장 할 수가 없다니 이상하죠. 만약 이 상태에서 w32dasm을 종료한다면 소스 파일도 함께 없어져 버립니다. 화면에서 뿐만이 아니라 디스크 상에서 '지워지는' 겁니다. 윈도우 탐색기로 w32dasm의 폴더를 살펴보세요. 아마 winsys라는 파일이 보일 겁니다. 크기는 0byte이구요. (윈도우 탐색기의 설정이, 모든 파일 표시.. 상태여야 보입니다.) 속성이 숨김(hidden)이죠. 바로 이게 우리가 w32dasm화면으로 보고 있는 w32dasm의 소스 파일입니다. 이 파일은 w32dasm을 종료하면 삭제됩니다. 그렇담, 삭제되지 않게 하면 두번째 제한 사항을 없애는 것이겠네요. w32dasm메뉴 중에서 Functions->Import가 있습니다. 이건 프로그램이 사용하는 함수들의 목록을 보여줍니다. 그 중에서 DeleteFileA라는 함수를 찾을 수 있습니다. DeleteFileA라.. 과연 이건 무슨 일을 하는 함수일까요.. 찾기(find) 기능을 이용해서 DeleteFileA를 찾아보죠.(찾는데 시간이 꽤 걸립니다. 왜냐구요? w32dasm이 윈도우용이니까요. :) 4번 찾을 수 있습니다. 그 중 세개는 다음과 같은 것일 겁니다. * Reference To : KERNEL32.DeleteFileA, Ord:0000h | .... Call 0047ABCC call이란 명령은 하위 루틴을 부르는 명령입니다. 굳이 예를 든다면, BASIC같은 경우 GOSUB~RETURN 같은 기능을 하죠. 예를 들어 보겠습니다. :프로그램_시작 call 화면을_지우는_부분 . . . :화면을_지우는_부분 화면을 지우는 데 필요한 명령1 화면을 지우는 데 필요한 명령2 화면을 지우는 데 필요한 명령3 . . 화면을 지우는 데 필요한 명령10 부른 곳으로 돌아가자(ret) . . . :여기는 프로그램_중간_부분 call 화면을_지우는_부분 . . . 예가 좀 엉성하죠. 화면을 지우는 일이 보기보단 만만치 않은 작업인가 봅니다. 명령이 열 개나 필요하다고 가정하죠. 그럼 프로그램 중간중간 화면을 지울 필요가 있을 때 일일이 이렇게 열 개의 명령을 써야 한다면 불편하겠죠. 그래서 화면을_지우는_부분 이라는 부분(프로시져)을 따로 만들어 놓고 화면을 지워야 할 때 마다 열 개의 명령어를 쓰는 대신 call 명령을 사용해서 그 부분을 불러 주면 되는 거에요. call이 어떤 역할을 하는 명령인지는 알겠죠? 다시 원래 얘기로 돌아가서, call 0047ABCC가 FileDeleteA 함수를 부르는 걸 알았습니다. 그렇담 이제 어떻게 해야 할까요. 우리는 FileDeleteA함수가 불려져서 실행되길 바라지 않습니다. 우선 그럼 FileDeleteA 함수가 시작 되는 곳인, 0047ABCC로 가보죠. w32dasm의 명령 'Go to location'을 이용해서, 0047ABCC로 갈 수 있습니다. 가 보면 다음과 같은 내용을 볼 수 있습니다. *Reference To: KERNEL32.DeleteFileA, Ord0000h :0047ABCC FF251CA74900 jmp dword ptr [0049A71C] 이번에 나온 명령은 jmp명령입니다. dword ptr은 별로 중요한 뜻이 아닙니다. 좀 있다가 말하겠지만, dword는 double word라는 '길이'를 나타내 주는 말입니다. 가령 0101 0101 0101 0101 이라는 16자리의 숫자가 있다고 하면 우리는 그것을 이렇게 4자리씩 묶을 수도 있고, 또 8자리씩 묶을 수도 있을 겁니다. 01010101 01010101 처럼 말입니다. 또는 16자리씩 묶을 수도 있구요. dword ptr은 32자리씩 묶어서 하나의 단위로 취급해라.. 라는 정도의 뜻으로 우선 알면 되겠습니다. 그리고 중요한 것은 jmp라는 명령입니다. jmp는 jump하라는 뜻입니다. 말 그대로입니다. 위에 보이는 :0047ABCC는 오프셋이라고 하는, '주소' 같은 것입니다. BASIC에서도 행번호가 있었습니다. 예를 들어서, 100 a=1 110 b=2 120 print a+b 130 print a-b 140 goto 150 150 end 이라는 basic 프로그램이 있다고 하면 100, 110, 120 같은 게 :0047ABCC입니다. 이렇게 '주소'가 필요한 이유는 다 예상할 수 있을 거라고 생각합니다. 어쨋튼 jmp dword ptr [0049A71C] 는 0049a71c가 가리키는 곳에서 시작하는 32자리 만큼의 수를 주소 값으로 하고, 그 주소로 jump하여라 라는 뜻입니다. 이른 바 '무조건 분기'입니다. 위의 BASIC 프로그램에서는 goto 150 정도의 역할이라고 할 수 있습니다. 그리고 그렇게 jump를 하면 그 곳에는 아마 DeleteFileA 함수를 수행하는 데 필요한 명령들이 있을 거라고 추측할 수 있겠죠. 그러면 jump를 하지 않도록 해야 겠죠. RET라는 명령을 이용하면 됩니다. RET는 BASIC에서의 return명령과 비슷합니다. call에 대해서 얘기할 때 나왔죠. call이 어떤 부분이 필요할 때 그 부분이 있는 곳을 부른다고 했습니다. 그렇게 불러서 실행된 다음에는 다시 원래 있던 곳, 즉, 불렀던 곳으로 돌아가야 하는 데, 그런 작업을 하는 명령이 바로 ret(return)입니다. 그러니까 우리는 jump명령을 ret명령으로 바꾸므로써, DeleteFileA를 실행하지 않고 곧바로 call 0047ABCC, 즉 불렀던 곳으로 돌아가게 하게끔 만드는 겁니다. 무슨 말인지 알겠죠?.. 그러면 어떻게 그렇게 할 수 있을 까요. 물론 기계어 코드를 바꿔야 겠죠. jump dword ptr [0049A71C]의 기계어 코드는 위에서 볼 수 있듯이 FF251CA74900 입니다. 이것을 ret의 기계어 코드인 C3로 바꾸면 되겠죠. 정확히 말하면 C39090909090으로 바꿔야 합니다. 기계어 코드 90은 nop명령의 코드 입니다. nop은 아무것도 하지 않는 명령입니다. 우리는 자릿수를 맞추기 위해서 90을 여러개 늘여 붙였습니다. 이제 여러분이 선택했던 hex editor로 w32dasm을 열어서 ff251ca74900을 c39090909090으로 바꿔주면 두 번째 제한 사항을 없애는 겁니다. 그럼 이제 첫 번째 제한 사항으로 가죠. 작업 명령의 '횟수'가 제한 되어 있습니다. 흠.. 자세히는 몰라도, 아마 이렇게 추측할 수 있습니다. w32dasm은 우리가 내리는 명령의 '횟수'를 '세어보고 있다'라고 말이에요. 그래서 그 값이 어느 범위를 넘어서면, 더 이상 명령을 내릴 수 없다는 글 상자를 내보내고 명령을 더 이상 수행하지 않도록 한다. 이런 추측이 가능하겠죠. 그렇다면 그 횟수가 넘어서면 안되는 '범위'가 있을 텐데.. 만약에 그 범위를 아주 크게 해 준다면, 우리는 첫번째 제한 사항을 없앨 수 있을 겁니다. 우선, 명령의 횟수를 '세어보는' 부분을 찾아야 하겠죠. 여기서 잠깐 잔소리를 하겠습니다. 레지스터 라는 것에 대해 얘기를 하려고 합니다. 마이크로프로세서에는 레지스터(register)라는 게 있습니다. 이 레지스터는 프로그래밍 언어에서의 변수와 비슷한 역할을 합니다. 그러니까 어떤 값을 보관하고 있을 수 있다는 얘기에요. 레지스터에는 여러 종류가 있습니다. 범용 레지스터(general-purpose register)와 그 밖에 특수한 목적으로 사용되는 레지스터 들이 있습니다. 더욱 자세한 내용은 어셈블리어에 관한 책을 직접 보면 알 수 있을 겁니다. 우선 범용 레지스터는, 그 이름에서 알 수 있듯이 일반적으로 변수처럼 마음대로 사용할 수 있는 겁니다. AX, BX, CX, DX 레지스터가 있습니다. 이러한 레지스터들은 16비트의 길이를 가집니다. (386이상의 마이크로프로세서들은 32비트의 길이를 갖습니다. 그래서 그 이름도 EAX, EBX, ECX.. 처럼 앞에 E가 붙습니다.) '비트'가 뭔지는 대부분 알고 있을 겁니다. 2진수의 한 자리를 비트(bit)라고 합니다. 2진수 1010같은 경우 4비트로 이루어져 있다고 할 수 있겠죠. 이렇게 4비트가 16진수 한 자리를 나타낼 수 있다는 것은 전에도 얘기했고, 이미 알고 있으리라 생각합니다. 또 8비트가 모인 단위를 1바이트(byte)라고 합니다. 그러니까 1바이트는 두 자리의 16진수를 나타낼 수 있을 것 입니다. 그리고 2바이트가 모인 단위를 1워드(word)라고 합니다. 그러니까 1워드는 4개의 16진수 숫자를 나타낼 수 있을 것입니다. 또 1워드는 16비트일 것입니다. 범용 레지스터 이름뒤에 붙은 X는 바로 이 워드를 뜻한다고 하는 군요. 즉, AX는 16비트의 길이일 것이고, EAX는 32비트의 길이, 즉, 2워드(double word, dword) 길이일 것입니다. AX : 1111 0000 1111 0000 |=========||========| 상위바이트 하위바이트 위의 그림에서 볼 수 있듯이 하나의 레지스터는 두 개의 바이트로 구성되어 있고, 각각을 상위 바이트, 하위 바이트라고 나누어서 얘기합니다. AX의 경우 상위 바이트를 AH, 하위 바이트를 AL이라고 합니다. BX라면 BH, BL이 되겠죠. 그럼 다시 원래의 얘기로 돌아가서, 어떻게 하면 '세어 보는' 부분을 찾을 수 있을 까요. 어셈블리어에서 이렇게 '세어 보는' 부분을 만드는 방법에는 몇 가지가 있을 수 있겠지만, 그 중 많이 쓰일 법한 방법이 '감소'시키는 방법입니다. 다음과 같은 경우를 생각해 보죠. :여기가_처음 ax에 1을 저장하자 cx에 4를 저장하자 ax를 증가시키자 cx와 0을 비교하자 서로 같은 값인가? 같다면 두번째_부분으로 가자 같지 않다면 여기가_처음으로 가자(loop) :두번째_부분 . . . 어셈블리어 명령 중에 loop이란 게 있습니다. 이것은 말 그대로 반복하라는 뜻의 명령입니다. 반복 횟수는 cx값에 주어집니다. 즉 loop 명령이 한 번 실행 될 때마다 cx 값은 1씩 감소합니다. cx값이 0이 되면 loop을 빠져 나오고, 그렇지 않다면 계속 반복합니다. 마찬가지로, w32dasm에서도 cx처럼 감소하는 어떤 값이 있다고 생각하는 거에요. 그 값은 명령 '횟수' 이겠죠. 만약 명령 횟수에 90이라는 값을 주고, 이 값은 우리가 명령을 내릴 때 마다 1씩 감소한다고 합니다. 그리고 명령 횟수가 75가 되었을 때, 더 이상 명령을 받지 못하도록 한다면 첫번째 제한 사항 같은 코드를 만들 수 있겠죠. 무슨 말인지 아시겠죠? 어셈블리어에서 이렇게 어떤 값은 감소 시키는 명령은 dec(decrement)입니다. 즉, w32dasm에서는 'dec 명령횟수' 처럼 쓰였을 것입니다. 그리고 우리는 32bit 컴퓨터를 쓰고 있으니 레지스터의 길이는 dword(double word)입니다. 그러므로 dec 대신 dec dword ptr이 쓰였을 것입니다. 그럼 우리는 소스 파일에서 dec dword ptr을 찾아야 겠죠. dec dword ptr이 여러번 쓰였을 것입니다. 그 중 가장 자주 나오는 것이 바로 'dec 명령횟수'일 가능성이 높겠죠. 하지만 문서 편집기의 찾기 기능으로 일일이 dec dword ptr을 찾는 다는 건 여간 불편하고 귀찮은 일이 아닐 수 없습니다. 물론 그렇게 할 사람도 없겠지만요. grep명령을 사용하면 되겠죠. 제가 알기로는 dos에 grep 명령은 없으니까, 여기를 눌러서 grep.com파일을 받아서 사용하세요. winsys가 있는 디렉토리에서 다음과 같이 명령합니다. c:\where_winsys_is_located> grep dec.dword.ptr winsys > dec.crk 그러면 winsys에 있는 내용 중에서 dec dword ptr이 있는 줄을 찾아서 dec.crk라는 파일에 기록합니다. 우리는 dec.crk 파일을 문서 편집기로 열어서 살펴 보면 되겠죠. 다음과 같습니다. File WINSYS: :004028D8 FF8D60FFFFFF dec dword ptr [ebp+FFFFFF60] :00403A41 FF8B523C5300 dec dword ptr [ebx+00533C52] :00403A58 FF8B523C5300 dec dword ptr [ebx+00533C52] :00403A6F FF8B523C5300 dec dword ptr [ebx+00533C52] :0040457B FF8D60FFFFFF dec dword ptr [ebp+FFFFFF60] :004206A1 FF8B523C5300 dec dword ptr [ebx+00533C52] :00420832 FF8B523C5300 dec dword ptr [ebx+00533C52] :00420849 FF8B523C5300 dec dword ptr [ebx+00533C52] :00420860 FF8B523C5300 dec dword ptr [ebx+00533C52] :00420BCB FF8B523C5300 dec dword ptr [ebx+00533C52] :004402FF FF0A dec dword ptr [edx] :004417A3 FF8B39275300 dec dword ptr [ebx+00532739] :00441DB3 FF8B39275300 dec dword ptr [ebx+00532739] :004433D1 FF8B39275300 dec dword ptr [ebx+00532739] :00443BEC FF8B39275300 dec dword ptr [ebx+00532739] :00443F77 FF8B39275300 dec dword ptr [ebx+00532739] :0044420D FF8B39275300 dec dword ptr [ebx+00532739] :00444989 FF8B39275300 dec dword ptr [ebx+00532739] :00444AF6 FF8B39275300 dec dword ptr [ebx+00532739] :00446ADD FF8B39275300 dec dword ptr [ebx+00532739] :00446F0A FF8B39275300 dec dword ptr [ebx+00532739] :00447275 FF8B39275300 dec dword ptr [ebx+00532739] :0044740C FF8B39275300 dec dword ptr [ebx+00532739] :004477EE FF8B39275300 dec dword ptr [ebx+00532739] :00448250 FF0E dec dword ptr [esi] :00448263 FF0E dec dword ptr [esi] :00448276 FF0E dec dword ptr [esi] :004523A9 FF8B91EE0100 dec dword ptr [ebx+0001EE91] :004527BF FF8B09BB4500 dec dword ptr [ebx+0045BB09] :004543F7 FF8BE8295300 dec dword ptr [ebx+005329E8] :004543FD FF8BE4295300 dec dword ptr [ebx+005329E4] :004545BF FF8B24295300 dec dword ptr [ebx+00532924] :0045460F FF8BE3274800 dec dword ptr [ebx+004827E3] :0045641E FF8BC31D4800 dec dword ptr [ebx+00481DC3] :00456604 FF8BAB244800 dec dword ptr [ebx+004824AB] :004572C6 FF8B39275300 dec dword ptr [ebx+00532739] :004573A3 FF8B39275300 dec dword ptr [ebx+00532739] :0045773A FF09 dec dword ptr [ecx] :00457771 FF08 dec dword ptr [eax] :00457891 FF0A dec dword ptr [edx] :00457B2B FF08 dec dword ptr [eax] :00457B6E FF09 dec dword ptr [ecx] :00458143 FF8B09225300 dec dword ptr [ebx+00532209] :00458154 FF8BC3EE0100 dec dword ptr [ebx+0001EEC3] :00459218 FF8BE4295300 dec dword ptr [ebx+005329E4] :00459645 FF8BAC345300 dec dword ptr [ebx+005334AC] :0046401C FF8B39275300 dec dword ptr [ebx+00532739] :004642C6 FF8BAC345300 dec dword ptr [ebx+005334AC] :00464439 FF8BC3EE0100 dec dword ptr [ebx+0001EEC3] :004648D3 FF8B2A5D1100 dec dword ptr [ebx+00115D2A] :0046B846 FF08 dec dword ptr [eax] :0046B9C7 FF0A dec dword ptr [edx] :0046BD19 FF08 dec dword ptr [eax] :0046BDEE FF08 dec dword ptr [eax] :0046CB4C FF08 dec dword ptr [eax] :0046CB54 FF0A dec dword ptr [edx] :0046CBC5 FF08 dec dword ptr [eax] :0046CBF6 FF08 dec dword ptr [eax] :0046CCF8 FF08 dec dword ptr [eax] :0046CDBC FF08 dec dword ptr [eax] :0046CDC4 FF0A dec dword ptr [edx] :0046CF12 FF08 dec dword ptr [eax] :0046D093 FF08 dec dword ptr [eax] :0046D2C5 FF08 dec dword ptr [eax] :00470675 FF08 dec dword ptr [eax] :00470AA9 FF08 dec dword ptr [eax] :00470BAF FF8BE5215300 dec dword ptr [ebx+005321E5] :00471154 FF08 dec dword ptr [eax] :004713F3 FF08 dec dword ptr [eax] :0047177A FF08 dec dword ptr [eax] :00471BBA FF08 dec dword ptr [eax] :00471E59 FF08 dec dword ptr [eax] :00472517 FF08 dec dword ptr [eax] :00472637 FF8BFDBA4500 dec dword ptr [ebx+0045BAFD] :00472642 FF8BD1215300 dec dword ptr [ebx+005321D1] :00472655 FF8BFDBA4500 dec dword ptr [ebx+0045BAFD] :00474594 FF08 dec dword ptr [eax] :00474A7C FF08 dec dword ptr [eax] :00474F64 FF08 dec dword ptr [eax] :004753BF FF08 dec dword ptr [eax] :00475A47 FF8BC3EE0100 dec dword ptr [ebx+0001EEC3] :00475B03 FF8BC3EE0100 dec dword ptr [ebx+0001EEC3] :004761C3 FF08 dec dword ptr [eax] :00476480 FF08 dec dword ptr [eax] :0047677B FF08 dec dword ptr [eax] :00476A34 FF08 dec dword ptr [eax] :00476C82 FF88365D1100 dec dword ptr [eax+00115D36] :00476D18 FF882D275300 dec dword ptr [eax+0053272D] :00476FD8 FF08 dec dword ptr [eax] :004774C0 FF08 dec dword ptr [eax] :004779A8 FF08 dec dword ptr [eax] :00477EB0 FF08 dec dword ptr [eax] :004788B1 FF0A dec dword ptr [edx] :00478A14 FF08 dec dword ptr [eax] :004794C3 FF08 dec dword ptr [eax] :0047972F FF08 dec dword ptr [eax] :0047986D FF08 dec dword ptr [eax] :00479AE8 FF08 dec dword ptr [eax] :0047A07F FF08 dec dword ptr [eax] :0047A0BA FF09 dec dword ptr [ecx] :0047A1C8 FF08 dec dword ptr [eax] :0047A203 FF09 dec dword ptr [ecx] :0047A4A8 FF09 dec dword ptr [ecx] 살펴 보면, dec dword ptr [ebx+00532739]가 가장 많이 나온다는 것을 알 수 있습니다. 그럼 이 ebx+00532739가 가리키고 있는 내용을 감소 시키고 있으니, 그 곳에 값을 '초기화' 하는 명령도 분명 있을 것입니다. 한 번 찾아 보죠. 값을 초기화 하는 데에는 그 곳에 어떤 값을 옮겨 넣는 방버이 있을 것입니다. 그런 기능을 하는 명령은 mov입니다. mov 명령은 move, 즉 어떤 값을 옮기는 기능을 합니다. 이 경우에는 mov dword ptr이 쓰였겠죠. 자세히 말하자면 " mov dword ptr [ebx+00532739], 초기값 " 의 형식의 명령어가 쓰였을 것입니다. winsys를 열어서 찾기 기능으로 mov dword ptr [ebx+00532739]를 찾아 보죠. :0043F7F0 C7837C33530001000000 mov dword ptr [ebx+0053337C], 00000001 :0043F7FA C783392753002C010000 mov dword ptr [ebx+00532739], 0000012C 위와 같은 부분을 찾을 수 있습니다. winsys에서 단 한 번 쓰였습니다. 아주 좋은 결과 입니다. 이게 우리가 찾던 '초기화' 부분이라고 할 수 있겠죠. 왜냐하면 초기화 부분은 단 한 번 나타나는 것이 보통이니까요. w32dasm을 만든 Urbanik은 명령 횟수의 초기값으로 0000012C라는 값을 넣었습니다. 그렇담 우리는 이 보다 훨씬 많은 000FFFFF 을 초기값으로 주면, 두번째 제한 사항을 없애 줄 수 있을 것입니다. 이 역시 기계어 코드를 바꿈으로서 할 수 있습니다. C783392753002C010000 이라는 기계어 코드를 살펴보죠. 이 걸 어떻게 바꿔야 우리가 원하는 대로 바꿀 수 있는 것일까요. 여기서 잠깐 잡담을 하죠. 좀 전에 얘기했던 mov 라는 명령어를 예로 들어 보겠습니다. mov cx,3039는 cx 레지스터에 3039를 옮겨 줍니다. 이에 대응하는 기계어 코드는 BA3930입니다. 이 기계어 코드를 잘 살펴보죠. BA 39 30입니다. 뒤의 네 자리를 보면 39 30. 바로 이 부분이 3039를 나타내는 부분입니다. 3039가 39 30 처럼 나타났습니다. 왜 이렇게 나올까요. 3930는 3039라는 워드 값을 바이트 단위로 구분한 것이지만 순서는 반대입니다. 이미 앞에서 말한 바 있듯이 워드는 하위 바이트와 상위 바이트의 두 값으로 구성됩니다. 3039에서 하위 바이트는 39이고, 상위 바이트는 30입니다. 메모리에서 낮은 주소 영역에 하위 바이트(39)를 저장하고, 높은 주소 영역에 상위 바이트(30)를 저장하는 것은 매우 당연한 것입니다. 그래서 3039가 3930처럼 나타난 것입니다. 그럼 C783392753002C010000 을 살펴 보죠. C78339275300 2C 01 00 00. 즉 0000012C를 000FFFFF로 바꿔 주기 위해서는 기계어 코드는 2C 01 00 00을 FF FF 0F 00로 바꿔 주면 되겠죠. 이렇게 해서 두번째 제한 사항도 없애 준 게 되네요. _w32dasm7.exe의 크랙_ 1.ff251ca74900을 c39090909090으로 바꿔 줍니다. 2.C783392753002C010000을 C78339275300FFFF0F00으로 바꿔 줍니다. 이렇게 해서 w32dasm의 데모 버전의 제한 사항을 모두 없앨 수 있습니다. 다시 한 번 말하지만, 지금까지 설명한 이 방법은 제가 알아낸 방법이 아닙니다. Adynts와 frog's print의 글을 읽고 그 방법을 여기에 옮긴 것에 불과합니다. 다음 글에서는 ACDSystem에서 나온 ACDSee와 PicaView따위를 크랙하겠습니다.(둘 다 같은 방법을 쓰고 있습니다.) 다음 글의 내용은 모두 제가 알아낸 방법입니다. 앞으로도 제가 알아낸 방법인지 다른 크랙커가 알아 낸 방법인지를 확실히 밝히겠습니다. ------------------------------------------------------------------------------- _덧붙이는 말_: 다시 한 번 이 글을 고쳐썼습니다. 두번째 제한 사항을 없애 줄 때, 초기값으로 주는 값이 잘못되어 있었습니다. (알려주신 분 고맙습니다. : ) Page 1 3. The Man Who Sold The World 3. The Man Who Sold The World 이번 글에서는 PicaView32 에 대한 얘기를 하겠습니다. 언젠가 말했었죠. 제가 크랙을 처음 시작할 때 통신에서 크랙에 관한 어떤 글을 읽게 되었다구요. 그 글이 바로 이 PicaView를 크랙하는 방법에 대한 '강좌'였습니다. 물론 처음에 그 글을 읽고서는, 내용을 전혀 알 수 없었습니다. 무슨 말을 하고 있는 건지, 왜 그렇게 해야 하는 건지. 아무것도 몰랐습니다. 물론 제가 머리가 나쁜 것도 이유가 되겠지만. 굳이 변명을 하자면, 누구나 처음 대하는 것에 대해서는 저처럼 아무것도 모르는 게 당연하지 않겠어요? 그래서 저는 이 글을 아주 자세히 쓰려고 합니다. 제 능력이 되는 한 말이에요. 또 한 가지, 제가 읽었던 그 글을 쓰신 분이 하신 방법과 이제 제가 앞으로 얘기할 방법과는 다른 방법입니다. 확실히 그 분이 하셨던 방법이 쉽고 간단합니다. 훌륭한 크랙 방법이었습니다. 하지만, 저는 여기에 크랙에 대해 아무것도 모르는 분들을 위해 글을 쓰고 있으니까, 그렇게 간단한 방법으로 하기 보다는 좀 더 생각하면서 하는 복잡한 방법을 얘기하려고 합니다. 보통 key generator(KeyGen)이라고 부르는, 등록번호 만드는 프로그램을 만드는 게 최종 목적입니다. picaview32.dll을 disassemble해서 그 소스 파일을 분석해서, picaview가 '사용자 이름(name)'으로 '등록 번호(registration code)'를 만드는 과정을 살펴 보고, 그 과정 대로 우리도 이름을 입력하면 등록 번호를 출력하는 프로그램을 만들 것입니다. 이런 방법은 제가 읽었던 글을 쓰신 분이 하신 방법과는 아주 다르게 매우 복잡합니다. 그 분은 보통 많이 하는 조건분기(conditional jump)를 고치는 방법을 썼었습니다.(이게 뭔지는 아직 모르셔도 됩니다.) 하지만 앞으로 그런 복잡한 이야기를 통해서 여러가지 크랙에 필요한 어셈블리어나 api 함수 들을 이야기하게 되고 그것은 나중에 크랙을 할 때 도움이 많이 될 것이라고 생각합니다. 보통, 이렇게 등록번호 만드는 프로그램(keygen)을 만드는 것은 쉬운 일이 아닙니다. 하지만 저 같은 놈도 할 수 있었던 것은, 이 picaview(ACDSee도 마찬가지 입니다.)가 비교적 단순한 과정을 거쳐서 등록번호를 만들어 내고 있기 때문입니다. 그래서 이렇게 저같은 초보들을 위한 글로도 적합하다고 생각하고 글을 쓰겠습니다. 이미 말한 적 있지만, 지난 번에 이런 홈페이지를 만들었을 때에도 picaview에 관한 글을 쓴 적이 있었습니다. 하지만 미처 그 글을 완성하기도 전에, 사정으로 인해 홈페이지를 닫게 되었고, 그나마 제 하드 디스크에 남아 있던 글 마저도 지금은 남아 있지 않습니다. (제 미숙한 컴퓨터 실력 때문에 결국 하드 디스크를 포멧해야만 했기 때문이죠.) 하지만 그 글을 쓸 때 제가 종이에 직접 메모해 놓았던 것들은 아직 남아 있어서 이 글을 쓰는 데 그리 어렵지는 않겠죠. 정말 저에겐 다행이죠. :) 그 때의 경험으로 이 글은 상당히 길어질 것으로 예상합니다. 아마 세 개나 네 개 정도의 글이 될 것 같네요. 쉽고 자세하게 쓰려고 노력하겠습니다. :) _PicaView32 (ver 1.3) 크랙하기(SoftIce이용)_ PicaView32가 무엇에 쓰이는 건지는 다들 알고 계실 겁니다. acdsystem에서 만든 그림 보는 프로그램입니다. 같은 회사에서 만든 ACDSee32도 알고 계실 겁니다. acdsee와 picaview는 같은 회사 제품이니까 등록번호를 만들어 내는 코드도 서로 같습니다. picaview나 acdsee는 web(www.acdsystems.com)에서 쉽게 구할 수 있을 겁니다. 저는 글을 쓰는 데 보다 쉽게 하기 위해서 picaview.dll을 w32dasm으로 disassemble 했습니다.(이렇게 disassemble 같은 영어를 쓰는 걸 좋아하지도 않고 매우 번거롭다고 생각은 하지만, 마땅히 대신 쓸 만한 우리말을 몰라서 이렇게 쓰고 있습니다. 아시는 분 계세요? :) 하지만 여러분은 그렇게 하지 않아도 됩니다. softice를 이용해서 소스 파일의 내용을 볼 수 있으니까요. 여러분이 sice를 이용해서 크랙하고 있다고 가정하고 이야기를 하겠습니다. 그러니까 sice를 띄우고 윈도우를 시작해 주세요. 윈도우 탐색기에서 그림 파일에 마우스 포인터를 놓고 오른쪽 버튼을 누르면 메뉴가 나옵니다. picaview의 메뉴에는 Register PicaView32... 아래에 그림이 나옵니다. Register..메뉴를 선택하면 등록 상자가 나옵니다. 이름과 등록번호를 쓸 수 있는 상자입니다. 전 이름에 pluskurt를 쓰고, 등록번호에는 1234를 쓰겠습니다. 여러분도 각자 쓰고 싶은 걸 쓰면 됩니다. 그리고 OK버튼을 눌러 보죠. 예상 했던 것 처럼 등록번호가 틀리다는 글상자가 나옵니다. 이제 Ctrl키와 D키를 같이 눌러서 sice화면으로 들어가죠. (앞으로 sice화면으로 들어갈 때 Ctrl키와 D키를 같이 눌른다는 건 말하지 않겠습니다.) 자, 그럼 여기에서 sice에 대해 잠깐 얘기를 하겠습니다. sice화면은 여러분이 보는 화면과 제가 보는 화면과 약간 다를 수 있습니다. 여러분은 sice에 대해 아무것도 모르고 있다고 생각한다고 했으니까 화면을 보다 보기 좋게 하는 방법도 모른다고 생각하겠습니다. 저는 화면을 좀 보기 좋게 만들기 위해서 winice.dat의 내용을 약간 바꿨습니다. INIT="lines 60;color f a 4f 1f e;wd 22;wc 22;wr;code on;X;" 위와 같이 init="x;"를 바꿨습니다. 아마 여러분의 init=부분에는 그냥 INIT="X;"라고 되어 있을 것입니다. 그 부분을 제가 한 것 처럼 바꿔 주면 좀 더 예쁜 sice 화면을 볼 수 있을 것입니다. 물론 sice에서 직접 저런 명령을 내릴 수도 있지만, 매 번 그렇게 하는 것은 귀찮겠죠. 대충 살펴 보면 lines는 모니터의 줄 수를 바꿔주는 것이구요, color는 예상대로 화면의 색을 약간 바꿔 준 거에요. wd는 앞으로 얘기할 데이터 창(data window)를 나타나게 하는 명령입니다. wd 22처럼 22라는 줄 수를 함께 써 줘서 데이터 창의 크기를 조절 했습니다. wc는 코드 창(code window), wr은 레지스터 창(register window)를 활성화 시키는 명령입니다. 그리고 code명령으로 기계어 코드를 sice화면에 나타낼 지 아닌지를 결정합니다. code on이니까 기계어 코드를 나타내겠죠. 그리고 마지막으로 x는 sice를 빠져 나가라는 명령입니다. 그러니까 sice 화면에서 빠져 나가려면, 화면에 들어갈 때 했던 것 처럼 Ctrl+D를 눌러도 되지만, x라는 명령을 해도 됩니다. 이렇게 init=라인에 명령들을 써 넣으면 sice가 시작 될 때 저런 명령을 처리하고 시작합니다. 말 그대로 sice의 초기화인 셈이죠. sice화면은 몇 개의 창(window)으로 구분되어 있습니다. 만약에 위와 같이 명령을 했다면 화면에는 레지스터 창 (register window) 데이터 창 (data window) 코드 창 (code window) 명령 줄 (command line window) 와 같이 구분되어 있을 거에요. 저도 아직 softice에 대한 매뉴얼을 보지 않아서 용어가 제대로 된 건지는 모르겠지만 말입니다요. 그런데, softice에 대한 메뉴얼만 잘 읽어도, 제가 지금 쓰고 있는 이런 초보용 글은 읽지 않아도 된다고 하네요. softice의 매뉴얼도 웹에서 쉽게 구할 수 있습니다. 기억은 잘 안나지만 크기가 꽤 컸던 것 같아요. 몇 메가 정도였는데. pdf형식과 txt형식이 있었던 걸로 기억합니다. 전 읽어 보지 않아서 잘 모르지만요. 다시 sice화면 얘기로 돌아가죠. 맨 위에 있는 레지스터 창은 말 그대로 레지스터의 상태를 보여주는 창입니다. 레지스터에 대해서는 지난 번 글에서 잠깐 얘기했었죠. 그 때 얘기했던 범용 레지스터인 EAX, EBX, ECX, EDX도 보이고, 그 밖의 여러 레지스터들도 보일 거에요. 그 레지스터들에 대한 얘기는 다음에 하겠습니다. 그리고 화면 오른쪽에는 플래그(flag) 레지스터도 보입니다. 플래그 레지스터는 특이하게도 0과 1, 두 값만을 갖습니다. 플래그 레지스터에 대해 얘기하기 위해 예를 들어 보죠. 학교 다닐 때 운동장에서 100미터 달리기를 해 보신 적 있지요? 그 때 선생님이 골인점에서 '깃발'을 '내리고' 있습니다. 옆번호 놈하고 같이 출발선에 서서 준비하고 있다가 선생님이 '깃발'을 '올리면' 냅다 뛰기 시작하는 거죠. 후후, 그 100깃발이 올라가기 전까지의 울렁거리는 가슴.. :) 여하튼 플래그 레지스터는 바로 이 선생님의 '깃발'에 비유할 수 있을 겁니다. 깃발이 올라 갔나 , 내려 갔나는 1과 0에 대응한다고 볼 수 있죠. 가령 EAX레지스터에 11이라는 값이 있고, EBX레지스터에도 11이라는 값이 저장되어 있다고 합시다. 그러면 두 레지스터를 뺀다면 그 결과는 0이 될 것입니다. 이 때 제로 플래그(zero flag)가 설정됩니다. 플래그가 '설정'된다는 말은 플래그의 값이 1이 된다는 것입니다. sice화면에는 o d i s z a p c, 이렇게 8개의 플래그 레지스터가 표시 됩니다. 그 중 z가 바로 제로 플래그 입니다. 이 제로 플래그가 크랙에선 많이 쓰입니다. 왜냐하면 이 처럼 등록번호를 입력하는 방식의 프로그램이 있다고 하죠. 우리가 써 넣은 등록번호와 '진짜' 등록번호를 비교하고 그 결과가 같다면 제로 플래그가 설정되고, 같지 않다면 설정이 안 됩니다. 제로 플래그가 설정 되면 어떤 곳(좋은 곳이겠죠.. :)으로 분기하고, 설정되지 않았다면 다른 곳으로 분기 하거나 아니면 분기 하지 않거나 하는 방법을 쓰는 프로그램이 많습니다. 이런 걸 조건분기(conditional jump)를 이용했다고 할 수 있죠. 그러니까 우리는 등록번호를 비교할 때, 인위적으로 제로 플래그를 설정, 또는 해제 해서 우리가 원하는 대로 분기할 수 있도록 할 수 있겠죠. 많이 쓰이는 크랙 방법 중의 하나입니다. 여기서 r(Register)명령에 대해 알아보죠. r 명령은 debug.com(debug.exe)나 softice에서 쓸 수 있는 명령으로 r [레지스터]>형식으로 사용해서, 레지스터의 값을 바꿀 수 있습니다. 가령 EIP라는 레지스터의 값을 바꾸고 싶을 때, sice에서 r eip라고 명령을 주면, 커서는 레지스터 창의 EIP=00001234에 위치하게 되고, 거기서 우리는 숫자를 써서 eip 레지스터 값을 바꿔 줄 수 있는 겁니다. 플래그 레지스터의 경우는 0과 1, 둘 중의 하나의 값만을 가질 수 있으니까, 커서가 옮겨지는 일 없이 활성화/비활성화(toggle)될 것입니다. 즉, 제로 플래그가 설정되어 있지 않은 상태에서 r fl z (register flag zero) 명령을 내리면 제로 플래그가 설정 되는 식으로 말입니다. 다른 레지스터도 마찬가지로 값을 바꿀 수 있습니다. r fl a나 r fl s처럼 말이에요. 다음 데이터 창을 보죠. 이건 말 그대로 메모리에 있는 데이터들을 표시합니다. 데이터 창과 관련있는 명령으로는 d명령이 있습니다. 가령 d eax라고 한다면 eax에 있는 값이 데이터 창에 나타납니다. 또 d '오프셋'이라는 명령을 하면 '오프셋'에 해당하는 부분의 데이터가 데이터 창에 표시될 것입니다. 그 다음 코드 창을 보겠습니다. 이 코드 창에 바로 소스 파일에서 볼 수 있는 내용이 나타납니다. 우리는 주로 이 코드 창의 내용을 보고 크랙을 하게 됩니다. 지난 글에서 살펴 봤던 소스 파일의 내용과 비슷한 내용이 코드 창에 나타나 있을 겁니다. 그리고 IP라는 게 있습니다. IP(Instruction Pointer)는 ip(EIP)레지스터에 값이 저장됩니다. 이름에서도 알 수 있듯이, 현재 실행되는 곳의 주소를 나타내는 값입니다. 만약 지금 00001234라는 주소의 내용을 실행할 차례라면 ip값은 00001234일 것이고, 코드 창의 00001234주소에 있는 명령에 색깔있는 막대기가 위치해 있을 겁니다. 편의상 저는 이걸 '반전 막대기'라고 부르겠습니다. 제 경우에는 빨간색으로 나타납니다. 여러분도 아까 제가 했던 초기화를 했다면 역시 빨간 색으로 나타나는 막대기를 볼 수 있을 겁니다. 다음 명령을 실행할 때면 이 반전 막대기 역시 그 아랫 줄로 옮겨 갈 것입니다. 반전 막대기와 관련있는 sice명령으로는 '_._'명령이 있습니다. 마침표(.) 명령을 하면 코드 창이 반전 막대기가 있는 곳을 표시합니다. 무슨 말인지 이해가 안 가세요? 그럼 Ctrl키와 Page Up/Page Down키를 같이 눌러 보세요. 코드 창을 넘겨 볼 수 있을 겁니다. 이렇게 Ctrl+PageUp/PageDown키를 이용해서 코드 창을 마구 살펴보다 보면 반전 막대기가 있는 곳을 놓쳐 버릴 수 있습니다. 이 때 마침표 명령을 누르면 반전 막대기가 있는 곳이 코드 창에 나타나게 된다는 얘기에요. 참고로 데이터 창도 이렇게 살펴 볼 수 있습니다. 데이터 창은 Alt키와 PageUp/PageDown키를 이용해서 살펴 볼 수 있습니다. 명령 줄을 보죠. 여기가 우리들이 명령을 내리는 곳입니다. Help 명령을 하면 명령 줄에 도움말이 나타나기도 하죠. Alt+c를 눌러서 명령 줄과 코드 창 사이를 커서가 왔다갔다 하게 할 수도 있습니다. 예상했듯이, Alt+d를 누르면 커서는 명령 줄과 데이터 창 사이를 옮겨 다닙니다. 커서가 명령 줄에 있을 때 Shift키와 방향키를 이용해서 명령 줄의 지나간 내용을 다시 볼 수도 있습니다. sice화면에 대한 얘기는 이쯤 하고, sice의 몇 가지 명령어를 알아보겠습니다. sice명령이라고는 하지만, debug.com(debug.exe)의 명령과 마찬가지이죠. 다만 sice는 더 융통성있게 명령을 수행하고, 또 더 풍부한 명령어들을 갖고 있습니다. 여기서는 기본적인 몇 가지 명령만을 살펴 보겠습니다.(아까 말했듯이, 전 아직 sice 매뉴얼을 읽어 보지 못했습니다. :) 우선 t(Trace)명령입니다. 이 명령은 단계적으로 명령 코드들을 실행할 때 사용합니다. 첫번째 글에서 말 한 것 같은데요, 이 디버거를 이용해서, 우리는 프로그램을 단계적으로 실행할 수 있다고 했습니다. 즉, t명령으로 한 번에 하나의 명령을 실행하는 거죠. 이렇게 하나의 명령어의 실행이 끝나면 ip는 다음 명령어를 가리키겠죠.(즉, 반전 막대기가 아랫 줄로 옮겨 간다는 얘기죠) 한 번 sice화면에서 t명령을 내려 보세요. 반전 막대기가 아래로 움직이는 것과 eip값의 변화를 확인 할 수 있을 겁니다. 이렇게 t명령을 이용해서 한 번에 하나의 명령을 실행하는 일을 아마도 tracing이라고 하나 봅니다. 우리말로는 트렌싱인가요? (전에 말했지만 왜 트레이싱이라고 하지 않고 트렌싱이라고 하는지는 전 모르겠습니다.) 아무튼, 이렇게 t명령을 사용할 일이 매우 빈번할 거라는 건 예상할 수 있겠죠. 그래서 sice는 기능키로 t명령을 대신 내릴 수 있게 합니다. 바로 F8키가 t명령을 내려주는 키입니다. (이건 winice.dat에서 고칠 수 있습니다. 한 번 찾아 보세요.) 그러니까 전 tracing이라는 말도 트렌싱이라는 말도 사용하지 않고, F8을 누르세요 라는 표현을 쓸 것입니다. 다음으로 p(Proceed)명령이 있습니다. 이것은 어떻게 보면 t명령과 비슷하다고 할 수 있습니다. 역시 한 번에 하나의 명령어를 실행합니다. 하지만 다른 점이 분명히 있습니다. 예를 들어 보겠습니다. :프로그램_시작_부분 . . . . :프로그램_중간_부분 call 화면_지우기 a 화면_지운_다음_실행할_명령 b . . . :화면_지우기 화면_지우는_데_필요한_명령1 c 화면_지우는_데_필요한_명령2 d . . 화면_지우는_데_필요한_명령10 e 돌아가기(ret) f :프로그램_종료 종료 자, 위와 같은 프로그램이 있다고 하죠. 그리고 ip를 대신해서 오른쪽에 알파벳을 써 놓았습니다. 현재 a명령을 실행할 차례라고 하죠. t명령을 내리면 a명령어를 실행합니다. 또 t명령을 내리면 c명령어를 실행합니다. 왜냐하면 call에 의해서 화면_지우기 부분을 불러 주었기 때문에 그 부분으로 뛰어 넘어간 것입니다. 다시 t명령을 내리면 d, 그리고 계속해서 t명령으로 실행하면 f까지 실행한 후 b명령을 실행합니다. 즉, t명령으로는 a -> c -> d -> -> e -> f -> b 와 같은 순서로 sice 화면의 반전 막대기가 옮겨 다닐 것입니다. 그렇다면 p명령은 어떨까요. 현재 a명령을 실행할 차례라고 하고, p명령을 내리면 반전 막대기는 c가 아닌 b에 위치합니다. 즉, call에 의해 불려지는 부분은 '무시'되어 버리는 거죠. 그러니까, 화면을 지우는 데 어떤 명령어 들이 필요한 지에는 관심이 없고, 단지 화면을 지우는 명령이 실행되고 있다는 것만을 알고 싶을 때 p명령을 실행하면 되겠지요. p와 같은 명령이 없다면, call이 나올 때 마다 일일이 그 부분을 봐야 하기 때문에 귀찮아 질 겁니다. 이제 p명령과 t명령의 차이를 알 수 있을 겁니다. sice에서는 F10키가 p명령을 하는 키입니다. 다음으로 알아 볼 명령은 p ret명령입니다. p명령은 이미 알고 있고, ret가 뒤에 붙었습니다. ret에 대해서도 이미 얘기를 한 적이 있습니다. 가령 이렇게 예를 들어 보죠. 위의 프로그램에서 지금 반전 막대기는 c에 있다고 해 봅시다. 그러니까 t 명령으로 거기까지 간 것이겠죠. 그런데 막상 c까지 가 보니까 별 볼일 없는 코드 부분이라고 생각해서 곧바로 이 부분을 빠져 나가서, 이 부분을 부른 부분으로 돌아가고 싶다고 해 봅시다. 그러니까, b로 다시 돌아가고 싶다고 말입니다. 그렇게 하는 데에는 t명령을 마구 누르는 방법도 있겠지만 그것보다는 p ret명령을 내리는 게 더 좋습니다. p ret 명령은 다음 ret가 나올 때까지 실행하라는 명령입니다. 이 경우 f에 ret가 있으니까, 거기까지 가서 ret를 실행하고 난 다음 b에 반전 막대기가 위치할 것입니다. p ret명령을 이해할 수 있을 거라고 생각합니다. sice에서는 F12가 p ret를 담당합니다. 다음 g @ss:esp명령을 보죠. 이것은 p ret과 약간 비슷합니다. 이 명령에 대한 자세한 설명은 하지 않겠습니다. 자세하게 설명하려면 여러가지를 말해야 하기 때문입니다. stack따위를 말입니다. 그러니 p ret과 g @ss:esp는 비슷한 거다.. 라고 기억하면 됩니다. 약간만 얘기를 하자면, call명령으로 어느 부분으로 ip가 옮겨 갔다고 합시다. 그렇게 주욱 진행하다가 ret를 만나면 다시 call명령으로 부른 곳으로 ip는 돌아가야 합니다. 이 때 '어디로' 돌아 갈 것인지, 그 복귀 주소(return address)를 알고 있어야 하겠죠. 이 때 필요한 것이 스택(stack)이라는 겁니다. 스택은 두 개의 레지스터에 저장됩니다. SP(Stack Pointer)와 SS(Stack Segment)가 바로 그 것입니다. g(go till)명령은 '주소'와 함께 써서 그 주소까지 실행하라는 명령입니다. 그러니까 g @ss:esp는 '복귀 주소'까지 실행하라 라는 명령이겠죠. 감이 좀 오세요? 여기서 stack에 대한 자세한 내용은 말하지 않겠습니다. 다음에 또 기회가 있겠죠. 더구나 지금은 picaview에 대한 얘기를 너무 오랫동안 안 하고 있었으니까 돌아가야죠. g @ss:esp를 담당하는 키는 F11입니다. 자, 이제 다시 picaview 얘기로 돌아가죠. 우리는 이름과 등록번호를 써 넣고 Ctrl+d를 눌러서 sice화면까지 들어 왔습니다. 그럼 이번엔 명령을 내려보죠. 바로 중단점(breakpoint)을 설정하려고 하는 겁니다. 중단점(흔히, 브뽀라고 하지만 저는 중단점이라고 하겠습니다)은 좀 아까 말한 g명령과 관계가 있습니다. g명령은 어느 곳까지 실행하고 '멈춰라' 라는 명령이라고 했습니다. 바로 이렇게 '멈추는 곳'을 정해주는 게 중단점을 설정하는 것이라고 보면 됩니다. sice에서는 중단점을 설정하는 명령이 몇가지 있습니다. 이 중 bpx라는 명령을 사용하려고 합니다. bpx GetDlgItemTextA라는 명령을 지금 내려야 합니다. 그리고 나서 sice를 빠져 나오고 프로그램을 사용하다가, 그 프로그램이 GetDlgItemTextA라는 함수를 사용하면 sice는 프로그램 실행을 멈추고 그 부분을 코드 창에 보여주게 됩니다. 여러분은 지금 제가 무슨 말을 하고 있는지 이해가 잘 되지 않을 수도 있습니다. GetDlgItemTextA함수가 뭐 하는 건지, sice가 어떻게 한다는 건지.. 말이에요. 우선 bpx GetDlgItemTextA라고 sice화면에서 명령을 내리고(대소문자를 구분할 필요는 없습니다) Ctrl+d를 눌러서 sice 화면을 빠져 나와 보세요. 참고로, 중단점 설정과 관련있는 명령을 몇 개 이야기 하겠습니다. bl, bd, bc, be가 그것입니다. bl(list breakpoint)은 현재 설정된 중단점의 목록을 보여주는 명령입니다. 그러니까 bpx GetDlgItemTextA 는 명령을 내린 다음 bl명령을 내리면, 명령 줄에 sice는 처럼 중단점이 설정되어 있다는 걸 나타내 줍니다. bd(disable breakpoint)는 설정된 중단점을 잠시 해제 할 때 쓰이는 명령입니다. 잠깐 동안 어느 중단점을 해제 하고 싶다면, bd 명령과 그 중단점의 번호를 써 주면 됩니다. 이 경우 GetDlgItemTextA에 설정한 중단점의 번호는 0이니까, bd 0 명령으로 그 중단점을 잠깐 동안 해제할 수 있습니다. 해제되었는 지를 확인하기 위해서 bl명령을 해 보세요. 아까와는 다른 점을 발견할 것입니다. 다음 bc(clear breakpoint)는 중단점을 아예 지워 버리는 겁니다. bd로 잠시 해제된 중단점은 be(enable breakpoint)명령으로 다시 설정할 수 있지만, 지워버린 중단점은 말 그대로 지워진 겁니다. be 명령도 bd명령 처럼 중단점의 번호와 함께 씁니다. 그럼, 도대체 왜 우리는 GetDlgItemTextA라는 함수에 중단점을 설정하는 걸 까요. GetDlgItemTextA 함수는 이름에서도 알 수 있듯이(Get Dialog Item of Text 인가요? :), 대화 상자(dialogbox)로 부터 제목이나 문장을 받아들이는 기능을 합니다. 참고로, 함수가 제 기능을 했다면 제목이나 문장의 길이 값을 돌려주고, 실패했다면 0값을 돌려줍니다. 우리는 등록 상자(이것도 역시 대화상자이죠)에 이름과 등록번호를 써 넣었습니다. 이것들을 받아들이기 위해서 picaview는 getdlgitemtext라는 함수를 쓰는 것입니다. (함수이름 뒤에 A가 붙은 것은 32bit함수를 뜻합니다) 이렇게 대화상자에서 등록번호를 받아 들이는 방법을 쓰는 프로그램이 getdlgitemtext 함수를 쓰는 것은 아주 고전적인 방법입니다. 참고로, GetWindowText라는 함수를 쓰는 방법 또한 많이 쓰이는 방법입니다. getwindowtext함수도 비슷한 역할을 합니다. 창(window)으로 부터 그 창의 제목표시줄에 있는 제목을 받아들입니다. 또 그 창으로 부터 문장을 받아 들일 수도 있습니다. 이제 왜 우리가 getdlgitemtexta라는 함수에 중단점을 설정했는 지 알겠죠. 그리고 또 하나 추측할 수 있는 게 있습니다. picaview는 getdlgitemtext 함수를 두 번 사용했을 거라는 것입니다. 하나는 '이름'을 받아들이기 위해서 였을 것이고, 다른 하나는 '등록번호'를 받아 들이기 위한 것이었을 겁니다. 이제, 등록 상자에 있는 OK버튼을 눌러 봅시다.(그냥 엔터를 쳐도 됩니다) 그러면 아까와는 달리 등록번호가 틀리다는 글 상자가 나오지 않고 sice화면이 나타납니다. 아마 아래와 비슷한 내용이 코드 창에 나타날 것입니다. USER32!GetDlgItemTextA 0137:BFF61657 BC96 MOV CL, 96 0137:BFF61659 55 PUSH EBP . . . 0137:BFF6167E C21000 RET 0100 . . -----------------USER32!.text+0654-------------------- 반전 막대는 USER32!GetDlgItemTextA에 있을 것입니다. picaview가 getdlgitemtexta함수를 사용했기 때문에 sice는 우리를 여기에 데려 온 것입니다. Ctrl+d를 눌러서 sice를 빠져 나와 보세요. 됩니까? sice는 한 번 더 같은 곳에 데려 갑니다. 다시 한 번 Ctrl+d를 눌러야지 sice를 빠져 나올 수 있습니다. 아까 예상한 대로, picaview는 getdlgitemtexta함수를 두 번 사용하고 있나 봅니다. 그러니까, sice는 우리를 두 번 그곳으로 데려간 거겠죠. sice 화면을 빠져 나오면 예의 그 등록번호가 틀렸다고 하는 글 상자가 있습니다. 확인 버튼을 눌러서 그 글 상자를 없애고, 다시 한번 OK버튼을 눌러 봅시다. 다시 sice화면으로 갈 것입니다. 이번에는 F11을 눌러 봅시다. 그러면 sice는 우리를 picaview의 코드가 있는 곳으로 데려 갑니다. 무슨 말인지 잘 모를 수도 있습니다. sice가 처음으로 우리를 데려 간 곳은 picaview의 코드가 있는 곳이 아닙니다. USER32!.text+0654라고 써있는 밑 부분을 보면 알 수 있듯이 그곳은 user32.dll의 코드가 있는 곳입니다. 우리가 살펴 보고 싶은 곳은 이 부분을 부른(call) picaview의 코드입니다. 그러므로 F11(G @SS:ESP)을 눌러서 picaview의 코드로 간 겁니다. picaview코드는 아래와 비슷한 내용일 겁니다. :10005FBE FFD6 call esi ;call getdlgitemtexta :10005FC0 8D4C2464 lea ecx, [esp + 64] ;등록번호 받아들임 :10005FC4 68C9000000 push 000000C9 :10005FC9 51 push ecx :10005FCA 68C9000000 push 000000C9 :10005FCF 57 push edi :10005FD0 FFD6 call esi ; 위의 것은 picaview를 disassemble해서 얻은 소스 파일의 일부를 가져다 붙인 것이므로, sice화면과 똑같지는 않을 것입니다. 하지만 거의 비슷할 테니 알아볼 수 있을 거에요. F11키를 눌러서 picaview코드로 가면 call esi아래에 반전 막대가 위치할 것입니다. 즉, call esi가 call getdlgitemtexta라는 얘기입니다. 이 call에 의해서 '등록번호'를 받아들입니다. F10으로 계속 단계적으로 실행해 보세요. 다음에 나온느 call esi에서 다시 한번 user32코드로 빠질 것입니다. 그러면 마찬가지로 F11로 picaview코드로 돌아옵니다.(물론 F10(p)을 ret가 나올 때까지 눌러도 되고, F12를 눌러도 마찬가지 입니다.) 이 call esi에 의해서 '이름'이 받아들여 지는 거에요. 한 번 d esp+64 명령을 해 보세요. 데이터 창에 우리가 써 넣은 등록번호가 나타날 거에요. 제 경우는 1234이죠. 또 d esp+20을 해보면 우리가 써 넣은 이름이 데이터 창에 나타날 겁니다. 제 경우는 pluskurt입니다. 그 다음에 나오는 명령 중에서 test al, al/je 10006008의 의미를 알아보죠. 그 전에 mov al, [esp+20] 명령에 의해 '이름'이 al레지스터에 옮겨졌다는 걸 알 수 있죠. (기억하시죠. 범용 레지스터 ax는 ah라는 상위바이트와, al이라는 하위바이트로 나눌 수 있다는 걸.) 그리고 test al, al은 al값이 0인지 아닌지를 확인한다고 보면 됩니다. 즉, 우리가 이름을 써넣는 곳에 어떤 글자이건 간에 써 넣었나를 확인하고 있는 겁니다. 이름에 아무것도 쓰지 않았다면 당연히 안되겠죠.(picaview에게는 말입니다요) 그 다음 je 명령이 나왔습니다. je 명령은 jump equal, 즉 서로 같다면 분기하라 라는 뜻입니다. 조건 분기 명령이죠. 앞에서 test al, al에 의해서 al의 값이 0이라면 zero flag가 설정 되고, 그렇게 되면 je 명령에 의해서 분기(JUMP)할 것입니다. 하지만 우리의 경우, 이름을 써 넣었기 때문에 여기서 분기하지 않습니다(NO JUMP). 여기서 잠깐 시험 삼아 명령을 한 번 내려 볼까요. r fl z라고 해 보세요. sice 화면에 NO JUMP가 JUMP로 바뀌었을 겁니다. 다시 한번 r fl z 명령을 내리면 NO JUMP로 됩니다. 그럼 계속해서 다음 부분을 살펴 보죠. :이름_읽어_들이기 :10005FE2 0FBE16 movsx byte ptr edx, [esi] ;이름을 한 글자씩 읽어 들임 :10005FE5 52 push edx :10005FE6 E81D210600 call 10068108 ;대문자로 바꿈 :10005FEB 83C404 add esp, 00000004 :10005FEE 3C41 cmp al, 41 ;'A'와 비교 :10005FF0 7C04 jl 10005FF6 ; :10005FF2 3C5A cmp al, 5A ;'Z'와 비교 :10005FF4 7E04 jle 10005FFA ;'A'~'Z', 즉 알파벳인가? :10005FF6 3C20 cmp al, 20 ;아니면 빈칸인가? :10005FF8 7506 jne 10006000 ;둘 다 아닌가? :10005FFA 8A06 mov al , [esi] ; :10005FFC 884500 mov [ebp+00], al ;불러 들인 이름 한 글자를 :10005FFF 45 inc ebp ;저장한 다음 :10006000 8A4601 mov al , [esi+01] ;다음 글자를 :10006003 46 inc esi ;읽어들이자 만약에 :10006004 84C0 test al , al ;이름을 모두 읽어 들이지 :10006006 75DA jne 10005FE2 ;않았다면 이런 기계어 코드를 처음 보는 분들은 약간 이해하기 힘들 겁니다. 하지만 저같이 머리 나쁜 놈도 조금은 이해했는걸요. movsx byte ptr edx, [esi] 아까 esi가 이름을 가리키고 있다는 걸 알았습니다. movsx에 대한 설명은 나중에 이 글에서 할 기회가 있습니다. 자세한 얘기는 그 때 하기로 하고, 우선 여기서는, 우리가 써 넣은 이름을 한 글자씩 읽어 들이고 있다고 생각하면 됩니다. call 10068108 이건 무슨 일을 하는 부분을 부르는 call일까요. 결론부터 말하자면 우리가 써 넣은 이름을 읽어서 그 걸 대문자로 바꿔주고 있는 부분을 호출하는 call입니다. 좀 있다가 다시 자세히 보죠. cmp al, 41 al에 대문자로 바뀌어진 이름이 있습니다. 이 al과 41을 '비교'하고 있는 겁니다. cmp명령은 compare, 즉 두 값을 서로 비교하는 명령입니다. 41은 바로 ascii코드의 A에 해당하는 값입니다. 그러니까 대문자로 바뀌어진 이름과 A를 비교하고 있는 겁니다. jl 10005FF6 cmp al, 5A jle 10005FFA jl명령은 jump if less, 즉 두 값을 비교해서 비교된 값이 작다면 분기하라는 명령입니다. cmp al, 5A명령은 al값과 5A(ascii코드 Z에 해당합니다)을 비교하라는 명령이고, jle는 jump if less or equal, 즉 같거나 작으면 분기하라는 명령이 되겠습니다. 즉, 여기까지는 대문자로 바뀐 이름이 알파벳인지를 확인하고 있는 코드가 되겠죠. al의 값이 A보다 크고 Z보다 작은 지를 보고 있으니 말입니다. 가령 pluskurt의 첫 글자인 p는 대문자로 바뀌어서 P, 이것은 알파벳이니까 jle 10005FFA에서 분기하겠죠. cmp al, 20 jne 1000600 이제 위의 코드가 무엇을 하는 지 쉽게 알 수 있을 겁니다. 대문자로 바뀐 이름이 알파벳이 아닐 경우 여기에 오게 되는데, 공백인지 확인하는 코드입니다. 20은 ascii코드에서 공백(SPace)이니까요. 만약 공백도 아니라면 100600으로 분기합니다. mov al, [esi] mov [ebp+00], al inc ebp 대문자로 바뀐 이름이 알파벳이나 공백일 경우 여기에 옵니다. inc 명령으로 ebp를 증가(increment)시켰습니다. mov al, [esi+01] inc esi test al, al jne 10005FE2 inc esi명령으로 esi를 증가시킵니다. 그래서 이름의 '다음' 글자를 받아들일 준비를 하는 것입니다. 살펴볼 점은 이름이 빈칸이거나 알파벳일 경우에는 ebp를 증가시킨 후에 이곳에 왔지만, 그 밖의 다른 경우에는 ebp를 증가시키지 않고 이 곳에 오게 된다는 거에요. 만약에 제가 이름으로 pluskurt를 쓰지 않고, +kurt를 썼다면, +는 알파벳도 공백도 아니기 때문에 ebp를 증가시키지 않고 바로 이곳으로 오겠죠. 무슨 말인지 대충 알겠죠? test al, al/jne 10005FE2은 이름을 모두 읽어 들였나를 확인하고 그렇지 않다면 다시 :이름_읽어들이기 로 돌아가서 이 부분을 반복하게 합니다. 계속해서 다음 코드를 보죠. :10006008 8D4C2464 lea ecx, [esp + 64] :1000600C 8D542420 lea edx, [esp + 20] :10006010 51 push ecx :10006011 52 push edx :10006012 C6450000 mov [ebp+00], 00 :10006016 E835020000 call 10006250 :1000601B 83C408 add esp, 00000008 :1000601E 83FB01 cmp ebx, 00000001 :10006021 7539 jne 1000605C :10006023 8D442464 lea eax, [esp + 64] :10006027 8D4C2420 lea ecx, [esp + 20] :1000602B 50 push eax :1000602C 51 push ecx :1000602D E83EF6FFFF call 10005670 ; 좀 복잡하죠? 이 글이 크랙에 관해 처음 읽는 글인 분이라면 이해가 잘 안될 수도 있을 것 같습니다. 저는 자세히 설명한다고 했는데, 어떨지 모르겠습니다. 이번에는 '추측'을 한 번 해보죠. 첫번째 화살표가 있는 곳까지 쭈욱 단계별로 실행해 보세요.(이 말은 F10으로 p명령을 내려서 그 곳까지 오라는 말이라는 거 다 아시죠?) 그리고 그 곳에 중단점을 설정합니다. 이제 껏 설정되 있던 중단점은 모두 지워버려도 좋습니다. 마우스로 call 1005670이라고 써 있는 부분에 더블 클릭을 하면 그 줄의 색깔이 바뀌고 중단점이 설정됩니다. 크랙을 조금 하다보면 감이 잡힙니다. 어느 게 중요한 call이고 어느 게 아닌지를 말입니다요. 하지만, 처음엔 물론 그런 걸 알 수 없죠. 첫번째 화살표가 있는 call이 중요한 call입니다. 왜 그런지 한 번 보죠. t명령으로 그 call이 어떤 부분을 호출하고 있는 지 자세히 살펴 보기 전에, 두 번째 화살표가 있는 조건 분기(jle)까지 한 번 가 보세요. sice에는 JUMP로 나와있을 겁니다. r fl z명령으로 zero flag를 설정해서 NO JUMP로 바꿔보죠. 그리고 sice화면을 빠져 나와봅시다. (Ctrl+d를 누르거나 F5를 누르면 됩니다. F5는 x명령입니다.) 아까와는 다른 글 상자가 나옵니다. 등록해줘서 고맙다는 글 상자입니다. 그럼 우리는 크랙을 한 걸까요? 다시 한번 picaview를 실행해 보면 그렇지 않다는 것을 알 수 있습니다. (물론 기계어 코드를 바꾸고 나서도 말입니다.) call 10005680 add esp, 00000008 test eax, eax jle 10006077 우리가 바꿔줬던 조건 분기 jle는 eax값에 따라서 분기하는 것이었습니다. eax값이 0이었기 때문에 원래는 jle는 분기를 했던 것이었는데 우리가 r fl z 명령으로 분기를 하지 않게 바꿔 줬었죠. 하지만 이 경우, 그렇게 조건 분기를 바꾸기만 한다고 크랙이 되는 것은 아닙니다. 그렇지만, 이런 사실로 call 1005680이라는 call이 매우 중요한 call이라는 건 알 수 있습니다. 이 call의 결과값인 eax로 인해서, 등록이 되느냐 마느냐 하는 분기를 결정하니까 말입니다. 그러니까 이 call이 호출하는 부분을 더욱 자세히 살펴 볼 필요가 있겠죠.(이렇게 어떤 call다음에 test eax, eax가 와서 그 call에 대한 결과를 검사하고, 바로 조건 분기가 오는 형식의 방법은 정말 정말 많은 프로그램에서 쓰입니다. 보통 그 조건 분기를 고쳐 주는 것만으로도 크랙이 끝나는 경우가 많습니다.) 다음 글에서 다시 살펴 보겠습니다. 몇 시간 동안 앉아서 글을 쓰려니까, 너무 힘들군요. ------------------------------------------------------------------------------- 덧붙이는 말 마지막 test eax, eax/jle 10006077 부분에서 JUMP와 NO JUMP에 대한 내용이 잘못 되어 있었습니다. piranha@jean.ssm.samsung.co.kr님께서 알려 주셔서 새로 고쳤습니다. 고맙습니다. Page 1 4. The Unforgiven 4. The Unforgiven 저번 글에 이은 글은 다음에 올리겠습니다. 우선 여기에 다른 크랙커가 쓴 글을 제가 옮겨 봤습니다. 내용도 그렇게 어려운 편이 아닙니다. (beginners라고 등급을 정했군요) 제가 보충 설명을 붙여서 해 볼까 생각도 해봤지만, 그냥 그대로 우리말로 바꾸기만 했습니다. 앞의 글들을 읽은 분이라면 이 글도 별 보충 설명없이 이해할 수 있으리라고 생각합니다. 혹시 모르는 부분이 나오더라도, 다음에 쓸 picaview에 관한 글을 읽고나서 다시 이 글을 읽어보면 쉽게 이해할 수 있습니다. 읽다 보면 앞에 제가 쓴 글과 연관되는 부분이 있을 것입니다. 즉, 저는 앞에서 picaview를 크랙할 때 등록번호와 이름과의 관계를 살펴보고, 이름을 입력하면 등록번호를 출력하는 프로그램(keygenerator)을 만드는 방법을 선택했습니다. 하지만 이 글을 쓴 크랙커는 다른 방법을 택했습니다. 그 다른 방법에는 여러가지가 있겠지만, 이 크랙커가 선택한 방법도 재미있는 방법이라고 생각합니다. 글쓴이는 Little-John이라고 하는 크랙커입니다. ------------------------------------------------------------------------------- winrar 95 ver.2.0: the guts of a simple protection Written by Little-John Micro$oft사는 멍청하고 덩치큰 프로그램이나 만들어서 돈 벌 궁리만 하고 있다. 윈도우95같은 버그덩어리의 OS를 좀 더 낫게 고치거나, RAM과 디스크 공간 같은 시스템 자원을 더 효율적으로 사용할 방법을 궁리하지 않는 상황에서, 우리는 어떻게 해야 할까? 답은 압축이다. 압축으로 여러개의 작은 크기의 파일을 포함하는 크기가 큰 하나의 파일을 만드는 것이다. 빠르게 압축을 해주는 소프트웨어가 많이 있다. 그 중 (가장 유명한) 하나가, 오래되었지만 훌륭한 Pkzip 방법을 쓰고 있는, Winzip 6.x이다. 하지만 난 그것에 만족하지 못했고, 다른 것을 찾다가 훌륭한 GUI방식의 32bit 압축기를 찾아냈다. Eugene Roshal의 WinRAR 95 v2.0이 바로 그것이다. 필요한 도구:디버거(SoftIce) Hex Editor 두뇌(brain) 물론 당신이 원하는 다른 도구를 이용해도 된다. Winrar의 여러 기능 중 내가 가장 좋아하는 것은, 압축파일이 진짜임을 보증하는 '인증 코드(Authenticity Code)'기능이다. 하지만 그 기능은 쉐어웨어 버전이 아닌 것에서만 사용할 수 있다. 돈, 돈, 돈, 돈, 돈, 돈, ... 아아으.. 사실 내가 그 기능 버튼을 눌렀을 때, (귀여운 :) 글 상자가 나에게 이렇게 말했다 : "등록 버전에서만 사용할 수 있는 기능이랍니다". 하지만, 그 땐 크리스마스였고, 사람들은 누구나 다른 이에게 좀 더 친절해진다... 난 나를 위해 조그만 선물을 만든다 해도, Eugene이 그렇게 화를 내리라고 생각하지 않았다. 그 선물은 등록된 "상업적이 아닌" WinRAR95 버전인 것이다. 물론 난 한푼도 들이지 않고, 머리를 굴릴 필요도 없이, 그저 수많은 warez들 속에서 완벽하게 등록된 것을 구할 수도 있었다. 하지만 난 그렇게 남의 것을 훔쳐 쓰는 것 보다 나 스스로 크랙하는 것을 좋아한다. 난 사랑스런 Soft-Ice를 갖고 크래.. 어... 코드를 관찰하기 시작했다. WinRAR95를 시작하고, Option메뉴에서 Registration을 선택한다. "Enter your regstration (AV) text"라고 써있는 곳에 당신의 이름(또는 별명 :)을 써 넣는다. 예를 들면, Johnny 같은. 그리고 등록코드를 써 넣는 곳엔 당신이 좋아하는 숫자 조합을 써 넣는다.(난 123321을 좋아한다.) 자 이제 Soft-Ice로 들어가서(Ctrl-D를 누른다), GetDlgItemTexta에 중단점을 설정한 다음 무슨 일이 일어나나 보자. 당신의 이름이 메모리에 저장된다. 제일 처음에 해야 할일은 아마도 메모리에 중단점을 설정하고 이름에 어떤 변화가 있나 살펴보는 것일 게다. 하지만 먼저 코드를 살펴보자. 목표물을 크랙하려면 먼저 그것을 잘 살펴봐야 한다. 계속해서, g명령을 내리면, 또 다른 USER32!GetDlgItemTextA 함수에 도달할 것이다. 그러나 이번엔 관찰할 필요는 없다. 계속해서 코드를 살펴 내려오다 보면 이런 코드를 볼 수 있다. :004226CC 8D8554FFFFFF LEA EAX,[EBP+FFFFFF54] :004226D2 50 PUSH EAX :004226D3 8D459C LEA EAX,[EBP-64] :004226D6 50 PUSH EAX :004226D7 E84D66FFFF CALL 00418D29 ;아주 흥미로운 call :004226DC 83C408 ADD ESP,08 ;스택(stack) 고치기 :004226DF 85C0 TEST EAX,EAX ;등록번호가 맞나? :004226E1 752F JNZ 00422712 ;맞어/틀려 :004226E3 6A30 PUSH 30 :004226E5 6A1A PUSH 1A "등록번호가 맞습니다. 등록 해주셔서 고맙습니다"라고 써 있는 글 상자를 보고 싶다면 :004226E1 752F JNZ 00422712 ;맞어/틀려 를 :004226E1 742F JZ 00422712 ;맞어/틀려 로 고치면 된다. 하지만 불행히도 여기까지로는 충분치 않다. 만약에 Option->General 메뉴를 선택해서 Authenticity Code를 누른다면, 여전히 "등록버전에서만 가능합니다"라고 하는 글상자를 보게 될 것이다. 따라서 이제 할 일은 "CALL 00418D29" 안으로 들어가서 WinRAR가 어떤 식으로 행동하나를 살펴 보아야 하는 것이다. 여느 때 처럼 수없이 많은 Call 이 있다, 그리고 우리는 두 가지 방법이 있다. 하나는 이름과 등록번호 사이에 어떤 관계가 있는 가를 알아서 올바른 등록번호를 알아내는 것이다.(이것은 무척 힘든 방법이다. 정말 이 방법이 필요하다고 생각하는가?) 다른 하나는 어떤 이름에도 들어 맞는 마술 등록 번호를 만드는 것이다.(짧고 훌륭한 방법이다. 난 이 방법을 더 좋아한다. 난 멍청한 사람들에게 나눠주기 위한 KeyGenerator는 필요하지 않다.) 당신이 두 번째 방법을 선택하길 바란다.... 오.. 좋아요. 그렇게 하겠다니 고맙습니다. :) winrar가 우리의 등록번호가 맞는 지 틀리는 지를 어디서 결정하는 가를 알기 위해서는 아까 그 call(CALL 00418D29)을 찾아가봐야 한다. 눈 앞에 정말로 많은 코드들이 펼쳐 지고, 드디어 다음과 같은 코드가 보일 것이다: :00418F7D 8D8574FFFFFF LEA EAX,[EBP+FFFFFF74] ;이름/등록번호에 대한 call결과값 :00418F83 50 PUSH EAX ;저장 :00418F84 FF35706D4400 PUSH DWORD PTR [00446D70] ;이름/등록번호에 대한 call결과값 :00418F8A E871240100 CALL 0041B400 ;이 Call은 신경 쓰지 말아요 :00418F8F 83C40C ADD ESP,0C ;스택 고치기 :00418F92 85C0 TEST EAX,EAX :00418F94 0F94C0 SETZ AL :00418F97 83E001 AND EAX,01 ;if EAX EAX=0 => :00418F9A A348074400 MOV [00440748],EAX ; =>등록안 됨 :00418F9F FF3528074400 PUSH DWORD PTR [00440728] :00418FA5 E8BA830100 CALL 00431364 :00418FAA 59 POP ECX :00418FAB 33C0 XOR EAX,EAX :00418FAD A328074400 MOV [00440728],EAX :00418FB2 A148074400 MOV EAX,[00440748] ;EAX=1 => WINRAR95 등록됨 :00418FB7 5F POP EDI ;EAX=0 => WINRAR95 등록 안됨 :00418FB8 5E POP ESI :00418FB9 5B POP EBX :00418FBA 8BE5 MOV ESP,EBP :00418FBC 5D POP EBP :00418FBD C3 RET RET다음에는 아래의 코드로 간다. :004226DC 83C408 ADD ESP,08 ;스택 고치기 :004226DF 85C0 TEST EAX,EAX ;EAX=1인가? 아니 - 그럼 나쁜 놈 :004226E1 752F JNZ 00422712 ; 맞다 - 그럼 똑똑한 크랙커 위의 코드는, 이전의 call의 결과값에 따라 행동한다. EAX=0이면 잘못 된 등록번호를 썼단 얘기고, EAX=1이면 제대로 된 등록번호를 썼단 말이다. 이제 EAX를 1이 되게끔 만들면 된다. 어떻게? 아주 쉽다. :00418F8F 83C40C ADD ESP,0C :00418F92 85C0 TEST EAX,EAX :00418F94 0F94C0 SETZ AL :00418F97 83E001 AND EAX,01 :00418F9A A348074400 MOV [00440748],EAX 우리는 이 코드를 다음과 같이 바꾸면 된다. :00418F8F 83C40C ADD ESP,0C :00418F92 33C0 XOR EAX,EAX ;잠시 동안 EAX를 0으로 만든다. :00418F94 B800010000 MOV EAX,1 ;EAX=1 =>등록됨 :00418F97 90 NOP :00418F9A A348074400 MOV [00440748],EAX 이제 EAX의 값은 항상 1이다. 따라서 어떤 이름과 등록번호를 써 넣더라도 항상 등록된다. 프로그램은 제대로 된 등록번호를 써 넣었다고 믿는다. 따라서 당신은 이 프로그램의 모든 기능을 사용할 수 있게 된다. Ciao a tutti By Little-John ------------------------------------------------------------------------------- 제가, 다른 크랙커들의 글을 옮긴 것과 제 스스로 쓴 글의 제목을 어떻게 다르게 붙이고 있는 가는, 음악 취향이 저와 비슷하다면 쉽게 알 수 있을 겁니다. Page 1 5. Lithium 5. Lithium 다시 picaview에 대한 이야기입니다. the unforgiven에서 처럼 외국 크랙커가 쓴 글을 그냥 우리말로 옮기기만 하는 건 정말 쉽군요. 이렇게 제가 직접 글을 쓰는 것 보다는 말입니다. 지난 번 the man who sold the world에서는 '의심스러운' call(call 115670)을 찾아내는 데 까지 얘기했었습니다. 그 의심스러운 call의 결과값인 eax에 따라서 등록되었다는 글상자를 보게 될 건지, 아니면 등록번호가 틀렸다는 글 상자를 보게 될 것인지가 결정된다고 했습니다. 이번 글은 그 의심스러운 call이 호출하는 부분을 살펴봐야 겠죠. :10005670 56 push esi :10005671 8B742408 mov esi, [esp + 08] :10005675 56 push esi :10005676 FF15F8600710 Call [KERNEL32!lstrlen] ;이름의 길이를 구한다 :1000567C 83F805 cmp eax, 00000005 ;5글자 이상인가? :1000567F 7D04 jge 10005685 ;그렇다면 분기 :10005681 33C0 xor eax, eax ;아니라면 eax를 0으로 :10005683 5E pop esi :10005684 C3 ret ;ret 의심스러운 call은 이 부분을 부르고 있습니다. 잘 보면 이 부분은 이름의 '길이'를 구하는 부분이라는 걸 알 수 있습니다. 바로 Call [KERNEL32!lstrlen] 이 그 기능을 하고 있죠. (물론, lstrlen함수는 크랙이라는 것과는 별개로 많은 분들이 그것이 어떤 기능을 하는 지 알고 있으리라고 생각합니다. 하지만 모르는 분도 있겠죠. 잠깐 설명하자면, lstrlen함수는 문장의 길이를 구하는 데 쓰는 함수입니다. 문장의 길이를 바이트 단위(ANSI version)나, character단위(Unicode version)로 돌려 줍니다(그 문장의 맨 마지막 글자(null terminated string)은 포함하지 않습니다)) cmp eax, 5 jge 10005685 그리고 그 문장의 길이가 5보다 큰 지를 확인합니다. 즉, 우리가 써 넣은 이름이 5글자가 넘는 지 확인하는 거죠. 제 경우 pluskurt니까 8글자를 써 넣었죠. 그러니까 제대로 넣은 셈입니다. 만약에 제대로 5글자 이상을 써 넣지 않았다면 다음 코드로 진행합니다. xor eax, eax pop esi ret xor eax, eax명령으로 eax값을 0으로 만듭니다. 지난 글에서 살펴봤듯이 eax가 0이 되면 등록번호가 틀리다는 글 상자가 나오게 됩니다. 그러면 안되죠. 그리고 잠깐 설명하겠습니다. 왜 xor eax, eax명령이 eax값을 0으로 만드는 걸까요.(the unforgiven에서도 이런 내용이 있었죠.) xor 명령은 논리 연산 XOR을 수행하는 명령입니다. 왜, OR, AND, NOT 같은 것 들 들어보셨죠? 그 논리 연산 중에 XOR(eXcluded OR)이라는 것도 들어 봤을 겁니다. A B XOR A XOR B 0 0 0 0 1 1 1 0 1 1 1 0 XOR은 위와 같은 논리연산을 수행합니다. 그러니까, 두 값이 서로 다를 때에만 1값을 돌려주고, 같을 때에는 0을 돌려 줍니다. 그럼 xor eax, eax는 eax라는 서로 같은 값을 연산하니까 당연히 0값을 돌려 주게 되고 그 값은 eax에 저장됩니다. 따라서 eax가 0을 갖게 되는 거죠. 이해가 되겠죠? 물론 eax값을 0으로 만드는 방법으로 sub eax, eax라는 명령을 쓸 수도 있겠죠. 이 sub(Subtract)명령은 말 그대로 뺄셈 명령입니다. eax=eax-eax라는 연산을 수행하니까 당연히 eax값을 0으로 만들겠죠. 하지만 이렇게 어떤 값을 0으로 만들 필요가 있을 때에는 xor eax, eax명령을 더 자주 사용한다고 하네요. 그렇게 하는 게 처리 속도가 더 빠르다고 합니다. 물론, the unforgiven에서 처럼 어떤 이름/등록번호라도 통과시키는 방법을 써서 크랙할 수도 있겠지만, 지금 우리는 그것보다는 keygen을 만들고 있는 중이니까, 5글자를 넘게 써서 jge 10005685에 의해 분기하도록 하죠. :10005685 682D224900 push 0049222D ;49222D..기억해 두세요 :1000568A 56 push esi ;esi-->pluskurt :1000568B E820AD0000 call 100103B0 자, 여기에 두 개의 call이 있습니다. 우리는 이 call들이 무슨 역할을 하는 지 알아 보기 위해서 또 call이 호출한 부분을 살펴보아야 할까요? 물론, 그렇게 하면 정확한 기능을 알 수 있을 겁니다. 하지만 그건 매우 복잡하고 시간도 오래 걸리는 일이 되겠죠. 그렇기 때문에 이렇게 keygen을 만드는 일은 잘 하지 않습니다. 하지만, 그 call이 호출하는 부분을 자세히 살펴 보기 전에, call의 결과 값을 살펴보고 그 call이 어떤 기능을 하는 건지 알 수도 있습니다. 우선 첫번째 call을 살펴 보겠습니다. push esi call 100103B0 mov esi, eax push라는 명령어가 나왔습니다. push에 대해 약간 설명을 하죠. 전에 아르바이트를 부페에서 한 적이 있어요. 까르네 스테이션이라는 고기 부페 체인점 같은 곳이었는데, 아주 재미있었습니다. 친구 때문에 같이 하게 된 일이었지만 지금 생각해도 그 때 거기서 일 한 건 아주 재미있는 일이었다고 생각됩니다. 같이 일하시던 분들도 아주 좋은 분들이었구요. 쇼우케이스라고, 음식들 진열하고 간단한 음식은 직접 만들기도 하고.. 그런 일이었죠. 덕분에 파 썰고, 과일 깎는 걸 아주 잘하게 되었답니다. : ) 쇼케이스에서 같이 일하던 누나도 참 좋은 분이었구요. 또 저보다 먼저 들어와서 일하고 있던 친구도 좋은.. 사람이었구요. 그 친구, 아르바이트해서 인도에 간다고 했는데, 잘 다녀왔나 모르겠군요. 후후.. 하여튼, 그런 부페 상상이 가시죠? 그런 곳에는 접시가 있습니다. 접시를 집어서 손님들이 음식을 담아가죠. push 명령은 이 '접시'와 관계가 있습니다. '접시'를 데이터라고 하고, 접시꽂이를 메모리라고 생각해 보죠. 접시를 담는 역할을 하는 제가 마이크로 프로세서 겠죠 : ) 바로 이렇게 접시를 접시꽂이에 담는 일을 하는 명령이 push라는 겁니다. 데이터를 메모리에 보관하는 거죠. 손님이 음식을 담기 위해서 접시를 꺼내는 것을 하는 명령은 pop입니다. 메모리에 보관 되어 있는 데이터를 꺼내는 거죠. push esi라는 명령은 esi값을 메모리에 저장하는 것입니다. 별로 어려울 것도 없죠? 그런데 왜 하필 제가 이렇게 아르바이트 한 일까지 말하면서 접시에 비교했을까요. 이것은 스택과도 관계가 있는 얘기입니다. LIFO(Last In First Out)이라고 불리는 과정입니다. 우리말로 하면 후입전출(後入前出) 정도가 될까요. 제가 접시를 꽂을 때 먼저 꼽은 접시일수록, 손님이 접시를 빼어 갈때는 나중에 빼 내어 지게 되죠. 무슨 뜻인지 이해가 되겠죠? 스택(접시꽂이)에 데이터를 보관하고, 빼어 가는 것도 마찬가지입니다. 먼저 push된 데이터는 나중에 pop됩니다. 가령 push esi, push eax라고 했다면 다음에 pop eax, pop esi명령으로 각각 저장된 데이터를 빼 낼수 있는 거죠. 그럼 push esi명령으로 스택에 esi값을 저장했습니다. 여기서 esi값은 pluskurt, 즉 제가 써 넣었던 이름입니다.(d esi명령으로 확인할 수 있습니다.) 이것은 call 100103B0으로 불려지는 곳에서 쓰기 위한 값일 겁니다. 그 call의 결과는 eax값에 저장됩니다. mov esi, eax명령으로 그 eax값은 esi에 옮겨 지고요. 한 번 그 곳에서 eax값이 뭔 지 sice화면의 레지스터 창으로 확인해 보세요. pluskurt를 써 넣은 제 경우, eax값은 104C5DE5입니다. 사실 이 값은 아주 중요하죠. 한 번 sice에서 ? 104C5DE5(또는 ? eax 명령도 마찬가지입니다.) 명령을 해 보세요. 이 ? 명령은 16진수 값을 10진수로 바꿔 주는 명령입니다. 104C5DE5는 10진수로 273440229입니다. 바로 pluskurt에 대한 "진짜" 등록번호이죠. 감이 잡히죠? 이 call의 역할은 이렇습니다. esi에 있는 '이름'을 받아 들여서 제대로 된 '등록번호'를 만들어 내는 거죠. 그 값은 eax에 돌려 지고, 다시 esi로 옮겨집니다. 여기까지만 하고 알아낸 등록번호를 써 넣어서 picaview를 등록판으로 만들 수 있습니다. 그것도 크랙이죠.(ED!SON이라는 크랙커의 유명한 강좌에서도 이런 방법이 설명되었습니다. 물론, 여러분은 귀찮게 나머지 글들을 읽어 가지 않고 여기에서, 이름으로 pluskurt를 등록번호로 273440229를 입력할 수도 있겠죠. 그건 크랙이 아니죠. 여러분의 이름을 넣고 지금까지 하다가 sice화면에 보이는 '여러분의' 등록번호를 갖고 등록하는 건 크랙입니다. 여기에 pluskurt에 대한 등록번호를 밝힌 것은 이야기를 하기 위해서입니다.) 하지만 저의 목적은 등록번호를 만드는 프로그램을 만드는 것이기 때문에 앞으로 이 call이 호출하는 부분을 좀 더 자세히 살펴 봐야 하겠죠. 그러기 전에 그 아래에 있는 두 번째 call은 어떤 역할을 하는 지 살펴보죠.(물론 눈치가 있는 분이라면 이미 예상할 수 있겠지만 말입니다요) mov eax, [esp+14] push eax call 10068043 add esp, C xor ecx, ecx cmp esi, eax sete cl mov eax, ecx pop esi ret 처음에 mov eax, [esp+14]가 나왔습니다. [esp+14]가 가리키고 있는 것은 제가 써 넣은 등록번호 입니다. 1234죠. 이것은 eax로 옮기고 push합니다. 두 번째 call은 이 1234와 관련이 있겠군요. 결론 부터 말하자면 두 번째 call은 이 1234를 picaview가 알아 볼 수 있는 등록번호로 바꿔서, 첫 번째 call에 의해 계산된 진짜 등록번호와 비교할 준비를 하는 겁니다. 어떤 분들은 picaview가 알아 볼 수 있는 등록번호로 바꾼다는 게 이해가 잘 안 될 수도 있을 텐데요. 이런 거에요. 제가 써 넣은 1234는 "수"가 아닙니다. 아까 첫 번째 call에 의해 picaview가 계산한 등록번호는 16진수인 104C5DE5라는 "수"였습니다. 아직은 이 1234는 말 그대로 문자열일 뿐 입니다. 두 번째 call이 1234라는 문자열을 16진수 수로 바꾸는 겁니다. 두 번째 call의 결과인 eax를 보면 4D2라는 걸 알 수 있을 겁니다. 16진수 4D2를 10진수로 바꾸면 1234, 천 이백 삼십 사가 되는 거에요. 그러니까 비로소 picaview는 4D2(1234)와 104C5DE5를 비교할 수 있는 거겠죠. 이해가 되겠죠? 이제 이 두번째 call이 무슨 일을 하는 건지는 이해가 되셨으리라 생각됩니다. 그럼 우리가 살펴 봐야 할 call은 두번째 call이 아니라 첫 번째 call이겠죠. picaview가 이름으로 등록번호를 만드는 과정을 보는 게 중요하지, 문자열 1234를 어떻게 수로 바꾸나 하는 과정은 별 관심이 없습니다. 그리고 그 다음에 나오는 명령들을 좀 살펴보죠. 두 번째 call로 얻어진, 우리가 써 넣은 등록번호(4D2)와 진짜 등록번호(104C5DE5)를 비교하는 과정입니다. xor ecx, ecx가 무슨 일을 하는 건지는 이제 여러분도 알 거에요. 그 다음 cmp esi, eax도 무슨 일을 하는 건지 알겠구요. 즉, 두 번째 call의 결과 값인 eax(4D2)와 첫 번째 call의 결과값을 갖고 있는 esi(104C5DE5)를 비교하는 거죠. cmp명령은 두 값을 비교해서 같으면 제로 플래그를 설정한다고 했었죠. (물론 이 경우, 같을 리가 없을 테니 제로 플래그는 설정되지 않을 겁니다.) 다음 sete cl이라는 새로운 명령이 있습니다. SETE(SET if Equal)명령은 어떤 조건(condition)에 따라 하나의 바이트(byte)값을 01로 만드느냐(set)를 결정하는 명령(Set on Condition) 중의 하나입니다. 이 경우 조건은 제로 플래그가 설정되었느냐이고, 설정되었다면 cl레지스터를 01로 만들겠죠. 즉 앞에 나왔던 cmp esi, eax에 의해서 두 값(등록번호들)이 같다면 제로 플래그가 설정 되었을 것이고, 그렇다면 sete cl에 의해서 cl 레지스터의 값이 01로 설정(set)될 것입니다. 그렇게 되면 mov eax, ecx에 의해서 eax값 또한 1값을 갖게 될 테고 ret되어서 전에 보았던 그 test eax, eax / jle 부분에서 NO JUMP를 만들 것입니다. 이것은 '등록되었다'는 글 상자를 나타나게 하는 거죠. 무슨 말인지 알겠죠? 그럼 눈치가 빠른 분이라면 여기서 또 크랙하는 방법을 찾아내셨을 거에요. 찾아 내셨나요? keygen을 만들지 않고 picaview를 그냥 크랙하는 방법이에요. 물론 그런 방법은 정말 많이 있습니다. 하나의 프로그램을 크랙하는 방법은 얼마든지 많이 있으니까요. 여기서 금방 찾을 수 있는 방법은 sete명령을 이용해 보는 것입니다. 자, 생각해 보죠. picaview는 우리가 써 넣은 등록번호와 진짜 등록번호를 비교해서 같으면 cl레지스터를 01로 만듭니다. 같지 않다면 00으로 내버려 두죠. 이 값은 다시 eax에 저장된다는 건, 바로 전에 말했던 거잖아요. 바로 이 eax가 00이 되느냐 01이 되느냐에 따라서 등록이 되느냐 마느냐를 결정하는 겁니다. 흠.. 우리가 써 넣은 등록번호가 제대로 된 등록번호일 때만 cl레지스터는 01이 됩니다. 나머지 경우는 모두 00이 되죠. 그럼 반대로 해 준다면 어떻게 될까요? 무슨 말이냐 하면요. 우리가 써 넣은 등록번호가 제대로 된 등록번호 일때 cl레지스터가 00이 되고, 그렇지 않은 경우에는 cl레지스터가 01이 되는 거에요. 그렇담 우리가 아무 등록 번호나(제대로 된 등록번호가 아닌 번호) 써 넣어도 picaview는 우리를 등록 시키겠죠. 그렇죠? 그렇게 하면 됩니다. 간단하겠죠. sete가 우리가 써 넣은 등록번호와 진짜 등록번호를 비교해서 '같으면' cl을 01로 만드는 명령이라고 했죠. 그렇담 setne(Set If Not Equal, setnz)명령을 대신 사용한다면... 네, 우리가 써 넣은 등록번호와 진짜 등록번호를 비교해서 '같지 않으면' cl을 01로 만들겠죠. sete cl의 기계어 코드는 0F94C1이었습니다. setne cl의 기계어 코드는 0F95C1입니다. 어떻게 알았냐고요? 앞으로 할 이야기에서도 나오겠지만 조건 분기 je(jump if equal, jz)의 기계어 코드는 74입니다. jne(jump if not equal, jnz)의 기계어 코드는 75입니다(경우에 따라서 이들 코드는 바뀔 수 있습니다). 바로 이 74와 75를 서로 바꾸는 방법의 크랙이 아주 고전적이고, 또 지금까지 많이 사용되는 크랙 방법입니다. 생각해 보세요. 지금 우리가 하려고 하는 방법과 마찬가지 방법이잖아요? 그러니까 sete의 기계어 코드중 94가 있으니까, 아마도 setne의 기계어 코드에는 95가 되지 않겠냐 하고 추측을 할 수 있는 거에요. 또 그렇게 한 추측을 확인할 수도 있습니다. 바로 a(Assemble)명령을 이용하는 겁니다. sice에서 a명령을 주면 현재 ip에서 직접 어셈블리어 명령을 쓸 수 있게 해줍니다. 그러니까 여러 분도 sice화면에서 반전 막대기가 sete cl에 위치했을 때 a명령을 내려 보세요. 그럼 명령 줄에 어셈블리어 명령을 입력할 수 있게 되는 걸 볼 수 있습니다. 거기서 setne cl이라는 어셈블리어 명령을 내립니다. 그러면 sice는 다음 어셈블리어 명령을 입력하길 기다립니다. 더이상 입력할 게 없으니 그냥 엔터를 치면 a명령 상태를 종료합니다. 그리고 반전 막대기가 있는 곳의 기계어 코드가 0F94C1에서 0F95C1로 바뀐 걸 알 수 있습니다. 물론 setnz cl이라고도 바뀌고 말이에요. (equal이라는 것과 zero라는 것이 서로 바꿔가며 쓸 수 있다는 건 이미 아시죠? sice는 zero를 씁니다.) 그렇게 고치고 난 후에 sice를 빠져 나와 보세요. '등록되었습니다'하는 글상자가 기다리고 있을 겁니다. 물론 이렇게 등록된 것은 '일시적인' 등록입니다. 우리가 내린 a명령으로는 잠깐 동안(메모리 상에서) picaview의 코드를 바꿔주는 것이지 아예 바꿔 버린것은 아니기 때문입니다. 아예 바꾸려면 hex editor로 picaview를 열어서 바꿔야 겠지요.(hex editor로 코드를 바꾸는 방법은 다 아시죠. about a girl에서 w32dasm을 크랙할 때 얘기했었죠) 그렇게 hex editor로 바꿔버리면 '일시적인' 등록이 아니라 정말로 등록이 되는 거에요. 어때요. 이것도 하나의 크랙 방법이 되겠죠? 지금까지 picaview를 크랙하는 두 가지 방법을 알았습니다. 하나는 진짜 등록번호를 sice화면에서(첫번째 call의 결과 값인 eax) 보고 직접 등록 상자에 써 넣는 방법이었구요. 다른 하나는 이렇게 sete cl을 setne cl로 바꾸는 방법이죠. 어쨋튼 우리는 여기서 그만 둘 수는 없구요, 마지막 목표인 keygen을 만들기 위해서 계속 살펴 봐야죠. 자, 이제 첫 번째 call이 호출하는 부분을 자세히 살펴 보는 일이 남았습니다. 사실 지금까지 한 것은, 우리가 만들고자 하는 등록번호 프로그램을 만드는 데 별 도움이 되는 일은 아닙니다. 이제 부터 살펴 볼 내용이 중요하죠. picaview가, 우리가 써 넣은 이름으로 어떻게 등록번호를 만들어 내는 지를 살펴 보게 될 테니까요. 정리를 해 볼까요. 지금까지 picaview는 '이름'의 자격조건을 살펴 보았습니다. 그 자격 조건이란 바로 이름의 '길이'가 5글자 이상이어야 한다는 거죠. 여기에서 '길이'를 따지는 데에는 알파벳과 공백만을 가지고 따집니다. 가령 +pluskurt나 pluskurt나 picaview의 입장에서는 길이가 모두 8글자로 보이는 겁니다. '+'는 알파벳도 아니고 공백도 아닌 '특수문자'이기 때문에 이름의 길이를 세어 볼 때, 빼 버리죠. 지금까지의 과정을 C프로그램으로 한 번 고쳐 보겠습니다. for (i=0; (c=getchar()) != '\n' ; ++i){ name[i]=toupper(c); /*대문자로 고침*/ if (isalpha(c)) /*알파벳이라면 */ ++length; /*문장 길이를 세는 데 포함시킴*/ else if (isspace(c)) /*공백도 역시*/ ++length; /*문장 길이를 세는 데 포함시킴*/ else /*그 밖의 경우에는*/ --i; /*읽어 들이지 않음*/ } name[i]='\0'; if (length30) /*길이가 30자가 넘으면 30번째 글자 다음부터는*/ name[30]='\0'; /*무시함*/ 좀.. 엉성할 수도 있습니다. 학교에서 C수업을 들은 적이 있지만, 첫 수업에만 들어가고 그 후로 한 번도 수업을 듣지 않은 실력이니까 말이에요.(하하.. 한심하죠. 지금 생각해 보면 제가 왜 그때 학교를 그렇게 가기 싫어했나 후회됩니다. 부모님께 정말 죄송하구요. 비싼 등록금 들여서 이 망나니를 학교에 보내 주셨는데, 수업을 그렇게 빠졌으니 말이에요.) 그냥 집에서 혼자 심심할 때 C책을 보면서 공부한 정도라서요. 하지만 무슨 뜻인지는 대충 짐작이 갈 정도는 되죠? 아 그리고 이름을 써 넣는 곳을 보면 이름을 아무렇게나 길게 써 넣도록 되어 있는 게 아닙니다. 한 번 picaview의 등록 상자에서 이름을 몇 글자나 받아들이는 지 보세요. 30자 까지 입니다. 뭐 이름을 30자 넘게 쓸 분은 거의 없겠지만, 그래도 확실히 하기 위해서 아래의 내용도 포함시켰습니다. 이번 글은 여기까지 하죠. 다음 글 부터 이제 본격적으로 picaview의 등록 번호 만드는 코드를 살펴 보겠습니다. 그러니까 첫 번째 call이 호출하는 부분을 살펴 보는 거죠. Page 1 6. Until It Sleeps 5. Until It Sleeps 두번째로 외국 크랙커의 글을 옮깁니다. 이 글도 역시 초보자를 위한 글이니 이해하기에 특별히 어려운 것은 없을 것 같습니다. 하지만 보충설명이 약간 필요한 부분도 있을 것 같아서 제가 먼저 보충설명을 좀 하겠습니다. 우선 제가 글을 우리말로 옮기면서 사용한 단어의 얘기인데요, protection scheme이라는 단어를 그대로 옮겼습니다. 마땅히 우리말로 바꿀 만한 말을 찾지 못해서입니다. protection scheme을 알아내서 '깨어 버리는' 것도 크랙이라고 할 수 있겠죠. 이 protection scheme에도 여러가지 종류가 있죠. 우선 이름과 등록번호를 입력해야 하는 paper protection scheme이 있습니다. 많은 쉐어웨어가 이 방법을 쓰고 있죠. 다음으로 유효기간을 두어서 일정기간이 지나면 기능을 하지 못하도록 하는 best before protection scheme이 있습니다. 이와 약간 비슷하지만 사용 기간이 아니라, 몇 번 사용했는 가를 따져서 프로그램을 못쓰게 만드는 방법도 쓰입니다. 가령, 20번 이상 쓰게 되면 못 쓰게 된다던지 하는. 이런 것들을 Cinderella protection scheme이라고도 하죠. 다른 방법도 있겠지만, 주로 이 두 가지가 쓰입니다. 이렇게 얘기를 하면 이제, protection scheme이 무슨 뜻인지는 알겠죠? 다음으로, 이 글에서 설명이 된 Nop방법에 대한 이야기를 잠깐 하겠습니다. w32dasm을 크랙할 때 얘기가 되었었죠. 어셈블리어 명령 중에서 nop라는 건 아무 의미없는 명령이고, 기계어 코드로는 90이라고 했습니다. w32dasm을 크랙할 때 ff251ca74900이라는 기계어 코드를 3c9090909090으로 바꾸어 주었었죠. 3c는 ret의 기계어 코드이고, 나머지를 90으로 채워 주었습니다. 이렇게 하는 걸 'nop한다'(nopping)고 표현합니다. 이것 역시 적절한 우리말이 생각이 나지 않아서 그냥 영어 그대로 썼습니다. 그런데 +ORC의 강좌에서는 이렇게 90을 연속해서 쓰는 방법을 별로 좋지 않다고 했습니다. 크랙커들이 이런 식으로 nopping을 많이 하기 때문에, protectionist(무슨 뜻의 단어인지는 아시겠죠? : )들이 프로그램을 만들 때, 90이 몇 번 이상 연속해서 반복되면 그걸 알아차리고 에러를 내게 하거나, 아니면 프로그램이 바이러스로 둔갑(?)하도록 만드는 코드를 사용한다는 겁니다. 그러니까 어떤 기계어 코드를 없애 주려고 할 때 무조건 90을 연속해서 쓰면 좋지 않다는 얘기죠. 그래서 +ORC가 내놓은 방법이 있죠. 아래의 글에서 나온 것과 같이 inc ax, dec ax, inc ax, dec ax.. 따위를 늘어 놓는 것입니다. inc ax의 기계어 코드는 40, dec ax의 기계어 코드는 48입니다. inc ax로 ax를 증가시켰다가 dec ax로 다시 감소 시키면 결국 아무것도 한 일이 없는 셈이되죠. 그러니까 9090보다는 4048로 nop하는 게 더 나은 방법이 되는 겁니다. 물론 inc bx, dec bx도 마찬가지겠죠. ------------------------------------------------------------------------------- 초보들을 위한 올해의 멍청한 protection 상 수상식(1997)! 암호화 되지 않은 등록번호 집합 : 초보자를 위한 이야기 by Tristan +HCU의 학생 여러분과, +ORC와 그의 강의를 우리가 볼 수 있게 만들어준, 그의 제자들에게 인사를 드립니다. 이 글을 시작하기 전에 몇 마디 하겠습니다. 저는 크랙을 배운 지 일 년 밖에 되지 않았습니다. 처음에는 크랙 방법의 변천사와 여러 글들을 읽으며 연습했고, 이미 만들어진 크랙 방법들을 따라 하는 것에 불과했죠. 오랜 기간 동안 보고 들은 후에야 비로소 저 스스로 크랙을 할 수 있게 되었습니다. 전 그동안 아주 쉬운 protection scheme을 많이 봐 왔습니다. 그래서, '전문적인' 프로그램들에 기가 죽어서 크랙을 한 번도 시도해 보지 못한 분들에게 용기를 주고자 이 글을 씁니다. 사실, 도대체 왜 제가 좀 더 일찍 크랙을 할 수 없었을까 이해가 안 됩니다. 초보자들에게 해 주고 싶은 충고도 있고, 정말 믿기지 않을 정도로 쉬운 protection scheme들에 대해 할 말도 많습니다. 제가 하고 싶은 충고란 "초보 여러분, 한 번 해 보세요. 이제 껏 제가 찾은 아주 쉬운 protection scheme들을 크랙하면 실패를 할래야 할 수 없을 거에요."라는 겁니다. 이 글의 주제는 제 충고와 관계가 있습니다. 전 "가장 바보같은 protection "의 유력한 후보작을 찾아 내었습니다. 놀라운 시상식 : 믿기지 않을 만큼 멍청한 protection scheme 우리가 크랙할 프로그램은 cyberspace hq.의 Add Web 1.23입니다. www.download.com이나 그 프로그램을 만든 곳인 http://www.cyberspacehq.com/home.htm에서 다운 받을 수 있습니다. 또는 웹 검색 방법을 알고 있다면, 다른 곳에서 이전 버전이나 최신 버전을 찾을 수 있겠죠. 우선 크랙할 대상을 살펴 봐야죠. 그러면 세 가지 종류의 Add Web이 있다는 걸 알 수 있습니다. 첫번째 것은 인스톨만 하면 생기는 거죠. 비등록판입니다. 예, 여러분의 홈페이지를 10가지 search engine에 등록할 수 있는 기능을 제공하는 비등록판입니다. 다음 것은 355개의 search engine에 여러분의 홈페이지를 등록시켜주는 등록판입니다. (네, 정말 많죠. 정말 필요한 search engine은 몇 십개 정도이고, 나머지는 모두 쓸모없는 것들이죠). 마지막으로 다음과 같은 기능을 제공하는 '우대 등록판(gold registered version)'입니다. "우대 등록판은 report header와 footer를 마음대로 고칠 수 있는 기능을 제공하며, e-mail reports에서 문서를 편집할 수 있는 기능도 제공합니다." 위의 문장은 Add Web의 도움말 파일에서 복사해서 붙였습니다. 도저히 외울 수가 없더군요. 두 가지의 등록판은 모두 등록 번호를 써 넣어서 만들어집니다. 아아아.. 또 한 가지 빠트려선 안 될 게 있죠. 이 프로그램의 가격입니다 : 가격 구분 가격 =========================== 등록판 $49.00 우대 등록판 $89.00 허허 89 달러? 이런 프로그램의 가격으론 너무 비싸군요. Win95도 그렇게까지 비싸지는 않을 거라고 생각합니다(물론 윈도우가 얼마나 버그가 많은지를 감안하면 그렇게 싼 가격도 아니지만 말입니다) 이제 여러 분은 이렇게 생각할 겁니다: 우와.. 이렇게 비싼 프로그램이라면 분명히 깰 수 없는 protection scheme을 갖고 있겠지. 이제 크랙을 시작해 볼까요. 첫번째 방법: 전 먼저 addweb.exe(732,160 bytes의 크기입니다)를 w32dasm 8.9로 열었습니다. 그리고 (+ORC와 그의 제자들이 말해 준 대로) "now registered"나 "sorry this was a bad reg. number" 같은 문장을 찾았죠. 그리고 이런 재미있는 부분을 찾았습니다. 이런 문장이 있는 곳을 찾았죠: "AW21-JH8WFHB-84EWFW8" "AW23-JH843H8-8426298" "AW98-2J882DB-JW01192" "AWD8-362HF83-8EHE532" "AWE1-F373736-UJU8376" "AWGD-WDWD824-4962345" "AWGE-DWE837A-FE97438" ... and a lot more 흠... 이것들이 무엇에 쓰이는 문장일까요? 저한테는 에러 메시지로는 보이지 않는 군요. 그렇담 뭘까요? 암호화된 등록번호가 아닐까요. 글쎄, 그렇다면 왜 그런 식으로 암호화 되었을까요? 그렇다면 혹시....? 아냐, 설마! 그렇게 쉬울리가! 혹시 그 자체로 등록번호일까? 푸헐헐 .. 그럴리가. (하지만 밑져야 본전이죠) 그래서 저는 등록번호 쓰는 곳에 그 문장을 써 넣어 봤죠. 무슨 글상자가 또 튀어나올까 기대하면서 말입니다. 그런데, 믿을 수가 없었습니다. 이런 글이 써있는 글상자가 나온 거에요. '49(또는 89) 달러를 주셔서 고맙습니다'... 암호화도 되지 않은 그 자체로 등록번호 였던 겁니다. 럴수럴수! 푸헐헐.. 이 "크랙"을 하는 데 2분도 걸리지 않았습니다. 머리를 쓰지도 않았고요. 자, 하지만 크랙이 끝난 것은 아닙니다. 이미 말했듯이 두 종류의 등록판이 있으니까요. '우대'와 '보통'. About 상자를 보니까, 전 '보통' 등록판으로 등록되어 있더군요. 그래서 이번엔 그 등록번호들을 다시 한번 잘 살펴 봤습니다. 연습문제 자 해 보세요. 더 읽어 나가기 전에 한 번 생각해 보세요. 이건 정말 아주 조금만 생각해보면 답을 알 수 있는 거랍니다. 위에 등록번호들을 잘 보세요! 알아냈나요? 여러분이 아무 생각 없이 읽어 나가지 않고, 스스로 답을 생각해 봤기를 바랍니다. 정말 너무 쉽습니다. 다음과 같은 규칙이 있습니다. - 모든 등록번호는 AW로 시작합니다.(이런, 혹시 AddWeb을 나타내기라도 하는 건가요? : ) - 모든 우대 등록판은 AW다음에 G로 시작합니다.(G는 Gold를 뜻하겠죠. 허허허..) - G로 시작하지않는 다른 등록번호들은 모두 '보통' 등록판일 뿐입니다. 자, 절 못 믿겠으면 한번 가서 다시 보세요. 정말 생각이 필요 없을 정도로 너무 쉽죠? 두번째 방법: 이미 만들어진 등록번호를 이용해야만 하는 까닭은 없죠. 프로그래머가 멍청하지 않았다면 써야 했을 크랙 방법을 해 보죠. Wdasm을 다시 시작해서 위와 같은 등록번호들이 보일 때까지 찾아가죠. 그러면 다음과 같은 코드가 보일 것입니다. * Referenced by a Jump at Address:045A459(C) | :045A495 8B831C050000 mov eax, dword ptr [ebx+0000051C] * StringData Ref from Code Obj ->"AW25-7JREG7C-3H1EG54" "AWGM-MCC77WA-G55WGS5" 아래에 나오는 내용은 위의 내용을 반복합니다. :045A505 66BA0A00 mov dx, 000A :045A509 66B86200 mov ax, 0062 :045A50D E826C4FAFF call 00406938 :045A512 DD9B14050000 fstp qword ptr [ebx+514] :045A518 9B wait :045A519 C783280500000B000000 mov dword ptr [ebx+528], B :045A523 C7832C050000CE070000 mov dword ptr [ebx+52C], 7CE 이제 제가 했던 크랙 방법을 얘기 하죠. 두 가지가 있습니다. 우선 보통 등록판과 우등 등록판 중 하나를 선택해야 합니다. 보통 등록판이라면 :0045A4A5에 있는 jne를, 우등 등록판이라면 :0045A4F1에 있는 jne를 고쳐야 합니다. 다음 또 선택을 할 게 있습니다. 나쁜 분기를 Nop할 것인지 아니면 조건 분기의 조건을 바꿔 줄 것인지를 선택해야 합니다. nop할 것이라면 753A를 9090으로 바꿔야 하겠죠. 조건을 바꿔 주려면 753A를 743A(75="jne" 74="je")로 바꿔야 하겠죠. (두번째 방법은 단점이 있습니다: 만약에 제대로 된 등록번호를 써 넣는다면 조건 분기가 나쁜 분기를 수행하게 되겠죠 :-) 단순히 90으로 nop하는 것은 (+ORC가 우리에게 가르쳐 준 대로) protectionist들의 '미끼'에 걸리게 될 수 있습니다. (물론, 이렇게 멍청한 프로그래머가 만든 프로그램을 크랙하는 경우에는 그럴 리 없겠죠. 하지만 우리가 그런 '미끼'에 노이로제 증상이 있다고 가정하고 얘기를 해 보죠) 어느 날 크랙커들에게 쳐 놓은 '미끼'가 있어서 90을 이용한 nop를 하면 우리의 하드디스크와 모니터를 박살내어 버린다고 해 보죠(예, 소프트웨어로 모니터를 박살낼 수 있습니다. 그런 걸 컴퓨터 바이러스로 만들면 재미있겠죠). 그런 일을 막기 위해서 '노련한 nop방법'이 여기 있습니다. 노련한 2바이트 nop방법 inc ax 40 1000000 dec ax 48 1001000 - - ~ - - inc bx 43 1000011 dec bx 4B 1001011 - - ~ - - inc cx 41 1000001 dec cx 44 1000100 - - ~ - - inc dx 42 1000010 dec dx 4A 1001010 물론 FEC0 inc al , FEC8 dec al과 같은 4바이트 nop방법도 있습니다. 기계어 코드를 공부하면 할 수록 인텔의 '비밀'스런 기계어 코드도 크랙할 수 있습니다. 그건 그냥 프로그램을 크랙하는 것과 마찬가지에요. 마지막 힌트: 만약에 비등록판을 다시 얻으려고 한다면 Win95의 regedit를 열어서 AddWeb을 찾으세요. 그 하위 디렉토리 Init에서 RegNum이라는 키를 찾을 수 있습니다. 그걸 삭제하면 다시 비등록판으로 됩니다. 진짜 마지막 힌트: 이 글의 특징 중의 하나는, 여기에 설명된 크랙 방법에 대해 아무것도 모르고 있어도 크랙을 할 수 있다는 겁니다. 크랙을 배우세요. 그건 (언제나) 여러분이 생각하는 것보다 쉽습니다. 진짜 진짜 마지막 한 마디: 저에게 제안하고 싶은 게 있다면 아래로 연락해 주세요: to(point)tristan(at)usa(point)net 저는 지금 Winimage를 크랙하고 있습니다.(누구 이거 크랙하고 있는 사람 있나요? 연락 주세요!) 그리고 저의 어설픈 영어를 이해해 주시길 바랍니다. 전 독일어를 쓰거든요. 그러니까 저에게 연락할 때 독일어로 해도 되겠죠. Tristan. All rights released. -------Tristan---------------- ------------------------------------------------------------------------------- Page 1 7. Yellow Submarine 7. Yellow Submarine 원래 이번엔 picaview에 대한 글을 쓰려고 했지만, 다시 외국 크랙커의 글을 옮깁니다. 다음에 picaview에 대한 글을 계속할게요. 이번 글은 HexWorkshop(ver 2.53)을 크랙하는 방법에 대한 글입니다. 좀, 색다른 크랙 방법이죠. 정말 크랙하는 방법이 여러 가지이겠지만, 이 경우는 좀 더 재미있는 방법입니다. 기회가 있을 때 제가 hexworkshop을 크랙했던 방법에 대해서도 이야기하겠습니다. 정말 초보자이고, 제가 쓴 글을 읽은 게 크랙에 대한 글의 전부라면, 조금 어려울 수도 있습니다. 소스 파일을 분석할 때 별로 자세한 설명이 되어 있지 않기 때문인데요. 그런 분들은 그냥 보세요. 앞으로 쓸 여러 글들을 보고 나서, 다시 이해가 안되었던 부분을 보면, 그 땐 이해를 할 수 있을 거에요. ------------------------------------------------------------------------------- How to register HexWorkshop v2.52 (32bit) - by Heres - [Courier New 8폰트를 이용해야 제대로 보입니다.] 이 방법은 등록파일의 이름을 찾아내는 걸 기본으로 하는, 소스 파일을 이용한 방법이다. 크랙할 대상이 있는 디렉토리에서 HEXWORKS.REG(크기는 0 byte)를 볼 수 있다. 따라서 그 글자를 찾아가보자. * Possible StringData Ref from Data Obj ->"HEXWORKS.REG" ;좋아요, 여기 있군. | :0043B10C BAC05B4800 mov edx, 00485BC0 :0043B111 83E103 and ecx, 00000003 :0043B114 F3 repz :0043B115 A4 movsb :0043B116 8D7C240C lea edi, [esp 0C] :0043B11A B9FFFFFFFF mov ecx, FFFFFFFF :0043B11F 2BC0 sub eax, eax :0043B121 F2 repnz :0043B122 AE scasb :0043B123 4F dec edi :0043B124 8B02 mov eax, [edx] :0043B126 8B4A04 mov ecx, [edx] :0043B129 8B5A08 mov ebx, [edx] :0043B12C 6A00 push 00000000 :0043B12E 8907 mov [edi], eax :0043B130 8A420C mov al , [edx] :0043B133 894F04 mov [edi], ecx :0043B136 8D4C2410 lea ecx, [esp 10] :0043B13A 895F08 mov [edi], ebx :0043B13D 51 push ecx :0043B13E 88470C mov [edi], al * Reference To: KERNEL32._lopen, Ord:0262h ;파일을 열자 | :0043B141 FF15C85A4900 Call dword ptr [00495AC8] :0043B147 83F8FF cmp eax, FFFFFFFF :0043B14A 8BF0 mov esi, eax :0043B14C 0F84D7000000 je 0043B229 :0043B152 8B9C2418010000 mov ebx, [esp 00000118] :0043B159 68D2000000 push 000000D2 ;크기가 210 bytes이상이어야 한다 :0043B15E 53 push ebx ;파일에서 읽어 오기 위해... :0043B15F 56 push esi * Reference To: KERNEL32._lread, Ord:0263h ;파일에서 읽어 오자. | :0043B160 FF15CC5A4900 Call dword ptr [00495ACC] :0043B166 8BF8 mov edi, eax :0043B168 56 push esi * Reference To: KERNEL32._lclose, Ord:025Fh ;이제 닫자. | :0043B169 FF15D05A4900 Call dword ptr [00495AD0] :0043B16F 81FFD2000000 cmp edi, 000000D2 ;크기가 210bytes맞어? :0043B175 752A jne 0043B1A1 :0043B177 81ECD4000000 sub esp, 000000D4 :0043B17D 8BF3 mov esi, ebx :0043B17F 8BFC mov edi, esp :0043B181 B934000000 mov ecx, 00000034 :0043B186 F3 repz :0043B187 A5 movsd :0043B188 66A5 movsw :0043B18A E861020000 call 0043B3F0 ;등록번호 만드는 과정을 실행 :0043B18F 81C4D4000000 add esp, 000000D4 :0043B195 3B83CE000000 cmp eax, [ebx000000CE] ;오호! 등록번호다! :0043B19B 0F8418010000 je 0043B2B9 ;등록되었다면 분기 * Referenced by a Jump at Address:0043B175(C) | :0043B1A1 66C7030000 mov word ptr [ebx], 0000 :0043B1A6 BFD05B4800 mov edi, 00485BD0 :0043B1AB B9FFFFFFFF mov ecx, FFFFFFFF :0043B1B0 2BC0 sub eax, eax :0043B1B2 F2 repnz :0043B1B3 AE scasb :0043B1B4 F7D1 not ecx :0043B1B6 2BF9 sub edi, ecx :0043B1B8 8BC1 mov eax, ecx :0043B1BA C1E902 shr ecx, 02 :0043B1BD 8BF7 mov esi, edi :0043B1BF 8D7B02 lea edi, [ebx] :0043B1C2 F3 repz :0043B1C3 A5 movsd :0043B1C4 8BC8 mov ecx, eax :0043B1C6 83E103 and ecx, 00000003 :0043B1C9 F3 repz :0043B1CA A4 movsb * Possible StringData Ref from Data Obj ->"Unregistered" ; +ORC가 찾으라고 했던 글자죠 | :0043B1CB BFD45B4800 mov edi, 00485BD4 자, 이제 hexworkshop이 있는 디렉토리에 크기가 210 bytes 이상인 파일을 만들어서 HEXWORKS.REG라고 이름을 붙이자. (세 번의 실패 끝에) 내가 만든 파일이 아래에 있다. 하지만 지금 중요한건 크기이니까 우선은 그냥 보자. xx0000000000 Heres xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 줄마다 0Dh, 0Ah를 써 넣는다.(그냥 편집기로 만들면 된다.) 자 이제 이 프로그램을 크랙하는 데에 두 가지 방법이 있다. 1. 코드를 고치는 방법 우선 HWORKS32.EXE파일을 백업한다.(예를 들자면 HWORKS32.ORI) OFFSET: -원본- 0003A59B 0F8418010000 je 0043B2B9 ;등록되었으면 분기 OFFSET: -크랙- 0003A59B E919010000 jmp 0043B2B9 ;무조건 분기 0003A5A0 90 nop ; :-o 2. Softice를 이용해서 등록번호를 알아내는 방법 Softice로 hexworkshop을 열어서 중단점을 다음과 같이 설정한다. bpx cs:43B195 다음에 F5를 눌러서 실행시킨다... 그러면 등록번호가 나타나는 곳에 멈출 것이다. :0043B195 3B83CE000000 cmp eax, [ebx+000000CE] ; 오호! 등록번호다! 음.. 흥미롭군요... EAX에 저장될 값은 HEXWORKS.REG파일에 순서를 거꾸로 해서 저장될 것이다. 따라서 나는 아까 만들었던 등록파일의 마지막 4 byte를 고쳤다. 78h, 78h, 0Dh, 0Ah 에서 36h, E8h, 0Fh, C8h 마지막으로 백업파일을 HWORKS32.EXE로 바꾼다. 자.. 순식간에 크랙을 끝냈다. 시간이 좀 더 있다면, 등록번호를 만들어내는 과정을 살펴 보고 등록번호를 만드는 프로그램을 쉽게 만들 수 있을 것이다. 알림: 내 영어가 미숙했다면 이해해 주기 바란다. 난 그 훌륭한 +ORC의 강좌를 보고 크랙을 배운 이탈리아인이다. Heres, 1997년 7월 3일. (c) Heres 1997. All rights reserved ------------------------------------------------------------------------------- Page 1 8. Come As You Are 8. Come As You Are 다시 PicaView에 대한 얘기입니다. 지난 글에서는 어느 부분이 등록번호를 만드는 부분인 가를, 그 call에 대한 결과 값을 보고 추측해 보았습니다. 이번 글에서는 그 등록번호 만드는 부분을 자세히 살펴 보기 시작하겠습니다. 결론부터 말하자면 등록번호 만드는 부분은 크게 두 부분으로 나눌 수 있습니다. 그 두 부분을 거친 다음 약간의 수정을 거쳐서 등록번호를 완성하게 되는 데요. 이번 글에서는 아마 그 첫 번째 부분만을 보는 데 그칠 것 같습니다. 그럼 그 부분으로 한번 가 보죠. 지난 번에 알아본 바로 call 100103B0이 등록번호를 만드는 과정을 호출하는 것이었습니다. 그럼 100103B0으로 가 보죠. :100103B0 81ECA8000000 sub esp, 000000A8 :100103B6 55 push ebp :100103B7 8BAC24B0000000 mov ebp, [esp + 000000B0] ;pluskurt를 ebp로 옮김 :100103BE 56 push esi :100103BF 57 push edi :100103C0 8BFD mov edi, ebp ;pluskurt를 edi로 옮김 :100103C2 83C9FF or ecx, FFFFFFFF ;ecx의 모든 비트를 1로 설정 :100103C5 33C0 xor eax, eax ;eax를 0으로 :100103C7 33F6 xor esi, esi ;esi를 0으로 :100103C9 F2 repnz ;여기서 부터는 :100103CA AE scasb ;pluskurt의 글자 수를 :100103CB F7D1 not ecx ;세어 보는 :100103CD 49 dec ecx ;과정입니다. :100103CE 8974240C mov [esp + 0C], esi :100103D2 6683F901 cmp cx, 0001 ;글자 수가 1보다 큰 지를 :100103D6 0F8299010000 jb 10010575 ;확인 :100103DC 6683F950 cmp cx, 0050 ;글자 수가 80보다 작은 지를 :100103E0 0F878F010000 ja 10010575 ;확인 :100103E6 8B8424BC000000 mov eax, [esp + 000000BC] ;49222D :100103ED 53 push ebx ; :100103EE 3BC6 cmp eax, esi ;49222D와 1을 비교 :100103F0 0F85C4000000 jne 100104BA ;당연히 같지 않습니다. :100103F6 8BF9 mov edi, ecx :100103F8 33D2 xor edx, edx :100103FA 81E7FFFF0000 and edi, 0000FFFF :10010400 7E11 jle 10010413 :10010402 33C0 xor eax, eax 위의 과정은, 본격적으로 이름(pluskurt)으로 등록번호를 만들기 전에 다시 한 번 이름의 길이를 확인하는 과정인 것 같습니다. 이 과정에서는 알파벳과 공백만으로 다시 구성된 이름의 길이를 세어 봅니다.(이름에 있는 !@#$%같은 '특수'문자들은 빼고 말이죠) mov ebp, [esp+B0] 이 명령으로 esp+B0이 가리키고 있는 pluskurt를 ebp에 옮기고, mov edi, ebp 이 명령으로 pluskurt를 edi로 옮깁니다. edi로 옮기는 데에는 이유가 있습니다.(scasb) or ecx, -01 xor eax, eax xor esi, esi repnz scasb not ecx dec ecx 이 과정이 pluskurt의 글자 수를 세어 보는 과정입니다. w32dasm으로 얻은 소스 파일에서는 or ecx, ffffffff라고 되어 있지만 sice화면에서는 or ecx, -01이라고 나와있을 거에요. 마찬가지입니다.(궁금하신 분들은 어셈블리어에 대한 글을 읽어 보세요. 왜 ffffffff가 -01와 같은 지 알 수 있을 거에요.) 그 밖에도 repnz scasb가 sice화면에는 한 줄에 나타나지만, 소스 파일에서는 다른 줄에 나타납니다. 역시 별 상관 없습니다. 우선 or ecx, -01 명령으로 ecx값은 ffffffff가 됩니다. 이렇게 원하는 비트를 설정하기 위해서 쓰는 방법이 or을 사용하는 거에요. 다음을 보시죠. A or B AorB 0 0 0 0 1 1 1 0 1 1 1 1 물론 많은 분이 아시겠지만 논리 연산 or은 위와 같이 행동합니다. 즉, 두 값중 어느 하나라도 1이면 1값을 갖는 거에요. 그렇다면, 예를 들어 CX레지스터의 하위 바이트를 모두 1로 만들고 싶다면 어떻게 하면 될까요. or cx, 00ff 이렇게 하면 될겁니다. ff를 비트로 표현하면 11111111가 됩니다. cx값이 가령 1010 1010 1010 1010이라고 할 때, cx 1010 1010 1010 1010 OR |00ff 0000 0000 1111 1111 ---------------------------- 1010 1010 1111 1111 |========| 자 위에서 볼 수 있듯이 하위 바이트는 모두 1로 설정되었습니다. 그러면 or ecx, ffffffff라는 명령이 왜 ecx의 모든 비트를 1로 만드는 지 이해가 될 거에요. 다음에, 이미 얘기한 적이 있는 xor명령을 이용해서 eax와 esi를 0으로 만듭니다. 그 다음에 나오는 명령 repnz scasb는 처음 보는 거죠. 우선 scasb(SCAn String by Byte)명령을 알아보죠. 말 그대로 글자들을 읽어 오는 명령입니다. 자세히 말하자면 AL레지스터로 부터 글자를 읽어 들여서 es:di에 있는 값과 비교를 하는 거죠. 그런 과정이 반복될 때마다 cpu는 적절한 값만큼 di를 증가 시키면서, 플래그를 설정 또는 해제합니다. 여기서는 pluskurt(es:edi)의 글자를 읽어 들여서 0값(eax)과 비교합니다. 다들 아시겠지만 글자들(strings)을 메모리에 저장할 때, 맨 마지막에 끝줄 문자, 0(null character)을 넣습니다. 그러니까 pluskurt는 메모리에 p l u s k u r t 70 6c 75 73 6b 75 72 74 00 이렇게 저장되어 있는 거죠. sice 화면으로도 확인 할 수 있을 겁니다. 왜 scasb명령이 pluskurt를 0과 비교하는 걸까요. repnz라는 명령을 이해하면 그 이유를 알 수 있습니다. repnz(REPeat while Not Zero)명령은 scasb명령을 언제까지 실행할 것인가를 결정합니다. 즉, pluskurt를 읽어 오다가 0과 같은 값을 만나면 끝내라는 거죠. 0과 같은 값은 pluskurt를 다 읽고 난 후의 null character이니까, 결국 repnz scasb명령은 pluskurt를 다 읽을 때 까지 반복하라는 명령이죠. 역시 말 재주가 없어서, 설명이 복잡해 져 버린 느낌이네요. 이해하겠어요? 아무튼 이렇게 repnz scasb명령으로 pluskurt를 읽어 오는 동안, 한 글자를 읽을 때 마다 ecx값은 하나씩 감소합니다. 맨 처음에 ecx값을 ffffffff로 만들었던 이유도 여기에 있죠. 즉, repnz scasb명령을 마치면 ecx값은 fffffff6이 됩니다. 그리고 not ecx로 비트 값을 바꾸고(not아시죠?), dec ecx로 값을 하나 감소시키면 ecx값은 8, 즉 pluskurt의 길이가 됩니다. 이렇게 pluskurt라는 글자의 길이를 알아 내는 위의 과정을 이해할 수 있을 거에요. 그 다음은 이렇게 얻어진 ecx(cx)의 값을 비교합니다. cmp cx, 1 jb 10010575 cmp cx, 50 ja 10010575 이름의 길이가 1이상 80이하의 값이 아니면 분기하라는 명령입니다. 그 분기하는 곳(10010575)은 굳이 가 보지 않더라도 별로 좋은 곳이 아니라는 것은 추측할 수 있겠죠? mov eax, [esp+BC] push ebx cmp eax, esi jne 100104ba esp+BC가 가리키고 있는 값인 49222D라는 값은 앞으로 등록번호를 만드는 데 몇 번 쓰입니다. 그러니까 우선 기억하고 있어야 겠죠. 그 다음에 eax와 esi값을 비교합니다. esi는 아까 0으로 만들어 준 값이고, eax는 49222D입니다. 당연히 같을 리가 없죠. 제 생각에는 등록번호를 만드는 과정에서 어떤.. 특정한 값에 대해 정상적인 등록번호를 만들 수 없을 때 대체되는 코드로 분기하는 것 같은데요, 솔직히 정확히는 모르겠습니다. 왜 여기서 이렇게 말도 안되는 비교를 해서 분기를 하는 지 말이에요. 누구 아시는 분 있으면 가르쳐 주세요. 어쨋튼 여기서의 분기는 '올바른' 분기이니까 그냥 따라 가 보도록 해요. 이제 본격적으로 등록번호를 만드는 과정으로 분기합니다. :100104BA 8BD9 mov ebx, ecx ;ebx에 글자 수를 옮김 :100104BC 33FF xor edi, edi ;edi를 0으로 만듦 :100104BE 81E3FFFF0000 and ebx, 0000FFFF ;ebx의 하위 워드만 취함 :100104C4 7E2C jle 100104F2 :첫번째_부분_시작 :100104C6 0FBE0C2E movsx byte ptr ecx, [esi + ebp] ;이름의 글자를 :100104CA 51 push ecx ;하나 하나 불러 들여서 :100104CB E8387C0500 call 10068108 ;대문자로 바꿈 :100104D0 0FAF8424C4000000 imul eax, [esp + 000000C4] ;eax*=49222D :100104D8 03C7 add eax, edi ;eax+=edi :100104DA 83C404 add esp, 00000004 :100104DD 25FFFF0000 and eax, 0000FFFF ;eax의 하위 워드만 취함 :100104E2 99 cdq :100104E3 F7FB idiv ebx ;eax:edx=eax:edx/ebx :100104E5 47 inc edi ;다음 글자 :100104E6 6689547418 mov [esp + 2*esi + 18], dx ;'목록' 작성 :100104EB 0FBFF7 movsx word ptr esi, edi ;이제 글자를 다 읽어 :100104EE 3BF3 cmp esi, ebx ;들인 건가? :100104F0 7CD4 jl 100104C6 ;아니면 반복 이제 부터 본격적으로 pluskurt란 이름으로 등록번호를 만들기 시작하는 부분입니다. 이 부분을 살펴 보기 전에, picaview는 과연 어떻게 이름으로 등록번호를 만드는 것인지 대충 얘기를 하죠. 아마.. 어떤 수학 책에서 본 것 같은데요. 그 수학 책에는 이런 말이 있었습니다. 과학 시간에 학생들에게 성냥개비에 불을 붙여서 마지막 부분까지 재를 부스러뜨리지 않게 태우라고 한다면, 학생들은 몇 번 실패한 다음 부터는 재미 없어서 포기할 것이다. 하지만, 그 것이 전구의 필라멘트로 쓰일 것이라고 알려 주고 실험을 시작한다면 학생들은 재미있게 실험을 할 것이다. 지금 저를 선생님으로, 이 글을 읽고 있는 분들을 학생으로, 건방진 비유를 하려고 하는 게 아니구요. 그냥 그런 말이 생각이 나서요. 간단히 말하자면, pluskurt라는 이름을 한 글자 한 글자 씩 불러 들여서 대문자로 바꿉니다. 그러니까, pLuSkUrT라고 썼던 plusKURT라고 썼던 picaview가 받아 들이는 건 마찬가지라는 거지요.(PLUSKURT) 그 다음에 그 대문자의 ascii코드 값을 가지고 약간의 계산을 합니다. 그리고 나서 그것을 '순서대로' 써 넣은 '목록'을 만듭니다. 이 부분이 첫 번째 부분이구요. 그 다음에 이 '목록'의 값들을 하나 하나 읽어서 다시 한 번 어떤 계산 과정을 거칩니다. 그렇게 해서 하나의 '번호'를 만듭니다. 이 번호의 부호에 따라서, 음이면 양으로 만들고, 양수이면 어떤 수를 더해서 새로운 번호를 만듭니다. 0이면 이미 '준비된' 번호를 갖게 합니다. 그렇게 해서 만들어진 번호를 다시 어떤 수로 나누고, 그 나머지가 바로 '등록번호'가 되는 거에요. 대충 그렇다는 얘기구요, 이제 첫 부분의 코드를 자세히 살펴 보도록 하죠. mov ebx, ecx xor edi, edi and ebx, FFFF jle 100104f2 ecx에 저장 되어 있던 글자 수를 ebx에 저장합니다. 다음 edi를 0으로 만듭니다. 이름의 글자를 하나 하나 받아 들여서 목록을 만든다고 했죠. 그 때 이 edi는 글자가 몇번째 글자인가를 살펴 보는 데 쓰입니다. 다음에는 ebx의 하위 워드값만을 취합니다. 위에서 or로 원하는 만큼의 비트를 설정할 수 있다고 했는 데요, and로는 원하는 부분의 비트를 취할 수 있게 해 줍니다. 예를 들어 보죠. bx : 1010 1010 1010 1010 AND | 0000 0000 1111 1111 ========================= 0000 0000 1010 1010 즉 and bx, FF라는 명령으로 bx의 하위 바이트만 놓아두고 상위 바이트는 0으로 만들어 버리는 거에요. 그럼 하위 바이트 값만을 취할 수 있게 되는 거죠. 이해 되겠죠? 어차피 ebx에는 글자 '수'가 저장되어 있습니다. 글자 수가 그렇게 큰 수는 아닐 테지만, 어쨋튼 하위 워드 값만을 취했습니다. 다시 한번 글자 수가 0인지를 확인합니다. movsx byte ptr ecx, [esi+ebp] push ecx call 10068108 esi는 아까 0으로 되어있었죠. ebp는 pluskurt를 '가리키고' 있습니다. [esi+ebp]의 값은 esi가 0일 땐 p, esi가 1일 땐 l, 2일 땐 u..이런 식이 되겠죠. 이렇게 이름의 글자를 첫 글자 부터 한 글자씩 꺼내옵니다. 그건 ecx로 옮겨 지고, call 10068108에 의해서 대문자로 바뀌게 됩니다. 정확히 말하자면 대문자의 ascii코드 값이겠죠, 물론. 여기서 call 10068108이 부르고 있는 부분까지 들여다 보지는 않겠습니다. 그 부분에서 어떻게 대문자로 바꾸는 지 궁금하신 분들은 한 번 살펴 보세요. imul eax, [esp+C4] add eax, edi add esp, 4 and eax, FFFF 이제 그 대문자의 ascii코드 값을 약간 변형합니다. imul이란 명령이 나왔네요. 예상하셨겠지만 mul(multiplication), 즉 곱하기를 하는 명령입니다. 어셈블리어에서(뿐만 아니겠지만) 수는 부호 있는 수와 부호가 없는 수가 있습니다. 그러니까 곱하기도 부호 있는 수의 곱셈과 부호 없는 수의 곱셈, 두 가지 종류가 있어야 겠죠. imul은 부호 있는 수를, mul명령은 부호 없는 수를 곱할 때 각각 쓰입니다. 그리고, sice화면에서 확인할 수 있듯이 esp+C4는 49222D입니다. 여기서 처럼 imul eax, [esp+C4]라는 명령으로는 eax*49222D를 계산해서 eax에 저장합니다. 그 다음 add명령입니다. 말 그대로 덧셈을 하는 명령입니다. eax+edi값을 eax에 저장하죠. 다음에 add esp, 4같은 건, 우리로서는 별로 신경을 쓰지 않아도 되는 거에요. 스택..이라는 것과 관련 되어 있는 건데요. 그런 것 까지 여기서 얘기하지는 않겠습니다. 어셈블리어에 대한 이야기가 주제는 아니니까요. 다음 and eax, FFFF로 다시 한번 하위 워드 값만을 취합니다. cdq idiv ebx inc edi mov [esp+2*esi+18], dx movsx word ptr esi, edi cmp esi, ebx jl 첫번째_부분_시작 아직 계산이 좀 남았습니다. cdq라는 명령이 나왔습니다. 이건, 그러니까 일종의 준비 작업을 하는 명령어인데요. 아래의 idiv, 즉 나눗셈을 하기 위해서 준비를 하는 거에요. 아까 말했듯이 부호가 있느냐 없느냐에 따라 연산 방법이 달라지기 때문입니다. idiv처럼 부호 있는 수를 나눗셈하기 위해서, cdq라는 명령으로 eax레지스터를 부호 있는 수로 만들어 주는 거에요. 이건 어떻게 보면 movsx같은 명령과도 관련이 있는 건데요. 말했듯이, 지난 번에도 홈페이지를 만든 적이 있죠. 그 때에도 이 picaview를 크랙하는 데 대한 얘기를 했었는데요, 그 때에는 이런 cdq, movsx라는 것에 대해서도 얘기를 했어요. 그런데, 나중에 생각해 보니까 그런 얘기까지는 하지 않아도 될 것 같더라구요. 나중에 기회가 있으면 하기로 하구요. 우선, 나눗셈을 하기 위한 준비 작업이라고 알고 있으면 될 것 같습니다. 다음 idiv ebx명령입니다. 이 경우 edx와 eax에 있는 값을 ebx(글자 길이)로 나누어서, 그 몫을 eax에 저장하고, 나머지는 edx에 저장합니다. 다음 명령 mov [esp+2*esi+18], dx에서 볼 수 있듯이 picaview는 이 나머지를 원합니다. 이 나머지를 '목록'에 차례차례 써 넣는 게 이 명령의 역할입니다. 얼핏 복잡하게 보일 수도 있지만, esi가 어떻게 변하는 가를 살펴보면 '목록'에 차례차례 써 넣는 역할을 하고 있다는 걸 알 수 있죠. movsx word ptr esi, edi 좀 아까 inc edi로 edi값을 증가시켰습니다. 이 증가된 edi를 esi로 옮겨 저장하고 있습니다. 그리고 그 값을 ebx와 비교하죠.(cmp esi, ebx) ebx가 무슨 값을 갖고 있는 지 기억 하죠? 글자 길이였습니다. 그러니까 이 부분은 pluskurt, 글자를 모두 처리 했나를 확인 하는 거죠. jl명령(Jump if Less)으로 esi가 ebx보다 작다면, 즉 아직 모두 처리를 하지 않았다면, 다시 위의 과정을 반복하는 거에요. 여기까지가 첫번째 부분입니다. 다시 한 번 정리를 하면, 글자를 하나하나 읽어와서 대문자로 바꾸고, 그 ascii값으로 약간의 장난을 친 다음에 결과값을 '목록'에 저장하는 거죠. 예를 들어서 pluskurt의 첫번째 글자인 p가 어떤 과정을 거치는 가를 살펴 볼께요. 우선 대문자로 바뀝니다. P의 ascii코드 값은 50(별 말이 없으면 앞으로도 16진수를 말합니다)입니다. 이 값에 49222D를 곱합니다. 16DAAE10입니다. 여기에 edi, 즉 그 글자의 자리(몇 번째)를 더합니다. p는 첫번째 글자이니까 0이죠(1이 아닙니다. 0에서부터 시작합니다.) 0을 더했으니 변함없이 16DAAE10입니다. 그리고 그 값의 하위 워드만 취합니다. AE10이 되겠죠. 다음에 ebx, 즉 글자 길이로 나눕니다. pluskurt의 경우 8이니까, AE10/8입니다. 그 나머지를 '목록'에 써 넣습니다. 나머지는 0이군요. 그럼 그 다음 글자인 l을 한 번 더 살펴 보죠. L의 ascii코드 값은 4C입니다.(아하.. ascii 코드 표가 없으세요? 그러면 자료실에 가서 받으세요. 아니면 sice화면에서 ? 'L'같은 명령으로 알아낼 수도 있구요. :) 이 값에 49222D를 곱하죠. 15B6255C. 여기에 1을 더해야 겠죠. u는 pluskurt에서 '1'번째 글자니까요. 15B6255D. 다음 하위 워드 255D를 취해서 8로 나눈 나머지 5를 목록에 써 넣습니다. 다음은 u겠죠. 이런 식으로 해서, 이름의 글자를 모두 처리할 때 까지 반복합니다. 각각의 결과들은 '목록'에 차곡차곡 '순서대로' 기록됩니다. 이 '순서'는 다음에 쓰일 테니 중요합니다. 그럼 이 부분을 C 언어로 다시 한 번 써 볼께요. for (i=0; ilength; ++i){ lst[i]=(int)(((name[i]*0x49222d+i))%length); } 간단하죠? 우선 지난 글에서의 내용이랑 이어집니다. 그 때 length값을 구했었죠. 그 값을 그대로 여기에서도 쓴 거에요. 그리고 lst라는 array로 '목록'을 만들었구요. 글이 많이 짧아 졌네요. 지난 번 홈페이지를 만들 때, 이 부분에 대해 쓴 글의 크기가 20k 바이트가 넘었던 것 같은데. 요즘에는 생각하는 게 좀 귀찮네요. 자세하게 쓰지 않아서 그런가봐요. movsx나 cdq, idiv에 대한 내용도 썼던 것 같군요, 지난 번에는. 그럼 다음 글에서, 다음 부분을 계속해서 살펴 보겠습니다. Page 2 9. Eight Days A Week 9. Eight Days A week 재미있는 글입니다. protectionist는 멍청하고 게으른 사람들이라는 +ORC의 말이 다시 한 번 증명되는 글입니다. 네 개의 프로그램을 하나의 크랙 방법으로 단번에 크랙하는 방법을 말하고 있는 글입니다. 주된 크랙 방법은 별로 어렵지 않습니다. 조건 분기를 바꾸는 고전적인 방법이죠. 하지만, 아직 hwnd나 task, bmsg같은 게 무슨 말인 지, 또 BPR같은 새로운(?) 중단점을 설정하는 명령어에 익숙치 않은 초보분들에게는 약간 이해가 안 되는 부분이 있을 수도 있어요. +ORC의 강좌에서 나온 방법이죠. 하지만 그런 건 우선 무시하고 읽어가도 괜찮을 것 같네요.(sice화면에서 task나 hwnd [+task name]같은 명령을 내려 보는 것만으로도 그런 게 뭐 하는 것들인지 대충 감을 잡을 수 있을 거에요.) 아니면 직접 +ORC의 글을 찾아 보시면, 왜 그렇게 하는 지 알 수 있을 겁니다. 또 여기서 보이는 코드들을 보고, 제가 picaview에 대한 글에서 말한 것들을 참고하면, 여러분이 직접 keygen을 만들 수도 있을 만큼 별로 어려운 것들이 아니에요.(하지만 keygen같은 건 만들려는 사람이 별로 없죠. :) 이 글에서 얘기된 것 처럼, 크랙하는 데에는 그 프로그램의 '역사'와 '제조 회사'가 중요한 요소가 되죠. 가령, 제가 계속해서 민기적 거리면서 글을 쓰고 있는 picaview만 해도 그렇죠. 같은 회사 제품인 ACDSee역시 같은 protection방법을 쓰고 있기 때문에, picaview를 살펴 보고 만든 keygen으로 얻은 등록번호로 ACDSee를 등록할 수도 있는 거죠. 그런데, 요즘에 새로 나온 ACDSee(ver 2.4)는 다른 방법으로 등록번호를 만들고 있더군요. 원래 새로운 버전을 찾아 다니면서 다운 받지는 않는데, 말했듯이 제가 하드를 얼마 전에 깨끗하게 비웠기 때문에 한 번 받아 봤죠. 제가 만든 keygen(picaview를 살펴서 만든)으로 등록하려고 했더니 안 되더군요. 하긴, ACDSystem에서도 등록번호 만드는 과정을 바꿀 때도 됐죠. 너무나 많은 크랙커들이 많은 방법으로 ACDSee나 picaview같은 걸 크랙했으니까요. 제 경우만 해도 크랙 시작한 지 얼마 안되서 읽은 글이 ED!SON이 쓴 강좌였습니다. 왕초보를 위한 글이었는데, 아주 쉽게 설명해 놓은 글이었어요. ACDSee를 예로 들어서 말이죠. (다음에 ACDSee의 새로운 버전(2.4)을 크랙하는 글도 올리겠습니다. 아직, 구찮아서.. 크랙하지 않았거든요. : ) ------------------------------------------------------------------------------- 게으른 소프트웨어 회사를 파헤치다! Part 1 _by Plushmm [PC'97]_ 97년 8월 8일 상업적인 프로그래머들은 정말 슬픈 존재들이다... 돈을 벌기 위해서, 진정 하고 싶은 일들을 못하고, 그들의 프로그래밍 솜씨도 잃어가고 있기 때문이다.(물론, 그들이 솜씨가 있다면 말이다 :-) 더구나 빡빡한 스케줄 때문에 만들고 싶지도 않은 프로그래밍을 하느라 시간을 보내고 있으니 말이다. 난 여기서 '쉐어웨어' 프로그래머들 만을 얘기하고 있는 게 아니다. 앞으로 내가 쓸 글 들에서, ULEAD같은 큰 회사나 심지어 Micro$oft같은 회사의 protection이 얼마나 멍청하고 쓸모 없는 것들인지를 보여 줄 것이다. 그 회사의 프로그램 중에서 어떤 것이든 하나만 크랙을 하면, 나머지 것들에 대한 크랙은 이미 끝난 것이다. 이런 사람들의 나태함을 어떻게 써 먹을 수 있는 지 증명할 것이다. 한 회사가 만든 많은 프로그램 중에서 단 하나만 크랙함으로 해서 나머지 모두를 크랙할 수 있다는 말이다. 기본적으로 할 일은 다음과 같다. 1) 원하는 프로그램을 만든 회사의 사이트를 찾아 간다. 2) 그것을 다운 받아서.. 크랙한다.. 아마, 크랙하는 데 걸리는 시간은 5분 쯤 될 것이다... 어쩌면 3시간이 걸릴 수도 있을 것이다.. *당신이 크랙하는 방법을 배우는 중이라면 시간은 문제되는 게 아닐 것이다...* 3) 크랙에 성공했다면, 그 회사에서 만든 다른 모든 제품도 크랙할 수 있다. 왜냐.. 그들은 게으른 사람들이니까. 자... 잔소리 그만하고 첫번째 프로그램을 크랙해 보죠... Basta Computing, LLC http://www.basta.com 이 회사는 정말 프로그램을 많이도 내 놓았죠. 그 중에서 좀 알려진 것으로 Filo, Winsock, ExIcon이 있습니다. 우선 _Filo v1.7_을 시작해 보죠. 시작하면 프로그램을 얼마나 더 사용할 수 있는 지 따위를 알려주는 상자가 뜹니다. REGISTER를 선택하면 '숫자'를 써 넣을 빈 칸이 두 개 나옵니다. 아무 숫자나 써 넣고 register를 선택합니다. 자.. 그러면 '잘못 된' 숫자를 썼다고 나오죠. Disassemle해서 소스 파일을 살펴 보면, 성공적으로 등록되었다고 말 해 주는 부분은 어디에서도 찾을 수가 없다는 걸 알 수 있습니다. 또 소스 파일을 더 살펴 보면 알 수 있듯이, 수많은 Call과 Jump들로 복잡하게 얽혀있다는 것도 알 수 있죠. 음... 그렇다면 SoftIce를 시작해야죠. 등록 상자로 가서 등록 번호로 12121212 34343434를 써 넣고 SoftIce를 시작합니다. _task_ 음.. task name은 Filo군요 _hwnd_ Filo 편집 상자(빈 칸, edit box)의 handle을 구해서 _bmsg_를 이용해서 거기에 wm_gettext 중단점을 설정합니다. ;+ORC가 제안한 방법이죠. :) 프로그램으로 돌아와서 OK버튼을 누릅니다. SoftIce가 뜨죠. F5를 몇 번 누릅니다.... 이렇게 해서 프로그램이 Edit Box(빈 칸)에 있는 모든 내용을 읽어 오도록 하는 거죠. 그 다음에는 _s 30:0 lffffffff "12121212" _명령으로 등록번호가 어디에 저장되어 있는 지 찾는 거에요. _BPR_로 그 곳에 중단점을 설정합니다. 다시 프로그램을 실행하게 합니다. 그러면 Softice가 다시 중단점에서 멈추죠. 잘 보면, 프로그램이, 당신이 입력한 등록번호를 묶어서 "1212121234343434"라고 만들었다는 걸 알 수 있을 겁니다. 이 부분에 _BPR_명령으로 중단점을 설정하고 다시 프로그램을 실행하게 합니다. 그러면 등록번호를 비교하는 부분의 어딘가에서 softice가 멈출 것입니다. 이제 아래를 잘 보세요. * Referenced by a Jump at Address:00407901(C) | :004078E9 8A0431 mov al, byte ptr [ecx + esi] :004078EC 3C30 cmp al, 30 ;"0" :004078EE 0F8CC4000000 jl 004079B8 ;숫자가 아니군 :004078F4 3C39 cmp al, 39 ;"9" :004078F6 0F8FBC000000 jg 004079B8 ;숫자가 아니군 :004078FC 8BC1 mov eax, ecx :004078FE 49 dec ecx :004078FF 85C0 test eax, eax :00407901 75E6 jne 004078E9 :00407903 0FBE5E0F movsx ebx, byte ptr [esi+0F] :00407907 83EB30 sub ebx, 00000030 :0040790A 8D4301 lea eax, dword ptr [ebx+01] :0040790D 83F80F cmp eax, 0000000F :00407910 7C03 jl 00407915 :00407912 83E80F sub eax, 0000000F * Referenced by a Jump at Address:00407910(C) | :00407915 40 inc eax :00407916 83F80F cmp eax, 0000000F :00407919 7C03 jl 0040791E :0040791B 83E80F sub eax, 0000000F * Referenced by a Jump at Address:00407919(C) | :0040791E 8BC8 mov ecx, eax :00407920 83C003 add eax, 00000003 :00407923 83F80F cmp eax, 0000000F :00407926 7C03 jl 0040792B :00407928 83E80F sub eax, 0000000F * Referenced by a Jump at Address:00407926(C) :0040792B 0FBE3C31 movsx edi, byte ptr [ecx + esi] :0040792F 8BC8 mov ecx, eax :00407931 83C003 add eax, 00000003 :00407934 83EF30 sub edi, 00000030 :00407937 83F80F cmp eax, 0000000F :0040793A 7C03 jl 0040793F :0040793C 83E80F sub eax, 0000000F * Referenced by a Jump at Address:0040793A(C) | :0040793F 8BD0 mov edx, eax :00407941 83C003 add eax, 00000003 :00407944 83F80F cmp eax, 0000000F :00407947 7C03 jl 0040794C :00407949 83E80F sub eax, 0000000F * Referenced by a Jump at Address:00407947(C) | :0040794C 0FBE0C31 movsx ecx, byte ptr [ecx + esi] ;여러분이 만약에 :00407950 0FBE1432 movsx edx, byte ptr [edx + esi] ;이런 코드를 본다면 :00407954 8D0C89 lea ecx, dword ptr [ecx + 4*ecx];반드시 :00407957 8D0C4A lea ecx, dword ptr [edx + 2*ecx];의심을 해 봐야 합니다. :0040795A 0FBE1430 movsx edx, byte ptr [eax + esi] ;이런 코드는 :0040795E 8D0C89 lea ecx, dword ptr [ecx + 4*ecx];등록번호를 만드는 데 :00407961 8D844A30EBFFFF lea eax, dword ptr [edx + 2*ecx - 000014D0];쓰이니까요 :00407968 83F803 cmp eax, 00000003 ;이 코드가 끝난 다음에는 ;eax는 3일 겁니다. :0040796B 754B jne 004079B8 ;나쁜 분기 :0040796D 33C0 xor eax, eax :0040796F B90F000000 mov ecx, 0000000F * Referenced by a Jump at Address:00407982(C) | :00407974 0FBE1431 movsx edx, byte ptr [ecx + esi] ;약간의 계산을 더 한 다음 :00407978 0FAFD1 imul edx, ecx :0040797B 03C2 add eax, edx :0040797D 8BD1 mov edx, ecx :0040797F 49 dec ecx :00407980 85D2 test edx, edx :00407982 75F0 jne 00407974 :00407984 8D4B0E lea ecx, dword ptr [ebx+0E] :00407987 83F90F cmp ecx, 0000000F :0040798A 7C03 jl 0040798F :0040798C 83E90F sub ecx, 0000000F * Referenced by a Jump at Address:0040798A(C) | :0040798F 0FBE1431 movsx edx, byte ptr [ecx + esi] :00407993 0FAFD1 imul edx, ecx :00407996 2BC2 sub eax, edx :00407998 49 dec ecx :00407999 7903 jns 0040799E :0040799B 83C10F add ecx, 0000000F * Referenced by a Jump at Address:00407999(C) | :0040799E 8A1C31 mov bl, byte ptr [ecx + esi] ;제가 썼던 글에서 :004079A1 0FBED3 movsx edx, bl ;말한 것과 비슷한 :004079A4 0FAFCA imul ecx, edx ;"요술" 코드가 :004079A7 2BC1 sub eax, ecx ;실행되고 난 다음에 :004079A9 B90A000000 mov ecx, 0000000A :004079AE 99 cdq :004079AF F7F9 idiv ecx :004079B1 80C230 add dl, 30 :004079B4 3AD3 cmp dl, bl ;두번째로 비교합니다 :004079B6 7406 je 004079BE ;좋은 분기 * Referenced by a Jump at Addresses:004078C9(C), :004078DE(C), :004078EE(C), :004078F6(C), :0040796B(C) | :004079B8 33C0 xor eax, eax :004079BA 5F pop edi :004079BB 5E pop esi :004079BC 5B pop ebx :004079BD C3 ret 위에 나온 코드를 잘 살펴 보면, 여러분이 직접 keygenerator를 만들 수도 있을 겁니다. 이 글은 keygen에 대한 글이 아니기 때문에 그냥 패치만 하기로 하죠. :0040796B 754B jne 004079B8 ;나쁜 분기 를 4840 으로 바꾸어서 분기하지 않게 합니다. :004079B6 7406 je 004079BE ;좋은 분기 를 EB06 으로 바꾸어서 언제나 분기하도록 합니다. 자.. 이것으로 _Filo v1.7_의 크랙은 끝났습니다. 이번엔 _WhoSock v1.91_를 살펴 보죠. ... ...Filo에서와 같은 코드가 주욱 나온 다음... ... * Referenced by a Jump at Address:00406737(C) | :0040673C 0FBE0C31 movsx ecx, byte ptr [ecx+esi] :00406740 0FBE1432 movsx edx, byte ptr [edx+esi] :00406744 8D0C89 lea ecx, dword ptr [ecx+4*ecx] :00406747 8D0C4A lea ecx, dword ptr [edx+2*ecx] :0040674A 0FBE1430 movsx edx, byte ptr [eax+esi] :0040674E 8D0C89 lea ecx, dword ptr [ecx+4*ecx] :00406751 8D844A30EBFFFF lea eax, dword ptr [edx+2*ecx-000014D0] :00406758 83F809 cmp eax, 00000009 ;비교되는 값이 약간 다르죠! :0040675B 754B jne 004067A8 ;똑같은 곳으로 분기하는 군요! :0040675D 33C0 xor eax, eax :0040675F B90F000000 mov ecx, 0000000F * Referenced by a Jump at Address:00406772(C) | :00406764 0FBE1431 movsx edx, byte ptr [ecx+esi] :00406768 0FAFD1 imul edx, ecx :0040676B 03C2 add eax, edx :0040676D 8BD1 mov edx, ecx :0040676F 49 dec ecx :00406770 85D2 test edx, edx :00406772 75F0 jne 00406764 :00406774 8D4B0E lea ecx, dword ptr [ebx+0E] :00406777 83F90F cmp ecx, 0000000F :0040677A 7C03 jl 0040677F :0040677C 83E90F sub ecx, 0000000F * Referenced by a Jump at Address:0040677A(C) | :0040677F 0FBE1431 movsx edx, byte ptr [ecx+esi] :00406783 0FAFD1 imul edx, ecx :00406786 2BC2 sub eax, edx :00406788 49 dec ecx :00406789 7903 jns 0040678E :0040678B 83C10F add ecx, 0000000F * Referenced by a Jump at Address:00406789(C) | :0040678E 8A1C31 mov bl, byte ptr [ecx+esi] :00406791 0FBED3 movsx edx, bl :00406794 0FAFCA imul ecx, edx :00406797 2BC1 sub eax, ecx :00406799 B90A000000 mov ecx, 0000000A :0040679E 99 cdq :0040679F F7F9 idiv ecx :004067A1 80C230 add dl, 30 :004067A4 3AD3 cmp dl, bl ;역시 두번째 비교 :004067A6 7406 je 004067AE ;똑같은 곳으로 분기!!! 이런이런.. 이번엔 _ExIcon v1.9a_를 보죠.. ... ...Filo와 똑같은 코드들... ... * Referenced by a Jump at Address:0040AC77(C) | :0040AC7C 0FBE0C31 movsx ecx, byte ptr [ecx+esi] :0040AC80 0FBE1432 movsx edx, byte ptr [edx+esi] :0040AC84 0FBE0430 movsx eax, byte ptr [eax+esi] :0040AC88 8D0C89 lea ecx, dword ptr [ecx+4*ecx] :0040AC8B 8D0C4A lea ecx, dword ptr [edx+2*ecx] :0040AC8E 8D1489 lea edx, dword ptr [ecx+4*ecx] :0040AC91 8D8C5030EBFFFF lea ecx, dword ptr [eax+2*edx-000014D0] :0040AC98 83F902 cmp ecx, 00000002 ;비교되는 값이 약간 다를 뿐! :0040AC9B 754B jne 0040ACE8 ;똑같은 곳으로 분기!! :0040AC9D 33C0 xor eax, eax :0040AC9F B90F000000 mov ecx, 0000000F * Referenced by a Jump at Address:0040ACB2(C) | :0040ACA4 0FBE1431 movsx edx, byte ptr [ecx+esi] :0040ACA8 0FAFD1 imul edx, ecx :0040ACAB 03C2 add eax, edx :0040ACAD 8BD1 mov edx, ecx :0040ACAF 49 dec ecx :0040ACB0 85D2 test edx, edx :0040ACB2 75F0 jne 0040ACA4 :0040ACB4 8D4B0E lea ecx, dword ptr [ebx+0E] :0040ACB7 83F90F cmp ecx, 0000000F :0040ACBA 7C03 jl 0040ACBF :0040ACBC 83E90F sub ecx, 0000000F * Referenced by a Jump at Address:0040ACBA(C) | :0040ACBF 0FBE1431 movsx edx, byte ptr [ecx+esi] :0040ACC3 0FAFD1 imul edx, ecx :0040ACC6 2BC2 sub eax, edx :0040ACC8 49 dec ecx :0040ACC9 7903 jns 0040ACCE :0040ACCB 83C10F add ecx, 0000000F * Referenced by a Jump at Address:0040ACC9(C) | :0040ACCE 8A1C31 mov bl, byte ptr [ecx+esi] :0040ACD1 0FBED3 movsx edx, bl :0040ACD4 0FAFCA imul ecx, edx :0040ACD7 2BC1 sub eax, ecx :0040ACD9 B90A000000 mov ecx, 0000000A :0040ACDE 99 cdq :0040ACDF F7F9 idiv ecx :0040ACE1 80C230 add dl, 30 :0040ACE4 3AD3 cmp dl, bl ;똑같은 비교!! :0040ACE6 7406 je 0040ACEE ;똑같은 분기!! _Horas v2.1_역시 같은 얘기죠. 자.. 이만하면 제가 하려는 말을 한 것 같군요. 다른 프로그램들도 같은 방법을 사용했는 지는 귀찮아서 확인해 보지 않았습니다. 하지만, 그 회사 제품 중 4개가 같은 방법을 사용했다면 나머지(정확히 얘기해서 8개가 더 있습니다)는 보나마나 같은 protection방법을 썼겠죠. 어쨌튼, 그 회사 제품 모두를 크랙할 수 있는 패치를 아래와 같이 만들었습니다... 잘 쓰세요! Plushmm [PC'97] done := False; location := $FF; {Skip the initial codes} Repeat if thefile(location) = $75 and thefile(location+1) = $4B then if thefile(location+$4B) = $74 and thefile(location+4C) = $06 then begin Patch_File done := True; end; location := location+1; Until done or limit_reached; (c) Plushmm 1997. All rights reserved ------------------------------------------------------------------------------- 글을 옮길 때, 처음에는 반말로 옮기다가, 나중에 존대 말로 바뀌어 버렸네요. 역시 저한텐 존대말이 편한 가 봅니다. 가끔 동생 친구들을 만날 때도, 반말이 쉽게 나오질 않아요. 하여튼 여러 모로 이상한 놈이란 생각이 드는 군요, 나란 놈은. : ) Page 2 10. Year Of The Boomerang 10. Year Of The Boomerang 이 글을 옮기면서 생각난 것인데요. picaview를 크랙하는 제 글을 읽어 보신 분들에게 말씀드립니다. 여기서도 그랬지만, 그 picaview에서도 sice화면에서 '제대로 된' 등록번호를 알아 낼 수 있었죠. 그렇게 해서 얻어낸 등록번호로 시험삼아서 등록하신 분들은, 나머지 글을 읽고 같이 크랙을 해 보려면, 등록을 취소해야 겠죠. 그런데 그 방법을 모르는 분도 있을 것 같아서 얘기합니다. 원래 이 얘기를 했었어야 했는 데, 깜박 했네요. 아무튼, 여기에서 설명 된 방법과 같이 레지스트리를 건드리면 됩니다. 작업 표시줄의 '시작'을 누르고 '실행'을 선택합니다. 명령어를 입력하는 곳에 regedit라고 쓰고 엔터를 누르면 레지스트리 편집기가 나옵니다. 왼쪽에 보이는 것들 중에서 HKEY_LOCAL_MACHINE이라는 것을 열어서, 다시 ACDSystems를 열고, 그 다음, PicaView, 그리고 License키가 있습니다. 뭐.. picaview를 통째로 없애도 되구요, 아니면 License키만 없애줘도 됩니다. 이 레지스트리도 크랙할 때 가끔 쓰입니다.(또 ini파일도 쓰입니다. 오래된 winzip버전의 아주 간단한 크랙방법에도 쓰였었던 방법입니다. +ORC의 강좌에 나왔었죠. 또 WritePrivateProfileString이라는 함수도 잘 살펴보면 재미있는 함수라고 했었죠.) 그리고, 이 글도 아주 재미있는 방법을 소개한 글입니다. 과연 나같은 놈도 이런 생각을 해 낼 수 있을까..하는 생각이 들더군요. 이 글에서의 keygen은 전혀 '새로운' 개념입니다요. 또 지금까지의 글과 마찬가지로, 내용도 어렵지 않습니다. 전부 이해할 수 있을 거에요. ------------------------------------------------------------------------------- AddLink의 KeyGenerator만들기 _-귀찮은 글상자를 keygen으로 바꾸자!-_ Written by Jon 안녕하세요. 오늘 난 몇 개의 작은 프로그램들을 크랙했다. 모두가 쉐어웨어 프로그래머인 Firas El-Hasan이 만든 것들이다. 그가 만든 프로그램들은 모두 꽤 쓸모있는 Window$용 유틸리티이다. 하지만, 안타깝게도 그 프로그램 모두가 시작할 때, *귀찮은* 상자가 뜬다. 그런 프로그램을 만드는 데에는 불과 몇 시간 밖에 걸리지 않았을 것을 생각하면 정말 짜증 나는 일이 아닐 수 없다. 그 프로그램들은 다음과 같다. SysDate - 시스템에 상주하여 몇월 몇일인지 보여주는 프로그램이다. StartClean - 삭제된 파일과 연결된 단축 아이콘을 지운다. SysLaunch - 몇몇 자주 쓰는 프로그램을 빠르게 시작하게 해 주는, '시작' 메뉴의 lite 버전이다. QuickDesk - ALT+TAB키 나 작업 표시줄에 클릭을 하면 모든 창을 아이콘 표시로 만들어 준다. HotCorners - 바탕화면의 한 쪽 구석에 마우스 포인터를 가져다 놓으면 화면 보호기가 실행되도록 해 준다.(호오..쓸만한군) DirectNet - 인터넷 서비스 업체(ISP)로 전화를 걸어서, 원하는 인터넷 프로그램을 시작하게 해 준다.(쓸모 있나?) AddLink - 오른쪽 버튼으로 프로그램을 클릭하면 시작 메뉴에 추가시켜 준다. 그리고, DOS-Explore와 DialMSN (MSN? 우우우웩!!!)이 있다. 하지만 그것들은 freeware이기 때문에, 크랙할 필요가 없다. :-) 두 가지 방법으로 크랙을 하려고 한다. 1. SoftIce를 이용하는 방법인 "Hear the echo". 2. SoftIce/HIEW를 이용해서 프로그램을 key-gen으로 만든다. 위의 프로그램들 중 가장 쓸모있는 AddLink를 사용해서 예를 들어 설명할 것이다. 사실, StartClean이 제일 괜찮은 프로그램이다. 하지만 Qapla라는 사람이 이미 그 프로그램을 크랙하는 방법에 대한 강좌를 썼다.(꽤 좋은 글이다) 다른 프로그램에도 쉽게 적용할 수 있는 방법을 예로 들어서 설명하겠다. 또, 다른 프로그램에 적용할 때 다른 점이 있다면, 그것에 대해서도 설명을 하겠다. _필요한 도구:_ SoftIce 3.22 for Win95/NT(아무 버전이라도 상관 없다) HIEW 5.66(또는 당신이 쓰고 있는 hex editor 아무 것이나) _URL/FTP_ 위의 프로그램들을 제작자의 홈페이지에서 다운받을 수 있다. http://users.aol.com/felhasan/ _History_ 나도 모른다(나도 그냥 어쩌다가 알게 된 것들이라서)... 궁금한 사람은, 제작자의 홈페이지에 가보면 될 것이다. 자 그럼 시작해 보자 AddLink(아니면, 위의 프로그램들 중에서 크랙하고 싶은 것 아무거나)를 인스톨하자. 아무 파일에던지 오른쪽 버튼을 클릭하고 Send To--> Start 메뉴를 선택해서 AddLink를 시작한다. 프로그램을 사용하는 데 '돈'을 내야 한다는 걸 알려 주는, 그 *귀찮은* 상자가 뜰 것이다. SoftIce를 시작하고(_Ctrl+D_) _BPX Lstrcmp_ 그리고 F5를 눌러서 SoftIce를 빠져 나온다.. Register 메뉴를 선택한다.. 이름을 써 넣는다. (나는 _-=[JON!]=-_이라고 썼다) 그 다음 등록번호를 써 넣는다. _1212121212_ (Copyright +ORC) 엔터 키를 누른다.. 그러면 SoftIce가 _Lstrcmp_에서 멈출 것이다. _BC *_를 입력해서 중단점을 지운다. 그 다음 _F11_을 눌러서 불려진 곳으로 돌아간다. 약간 화면을 위로 올려보면 다음과 같은 코드를 볼 수 있을 것이다. _ CALL 00401BB0 ;제대로 된 등록번호를 만든다. LEA EAX,[ESP+18] ;우리가 써 넣은 등록번호를 EAX에 저장한다. ADD ESP,08 PUSH EAX ;우리가 써 넣은 등록번호를 PUSH. PUSH 004051C8 ;제대로 된 등록번호를 PUSH. CALL [Kernel32!lstrcmp] ;글자를 서로 비교한다. TEST EAX,EAX ;등록 되었나? JNZ 00401BA5 ;안 되었다면, 글상자 띄워! _ 자 이제 진짜 등록번호를 얻어 내기 위해서, 우리가 써 넣은 등록번호를 PUSH했던 부분에 중단점을 설정한다. 이렇게 하려면 그냥 그 곳에 더블 클릭하기만 하면 된다.(만약에 마우스를 쓰지 못하는 상황이라면, BPX XXXX:YYYYYYYY로 중단점을 설정한다. XXXX:YYYYYYYY는 메모리 주소이다.) 자, 이제 SoftIce를 빠져 나와서 다시 한번 이름과 등록번호를 써 넣자. Ok버튼을 누르면 다시 한번 SoftIce화면이 나타날 것이다. _BD *_명령으로 잠깐 동안 중단점을 해제 한다(잠시 후에 다시 쓰일 것이다). 그리고 _D 004051C8_명령을 내린다. 그러면 _-=[JON!]=-_에 대한 제대로 된 등록번호는 _14621-136061-2316-6752_라는 것을 알 수 있을 것이다. 여기서 그만 둘 것인가? key-gen 안 만들건가? 다시 keygen을 만드는 과정을 하려면, 등록을 취소해야 할 것이다. 레지스트리 키(_HKEY_CURRENT_USER\SOFTWARE\ADDLINK_)를 삭제해서 등록을 취소할 수 있다. 자 이제 등록이 취소 되었다. 다시 프로그램을 시작해서, SoftIce로 들어간다. 그리고 _BE *_명령으로 중단점을 다시 설정한다. 또 아무 이름과 등록번호를 써 넣고, Ok를 누른다. 제대로 된 등록번호가 PUSH되는 곳에서, SoftIce화면이 다시 뜰 것이다. 이제 중단점을 모두 지워 버린다. _BC *_ 이제, PUSH함수의 16진수 기계어 코드를 받아 적어보자:_ 68C8514000 _ 68C8514000 PUSH 004051C8 ;진짜 등록번호를 PUSH 다음과 같은 코드가 나올 때까지, F10을 계속 누른다. _ PUSH 00 PUSH 00 PUSH 004051B4 ;"Incorrect code!"라는 글을 PUSH PUSH ESI CALL [USER32!MessageBoxA] ;귀찮은 글 상자를 띄움 MOV EAX,00000001 ;EAX를 1로 설정(등록되지 않음) _ 이제 _E XXXX:YYYYYYYY_이라고 명령한다. XXXX:YYYYYYYY는 _PUSH 004051B4_가 있는 곳의 주소이다. 이제 아까 적어 두었던 16진수 코드(_68c851400_)를 써 넣는다. _F5_를 눌러서 SoftIce를 빠져 나온다. 그럼 뭐가 보이는가? 입력한 이름에 대한 제대로 된 등록번호가 써있는 *귀찮은* 글상자가 있다!!!_ 굉장하지 않은가?_ 크랙을 하기 위해서: _ HIEW ADDLINK.EXE _ F7_로 : 6A006A0068B451400056_ ^^ 를 찾아서 _ 6A006A0068C851400056_로 바꾼다. _ 저장(_F9_)한 다음 빠져 나오면(_F10_), key-generator를 다 만든 것이다! 6A006A0068B451400056 ;잘못된 등록번호를 push하는 코드가 6A006A0068C851400056 ;진짜 등록번호를 push하는 코드로 바뀐 것이다 이 방법은 앞에서 열거한 모든 프로그램에 (약간의 수정이 필요하겠지만) 적용될 수 있다. 다만, QuickDesk와 SysLaunch에는 적용할 수 없다. 이것은, 제대로 된 등록번호가 메모리에 저장되는 곳이 *글 상자*가 나오기 전에 다른 데이터로 덮여 쓰여 지기 때문이다. :-( 하지만 위의 방법을 응용하면 제대로 된 등록번호를 낚을 수 있을 것이다. 우리가 지금 까지 배운 것들. 1. Lstrcmp가 코드를 비교하는 데 쓰인다면, 제대로 된 코드를 찾는 것은 식은 죽먹기이다. 이미 계산되어진 결과 값을 비교하기 때문이다. 2. "등록번호가 틀렸어"따위의 귀찮은 글 상자가 나타나기 전에 진짜 등록번호를 지워 놓지 않으면, 대부분의 경우에 우리는, 우리의 '적'을 key-gen으로 만들 수 있다. 3. 쉐어웨어 프로그래머들은 프로그램이 하나 이상이라면, 각각 서로 다른 protection scheme을 만들어야 할 것이다. 4. SoftIce는 역시 가장 좋은 debugger이다! 5. 크랙이 세상을 지배할 것이다! 아래 분들에게 고맙다는 말을 전합니다. +ORC, The +HCU, Fravia+, +Gthorne, 모든 (+)크랙커들과 훌륭한 크랙 그룹들, spam메일을 뿌려대는 놈들을 처치한 모든 분, 그리고 이 글을 읽고 있는 당신에게! 그럼 좋은 하루 되세요! :-) By Jon, 1998년 2월 9일 추신: 이 조잡한 글에 대해서 의견(칭찬이건 비판이건)이 있으신 분들은 저에게 즉시 연락해 주세요. jon101514(at)cyberjunkie(point)com ------------------------------------------------------------------------------- Page 2 11. Dumb 11. Dumb 안녕하세요. 드디어 picaview에 대한 마지막 글을 쓰게 되네요. 이 번 글은 좀 늦어졌죠. 괜히 바쁜 척 하느라고.. : ) 오늘은 전라도에 있는 목포에 다녀올 일이 있어서, 거기를 다녀왔어요. 기차로도 다섯 시간이나 걸리더군요. 휴우.. 왔다갔다 하는 데만 10시간이 걸렸으니.. 서울에서 출발할 때는 비가 오지 않았는데, 거기에는 비가 오더군요. 길을 잘못 찾아서 비까지 맞으면서 고생 좀 했죠. 하긴 모.. 그런 것 쯤은 고생도 아니겠죠. 저 같은 놈이 고생이 뭔지 알겠습니까. 아무튼, 지난 번 글에서 등록번호 만드는 과정의 첫 번째 부분을 살펴 보았습니다. 이름을 한 글자씩 불러 들여서 대문자로 바꾼 다음에 약간의 계산을 거쳐서 '목록'을 만들어 놓았었죠. 이 번에 살펴볼 두번째 과정에서는 그 '목록'을 이용합니다. 이 두번째 과정은 첫 번째 과정보다는 약간 복잡하지만, 그래도 어렵지는 않을 거에요. 저 같은 놈도 이해했으니까요. : ) 그럼 지난 번에 살펴 봤던 코드의 바로 다음에 나오는 코드를 살펴보죠. :100104F2 33FF xor edi, edi ;edi를 0으로 :100104F4 3BDF cmp ebx, edi ;글자수(ebx)와 0을 비교 :100104F6 897C2414 mov [esp + 14], edi ;[esp+14] 0인지 확인 이 부분은 말그대로, 별 볼일 없는 부분입니다. 이름을 써 넣었나, 다시 한 번 확인하고 있습니다. edi를 0으로 만들었다는 것과 [esp+14]를 0으로 초기화 시켰다는 걸 봐 두어야 합니다. :등록번호_만들기_두번째_과정 :100104FC 33F6 xor esi, esi ;esi를 0으로 :100104FE 668B747C18 mov si, [esp + 2*edi + 18] ;'목록'에서 '값'을 하나 :10010503 0FBE142E movsx byte ptr edx, [esi + ebp] ;꺼내서, '값'번째 글자 읽음 :10010507 52 push edx ;그 글자를 :10010508 E8FB7B0500 call 10068108 ;대문자로 바꾼다 :1001050D 8BD0 mov edx, eax :1001050F 8BCE mov ecx, esi ;목록에서 꺼내온 '값'->ecx :10010511 D3E2 shl edx, cl ;이름 글자의 비트 옮김->edx :10010513 83C404 add esp, 00000004 :10010516 47 inc edi ;edi 증가 :10010517 8B742410 mov esi, [esp + 10] ;pre_code를 esi에 저장 :1001051B 0FAFD7 imul edx, edi ;edx=edx*edi :1001051E 0FAF9424C0000000 imul edx, [esp + 000000C0] ;edx=edx*49222D :10010526 0BD0 or edx, eax ;edx|eax :10010528 8B442414 mov eax, [esp + 14] ;eax 그냥 제가 붙여 놓은 간단한 설명만 보고도 이해가 가세요? 그런 분들도 계시겠죠. 자세히 살펴 보겠습니다. xor esi, esi mov si, [esp+2*edi+18] movsx byte ptr edx, [esi+ebp] 우선 esi를 0으로 초기화 한 다음, '목록' 값을 읽어 들여서 si에 저장합니다. 위의 코드를 잘 보면 알겠지만, edi는 이 부분이 한 번 반복 될 때마다 증가(inc edi)합니다. 그러니까 '목록'의 값을 첫 번째 부터 차례로 읽어 올 수 있겠죠. 이 방법은 지난 번에 '목록'을 만들 때도 사용한 방법이죠. 그렇게 읽어 온 '목록' 값은 si에 저장되고 이 것은 다시 [esi+ebp]에서 볼 수 있듯이 이름의 글자를 불러 오는 데 사용됩니다. ebp는 이름의 첫 번째 글자를 '가리키고' 있습니다. 즉, movsx byte ptr edx, [esi+ebp]는 이름 중 '목록 값' 번째 글자를 불러 오는 명령입니다. 무슨 말인지 이해가 되세요? 메모리의 어디엔가 pluskurt라는 이름이 저장되어 있을 테고, 그 곳이 어디인지 '가리키고(pointing)' 있는 게 ebp에요. 즉, pluskurt가 시작 되는 곳, p를 가리키고 있겠죠. 그럼 0+ebp는 곧, p가 될 것이고, 1+ebp는 l, 2+ebp는 u..이런 식이 되겠죠. esi를 하나씩 증가 시켜서 이름을 한 글자씩 불러 올 수 있는 거란 말이죠. 그런데 이 picaview는 이름을 처음 부터 하나하나씩 불러 오는 게 아니라, '목록 값(esi)' 번째 글자를 불러 온다는 거에요. 가령 목록의 첫번째에 저장된 값은 0이었구요, 두번째에는 5였다는 건 지난 번 come as you are에서 예를 들면서 알아 봤죠. 그러니까 처음엔 0+ebp, 즉 p를 불러 올 것이고, 이 부분이 다시 한 번 실행 될 때에는 5+ebp 즉 u를 불러 오겠죠. push edx call 대문자로_고치기 mov edx, eax 그렇게 이름 중 '목록 값' 번째 글자를 불러 와서는, 대문자로 바꿉니다. call 10068108은 전에도 몇 번 나온 call이죠? 그렇게 대문자로 바뀐 값은 다시, edx에 옮겨 집니다. mov ecx, esi shl edx, cl 다음엔 '목록 값' esi를 ecx에 옮깁니다. 그리고 shl 명령이 나왔습니다. shl(SHift Left)명령은 비트값을 왼쪽으로 얼마만큼 이동시키는 명령입니다. 예를 들어서 ax에 0000 1111 0101 1010이라는 값이 있고 shl ax, 3이라는 명령을 하면 ax 0000 1111 0101 1010 | shl ax, 03 | ax 0111 1010 1101 0000 이렇게 ax의 값이 왼쪽으로 3비트 씩 옮겨 가게 된다는 거죠. 이렇게 왼쪽으로 3비트가 옮겨갔다면 이 것은 ax에다 2의 3제곱을 곱한 결과와 마찬가지가 되죠. 그래서 이 shl명령을 산술이동(arithmetic shift)라고도 한답니다. 그러니까 picaview의 경우에는 대문자로 바뀌어진 이름(물론 ascii코드 값을 갖습니다)에다가 2의 '목록 값' 제곱을 곱한 것이 되겠죠. add esp, 4 inc edi mov esi, [esp+10] edi를 증가 시켜서 다음에, 다음 '목록 값'을 불러 올 준비를 합니다. 또 esp+10은 좀 있다가 다시 나오는 데, 지금 우리가 살펴 보고 있는 이 과정의 '결과(pre_code라고 편의상 제가 이름을 붙였습니다)'를 저장해 놓는 곳입니다. 아까 0으로 초기화 되었었죠. imul edx, edi imul edx, [esp+c0] 곱셈이 나왔군요. 지금까지 계산한 값이 있는 edx와, edi를 곱합니다. edi는 목록의 '몇 번째' 값인가 하는 값을 갖고 있는데, 사실 그 값 더하기 1의 값을 지금 갖고 있겠죠. 예를 다시 들죠. 만약 picaview가 지금 처음으로 이 코드를 실행하고 있다면 목록의 '첫번째' 값인 0을 갖고 계산을 하고 있을 겁니다. 그 '첫번째' 라는 것은 edi가 0이기 때문에 알 수 있을 테고요. 두 번째로 picaview가 이 부분의 코드를 실행하고 있다면 목록의 '두번째' 값인 5를 갖고 계산을 하고 있을 것이고, 그 때는 edi가 1이 겠죠. 그런식으로 edi는 일종의 '카운터' 역할을 하고 있습니다. 그리고 imul edx, edi의 명령에서의 edi는 현재의 '카운터' 값보다 1이 큰 값을 갖고 있다는 걸 주의해야 합니다. 즉, 이 부분의 코드를 picaview가 처음 실행하고 있다고 해도 imul edx, edi명령을 실행할 때의 edi값은 0이 아니라 1이죠. 바로 전에 inc edi로 값이 증가 되었기 때문입니다. 그 다음엔 imul edx, [esp+c0]명령이네요. esp+c0이 가리키고 있는 값은 다름 아닌 49222D입니다. 이 값 기억하나요? 어쨋튼 이 두 개의 곱셈 명령을 알아 보기 쉽게 다시 쓰면 imul edx, edi ------ edx 와 같이 될 것입니다. or edx, eax mov eax, [esp+14] add esi, edx inc eax movsx word ptr edi, eax cmp edi, ebx mov [esp+10], esi mov [esp+14], eax jl 등록번호_만들기_두번째_과정 그 다음으로 edx와 eax를 OR합니다. OR알죠? OR은 알고, edx는 지금까지의 계산한 값이고, eax는 아까 대문자로 바꾼 그 ascii 코드 값을 아직도 갖고 있습니다. 그 다음에는 약간 헷갈릴 수도 있는 부분인데요, 별 것 아닙니다. 빨간색의 esp+14와 파란색의 eax가 어떻게 관계를 맺고 있나 하는 것만 잘 살펴 보면 쉽게 알 수 있을 거에요. 아까 아까 edi를 0으로 만들고, 다시 이 0을 [esp+14]에 옮겼던 것 기억하시죠. 그러니까 [esp+14]는 0으로 초기화 되어있습니다. 그 0이 eax에 옮겨지고, 증가 된 다음(inc eax), edi로 옮겨지고, 다시 [esp+14]로 옮겨 집니다. 결국 이 부분은, '등록번호_만들기_두번째_과정'을 몇 번 했나, 즉 이름에 있는 글자(pluskurt)들을 모두 처리했나 하는 것을 확인하는 곳입니다. 다시 한 번 잘 살펴 보세요. 쉽게 이해할 수 있을 거에요(ebx는 이름의 글자 수 라는 것 기억하고 계시죠?). 그리고 그 사이에 add esi, edx와 mov [esp+10], esi라는 명령이 있습니다. 이 두 명령을 잘 보세요. 이젠 이 정도는 쉽게 알 수 있죠? edx는 지금까지의 계산 결과 값입니다. 이것과 esi를 더해서 esi에 다시 저장하고 있군요. 그런데... 기억하세요? 아까 위에서 mov esi, [esp+10]이라는 명령이 있었죠. 그리고 esp+10를 pre_code라고 이름을 붙였다고 했구요. 그러니까 정리를 해 보면. 지금 까지의 계산 결과인 edx를 esi와 더해서 그 값을 esi가 갖고 있습니다. 그 다음에 그 값은 [esp+10](pre_code)이라는 곳에 저장됩니다. 그리고 다시 한 번 이 등록번호_만들기_두번째_과정 을 실행할 때에는 mov esi, [esp+10]이라는 명령으로, 바로 전에 저장했었던 pre_code값이 esi로 옮겨지게 됩니다. 그 다음에 add esi, edx명령으로 이 번에 계산된 결과값인 edx와 이전 번에 계산되었던 결과값 esi(pre_code)를 더해서, 새로운 pre_code를 만드는 거에요. 또 그 다음에 이 pre_code가 다시 쓰일 테구요. 무슨 말인지 알겠죠? C로 표현하자면 pre_code+=(어쩌구 저쩌구) 처럼 되겠죠. 마지막에 jl은, 좀 위에서 cmp edi, ebx로 비교한 값에 따라 분기하는 것으로, 이름 글자를 모두 처리했나를 확인하는 것이라는 건 모두 아실 겁니다. 이렇게 해서 두번째 과정도 모두 살펴 보았는 데요. 이해가 쉽게 되셨는지 모르겠군요. 여기 이 두번째 부분을 C로 고쳐 놓은 게 있습니다. 이것과 비교해 가면서 다시 한 번 보면 쉽게 이해가 될 거에요. pre_code=0; for (i=0; ilength; ++i){ pre_code+=((long)(name[lst[i]]*pow(2,lst[i])*(i+1)*0x49222d)|name[lst[i]]); } pre_code가 뭔지는 위에서 말했구요, lst는 지난 번 come as you are에서 만들었던 그 '목록' 입니다. 그리고 shl명령을 흉내내기 위해서 pow()함수를 썼습니다. 물론 (left shift)를 써도 되겠죠(제가 라는 게 있다는 걸 알기 전에 이 picaview를 크랙하고 keygen을 만들었거든요. 말했었죠. 집에서 혼자 C책을 '보고 있는' 게 제가 공부한 C의 전부라고요. 지금은 라는 게 있는 걸 알았지만.. 귀찮아서 바꾸지 않았습니다. 마찬가지 잖아요. : ) 그리고 length는 여전히 그 처음에 쓰였던 length(글자 수)입니다. 이제 다음 부분으로 가죠. 이 부분은 위의 '두번째' 과정에서 구한 pre_code가 음인지, 양인지, 0인지에 따라서 약간의 변형을 해 준 다음에 바로 진짜 '등록번호'를 만들어 내는 부분입니다(pre_code라고 쓴 이유도 거기에 있어요 : ). 이 부분은 아주 간단합니다. :1001053E 8BC6 mov eax, esi ;pre_code를 eax에 옮김 :10010540 85C0 test eax, eax ;eax가 0보다 작은가? :10010542 7D08 jge 1001054C ;아니라면 뭐야? :10010544 F7D8 neg eax ;0보다 작다면 부호 바꾸기 :10010546 89442410 mov [esp + 10], eax ;그 다음에 :1001054A 85C0 test eax, eax ;다시 한번 또 확인 :eax가_0이다 :1001054C 750C jne 1001055A ;0이야? :1001054E C7442410DC6F2400 mov [esp + 10], 00246FDC ;그럼 pre_code를 246FDC로 :10010556 8B442410 mov eax, [esp + 10] ;바꾼다 :eax가_0보다_크다 :1001055A 99 cdq :1001055B B900CA9A3B mov ecx, 3B9ACA00 :10010560 F7F9 idiv ecx ;ecx:eax / ebx :10010562 89542410 mov [esp + 10], edx ;그 나머지를 :10010566 8B442410 mov eax, [esp + 10] ;eax로 옮긴다 :1001056A 5B pop ebx :1001056B 5F pop edi :1001056C 5E pop esi :1001056D 5D pop ebp :1001056E 81C4A8000000 add esp, 000000A8 :10010574 C3 ret 굳이 제가 설명을 하지 않아도 다들 알 수 있을 거에요. 이 전까지 계산한 pre_code는 esi에 저장되어 있습니다. 그것을 eax에 옮기고 부호를 조사합니다. 그래서 0보다 작다면 neg(NEGate), 부호를 바꿔줍니다. 0이라면 이미 '준비된' 값인 246FDC라는 값을 pre_code로 만듭니다. 0보다 크다면 pre_code를 3B9ACA00으로 나누어서 그 나머지를 eax로 옮기는 거에요. 바로 이 eax가 '진짜' 등록번호가 되는 거죠. 그럼 이 부분을 C로 고쳐 보겠습니다. code=0; if (pre_code0) pre_code=-pre_code; if (pre_code==0) pre_code=0x246fdc; code=pre_code%0x3b9aca00; code가 등록번호가 되겠죠. 그럼, 이제까지 모두 네 번에 걸쳐서 지루하게 얘기한 picaview의 keygen을 한꺼번에 써 보겠습니다. #include #include #include #define MAX 80 int main(void) { char c, name[MAX]; int i, length=0, lst[MAX], lst_str; long pre_code, code; printf("\nPicaView32 ver 1.3 KeyGenerator .. Cracked By +kurt\n"); printf("Name: "); for (i=0; (c=getchar()) != '\n' ; ++i){ name[i]=toupper(c); if (isalpha(c)) ++length; else if (isspace(c)) ++length; else --i; } name[i]='\0'; if (length30) name[30]='\0'; for (i=0; i 여러 번 얘기했지만, 제가 한 것 처럼 말고도 더 좋은 방법으로 C로 프로그래밍할 수 있을 거에요. 이것으로 picaview에 대한 얘기를 마치겠습니다. 틀린 점, 틀린 것 같은 점, 그 밖에 어떤 것이라도 의견이 있으시면 저에게 알려 주세요. 그리고, 이 keygen이 만들어 낸 등록번호는 물론 ACDSee에서도 쓸 수 있습니다. 하지만 최근 버전(v 2.4)에서는 쓸 수 없더군요. 그 최근 버전도 크랙했습니다. 다음에 기회가 되면 그 방법에 대한 글을 또 쓰겠습니다. Page 2 12. Revolver 12. Revolver 이 글은, 글쓴이의 말대로 길이도 짧습니다. 하지만 짧은 글 안에서도 초보를 위해서 자세한 설명을 빠트리지 않았습니다. bc나, bpm, hmemcpy같은 게 어떤 역할을 하는 명령인지도 말꼬리에 그에 대한 설명을 해 놓을 정도로 친절한 글입니다. 단지, 살펴보게 되는 소스 파일 부분에 대한 설명은 그렇게 많지 않은데요, 이것은 별로 상관없을 거에요. 지금까지의 글들을 읽어 본 분들이라면 별 어려움 없이 그것들이 무슨 뜻인지를 스스로 알 수 있을 테니까요. 이 글에서 나오는 방법은 'Flag'를 설정하느냐 하는 것입니다. 즉, 저장(save)기능 따위의 기능을 쓰기 위해서는 어떤 자격이 필요합니다. 즉, 등록을 해야 하는 것이죠. 그런데, 프로그램이 그 '자격'을 어떻게 아느냐. 바로 'Flag'로 아는 거에요. 여기에서는 al에 설정된 값이 그 기능을 합니다. 즉, al에 0이 설정 되어 있으면, 기능을 쓸 수 없는 것이고, al에 1이 설정 되어 있으면 기능을 쓸 수 있는 것이죠. 이런 flag로 '자격'을 판단하는 것은 여러 프로그램에서 볼 수 있는 방법입니다. 다른 예를 들자면 이런 게 있겠죠. 가령 어떤 프로그램은 30일 밖에 쓰지를 못한다고 합니다. 그런데 30일이 넘도록 썼더니 이제 못쓴다.. 고 나옵니다. 그래서 여러분의 시스템의 시계를 며칠 앞으로 돌려 놓았다고 하죠. 그리고 다시 해 보니까, 여전히 못쓴다고 나오는 거에요. 자, 그럼 이 프로그램은 우리가 시계를 돌려 놓은 것을 어떻게 알아 버렸을까요? 아마 이런 방법을 썼을 겁니다. 30일이 지나면 어떤 곳에 flag를 설정합니다. 즉, 30일이 아직 지나지 않았다면 0값을 가지고 있는 부분이 있습니다. 30일이 지나면 그 곳에 1을 설정하는 거죠. 그러면 다시 시계를 30일이 되기 전으로 돌려 놓아도, 프로그램의 그 flag를 보고 30일이 이미 지났다는 것을 알 수 있겠죠. 이런 프로그램을 크랙하려면 그 flag가 어디에 설정 되어있는 것인지를 찾아 내서, 시간에 관계없이 항상 0값을 갖게 해 놓으면 되는 거겠죠.(+ORC의 강좌에 나온 얘기입니다. : ) 아무튼, 이런 flag에 대한 얘기를 해 놓은 이야기 입니다(여기서 말하는 flag가 flag register를 말하는 게 아니라는 건 다 알겠죠 : ). ------------------------------------------------------------------------------- ARJSHELL DISABLED SAVE FUNCTION by Rundus (20 September 1997) 우선 이 글이 너무 간단한 것에 대해서 사과를 드립니다. 난 KISS(Keep It Simple Stupid)의 규칙을 지키려고 노력하고 있거든요. 우리가 크랙할 프로그램인 Arjshell version 1.2은 http://www.windows95.com 이나 http://www.filez.com(arjsh12.zip) 에서 찾을 수 있습니다. 이 프로그램은 유명한 압축 프로그램인 arj.exe을 대신할 수 있는 프로그램입니다. 도움말 파일을 보면 저장(save)기능과 dos-batch 파일 기능을 쓸 수 없다고 나와 있습니다. 또한 project 파일을 열 수 있는 기능도 쓸 수 없습니다. Arjsh32.exe를 Wdasm으로 열어서 String Function References를 찾아 보면 다음과 같은 부분을 찾을 수 있습니다. "Sorry, saving projects is possible in registered version only" "Sorry, saving Dos-batch is possible in registered version only" "Sorry, loading projects is possible in registered version only" "You are a registered user of Arjshell" 이 부분에 더블클릭하면 아래에 볼 수 있는 코드를 찾아 갑니다. |:0042F693(C) | :0042F702 E87D450000 call 00433C84 :여기 이 call을 잘 봐야합니다. :0042F707 A2D3774300 mov byte ptr [004377D3], al ;Flag를 설정(좋은 플래그) :0042F70C 803DD377430000 cmp byte ptr [004377D3], 00 ;나쁜 놈/좋은 놈? :0042F713 747F je 0042F794 ;나쁜 놈이면 분기 :0042F715 8D55FC lea edx, dword ptr [ebp-04] :0042F718 8B83B4010000 mov eax, dword ptr [ebx+000001B4] :0042F71E E8492CFEFF call 0041236C :0042F723 8B45FC mov eax, dword ptr [ebp-04] :0042F726 50 push eax :0042F727 33C9 xor ecx, ecx * StringData Ref from Code Obj ->"ArjShell\UserName" | :0042F729 BA0CF84200 mov edx, 0042F80C :0042F72E B800000080 mov eax, 80000000 :0042F733 E810BCFFFF call 0042B348 :0042F738 8D55FC lea edx, dword ptr [ebp-04] :0042F73B 8B83B8010000 mov eax, dword ptr [ebx+000001B8] :0042F741 E8262CFEFF call 0041236C :0042F746 8B45FC mov eax, dword ptr [ebp-04] :0042F749 50 push eax :0042F74A 33C9 xor ecx, ecx * StringData Ref from Code Obj ->"ArjShell\UserID" | :0042F74C BA28F84200 mov edx, 0042F828 :0042F751 B800000080 mov eax, 80000000 :0042F756 E8EDBBFFFF call 0042B348 :0042F75B B8D0764300 mov eax, 004376D0 * StringData Ref from Code Obj ->"You are a registered User of ArjShell " ->"now !" | :0042F760 BA40F84200 mov edx, 0042F840 :0042F765 E89E65FDFF call 00405D08 :0042F76A 6A40 push 00000040 * Reference To: user32.MessageBeep, Ord:0000h | :0042F76C E83F56FDFF Call 00404DB0 :0042F771 6A40 push 00000040 * StringData Ref from Code Obj ->"Registering successful" 또 다음과 같은 곳도 찾을 수 있습니다. :00431F02 803DD377430000 cmp byte ptr [004377D3], 00 :00431F09 751D jne 00431F28 * StringData Ref from Code Obj ->"Sorry, saving DOS-Files is possible " ->"in the" | :00431F0B 6848214300 push 00432148 * StringData Ref from Code Obj ->"Warning" 또 다음과 같은 곳도 찾을 수 있습니다. :00432EF2 803DD377430000 cmp byte ptr [004377D3], 00 :00432EF9 751D jne 00432F18 * StringData Ref from Code Obj ->"Sorry, loading Projects is possible " ->"in the" | :00432EFB 6804364300 push 00433604 * Possible StringData Ref from Code Obj ->"Warning" 다음과 같은 곳도 찾을 수 있습니다. * Referenced by a Jump at Address:004322C2(C) | :00432338 803DD377430000 cmp byte ptr [004377D3], 00 :0043233F 751D jne 0043235E * StringData Ref from Code Obj ->"Sorry, saving Projects is possible " ->"in the" | :00432341 68EC2A4300 push 00432AEC * StringData Ref from Code Obj ->"Warning" 자, 여기 까지 살펴 보면 알 수 있듯이 [004377D3]에 설정 되어 있는 값에 따라 모든 게 결정 납니다. 그리고 AL에 있는 값이 그것을 설정하는 것입니다. 그러면 call 00433C84가 호출하는 부분을 살펴 봐야 하겠죠. 흠.. 굉장히 긴 부분이고 다른 call도 많이 있군요. 그러면 softice를 이용해 보죠. :0042F702 E87D450000 call 00433C84 ;여기 이 Call을 살펴 보는 거에요 :0042F707 A2D3774300 mov byte ptr [004377D3], al :0042F70C 803DD377430000 cmp byte ptr [004377D3], 00 (1) Arjshell32.exe를 실행하고 Preference메뉴의 Register를 선택합니다. (2) 이름과 등록번호에 아무 것이나 써 넣습니다. (3) Ctrl+D를 눌러서 softice화면으로 들어갑니다. (4) :bpx hmemcpy ;우리가 써 넣은 것을 복사하는 명령에 중단점을 설정합니다. (5) :bpm 004377D3 ;메모리 영역에 중단점을 설정합니다. (6) F5를 두 번 누릅니다. 자 그러면 아래의 부분에 도착할 수 있습니다. 여러분의 세그먼트 값은 제 것과 다를 수 있습니다. 하지만 오프셋 값은 같을 거에요.(????:0042F707) 014F:0042F702 call 00433C84 014F:0042F707 mov byte ptr [004377D3], al 014F:0042F70C cmp byte ptr [004377D3], 00 (7) :bc * ;중단점을 모두 지웁니다. (8) :bpx 014F:042F702 ; call부분에 중단점을 설정합니다. (9) F5키를 눌러서 softice를 빠져 나온 다음 등록합니다. (10) 다시 softice화면이 나타납니다. F8키를 눌러서 call이 호출하는 부분으로 들어갑니다. (11) 아래와 같은 부분이 나올 때까지 F10을 계속 누릅니다.(제 경우 35번 눌렀습니다) :00433CF2 E931F3FCFF jmp 00403028 :00433CF7 EBEB jmp 00433CE4 :00433CF9 8BC3 mov eax, ebx :00433CFB 5F pop edi :00433CFC 5E pop esi :00433CFD 5B pop ebx :00433CFE 8BE5 mov esp, ebp :00433D00 5D pop ebp :00433D01 C3 ret 전 언제나 코드 창을 7줄로 해 놓습니다. :wc 7 오프셋 00433CF9에서 eax는 0으로 됩니다. 따라서 이 부분을 바꿔 줘야 하겠죠. 그런데 우리는 2바이트 밖에 쓸 수 없으니까 mov eax, 0001(B801000000)을 쓸 수 없습니다. mov al, 01(B001)을 써야 합니다. 기계어 코드에 대한 도움말이 필요하신 분들은 http://www.expage.com/page/w32dasm 을 찾아가 보세요. 이제는 Arjshell32.exe를 hex editor로 열어서 그 부분을 바꿔 주기만 하면 됩니다. 이제 저장(save)기능과 열기(load)기능을 모두 사용할 수 있습니다. 하지만 등록하기 버튼을 쓸 수 없게 되었기 때문에 등록을 할 수 없게 됩니다. 하지만 30일이 지나도 프로그램을 쓸 수 있고, 또 여러분이 써 넣은 이름은 어느 곳에도 나타나지 않으니까 이건 별로 문제 될게 없겠죠. softice에서 ebx의 값을 00000000에서 00000001로 잠깐 동안 바꿔 보았더니, HKEY-LOCAL-MACHINE\Software\Classes\Arjshell에 이름과 등록번호 키를 만들더군요. 아마도 프로그램은 등록 되었나 되지 않았나를 그 부분을 통해서 확인하고 있나 봅니다. 어디가 Register버튼을 못 쓰게 만드는 부분인지는 나중에 한 번 살펴 보겠습니다. 레지스터의 값을 잠깐 동안 바꾸는 것을 할 줄 모르는 사람들을 위해서 방법을 가르쳐 드리죠. (1) mov eax, ebx명령이 나올 때 까지 F10을 계속 누릅니다. (2) :r ebx ;레지스터 값을 바꾸라는 명령입니다. (3) 00000000을 00000001로 바꿉니다. (4) Esc를 누릅니다. 아마 다른 크랙커들이, 제가 찾아낸 이 방법보다 더 좋은 방법을 찾아 낼 수도 있겠죠. 여기 까지입니다. 여러분에게 도움이 되었다면 좋겠군요. cheers Rundus (c) Rundus 1997 All rights reversed ------------------------------------------------------------------------------- Page 2 13. Something In The Way 13. Something In The Way 안녕하세요. 이번 글에서 이야기할 것은 '이지 포스터98 v2.32'입니다. 이 프로그램이 뭐하는 데 쓰이는 건지는 저도 잘 모릅니다. PC통신 게시판에 광고를 해 주는 프로그램이라고 하는 데, 저는 그런 것과는 별로 상관이 없는 사람이라서. 우선, 이 프로그램을 알게 된 것은 어떤 분께서 저에게 편지를 보냈기 때문입니다. 이 프로그램을 크랙하는 방법에 대해 글을 쓰라는 명령(?)을 하셨죠. : ) 그래서, 그 분 말대로 PC통신에 들어가서 자료실에서 찾아 봤더니, 엄청난 크기더라구요(4, 442, 838 bytes). 제 모뎀이 거의 기어가는 속도인데다가 전화비 걱정도 되고 해서, 다운 받기가 좀 망설여 져서 그 땐 받지 않았었는데, 나중에 그 편지 보낸 분의 성의(?)를 생각해서 다운 받았어요. 엄청난 시간을 들여서 다운 받아서, 막상 크랙을 해 보니까.. 크랙하는 데 걸린 시간은 3분도 되질 않더군요. 그 분께서는 keygen을 원하셨지만 그럴 필요도 없습니다. 이 프로그램은 Visual Basic으로 만들어 진 것 같습니다. 원래 Visual Basic으로 만들어진 프로그램을 크랙하는 것은 아주 쉬운 일입니다만, 이 경우에는 쉽다는 표현 조차 아깝습니다. 아무 생각이 필요 없다고 하는 게 적절할 거에요(Visual Basic으로 만들어 진 것을 크랙하는 게 쉽다는 제 표현에 거부감을 느끼시질 않길 바랍니다. 잘난 척을 하려는 게 아닙니다. 요즘 크랙커들 사이에 떠도는 말 중에 이런 게 있어요. IF visual basic Then Cracked At Once. 물론 저 같은 초보 크랙커에게는 그렇게 쉬운 일 만은 아니겠지만 말입니다요. : ). 우선 이 프로그램의 readme파일 비슷한 걸 살펴 보면 다음과 같은 내용이 있습니다. 이지포스터98 버전 2.32 (모뎀/랜겸용) 제품가 : 10만원 테스트를 위해 7일동안 전기능을 아무런 제약없이 무료 사용가능 기능이 제한된 이지포스터98을 6만원에 할인판매 합니다. 참고 : 다운 받은 이지포스터는 7일동안만 사용할 수 있습니다. 그 이후에는 더 이상 제품이 실행이 되지 않으니 계속 사용하려면 비용을 지불하고 정식사용자로 등록하십시오. ★ 불법복제 및 부당한 방법으로 이지포스터98을 이용시 관련법규에 따라 처벌함을 알려드립니다. ㉮ 본제품은 매번 설치때마다 제품번호가 무작위로 변경됩니다. ▲ ┗▶ 블법복제를 방지하기 위한 유일한 방법을 채택하였습니다. ㉯ 등록번호를 １번까지만 추가 지원해 드립니다. ☞ 수수료 : 매번 ５００００원 재미있지 않나요? 등록을 하려면 10만원을 내야 하는 거겠군요. 호오.. 10만원이라.. 이것도 역시 돈많은 사람들을 위한 프로그램이군요. 이게 무슨 우유도 아니고, 유통기한이 7일 밖에 되질 않는군요. 그 안에 얼렁얼렁 테스트 해라... 돈이 없는 사람은 6만원 짜리 제대로 동작하지 않는 걸 사서 써. 후우.. 저 같은 놈은 이런 거 쓸 일도 없겠지만, 돈이 없어서 쓸 수도 없겠군요. 불쌍해라.. 또 6만원 씩이나 주고, 제대로 동작하지도 않는 걸 판다니, 어처구니가 없군요. 생각나는 일이 있어요. 제가 교보문고에서 겪은 일인데요. 외국어 서적 코너 앞에서 책을 늘어 놓고 무조건 만원, 아니면 7천원 식으로 싸게 팔더라구요. 살펴 보다가 리눅스에 대한 책이 괜찮은 것 같아서 그 중 제일 새 것으로 들고 계산하러 들어갔죠. 줄을 서서 제 차례를 기다려서 만원을 내니까, 책을 살펴 보다가 아무 말 없이 그 책을 다른 직원에게 넘기는 거에요. 저는 영문도 모른 채 그 옆에 서서 기다렸죠. 한 10분 동안 기다리고 있자니까, 그 직원이 와서 그 책은 3만원 짜리라고 하더군요. 누가 잘못 알고 밖에다가 내 놓은 것 같다고... 그래서 다시 한 번 나와서 살펴 봤더니, 같은 책인데 책 뒤에 붙은 CD가 깨져 있더군요. 그러니까, CD가 깨진 불량품은 만원에 팔고, 제대로 된 건 삼만원 다 받고.. 좀, 화가 나더군요. 매번 설치 때마다 제품번호가 무작위로 변경된다... 불법복제를 방지하기 위한 유일한 방법이라.. 과연 유일한 방법인지는 모르겠지만, 나름대로 노력을 한 것 같으니까, 박수를 보냅니다. 하지만 막상 크랙을 해 보니, 올해의 멍청한 protection scheme상에 드디어 우리 나라에서 만든 프로그램도 후보작으로 오를 수 있을 것 같은 생각이 듭니다. 저도 인터넷에서 등록번호 따위나 얻어서 등록해서 쓰는 것은 프로그램을 '훔치는' 일이라고 생각합니다. 정말 맘에 들어서 오래 쓰고 싶은 프로그램이 있다면 당연히 그 값을 치뤄야 하겠죠(대부분의 경우 '돈'으로 그 값을 치뤄야 한다는 게 우리를 슬프게 하지만 말입니다요). 등록번호를 잊어버리거나 했을 때 한번만 더 알려 주고, 그 다음부터는 오만원씩 받겠다.. 하하 오만원이라.. 굉장하군요. 지금까지 시험삼아서 다섯 번 정도 크랙해서 등록했으니까, 저는 이십 오만원 번 셈이네요. 하하. 어쨋튼 다시 한 번 말씀 드리지만, 이 프로그램이 맘에 들어서 오랫동안 쓸 분이라면 등록하셔야 겠죠. 우리 초보 크랙커는 '정당한' 방법으로 이 프로그램을 얻어서 직접 '크랙'하는 겁니다. : ) _이지 포스터98 v2.32 크랙하기_ 이 프로그램을 크랙하면서 배울 건 없습니다. 여기서 사용된 protection scheme을 만든 사람이 크랙에 별로 대비할 마음이 없었다는 거 외에는 말입니다. 아, 또 한가지 배울 게 있네요. 모든 프로그램이 크랙하기 어려운 것은 아니라는 점. 이렇게 쉬운 것도 있다는 거 말입니다요. 자, 그럼 '아무 생각 없이' 크랙해 보죠. 이미 알고 있듯이 이 프로그램은 쉐어웨어로 7일 밖에 사용할 수 없습니다. 날짜를 다시 돌린다고 해도, 프로그램은 그것을 알아 차립니다. : ) 프로그램을 시작해서 '제품정보'->'제품등록' 메뉴로 들어갑니다. 제품번호가 나타나 있고 등록번호를 쓸 칸이 있습니다. 제 경우 제품번호는 295324입니다(어쩐 일인지 몇번을 다시 설치해도 제품번호는 변하지 않았습니다). 등록번호에는 언제나 처럼 1234를 써 넣었습니다. '확인' 버튼을 클릭하면, 예상했던 글상자가 튀어 나옵니다. 등록번호가 틀렸습니다. 확인 후에 다시 입력하십시오. 헤헤 어쨋튼 우리 말로 나오니까 좋네요. 외국 프로그램만 크랙하다가 우리 나라에서 만든 거 크랙하니까 이게 좋군요. : ) 그럼 이번엔 중단점을 설정해야 할텐데.. 하던대로 GetDlgItemTextA에 중단점을 설정해야 할까요? 소용없습니다. GetWindowTextA함수에 중단점을 설정해도 마찬가지에요. bpx hmemcpy로 중단점을 설정합니다. 이것은 메모리에 있는 문자열(이 경우 제가 써 넣은 "1234"가 되겠죠)을 복사해 오는 부분에 중단점을 설정하는 것이에요. 다시 확인 버튼을 누르면 sice화면으로 들어갑니다. F11을 한 번 누르고 계속해서 F12를 18번 눌러서 이지포스터의 코드로 찾아갑니다. CALL 004040B8 ;등록번호 읽어 들이기 MOV EAX,[00486144] ;진짜 등록번호 읽어 들이기 MOV DWORD PTR [EBP-6C], 00008008 MOV [EBP-64], EAX LEA EAX, [EBP-3C] PUSH EAX LEA EAX, [EBP-6C] PUSH EAX CALL 004040E8 MOV SI, AX LEA EAX, [EBO-3C] PUSH EAX LEA EAX, [EBP-2C] PUSH EAX PUSH 02 CALL 0040405E ADD ESP, 0C CMP SI, DI JZ 0044CC31 ;등록번호 틀리면 분기 CMP [00486BEC], EDI JNZ 0044CAAD 위와 같은 코드가 보이는 곳에 도착할 거에요. 그럼 bpx hmemcpy의 중단점을 해제하고 맨 위의 CALL 004040B8에 중단점을 다시 설정합니다(더블 클릭으로 중단점을 설정/해제 할 수 있다는 것은 다 아시겠죠 : ). 그리고 sice를 빠져 나와보죠. 그리고, 다시 '확인'을 눌러 봅시다. 그러면 sice화면으로 다시 들어갑니다. call 004040b8에 설정한 중단점에 반전 막대기가 있을 거에요. F10으로 단계별로 실행해서 mov dword ptr [ebp-6c], 8008까지 반전 막대기를 옮깁니다. 그러면 '이지포스터'는 '1234'를 읽고, 진짜 등록번호를 읽었습니다. 486144가 '가리키고' 있는 것이 바로 진짜 등록번호죠. 그럼 여기서 d eax명령을 해 보세요. 데이터 창에 다음과 같이 나타날 것입니다. 2.C.7.8.D.D.8.0. ..c...e.t.\.0.0. 0.1..... $... ............. .. ... ....... .... .......3J....... 4.......2.9.5.3. 2.4...o.t....... 화면 아래에 보이는 295324가 뭔지 알겠어요? 바로 제품번호에요. 그 위에 있는 2C78DD80은 그럼 뭘까요? visual basic에서는 문자열을 저장할 때 16진수 코드 00으로 글자와 글자 사이를 구분하는 방법을 씁니다. 이런 걸 Wide Format이라고 한다네요. 아무튼 이제 등록번호가 눈 앞에 있으니 크랙이 끝났습니다. 직접 이 등록번호를 써 넣을 수도 있습니다. 아니면 JZ 0044CC31에 반전 막대기가 왔을 때, JUMP하는 것을 r fl z 명령으로 zero flag를 바꿔서 NO JUMP로 바꿔줍니다. 그러면 프로그램은 레지스트리에 제대로 된 등록번호 키를 만들어서 등록을 시켜 줍니다(HKEY_CURRENT_USER\Software\VB and VBA Prgram Settings\이지포스터 98\Setup\RegCode). 그러니까 굳이 이 조건분기를 hex editor로 열어서 바꿀 필요는 없다는 거에요. 그래도 바꾸고 싶은 분들은 JZ 0044CC31의 기계어 코드인 0F849B010000을 0F859B010000로 바꿔 주면 되겠죠. 이렇게 해서 크랙이 끝났습니다. 덧붙여서 말하자면, 원래 visual basic으로 만들어진 프로그램을 크랙하는 데에는 visual basic이 사용하는 dll의 코드를 찾아서 크랙해야 합니다. 가령 이렇게 등록번호를 써 넣는 방법의 경우에는 dll중에서 두 문자열을 '비교'하는 부분을 찾아서 크랙해야 하겠죠. 역시 다음 기회에 이 것에 대한 글을 올리겠습니다. 인터넷에 널려 있는 warez/crackz/serialz를 찾아 다니면 쉽게 등록판을 만들 수 있습니다. 그 프로그램을 '훔치는' 거죠. 그렇게 쉬운 일은 놓아두고 저의 이런 부족한 글을 읽는 분이라면 프로그램을 '훔치는' 것과 크랙하는 것을 구분할 수 있을 것입니다. 그리고.. 무슨 말을 하려는 지 아실 겁니다. : ) Page 2 14. Imagine 14. Imagine 이 글은 +Sync라는 유명한 크랙커가 쓴 글입니다. Visual Basic으로 만든 프로그램을 크랙하는 방법에 대해서, 초보 크랙커를 위해서 쓴 짧은 글입니다. 바로 앞의 글(something in the way)에서 말한 wide format에 대해서 얘기하고 있습니다. 참고로, 여기에서 나오듯 우리가 써 넣은 등록번호를 찾아서 그 곳에 중단점을 설정할 수도 있을 것입니다. 그런 방법을 쓰려면 s(Search)명령을 써야 합니다. 예를 들어서 등록번호로 '1234'를 써 넣었다면, :s 30:0000 lffffffff '1234' 라고 명령해야 하겠죠. 하지만 이런 방법을 쓸 경우엔 등록번호로 1234처럼 연속되는 숫자를 써 넣는 것은 별로 좋지 않다는 것도 알아 두세요(저는 처음에 1234를 썼는데, 바꾸는 것도 좀 그렇고 해서 계속 쓰고 있습니다 : ). 그렇게 해서 우리가 써 넣은 등록번호가 있는 메모리의 주소를 알면, 그 곳에 중단점을 설정하면 됩니다. 예를 들어서 그 값을 읽어들이는 부분에 중단점을 설정한다던지 하면 되겠죠. 하지만 이 앞이 글(something in the way)이나 이 글에서 볼 수 있듯이 Visual Basic으로 만들어진 프로그램이라면 굳이 귀찮게 어려운 방법을 쓸 필요가 없겠죠. 참 그리고 s 명령에 대해서 조금 더 얘기하면요, s 다음에 온 30:0000은 찾기 시작할 곳을 말해 주는 거에요. 이 경우 처럼 데이터(명령어가 아닌)값들이 저장된 부분은 세그먼트(segment) 30입니다. 그러니까 세그먼트 30의 오프셋 (0000)0000 부터 ffffffff까지의 길이(l, length) 만큼 중에서 '1234'라는 것을 찾아라 하는 명령이 되겠죠. ------------------------------------------------------------------------------- How to Crack SSS Convertable by Scientific Solutions Software by +Sync May 12, 1997 http://members.aol.com/sss5000/에서 프로그램을 얻을 수 있다. 이런 글을 쓰게 되다니 좀 어처구니가 없다. 이 프로그램은 지금껏 내가 봤던 프로그램 중에서 제일 덩치크고 쓸모없는 프로그램이다(이걸 만든 회사가 홈페이지를 aol에 만든 것을 보면 그리 놀랄 일도 아니다). 이 프로그램이 하는 단위 바꾸는 작업이 공대에 다니는 나한테는 쓸모가 있어서 다운 받았다. 이 프로그램이 등록번호를 써 넣는 방법을 사용하고 있는 걸 보고, disassemble해서 기계어 코드를 살펴 본 다음, 역으로 등록번호를 구해 내야 겠다고 생각했지만, 그런 수고를 하지 않아도 될 정도로 형편 없는 프로그램이었다. 여기에 내가 했던 방법을 따라 하기 쉽게끔 썼다. 프로그래머들은 모두 멍청이고, 여기에 쓴 글이 바로 그 증거가 될 것이다. 언제나처럼 프로그램을 설치하고 뭐가 어떻게 돌아가나 한 번 프로그램을 실행 시켜 본다. Help메뉴에서 Register를 선택하면 등록번호를 써 넣으라고 나온다. 나는 그 글 상자에 나온 'Enter the password to unlock below:'라는 문장을 그대로 받아 적었다. 그리고 hex editor로 convertable.exe를 열어서 살펴 봤다. 반 정도를 주욱 훑어 가다가 발견한 것은 'VB40032.DLL'이라는 글자였다. 이런 젠장. VB 프로그램이군. 이 사실은 우리에게 몇 가지 사실을 알려 준다. 1. 프로그래머는 멍청해서 진짜 프로그래밍 언어를 다룰 줄 모른다. 버그가 있을 것이다. 2. 프로그램은 느려 터질 것이다. 3. Winice로 단계별로 실행하는 것(tracing)은 별 도움이 되지 못할 것이다. 4. 문자열들은 모두 Wide Format으로 저장되어 있다. 네 번째 사실에 대해 생각해 볼 필요가 있다. VB 4.0은 문자열을 한 글자 마다 16진수 00으로 나누어 저장한다. 이것을 확인하기 위해서 'Enter the password'라는 문자열을 찾아 보았지만 당연히 아무 것도 찾을 수 없었다. 그래서 wide format으로 찾아 보았다. Hex: 45 00 6E 00 74 00 65 00 72 00 20 00 74 00 68 00 65 text: E . n . t . e . r . . t . h . e 두 말할 필요도 없이, 그 문자열이 있는 곳을 찾아 낼 수 있었다. 오프셋 7DBA에 있었다. 파일을 조금 더 살펴 보니까, 바로 다음에 역시 wide format으로 'Garbonzo'라는 문자열을 찾을 수 있었다. 그건 오프셋 7E56에 있었다. 이런 이런.. 등록번호는 파일 안에 텍스트 형식으로 들어 있었던 거다. 프로그램을 다시 실행시켜서 등록번호로 Garbonzo를 써 넣고 어떻게 되나 보자. 그리고 이따위 프로그램은 당장 삭제해 버리자. 자, 여기까지 우리가 배운 것은 뭘까? 불행히도 많지 않다. 하지만 요점은 다음과 같다. 1. 당연한 답을 찾아내자. 쉬운 걸 괜히 어렵게 생각하지 말자. 2. 적을 알자. VB 4가 wide format을 사용한다는 걸 모르고 있었다면 아무리 찾아 헤메도 원하는 문자열을 찾아 낼 수 없었을 것이다. 3. 적당한 도구를 사용하자. 이 크랙에서 필요한 것은 hex editor 하나 뿐이었다. winice로 내가 써 놓은 등록번호에 중단점을 설정하는 방법으로 크랙할 수도 있을 것이다. 하지만, 프로그램 만든 사람이 답을 주는 데 무엇하러 고생하면서 답을 찾는가? 누군가에게는 도움이 되길 바라면서 이 글을 쓴다. 비록 짧은 글이고, 약간의 경험만 있는 사람이라면 누구나 알고 있을 내용이지만, 쉬운 답을 앞에 두고 찾지 못하는 사람도 있다. 초보자들은 뛰는 것을 배우기 전에 걸음마부터 해야 할 것이다. 나의 다음 세대를 이어갈 후배 크랙커들에게 하고 싶은 말이 있다. 크랙은 정말 훌륭한 작업이다. 배우고 가치있게 여기길 바란다. 알림: 이 프로그램을 만든 회사는 다른 프로그램도 몇개 만들었다. 아마도 똑같이 멍청한 protection scheme을 썼을 것이다. +Sync ------------------------------------------------------------------------------- Page 2 15. Heart-Shaped Box 15. Heart-Shaped Box 이번에 크랙할 프로그램은 Hex WorkShop v2.54입니다. 이 프로그램을 크랙하는 방법은 이미 Heres의 글에서 소개 한 적이 있습니다. 이번에는 버전이 하나 올라간 것이지만 아마도 같은 방법으로 크랙할 수 있을 거라고 생각합니다. 지금까지 봐 왔듯이, 같은 회사의 제품이거나 같은 프로그램의 다른 버전이면 한 가지의 방법으로 크랙할 수 있기 때문에 그렇게 생각한 건데요, 확인해 보지는 않았습니다. 저 같은 초보 크랙커와 Heres를 비교하는 것 자체가 말도 안 돼지만, 이 글에서 소개할 방법은 약간 '무식한' 방법입니다. 무식하다는 의미는, 그러니까 어떤 call이 어떤 역할을 하는 지 일일이 가서 살펴 보지 않고 그냥 '느낌'으로 알아 보았다는 뜻입니다. 이렇게 무식한 방법이 통할 수 있는 이유는 CALL 등록번호_비교하는_곳 TEST EAX, EAX J(N)Z 좋은 놈/나쁜 놈 이런 방법이 너무나 많이 쓰이고 있기 때문입니다. 이번에 크랙할 Hex Workshop도 마찬가지 입니다. Visual 어쩌고 하는 '고급' 언어로 만들어진 protection scheme을 어셈블리어로 보면 이렇게 허술할 수 밖에 없다고 합니다(많은 크랙커들이 이런 고급 언어를 진짜 프로그래밍 언어로 취급 조차 하지 않고 있어요). 어쨋튼, 등록번호를 갖고 놀고 있는 부분을 찾아 냈을 때 위와 같은 부분이 보이면 크랙은 이미 끝난 것이나 다름 없겠죠. 이런 식의 프로그램을 크랙하는 데에는 여러 가지 방법이 있겠지만, 그 중에서 우선 생각할 수 있는 것이 J(N)Z의 조건분기를 바꿔 주는 것이겠죠. 그 다음으로 생각할 수 있는 것이 CALL 등록번호_비교하는_곳 에 의해서 불려지는 곳을 찾아가서 인위적으로 eax값을 우리가 원하는 값을 갖도록 만드는 방법을 생각할 수 있습니다. 가령, 우리가 원하는 eax값이 1이라면 ret되기 전에 xor eax, eax/inc eax(33C0/40) 따위의 명령으로 eax값을 1로 만들어 줄 수 있겠죠. 물론 mov eax, 0같은 명령도 괜찮겠지만 그 명령에 대한 기계어 코드는 B800000000입니다. 또 mov ax, 0의 기계어 코드는 66B80000, mov al, 0의 기계어 코드는 B000입니다. 이 중에서 적당한 길이의 명령을 사용하면 되겠죠. 이 외에도 여러 가지 방법이 있을 거에요. 아무튼, 위와 같은 코드를 사용한 프로그램은 정말 정말 많이 있습니다. 이 글에서는 굳이 이렇게 코드를 바꿀 필요까지는 없습니다. 이 Hex WorkShop의 경우에는 HEXWORKS.REG라는 등록 파일을 사용합니다. 일단 그 등록 파일만 만들면 되니까, sice를 사용해서 잠깐 동안(On the fly) 코드를 바꿔서 등록 파일을 만들게 하는 방법을 쓸 거에요.(Heres가 쓴 글에서는 바로 이 등록 파일을 직접 만드는 방법을 소개 했었습니다) 그럼, 무식하게 크랙해 보죠. _Hex WorkShop v2.54 크랙하기 _ Hex WorkShop을 시작하고 Help->About Hex Workshop...을 선택하면 등록번호를 써 넣는 상자가 나옵니다. 좀 특이하게도 여기에서는 등록번호만 써 넣습니다. 지금껏 우리가 했던 것과는 약간 다릅니다. 이름과 등록번호를 같이 쓰거나, 아니면 제품번호에 알맞는 등록번호를 썼었는 데 말입니다요. 아마 Hex Workshop만든 사람들은 별로 크랙에 신경을 쓰지 않았던 건지도 모르겠네요. 아무튼, 여기서 우리가 예상할 수 있는 것은, 다른 경우와는 다르게 아마 '준비된' 등록번호가 있을 거라는 겁니다. 즉, PicaView에서 처럼 이름으로 등록번호를 만들어 내는 것도 아니니까, 이미 준비되어 있는 등록번호와 우리가 써 넣은 등록번호를 비교하는 방법을 썼을 거라고 추측할 수 있겠죠. 언제나처럼 1234를 쓰고 Register단추를 누릅니다(그냥 엔터를 누르면 Help단추가 눌려지게 되어 있습니다). 역시 예상했던 대로 1234는 제대로 된 등록번호가 아니였군요. 등록번호가 잘못 되었다는 상자가 나타납니다. 그럼, 이제 중단점을 설정할 차례가 되겠군요. 어디에 중단점을 설정해야 할까요. 가장 많이 쓰이는 GetDlgItemTextA나 GetWindowTextA에 설정해 보니까, 역시 되더군요. GetWindowTextA에 중단점을 설정하면 됩니다. 참고로, GetWindowTextA함수는 문자열을 읽어서 그 길이를 돌려 준다고 합니다. 이 경우 1234를 썼으니까 4라는 값을 돌려 주겠군요. 아무튼 중단점을 설정하고 sice를 빠져나와서 다시 한 번 Register 버튼을 누르면 sice화면으로 다시 들어갑니다. F11을 눌러서 Hex Workshop의 코드로 찾아갑니다. :00454485 FF15541D4900 Call [USER32!GetWindowTextA] :0045448B 6AFF push FFFFFFFF ;eax=4 :0045448D 8B4D10 mov ecx, [ebp+10] :00454490 E8EB82FFFF call 0044C780 :00454495 EB0B jmp 004544A2 ;ecx->1234 :00454497 8B4510 mov eax, [ebp+10] :0045449A FF30 push dword ptr [eax] :0045449C 56 push esi :0045449D E8C3EAFFFF call 00452F65 :004544A2 5F pop edi :004544A3 5E pop esi :004544A4 5D pop ebp :004544A5 C20C00 ret 000C GetWindowTextA함수의 결과 값은 eax에 4로 저장됩니다. 이것은 sice 화면의 레지스터 창에서 확인할 수 있습니다. 그 다음에 나오는 call 44C780이 무슨 일을 하는 call인지 알기 위해서 F8로 찾아 가지 않겠습니다. 이 번 크랙은 '무식한' 방법을 쓴다고 했잖아요. 그 call이 실행 된 다음, 그러니까 반전 막대기가 jmp 4544A2에 와있을 때 d ecx명령을 해 보세요. 그럼 데이터 창에 여러분이 써 넣은 등록번호가 나오는 것을 볼 수 있습니다. 제 경우에는 1234가 나타났습니다. 그러면, 이 call이 우리가 써 넣은 등록번호를 저장하는 역할을 한다는 것을 추측할 수 있겠네요. 다음엔 ret 되어서 아래와 같은 곳으로 넘어 갑니다. :00409AC6 E88BA90400 call 00454456 :00409ACB 6A08 push 00000008 ; 이 곳도 별 볼 일 없는 곳 같군요. 제 생각에는 이 부분이 등록번호를 써 넣는 그 '등록 상자'와 관계가 있는 것 같습니다. 아무튼 F12(P Ret)를 눌러서 넘어 가 보죠. :0044B17A C745E801000000 mov [ebp-18], 00000001 ; 이 곳도 역시 별 볼일 없는 곳이겠네요. call조차 없으니 말입니다요. 역시 P Ret. :00409C41 E8E6140400 call 0044B12C :00409C46 8B8DFCFEFFFF mov ecx, [ebp+FFFFFEFC] ;Ret된 곳 :00409C4C 83C15C add ecx, 0000005C :00409C4F E82C80FFFF call 00401C80 :00409C54 50 push eax :00409C55 8D45DC lea eax, [ebp-24] :00409C58 50 push eax :00409C59 E8E2F30200 call 00439040 :00409C5E 83C408 add esp, 00000008 :00409C61 6874D84700 push 0047D874 :00409C66 8D45DC lea eax, [ebp-24] :00409C69 50 push eax :00409C6A E8810B0300 call 0043A7F0 :00409C6F 83C408 add esp, 00000008 :00409C72 85C0 test eax, eax ;call 004373C0 ;je 00409D18 ;No Jump == 등록 이제 뭔가 중요한 곳을 발견했다는 느낌이 들죠. 여러개의 call이 있습니다. 이 call들을 전부 살펴볼 필요는 없습니다. 분명 무슨 일인가 나름대로 열심히 하고 있겠죠. 하지만 우리에게 관심있는 코드는 첫번째 화살표가 있는 test eax, eax입니다. 그리고 유의해서 살펴 볼 곳은 [ebp-14]와 [ebp-24]입니다. d명령으로 살펴 보면 알 수 있듯이 ebp-24는 '1234', 즉 우리가 써 넣은 등록번호를 가리키고 있습니다. 그리고 ebp-14에는 0이 아닌 값이 있습니다. 잘 살펴 봅시다요. 분명히 여러 개의 call들은 1234를 가지고 어떻게 작업을 하고 있습니다. 우리가 궁금한 것은 그 결과입니다. CALL 0043A7F0에 의해서 eax는 FFFFFFFF가 됩니다. 그래서 test eax, eax/je 00409C8E에서는 분기 하지 않습니다. 만약에 분기 했다면 ebp-14가 가리키는 값은 0이 될 것이고, 그러면 cmp [ebp-14], 00/je 00409D18 에서 분기할 겁니다. 그 다음에 CALL 004373C0에 의해서 eax는 0으로 됩니다. 이 eax 값은 mov [ebp-14], eax명령에 의해서 ebp-14가 가리키는 값이 역시 0이 될 것입니다. 이것은 위의 test eax, eax/je 00409C8E에서 분기한 것과 마찬가지 결과에요. 참고로 말하자면 이 call 004373c0에서 우리가 써 넣은 등록번호를 확인하고 있는 것 같습니다. 우선 등록번호의 길이가 8이 아니면 eax를 0으로 만들고, 8이라면 등록번호가 제대로 된 것인지를 확인합니다. 아무튼, 여기서 알 수 있는 것은 ebp-14가 가리키는 값이 0이 되면 등록이 안된다는 거겠죠. 제가 써 넣은 1234라는 '틀린' 등록번호에 대해서 ebp-14가 모두 0이 되었으니까요. 또 ebp-14가 가리키는 값이 0일 때 분기하는 je 00409D18은 '좋지 않은' 분기라는 걸 알 수 있습니다. 한 번 r fl z 명령으로 JUMP를 NO JUMP로 바꿔 보세요. 그렇게 하는 것만으로도 등록이 된다는 걸 알 수 있을 겁니다. 정리를 해 보죠. 어떻게 해서 던지 간에, je 00409d18에서 NO JUMP를 만들어 준다면 우리는 등록을 하게 됩니다. 즉, 이 프로그램을 크랙하려면 단순히, je 00409d18에서 r fl z 명령으로 분기를 하지 않게 만들어 주거나, 아니면 r al명령으로 al값을 바꿀 수 있게 한 다음, 그것을 1(0이 아닌 어떤 값)로 바꿔 주면 되는 겁니다. 그 위에 있는 여러 개의 call들을 모조리 살펴 보는 것은 정말 귀찮은 일일 것입니다. picaview의 경우 처럼 keygen을 만들 것이 아니라면 그런 call을 모두 살펴 볼 필요가 없습니다(시간 많은 분들은 한 번 살펴 보세요). 일단 그렇게 등록을 하면 '제대로 된' HEXWORKS.REG파일을 만들게 되고, 그것으로 크랙을 마친 거에요. 이렇게 모든 call을 살펴 보지 않고도 '느낌'으로 '중요한' 부분을 찾아서 크랙할 수 있습니다. 좀 무식해 보이긴 하지만 말입니다요. 이 Hex Workshop을 크랙하는 데에는 3분도 걸리지 않았습니다. 일요일 아침에 일어나서 할 일이 없어서 뭘 할까 하다가, 어떤 분이 보낸 편지가 생각나서 '이지 포스터'를 크랙했습니다. 그러다 보니까 Hex Workshop을 쓸 일이 있어서 열려고 하는데, 사용기간이 다 됐다고 하더군요. Hex Workshop 크랙하는 걸 미뤄왔는 데, 이 참에 크랙해야지 하고 시작했는 데, 3분도 안 걸리더군요. 이렇게 무식한 방법을 글로 쓰는 게 좀 망설여 졌지만, 의외로 이렇게 무식한 방법으로도 크랙할 수 있는 멍청한 프로그램이 많이 있으니까.. 헤헤... 그냥 썼습니다. Page 3 16. Nothing Else Matters 16. Nothing Else Matters 안녕하세요. 이번에는 유명한 Mammon_ 이라는 크랙커의 글을 옮겼습니다. 크랙할 프로그램은 바로 메모장(Notepad)입니다. 메모장을 크랙한다니 좀 이상하죠. 하지만 크랙이라는 게 등록번호나 알아 맞추고, 사용 제한 시간을 없애 주는 따위의 일 만 말하는 게 아니라는 걸 깨닫게 해 주는 글입니다. 특히 이 Mammon_이라는 크랙커는 재미있고 유익한(허허.. 국정교과서 같은 말이네요 : ) 크랙 방법을 많이 소개했습니다. 그 중에는 Netscape의 쓸모 없는 버튼을 꼭 필요한 버튼으로 바꾸는 방법도 있고, 바로 이 글에서 말한 메모장의 '글꼴'을 바꾸는 방법도 있었습니다. 메모장은 윈도우에 딸려 있는 프로그램이니까 누구나 다 갖고 있을 것입니다. 또 누구나 한 번 쯤은 사용해 봤을 것이구요. 그런데 그 메모장에서 쓰이는 '고정된' 글꼴을 바꾸는 크랙을 소개하고 있습니다. 또 그의 풍부한 지식으로 크랙에 대한 여러 가지 도움이 되는 말을 한 글이므로, 우리 초보 크랙커에게는 꼭 읽어 볼 만한 글이라고 생각해서 여기에 옮겼습니다. 알림: + 메모장을 그냥 Notepad로 옮겼습니다. 어차피 파일 이름은 Notepad.exe니까, 혼란스럽지 않도록 그대로 notepad를 썼습니다. + 그리고 전문용어(?)인 pen, brush, font같은 것은 그냥 그대로 영어를 썼습니다. 그에 대응하는 마땅한 우리말을 몰라서요. + 또, prototype이라는 것도 이에 대응하는 우리말을 모릅니다. 제가 갖고 있는 C책이 영어로 된 거라서, 그냥 prototype이라고 밖에는 몰라요(제가 말했었죠. 학교에서 C수업에 한 번 밖에 나가지를 않았다구요. : ) 아.. 그리고 한 마디 더 보태면요, 지금까지 저는 항상 disassemble이라고 영어를 썼죠, 디스어셈블 이라고 하지 않구요. 그 이유는 디스어셈블이라고 이상한 우리말을 쓰기가 싫었기 때문이기도 하구요, 다른 분들은 모두들 디어셈블, 디어셈 이라고 하더군요. s가 묵음인가요? 그것도 정확히 몰라서, 그냥 disassemble이라고 쓰고 있습니다. ------------------------------------------------------------------------------- _Project One_ *The Target* Notepad는, 누구나 다룰 수 있어야 하는, 아주 작고(34K) 빠른 윈도우용 문서 편집기이다. 이 프로그램은 몇 가지의 제한 사항이 있다. 즉, 한 번에 하나의 파일만을 다룰 수 있고, 다룰 수 있는 파일의 크기가 제한 되어 있고, 파일의 내용을 보기 싫은 시스템 글꼴 사용해 보여준다는 것이다. 이 마지막 제한사항을 바꿔 보려고 한다. ------------------------------------------------------------------------------- *The Job* 우선, 32비트 disassembler로 Notepad.exe를 열어야 한다. 나는 w32DASM을 쓰고 있다. w32DASM은 무료로 얻을 수 있고(물론 demo용이다), 꽤 믿을 만 하기 때문이다. 가장 먼저 할 일은 소스 파일을 눈이 빠지도록 쳐다 보거나, 하나 하나 그 내용의 뜻을 파악하는 게 아니다. 그렇게 하는 건 필요 없는 일이다. 우리가 관심있는 건 오직 '글꼴' 뿐이기 때문이다. Notepad는 시스템 글꼴을 사용하는 시스템 도구이다; 따라서 그 글꼴은 윈도우의 시스템 자원에 포함 되어 있을 것이며, 정확히 말해 GDI32.DLL 안에 있다(GDI는 pen, bursh, font, Device Context따위의 객체를 다루고, USER는 window, menu, icon, constrol, timer, task management, messaging, the clipboard, network따위를 다룬다. 그리고 KERNEL은 memory management, dynamic linking, task scheduling, and program loading을 다룬다). 따라서 우리는 W32DASM의 Functions->Imports 메뉴를 사용해서 GDI가 사용한 목록을 살펴 봐야 할 것이다. GDI32.AbortDoc GDI32.CreateDCA GDI32.CreateFontA GDI32.DeleteDC GDI32.DeleteObject GDI32.EndDoc GDI32.EndPage GDI32.GetDeviceCaps GDI32.GetStockObject GDI32.GetTextCharset .... CreateFontA는 다음 부분의 마지막에 있다. -----ASM Excerpt 1---------------------------------------------------------------------- * Menu: MenuID_0001, Item: "Save" * String Resource ID=00001: "Cannot open the %% file. Make sure a disk is in the drive y" | :004037B2 6A01 push 00000001 :004037B4 53 push ebx * GDI32.SetBkMode, Ord:010Dh | :004037B5 FF15C0724000 Call dword ptr [004072C0] :004037BB 8D8558FFFFFF lea eax, dword ptr [ebp FFFFFF58] * GDI32.GetTextMetricsA, Ord:00CDh | :004037C1 8B35BC724000 mov esi, dword ptr [004072BC] :004037C7 50 push eax :004037C8 53 push ebx :004037C9 FFD6 call esi * Menu: MenuID_0001, Item: "Page Setup..." * Dialog: DialogID_000E, CONTROL_ID:0020, ":" * String Resource ID=00032: "%%" | :004037CB 6A20 push 00000020 :004037CD 8D4590 lea eax, dword ptr [ebp-70] :004037D0 50 push eax * String Resource ID=00057: "Courier New" | :004037D1 6A39 push 00000039 :004037D3 FF3570514000 push dword ptr [00405170] * USER32.LoadStringA, Ord:0168h | :004037D9 FF15B0734000 Call dword ptr [004073B0] :004037DF 8D4D90 lea ecx, dword ptr [ebp-70] :004037E2 51 push ecx :004037E3 6A31 push 00000031 :004037E5 6A00 push 00000000 * Menu: MenuID_0001, Item: "Page Setup..." * Dialog: DialogID_000E, CONTROL_ID:0020, ":" * String Resource ID=00032: "%%" | :004037E7 6A20 push 00000020 :004037E9 6A00 push 00000000 :004037EB FF75F8 push [ebp-08] :004037EE 6A00 push 00000000 :004037F0 6A00 push 00000000 :004037F2 6A00 push 00000000 :004037F4 FFB574FFFFFF push dword ptr [ebp FFFFFF74] :004037FA 6A00 push 00000000 :004037FC 6A00 push 00000000 :004037FE 6A00 push 00000000 :00403800 FFB558FFFFFF push dword ptr [ebp FFFFFF58] * Reference To: GDI32.CreateFontA, Ord:002Bh CreateFontA함수가 저장/인쇄(Save/Print) 대화 상자의 일부분으로서 호출되고 있다는 걸 알 수 있다. Notepad를 열어 보면 이 것을 확인할 수 있다 -- 파일은 시스템 글꼴이 아니라, Courier New글꼴로 저장되거나 인쇄된다. 아무튼, 위의 코드는 대화 상자(dialog box)에 의해 호출 되는 것이지, 프로그램이 시작할 때 불려지는 것이 아니다 -- 따라서 이 것은 우리가 찾고 있는, 프로그램의 기본 글꼴(default font)이 아니다. 그렇다면 다음으로 우리가 생각해 봐야 할 것으로는 GetStockObject가 있다. Win32 API 에 따르면, "GetStockObject 함수는 지정된 pens, brushes, fonts, 또는 palettes를 결정한다"라고 나와 있다. 바로 우리가 찾고 있는 것 같다. 이 함수를 호출하는 부분은 아래와 같다. -----ASM Excerpt 2--------------------------------------------------------------------- :004027A0 688C614000 push 0040618C * Data Obj ->"Edit" | :004027A5 6890614000 push 00406190 :004027AA 6800020000 push 00000200 :004027AF FFD7 call edi :004027B1 A304604000 mov dword ptr [00406004], eax :004027B6 3BC3 cmp eax, ebx :004027B8 0F8401030000 je 00402ABF * String Resource ID=00016: "Cannot find "%%"" | :004027BE 6A10 push 00000010 * GDI32.GetStockObject, Ord:00BCh | :004027C0 FF1594724000 Call dword ptr [00407294] :004027C6 6A00 push 00000000 ------------------------------------------------------------End of ASM Excerpt 2------------ 윈도우의 API 함수를 disassemble할 때, 함수에 필요한 파라미터(parameters)들은 스택에 저장(pushed)된다. 그리고 API함수가 이런 파라미터들을 꺼내 쓰고(pops), 그 함수의 결과 값은 AX레지스터(DX레지스터가 될 수도 있다)에 저장된다. 이런 파라미터들은 함수의 prototype에 따라서 순서대로 저장된다. GetStockObject의 prototype은 다음과 같다: HGDIOBJ GetStockObject( int fnObject // type of stock object ); fnObject은 다음 파라미터 중에서 하나를 취한다: BLACK_BRUSH, DKGRAY_BRUSH, GRAY_BRUSH, HOLLOW_BRUSH, LTGRAY_BRUSH, NULL_BRUSH, WHITE_BRUSH, BLACK_PEN, NULL_PEN, WHITE_PEN, ANSI_FIXED_FONT, ANSI_VAR_FONT, DEVICE_DEFAULT_FONT, OEM_FIXED_FONT, SYSTEM_FONT, SYSTEM_FIXED_FONT, DEFAULT_PALETTE. GetStockObject가 단 하나의 파라미터 만을 취하기 때문에 그 함수가 호출 되기 바로 전에 스택에 저장된(pushed) "00000010"이 바로 fnObject라는 것을 알 수 있다. 그렇다면 10이 어떤 값의 파라미터를 뜻하는 것일까? 이 것을 알아보려면, 윈도우용 C/C++ 컴파일러의 Include 디렉토리에 있는, WinGDI.h를 찾아 봐야 한다. 이 파일에서 SYSTEM_FONT를 찾아보면 다음과 같은 부분을 볼 수 있다: /* Stock Logical Objects */ #define WHITE_BRUSH 0 #define LTGRAY_BRUSH 1 #define GRAY_BRUSH 2 #define DKGRAY_BRUSH 3 #define BLACK_BRUSH 4 #define NULL_BRUSH 5 #define HOLLOW_BRUSH NULL_BRUSH #define WHITE_PEN 6 #define BLACK_PEN 7 #define NULL_PEN 8 #define OEM_FIXED_FONT 10 #define ANSI_FIXED_FONT 11 #define ANSI_VAR_FONT 12 #define SYSTEM_FONT 13 #define DEVICE_DEFAULT_FONT 14 #define DEFAULT_PALETTE 15 #define SYSTEM_FIXED_FONT 16 #if(WINVER >= 0x0400) #define DEFAULT_GUI_FONT 17 따라서 16진수 10h, 즉 10진수로는 16은 SYSTEM_FIXED_FONT라는 것을 알 수 있다. 따라서 우리는 notepad.exe의 소스 파일의 내용을 다음과 같이 생각할 수 있다. :004027BE 6A10 fnObject = SYSTEM_FIXED_FONT; :004027C0 FF1594724000 HGDIOBJ GetStockObject( fnObject ); 또는 더 간단히 :004027BE 6A10FF1594724000 HGDIOBJ GetStockObject( SYSTEM_FIXED_FONT ); hex editor로 몇 번 시험해 보니까, Courier 10글꼴은 ANSI_FIXED_FONT, 즉 16진수로 0B 값을 선택하면 된다는 것을 알 수 있었다. 이렇게 바꾸기 위해서는 :004027BE의 코드 6A10을 6A0B로 바꿔야 한다. 자, 이제 여러분이 사용하는 hex editor를 이용해서 FF1594724000 의 바로 앞에 나오는 3BC30F84010300006A10을 찾아서, 6A10을 6A0B로 바꾸자. 그리고 저장하면, Notepad를 크랙한 것이다. ------------------------------------------------------------------------------- 제가 해 보니까, 한글도 예쁘게 나오게 하려면 6A11(DEFAUT_GUI_FONT)로 고치는 것도 괜찮을 것 같네요. 저는 6A11로 고쳐서 쓰고 있습니다. 이 글은 Mammon_이 쓴 글을 제가 옮긴 것 뿐이라는 걸 다시 한 번 밝힙니다. Page 3 17. Battery 17. Battery 이 글은 바로 앞의 글(Nothing Else Matters)에서 소개한 Mammon_이 쓴 글 중 일부입니다. 아래에 나와 있듯이 '연습문제 2번' 만을 골라서 옮긴 글입니다. 원래의 글은 SoftIce에 대한 전반적인 소개와 사용 방법에 대해 다루고 있습니다. 그리고 Sice의 사용 연습으로 몇 개의 예를 들어 놓았는 데, 여기서 옮긴 부분이 바로 두 번째 예제입니다(그 글은 너무 길어서 전부 옮기질 못했습니다. 제 특기가 원래 바쁜_척_하기 에요. : ) 화면 보호기의 암호를 크랙하는 방법에 대한 얘기입니다. 아래에서 얘기가 되었듯이, 만약에 암호를 잊어 버렸다면 정말 다시 부팅하는 방법밖에 없을 테니 답답하겠죠. 이럴 때 필요한 방법이에요(물론, 다른 용도로 쓸 분도 계실 거라고 생각합니다. : ) 여기에서 encrypt/encrypting을 '암호화'라고 옮겼습니다. 이 '암호화'에 대해서는 저도 아는 게 별로 없어서, 다음 글(walk!)에서 이 '암호화'에 대한 글을 옮겼습니다. 관심있는 분들은 한 번 보세요. 그런데, 저도 그 분야..에 대해서 잘 모르기 때문에, 옮기긴 했는 데 제대로 옮긴 건 지 모르겠네요. 한 번 읽어 보시고, 틀린 점 많이 지적해 주세요. 그리고 중간에 밑줄 치고, 그 다음에 원문을 함께 실은 부분이 있습니다. 이 부분은 제가 생각할 때 원문의 내용이 약간 의미가 불분명한 것 같은 부분입니다. 그래서, 제가 나름대로 약간 수정했습니다. 하지만, 역시 원문이 맞을 수가 있으니까(아마.. 그럴테지요. : ), 원문을 함께 실었습니다. 여러분이 직접 판단하세요. ------------------------------------------------------------------------------- *Excercise 2: Regaining Lost Access* 시스템의 보안을 철저하게 해 놓았다면, 비밀 번호를 잊어 버려서 자료에 손도 되는 처지에 놓일 수 있기 때문에 조심해야 할 것이다. 아마도 대부분의 경우에는 비밀 번호 파일(또는 접근을 막는 어떤 파일이 되었건)을 사전 공격(dictionary attack)하는 방법을 쓸 것이다. 하지만 잠깐 동안 자리를 뜬 사이에, 암호가 걸린 화면 보호기가 뜨고, 당신이 그 비밀 번호를 잊어 버렸다면 부팅을 다시 하는 수 밖에 없을 것이다. 그렇게 하면 모든 자료는 이미 지워 졌을 터이고. 하지만, Soft-Ice는 이런 곤란한 상황을 헤처 나가게 해 줄 만큼 강력하다. 우선, (아직 설치하지 않았다면) Windows 95의 제어판을 이용해서 비밀번호 확인 과정이 걸린 화면 보호기를 설치한다. 화면 보호기가 뜰 때 까지 기다린 다음, 마우스를 움직여서 비밀 번호를 써 넣는 login 대화 상자가 나타나게 한다. 이제 시작해 보자: 1) 아무 비밀번호나 써 넣는다. 그리고 _Ctrl-D_를 누른 다음 hmemcpy에 중단점을 설정한다(_bpx hmemcpy_)--hmemcpy는 메모리 안에서 문자열을 이리 저리 옮기는 역할을 하는, 윈도우의 kernel 함수이다. 이 것은, 비밀번호 인증을 위해서 비밀번호를 대화 상자에 써 넣는 경우에도 역시 쓰일 것이다. _Ctrl-D_를 눌러서 다시 화면 보호기로 돌아와서, OK 버튼을 누른다. Soft-Ice가 다시 뜰 것이고 KERNEL!LOGERROR 0123이라는 곳으로 우리를 데려 갈 것이다. 2)Kernel.Alloc이라는 게 보일 때 까지 _F12_를 누른다(10 번). 그리고 마지막으로 F12를 한 번 더 눌러서 우리가 원하는 코드로 찾아 간다. 이 경우에 우리가 원하는 코드는 (놀랍게도) PASSWORD!.text이다. 이제 windows\system 디렉토리 안에 있는 passwrod.cpl이라는 실행파일의 코드가 우리 앞에 보인다. Password.cpl은 37,376 bytes 크기의 제어판 파일(Control Panel extension)이다. 따라서 우리는 .scr파일이 Passwords Control Panel 프로그램을 사용해서 보안 작업을 수행한다는 것을 알 수 있다. Password.cpl은 아래와 같은 함수를 사용한다: 0000 00001151 CPlApplet 0001 00003f3b PPChangePassword 0002 00003eb9 PPGetPasswordStatus 0003 00004006 VerifyScreenSavePwd 또, (다른 윈도우용 프로그램처럼) 다음과 같은 흥미있는 다른 함수들도 사용한다. MPR.dll 0015 PwdSetPasswordStatusA 004e WNetVerifyPasswordA 0011 PwdChangePasswordA 0013 PwdGetPasswordStatusA 003f WNetGetUserA 점점 재미있어 진다. 정말이지, 이 것에 대한 '전부 뜯어 고치기(full reverse)' 강좌가 필요할 것 같다. 3) 그 부분의 코드를 잘 살펴 보자: 0137:7C45428F CALL [7C4582BC] 0137:7C454295 TEST EDI, EDI 0137:7C454297 JNZ 7C4542B1 0137:7C454299 LEA EAX, [EBP-04] 0137:7C45429C LEA ECX, [EBP-14] 0137:7C45429F PUSH EAX 0137:7C4542A0 PUSH ECX 0137:7C4542A1 CALL 7C454536 0137:7C4542A6 TEST EAX, EAX 0137:7C4542A8 JZ 7C4542DE 0137:7C4542AA MOV EAX,00000001 0137:7C4542AF JMP 7C454322 비밀번호를 사용하는 보안에서는 암호화되지 않은 비밀번호(unencrypted copy of the password)를 메모리에 올리지 않는다. 일반적으로 사용자가 써 넣은 비밀번호는, 비밀번호를 암호화 하는 과정과 똑같은 과정을 거쳐서 암호화 된 다음, 암호화 되어 있는 진짜 비밀번호와 비교된다(물론, 이 보다 훨씬 강력한 방법을 사용하고 있겠지만, 기본적인 원리는 이렇다는 것이다). 이와 같은 사실이 우리에게 말해 주는 것은, 만약 *'진짜'* 비밀번호를 알아 내려고 한다면 복잡한 수식을 풀어 가야 할 것이라는 것이다; 하지만 단지 비밀번호 인증 과정을 *'통과'*하기만을 바란다면, 단지 CMP 명령만 다루면 된다는 것이다 -- "flag를 고치는" 방법이다. 그 부분의 코드들을 찬찬히 살펴 보면, 두 종류의 분기가 있다는 것을 알 수 있을 것이다: 하나는 7C4542xx의 부분으로 분기 하는 것이고(7C454297에 있는 JNZ와 7C4542A8에 있는 JZ), 다른 하나는 7C4543xx의 부분으로 분기 하는 것이다(7C4542AF에 있는 JMP). If you eyeball the code a little, You'll notice that there are two classes of jumps: one that dumps you in the 7C4542xx range(the JNZ at 7C454295 and the JZ at 7C4542A8), and the one that dumps you in the 7C4543xx range (the JMP at 7C454322). 이런 비슷한 코드들을 수 없이 보아 오면서 생긴 직감으로 다음과 같이 예상할 수 있다. 아마도 두 개의 비교 확인 부분이 있을 것이다(하나는 비밀번호의 길이를 확인하는 것일 테고, 다른 하나는 비밀번호의 내용을 확인 하는 것일 것이다. 하지만 이 번 연습문제에서는 이런 비교 확인 부분은 별로 중요하지 않다). 그리고 그 두 개의 비교 부분을 "무사히" 거쳤다면 EAX는 00000001(boolean 값으로 "참"을 뜻하는 값이다)이라는 값을 가질 것이고, 그 다음에는 또 분기가 있을 것이다. 따라서, 그 두 개의 비교 부분에서 그냥 통과해서(즉, 분기 하지 않고) 7C454322까지 와야 한다는 것을 예상할 수 있다. 어떻게 그걸 아느냐고 묻는다면, 그냥 그렇게 추측했을 뿐이라고 대답할 수 밖에 없다. 하지만 그 부분의 코드들을 단계별로 실행해 본다면, 비밀번호가 틀렸다면 위의 그 분기 부분에서 모두 Jump한다는 것을 알 수 있을 것이다(즉, 첫 번째 분기에서 Jump하지 않았더라도, 두 번째 분기에서는 Jump하게 될 것이다). 그리고 "비밀번호가 틀렸다"고 하는 글 상자가 나올 것이다. (4)JNZ 7C4542B1까지 _F10_을 눌러서 온 다음, zero flag의 값을 바꿔 준다(_r fl z_). 그리고 _F10_을 눌러서 다시 JZ 7C542DE까지 온다. 이번에도 역시, zero flag를 바꿔 준다, 그리고 _CTRL-D_를 눌러서 화면 보호기로 돌아 온다... 그러면 화면 보호기는 곧바로 없어지고 바탕화면이 여러 분을 기다리고 있을 것이다. hmemcpy에 설정해 놓은 중단점을 지우는 것을 잊지 말자..... 좋은 소식은, 이제 여러분은 Soft-Ice로 화면보호기의 엉터리 비밀번호-protection scheme을 깰 수 있다는 것이다. 나쁜 소식은, 당신이 침투하려고 하는 시스템의 주인은 Soft-Ice를 설치 하지 않으려고 할 것이라는 것이다. 물론, 더 자세히 크랙해 나간다면, .scr이나 .cpl파일을 무력하게 만드는 프로그램을 직접 만들 수도 있을 것이다. 그리고 그 프로그램을 CD-ROM의 autorn.inf 파일에 집어 넣을 수 있을 것이다. 여러 분이 침투하고 싶어 하는 컴퓨터가 "autoplay"기능이 되는 것이기를 바라면서.... ------------------------------------------------------------------------------- 이 글은 Mammon_이 쓴 글을 제가 옮긴 것 뿐이라는 걸 다시 한 번 밝힙니다. Page 3 18. Walk! 18. Walk! 암호화(encrypt)에 대한 Jon의 강좌를 옮겼습니다. 크랙을 몇 개의 분야로 나누었을 때, 그 중 한 분야를 차지할 수 있는 것 중 하나가 바로 이 '암호화'일 것입니다. 그만큼 범위도 넓고, 배워야 할 것도 많다는 얘기겠죠. 하지만 저 같은 초보 크랙커는 이 분야에 대해 거의 알지 못합니다. Jon이라는 크랙커가 '암호화'를 크랙커의 관점에서 설명해 놓은 글입니다. 하지만, 제가 아는 게 없어서 제대로 옮긴 것인지 모르겠네요. 틀린 점_들_ 찾으시면 많이들 지적 해 주세요. 일러두기: brute force attack + : 무대뽀 공격 + 성공할 때 까지, 가능한 모든 경우를 시도하는 공격 방법. + 일반적으로, 암호화 된 파일의 내용을 알아 볼 수 있을 때 까지 서로 다른 key로 암호화 풀기를 시도하는 방법이다. + (dictionary attack) -> 사전 공격 cryptanalytic attack + : 암호화분석 공격 encrypting + : 암호화 decrypting + : 암호화 풀기 algorithm + : 알고리즘 round + 자료의 결과값을 얻어 내기 위해 여러 번 반복하는 일련의 산술 연산. + 예를 들어서, DES는 16 개의 round를 사용한다. + 각각의 round에서 정해진 만큼의 연산을 수행한다. hash + :해쉬 : ) + 임의의 양의 자료로 부터 일정한 크기의 결과값을 얻어 내는, 고전적인 산술 작업. + 이론적으로는, 입력되는 자료를 아주 약간만 바꾸어도 결과의 반 정도를 바꿀 수 있다. + 자료를 이렇게 hash하면, 특정한 hash값을 얻는다. 그리고 이 값은 자료가 저장 또는 전송 되기 전에 자료와 함께 넣어지게 된다. 이 자료를 읽어 들일 때, hash값을 계산해서 자료에 포함된 hash값과 비교된다. 그래서, 두 값이 다르다면 무언가 잘못 된 것이 있다는 것이고, 보통 이럴 때 자료를 재전송 요구하게 된다. key + 어떤 자료를 "자물쇠"로 잠근다는 의미는, 제대로 된 "열쇠(key)"를 가져야만 그 자료에 접근할 수 있게 만든다는 의미이다. + 암호화 과정에서, 우리가 알아 볼 수 있는 내용(plaintext)과 그 내용을 암호화 하는 데 사용하는 여러 방법을 결정할 수 있게 해 준다. + 특정한 key를 사용함으로 해서 같은 내용을 여러 가지 형태로 암호화 할 수 있는 것이다. + 그리고 우리가 그 key를 알고 있다면, 암호화된 내용을 다시 우리가 알아 볼 수 있도록 고칠 수도 있는 것이다. + 서로 다른 key를 만들 수 있는 경우의 수를 많게 하면 할 수록, 무대뽀 공격을 무력하게 할 수 있을 것이다. crack/reverse engineer + :크랙 + 이 글 뿐 아니라 제가 옮긴 글에서, 또 쓴 글에서 마찬가지 입니다. Crack과 Reverse Engineer를 모두 '크랙'으로 옮겼습니다. 물론 옳은 번역은 아니라고 생각합니다. 하지만, 제가 쓴 글의 범위 안에서는 '크랙'을 넓은 의미로 생각해서, Reverse Engineer를 포함한다고 생각해 주세요. ------------------------------------------------------------------------------- Encryption, a short tutorial How to reverse engineer encrypted files by Jon (12 October 1997) Encryption. Copyright by Jon. With additions and corrections by Joe Peschel. [September 28th, 1997.] 차례: 1. 들어가기(암호화의 목적) 2. 암호화는 어떻게 이루어지나 3. 암호풀기 4. 암호화된 파일 크랙하기 + (무대뽀 공격과 키(key)알아 내기) 5. 알고리즘(most known algorithms) 6. 암호화 프로그램의 소개 [1. 들어가기(암호화의 목적).] 암호화의 주 목적은 컴퓨터의 정보들을, 당신 만이 알 수 있는 비밀번호를 사용해서, 마구 뒤섞는 것이다. 아마도 암호화는 '디지털 키(digital key)'와 비슷하다고 생각하면 될 것이다. 하지만 내가 사용하는 컴퓨터 안의 정보들에 디지털 키를 사용해야 하는가 라고 반문할 수도 있을 것이다. 글쎄, 여러분은 집 대문을 잠그지 않는가. 왜 잠그는가? 다른 사람이 물건을 훔쳐가지 못하도록 하기 위해서일 것이다. 암호화도 마찬가지이다. 여러분의 자료를 마구 뒤섞어서 디지털 키를 모르는 사람에게는 쓸모없게 만드는 것이다. 비밀스럽게 간직하고 싶은 자료들은 많이 있다. 회사의 정보가 될 수도 있고, 재정 상태, 당신이 만든 프로그램의 소스 코드, 연애 편지가 될 수도 있다. 또 인터넷에서 받은 XXX-images가 될 수도 있을 것이다(예를 들어 보자. 당신의 어린 동생이 c:\download\xxx\pamela.jpg라는 파일을 발견했다면 뭐라 설명하겠는가?). 이유야 어찌 되었건 간에, 암호화가 그 답이 될 수 있을 것이다. 암호화된 파일은 호기심많은 어린 아이들에게는, 쓸모 없는 파일일 뿐이다. 암호화는 protection scheme의 일부로써 쉐어웨어 프로그램에도 쓸 수 있을 것이다. 이것에 대한 이야기는 여기서 하지 않겠다. 하지만 관심이 있다면 +HCU의 학생들과 +ORC가 그 분야에 대해 써 넣은 많은 글들을 읽어 보길 바란다. [2. 암호화는 어떻게 이루어지나.] 당신이 원하는 파일을 암호화 프로그램이 어떤 알고리즘을 이용해서 변경할 때 암호화가 이루어진다(알고리즘에 대해서는 5장을 참조). 어떤 암호화 프로그램은 여러 개의 알고리즘을 사용한다. 그래서 사용자가 그 중 가장 믿을 만한 것을 선택할 수 있다. 암호화 작업은 다음과 같이 이루어진다: 암호화할 파일을 선택하면, 비밀번호를 물어 온다. 대부분의 경우 입력한 암호는, 해쉬(hash)작업을 거친다. 만약 암호화 프로그램이 이런 기능(hash function)을 지원하지 않는다면, 암호화 된 파일 또한 역시 별로 안전하지 못할 것이고, 또 비밀번호를 충분한 만큼의 길이로 만들어야 할 것이다. 몇몇 좋은 암호화 프로그램에 대해 이야기한 6장을 살펴 보라. 많은 암호화 프로그램이 CBC(Cipher Block Chaining) 상태에서 작업한다. 이것은 좀 더 확실한 보안을 할 수 있게 해 준다. 예를 들어서, Blowfish의 프로그램 중에는 CBC Initialization Vector가 무작위로 64 bit값을 만들어 낸다. 이런 것들이 암호화된 파일들은 다른 파일들과 다르게 만든다(같은 파일을 같은 알고리즘으로 같은 비밀번호를 사용해서 암호화 했다고 해도, 각각의 파일들은 서로 다르다). CBC를 이용할 때에는 자료들이, 서로 서로 연결되어 있는 일정한 구간(block)들로 나누어져서 암호화 된다. 이렇게 해서 암호화된 파일은 깨기가 더 힘들다. ECB(Electronic Code Book)을 사용하는 암호화 프로그램도 있지만, 이런 것들은 텍스트 공격(plaintext attack)으로 쉽게 깰 수 있기 때문에 안전하지 못하다. 암호화 과정이 끝나면, 암호화된 자료가 파일에 쓰여 진다. 어떤 암호화 프로그램은 파일 이름을 임의로 새로 만든다(이렇게 하면 그 파일의 내용이 어떤 것인지 아무도 알 수 없다). 다른 암호화 프로그램들은 그냥 원래의 파일에 덮어 쓴다. '묶기(archive)' 기능을 지원하는 프로그램도 있다. 이렇게 하면 여러 개의 파일을 하나의 암호화된 파일로 만들 수 있다. 묶기 기능을 지원하는 프로그램은 대부분 '압축(compress)'기능도 지원한다. 이 기능은 파일을 전자 우편으로 보내 고자 할 때 유용하게 쓰인다. 하지만 전자 메일에는, PGP 같은 공개 키(public key)를 이용한 암호화 프로그램이 더 적합하다. [3. 암호풀기] 암호풀기에 대해서는 별로 얘기할 것이 없다. 암호화의 반대 작업이다. 암호풀기를 시작하기 전에, 프로그램은 서명(signature)을 확인한다(대부분의 암호화 프로그램이 파일을 만들 때 서명을 남긴다, 그리고 암호 푸는 프로그램이 이 서명을 확인하는 것이다). 만약에 다른 종류의 알고리즘/프로그램을 이용해서 암호를 풀려고 한다면 그 결과는 엉망일 테니까, 이런 방법은 아주 간편하다. [4. 암호화된 파일 크랙하기(무대뽀 공격과 키 알아내기)] 많은 암호화 알고리즘이 크랙될 수 있다. 여기에 크랙된 예를 들어 보면: MS Word 2-7 버전, Excel, Word Perfect 버전 7까지, Windows 3.x and 95 화면 보호기 (Fravia 페이지에서 Lonely Hawk가 쓴 글을 읽어 보라), PKzip(Peter Conrad의 Biham/Kocher 텍스트 공격 프로그램), CtypEdit, 그리고 Crypt-o-Text. Crypt-o-text 프로그램을 크랙하는 데 대한 Casimir의 글도 있다(Fravia 페이지). 알고리즘이 크랙되고 난 다음에는(위에서 말한 대부분의 프로그램의 경우), 비밀번호를 알아 내는 것은 시간 문제이다. Pkzip의 텍스트 공격은 시간이 약간 걸릴 수 있다. 하지만 그 방법은 무대뽀 공격이나 사전 공격을 쓰는 크랙 프로그램은 아니다. 강조하지만, 제대로 된 암호화 알고리즘이라면 비밀번호를 암호화된 파일에 두지 않는다. 따라서 다른 방법을 써야 한다. 1. 무대뽀 공격 프로그램을 사용한다. 여러분 스스로 만들어 쓸 수도 있고, 인터넷에서 하나 건져와도 된다. 하지만 이 방법은 아주 힘든 방법이다. 요즘에 나온 알고리즘이 쓰는 keysize는 너무 커서, 개인용 컴퓨터에서 이 방법을 쓰면 몇 년이 걸릴 지 모른다. 하지만 수 백 수 천 개의 컴퓨터가 서로 연결된 인터넷에서는 48-bit RC5와 56-bit DES가 크랙되었다. (RSA Data Security Secret Key Challenge에 대해서는 http://www.rsa.com/rsalabs/97challenge/을 찾아 가 보길 바란다) 피해를 당한 컴퓨터에서 ASCII 데이터를 가져와 wordlist를 만들고 싶을 수도 있을 것이다. 2. 또 다른 방법은, 암호화된 파일을 만든 사람에 대한, 얻을 수 있는 모든 정보를 수집하는 것이다. 사람들은 종종 그들의 생일(거꾸로 할 수도 있을 것이고, 여러 가지 순서로 바꿔 쓸 수도 있을 것이다)이나, 주민등록번호, 기르는 강아지 이름 따위를 이용해서 암호화를 진행한다. 3. 컴퓨터 게임이나 화면 보호기, MS-Word나 Excel 따위에 모두 같은 비밀 번호를 사용하고, 이 비밀번호를 이용해서 암호화를 진행하는 사람도 있을 것이다. 4. Mitnick이라고 불리는 Social engineering. 5. keystrokes를 파일에 저장하는 Keyboard loggers. 개인적으로 나는, 56 바이트 길이의 비밀번호(문자 뿐만 아니라 특수 문자까지 사용한 것)를 클립 보드에 복사한 다음에 암호화 작업을 시작하는 프로그램을 만들어서 쓰고 있다. 그렇게 해서, CTRL+V만 눌러서 비밀번호를 적을 수 있다. 이런 방법은 내 컴퓨터를 나 말고는 아무도 쓸 수 없기 때문에 유용하다(만약 당신의 컴퓨터에 누군가가 접근할 수 있다면 이 방법을 절대 쓰지 말아야 한다. 침입자(attacker)는 이 것을 금방 알아 챌 것이다). [5. 알고리즘(most known algorithms).] Blowfish Blowfish는 가장 널리 알려진 것 중 하나이다. 아주 빠르다. 나의 P200에 있는 Window$ 95에서 5,2 mb/s의 속도를 낸다(WinNT 같은 32비트 OS에서는 더 빠를 것이다). 그리고 가장 안전한 방법 중 하나이다. key-size는 448비트(56 바이트)까지 할 수 있고, 또 이 key-size를 전부 사용한다면 무대뽀 공격(brute-force)는 소용없게 된다. 보통 상태로는 16 rounds로 암호화 한다. 더 늘릴 수도 있고 줄일 수도 있다. 예를 들어서 32 rounds를 사용하면 시간은 두 배가 걸릴 테지만 두 배의 암호화 작업을 해 준다. Blowfish는 Bruce Schneier가 만들었고, Doctor Dobb's Jornal 94년 4월 호에 실렸다. 아직 까지 이 방법의 약점은 알려지지 않았다. Cobra Cobra는 새로 나온 알고리즘이다. Blowfish와 비슷하다. Cobra는 원래 128 비트, 24 rounds 용으로 만들어 졌지만, Blowfish와 마찬가지로 이 것은 바뀔 수 있다. Cristian Schneider가 만들었고, 1996년 4월에 뉴스그룹 sci.crypt.research 에 발표 되었다. DES 이것은 가장 널리 알려진 알고리즘이다(그렇다고 가장 좋다는 것은 물론 아니다). DES(Data Encryption Standard)는 1974년, NSA와 IBM의 기술자들이 안전한 암호화 알고리즘을 만들어 내기 위해서 공동으로 연구를 하면서 부터 시작되었다. 처음에는 그것이 NSA와 함께 만들어 졌기 때문에 사람들은 그것을 별로 믿지 않았다. 하지만 곧 널리 쓰이게 되었다. 1976년 부터 1997년 까지, 연방 비-보안 문서(federal non-classified documents)를 암호화 하는 데 사용되었다. 원래 하드웨어에서 쓰이도록 만들어 졌기 때문에, 소프트웨어에서 사용하면 아주 느리다. 하지만 그게 전부가 아니다. 이 알고리즘의 key-size는 단 7 바이트(56 비트) 밖에 되지 않는다. 따라서 모든 가능한 key의 조합들은, 아주 빠른 컴퓨터에서라면 몇 시간 만에 테스트 될 수 있다. (사실 56 비트 DES key를 크랙하는 데에는 수 백개의 컴퓨터를 이용해서도 몇 달이나 걸렸지만, 미국 정부의 컴퓨터로는 몇 분만에 DES를 크랙할 수 있을 거라는 소문이 있어왔다). DES를 약간 변형한 알고리즘이 있다. key-size를 21 바이트로 세 배(triple) 늘인 TDES(Triple DES)와 속도가 좀 빠른 NewDES가 있지만 별로 안전하지는 않다. GOST 이것은 미국의 DES에 대응하는, 러시아에서 만든 알고리즘이다. 오랫동안 사용되었지만, 약점은 밝혀지지 않았다. keysize는 32 바이트이고, 32 rounds로 암호화 한다. Blowfish보다 암호화 함수는 훨씬 간단하다. IDEA 요즘 가장 많이 쓰이는 알고리즘이다. 128 비트(16 바이트) key를 사용한다. 이 방법은 오늘날 가장 안전한 알고리즘이라고 알려져 있다. IDEA는 스위스 Zurich에서 Xuejia Lai와 James Massey에 의해서 만들어 졌다. RC4 RSA에서 상업용으로 만들었고, 소스가 공개되지 않았기 때문에 처음에는 이 알고리즘에 대해서 알려진 게 거의 없었다. 그러나 Cypherpunks라는 동아리가 소스를 sci.crypt이라는 뉴스그룹에 공개했다. 지금은 RSADSI의 BSAFE Toolkit(소스와 함께)에서 얻을 수 있다. Bruce Schneier의 Applied Cryptography 제 2판에서 이 알고리즘에 대해 더 자세한 내용을 살펴 볼 수 있다. psuedo-RC4(RSA의 상표) 따위의 프로그램으로 만들어 졌다. Ronald Rivest에 의해 만들어 졌다. SAFER SAFER는 James Massey(IDEA를 만든 사람 중 하나)가 만들었고, Secure and Fast Encryption Routine을 뜻한다. 서로 다른 길이의 key를 가진 여러 개의 버전이 있다. 가장 많이 쓰이는 것은 128 비트의 key-size를 쓰는 SAFER SK-128이지만, 더 작은 길이의 key-size의 다른 버전도 많다. (Blowfish를 만든 Bruce Schneier의 말을 빌면, "NSA로 얼룩진") CYLINK의 요청에 의해서 SAFER가 만들어 졌다. Bruce Schneier의 비판을 받은 SAFER이지만, 지금까지 알려진 암호화분석 공격에도 아직까지 살아남았다. [6.암호화 프로그램의 소개] 이번 장에서는 훌륭한 암호화 프로그램 몇 개를 소개하겠다. 프로그램: 내가 가장 좋아하는 암호화 프로그램은 Blowfish Advanced 95 8.2f와 Kremlin 1.21이다. Blowfish Advanced는 아주 강력한 프로그램이다. 5개의 알고리즘을 갖고 있다: Blowfish, Blowfish32(Blowfish와 같지만 32 rounds를 사용해서 두 배의 암호화를 수행한다), GOST, Triple-DES, Cobra. Blowfish의 448 비트 알고리즘을 사용한다. http://www-hze.fht-esslingen.de/~tis5maha/software.html에서 다운 로드 받을 수 있고, 등록번호는 http://www.chez.com/jon101514/pc_bfa2f.zip에서 얻을 수 있다. Kremlin 1.21은 아주 편리한 도구이다. 완벽한 '끌어 놓기(drag-n-drop)' 방식으로 쓰기가 아주 편하다. 8개의 알고리즘을 가지고 있다, ASCII, Blowfish, DES, IDEA, NewDES, SAFER, Psuedo-RC4(RC4와 같다), Vigernere. 최대 key-size가 160 비트이기 때문에 Blowfish Advanced 95 만큼 안전하지는 않다. 그리고 EBC 상태로만 작업한다(덜 안전하다). http://www.mach5.com에서 다운 로드 받을 수 있다. 만약에 이 글을 읽었다면, 그리고 그 모든 알고리즘을 사용하지 못하는 것에 화가 난다면, 9797708151 (1.1 1.2 1.21 버전에서 모두 가능)로 등록하기 바란다. 웹에는 쉐어웨어/프리웨어 암호화 프로그램이 많이 있다. http://www.tucows.com/이나 http://www.shareware.com/이나 http://www.mysharewarepage.com/을 한 번 둘러 보라. Yahoo를 이용해서 프로그램을 찾을 수도 있을 것이다. 그러나 강력한 암호화 프로그램이 공개되는 것을 금지하고 있는, 멍청하고 쓸모없는 미 연방법 때문에 기능이 제한된 것을 찾는 데 그칠 수도 있을 것이다. 그러므로 다운 받은 프로그램이 완전한 것인지를 확인하길 바란다(완전한 프로그램을 다운 받을 수 있는 곳은 보통: 러시아, 폴란드, 네덜란드, 스칸디나비아, 유고슬라비아 이다). 정보: 여기에 몇 개의 훌륭한 링크를 소개한다(이 글에서 이미 밝힌 것도 포함해서): http://www.counterpane.com/blowfish.html - Blowfish 페이지. Blowfish에 대한 정보와 소스를 구할 수 있다. http://www-hze.fht-esslingen.de/~tis5maha/software.html - Blowfish Advanced 95를 받을 수 있다. http://www.mach5.com/ - Kremlin을 받을 수 있다(이 곳에는 암호화에 대한 정보도 있다) http://www.chez.com/jon101514/pc_bfa2f.zip - Blowfish Advanced 95 등록번호 http://www.tucows.com/, http://www.shareware.com/, http://www.mysharewarepage.com/ - + 쉐어웨어/프리웨어 가 많이 있다. 하지만 어떤 프로그램을 기능이 제한 되어 있다(대부분은 미국의 + 프로그램이다). http://hack.box.sk/ - 무대뽀 공격 프로그램(크랙, 등록번호, 해킹 프로그램도 있다) http://ourworld.compuserve.com/homepages/c_schneider/ - Cobra 만든 사람 http://www.cs.auckland.ac.nz/~pgut001/links.html - Peter Gutmann의 홈페이지. 내가 본 중, 암호화에 대한 정보가 가장 많이 있는 사이트였다. http://www.sni.net/~mpj/crypto.htm - 링크가 많이 있는, 훌륭한 암호화에 대한 페이지이다. http://members.aol.com/jpeschel/index.htm - Joe Peschel의 홈페이지. 무대뽀 공격 프로그램, 암호화에 대한 정보 . 뉴스그룹 sci.crypt - 정보가 많은 좋은 뉴스그룹이다. sci.crypt.research - 뉴스그룹 이 글은 크랙의 관점에서 살펴 본 암호화에 대한 간단한 소개였다. 위에 소개한 사이트들을 찾아가서 정보와 소스를 구해 보기 바란다. Joe Peschel에게 고맙다는 말을 하고 싶다. 그는 이 글의 틀린 점을 고쳐 주고, 여러 정보를 덧붙여 주어서 나를 많이 도와 줬다. 그래서 이 글은 이제 훨씬 좋아졌다. :-) (c) Jon 1997. All rights reversed ------------------------------------------------------------------------------- Page 3 19. In Dreams 19. In Dreams 안녕하세요. 이번 글은 좀 오랜 만에 올리는 글이 되었습니다. 요즘에 사정이 있어서, 컴퓨터를 쓸 수 없기 때문이에요. 재미있는 내용의 글입니다. 어떤 사이트의 페이지들은, 페이지를 열려고 하면 자바스크립트 글상자가 튀어 나옵니다. 아마 여러분도 이런 종류의 페이지를 본 적이 있을 거에요. 예를 들면, 제가 가 봤던 어떤 페이지는 페이지가 열리기 전에 자바스크립트 글상자가 나와서 "이 사이트의 내용에 대한 책임은 나에게 없고, 내용들은 교육적 목적으로만 써 주세요.." 라는 식의 글을 보여주었습니다. 그 사이트가 해킹/크랙킹 에 대한 내용을 담은 것이었기 때문에 그런 식으로 경고를 하는 모양이었습니다. 그런 식으로 주의를 주면, 정말 눈에 확 띄기야 하겠지만, 일일이 Ok(확인) 버튼을 누르는 것도 귀찮은 일이죠(저는 좀 게으른 편입니다요 : ) 이 글에서는 이런 자바스크립트 글상자가 나오지 않게 해 주도록 Netscape를 크랙하는 방법에 대해 얘기하고 있습니다(정확하게 말하자면, 자동으로 Ok(확인)버튼을 누른 것 처럼 하는 거에요). 내용은 그렇게 어렵지는 않은 것 같은데요, 자세한 설명이 없습니다. 잔소리를 조금 보탠다면요, 내용 중에 inc eax보다 inc ax가 상위바이트 하나를 더 쓴다고 하는 내용이 있습니다. 무슨 말이냐 하면요 inc eax의 기계어 코드는 40입니다. 그리고 inc ax의 기계어 코드는 6640입니다. 그러니까 66이라는 상위바이트를 하나 더 차지한다는 얘기죠. 별 것 아니죠? 여기서 쓴 방법은 xor eax, eax로 eax값을 0으로 만든 다음 inc ax로 eax값을 00000001로 만들어 주는 거에요. 이렇게 생각해 보면 될 것 같습니다. 글상자의 Ok버튼과 Cancel버튼이 있습니다. 이 두 개의 버튼 중에서 어느 하나를 꼭 눌러야 글상자가 없어질 겁니다. Netscape는 우리가 어떤 버튼을 누른 것인지 어떻게 아는 걸까요. 우리가 Ok(확인)버튼을 눌렀다면 eax값은 1, Cancel(취소)버튼을 눌렀다면 eax값이 0이 되도록 하는 함수가 있습니다. 그것으로 Netscape가, 우리가 어떤 버튼을 눌렀는 지 확인하는 데요. 만약에 그 함수를 부르는 부분을 없애고, 대신 eax에 1을 넣는 코드를 넣는다면.. 여기서 +YOSHi가 쓴 방법이 이런 방법입니다. 그리고 여러분의 편의(?)를 위해서 자바스크립트 글상자가 튀어 나오는 페이지를 마련했습니다. 여기를 눌러서 그 페이지를 볼 수 있습니다. ------------------------------------------------------------------------------- Killing those Javascript Messageboxes by +YOSHi 우선, 도대체 왜 자바스크립트 글상자를 없애야 하는 걸까? 글쎄, 쿠키(cookies)를 없애야 하는 이유와 같은 목적일 것이다. 귀찮고, 자꾸만 튀어나온다. 또 대부분의 경우에는 뭔가를 받아들이지 않는 기능을 하면서 말이다. Netscape는 글상자를 만들 때 MessageBoxA 함수를 사용한다는 것을 염두에 두어야 한다. a. Netscape를 시작한다(SoftIce는 이미 실행되어진 상태이다). fravia+ 홈페이지 처럼, 자바스크립트의 MessageBox를 사용하는 페이지를 고른다. b. 페이지를 열기 전에, Bpx messageboxa로 중단점을 설정한다. c. Netscape로 페이지를 연다. d. 그러면 SoftIce가 messageboxa의 코드 부분에서 멈출 것이다. 여기서 부터 크랙을 시작해야 한다. e. P RET을 한 번 하고나서 코드를 살펴 보자. 중요한 것 처럼 보이는 것은 없을 것이다. 아래와 같은 부분이 나올 때 까지 몇 번 더 p ret 명령을 내린다. mov ebx, [eax + 4c] call display add esp, 08 f. 이제 call부분 바로 앞에 중단점을 설정한 다음, Netscape로 그 페이지를 Reload한다. g. 다시 SoftIce화면이 뜰 것이다. F10을 한 번 누른 다음에 call이 있는 부분을 다음과 같이 고쳐 준다. xor eax, eax xor eax, eax inc ax inc eax 대신에 inc ax를 사용한 것을 주의해야 한다. 이 경우에는 두 가지 방법 모두 같은 결과를 내지만, inc ax를 쓰면 상위바이트를 하나 더 사용하게 된다. F5를 눌러서 SoftIce를 빠져 나와보면... 글상자가 더 이상 나오지 않을 것이다! 마치 Ok 버튼을 누른 것 처럼 페이지는 그냥 열리는 것이다. 아직 끝난 것은 아니다. 아직까지는 패치를 하지 않았으니까, (당연히) 메모리상에서만 작동할 것이다. 그러니까 패치해서 쓰기 바란다 :) 여기 까지이다. 이 방법을 잘 사용했으면 좋겠다! :) +YOSHi yoshi@ij.net *EoF* Enjoy (c) +YOSHi, 1997. All rights reversed. ------------------------------------------------------------------------------- Page 3 20. In My Life 20. In My Life 이 글은 정말 기본적인 얘기를 하고 있습니다. 제 생각에는 저의 페이지에 있는 다른 글들을 읽은 분들이라면 이 글의 내용은 이미 다 알고 있을 것 같습니다. 크랙을 약간은 할 줄 아시는 분들에게 필요한 글 같습니다. 그러니까, 분명히 크랙을 한 것 같은 데, 등록이 되었다고 나왔는데, 프로그램을 다시 시작해 보면 여전히 등록되어 있지 않다고 나와서 왜 그럴까 궁금하게 생각하셨던 분들에게 대답을 '한 번 더' 해 주는 글입니다. 글 내용에 대해 제가 더 잔소리를 할 필요는 없을 것 같습니다. ------------------------------------------------------------------------------- Thinking Like a Cracker A lesson for beginners Written by The_RudeBoy_[PC] 이 글은 초보 크랙커들을 위해 쓴 글이다. 크랙커 처럼 생각하도록 도와 주는 게 이 글을 쓴 목적이다. 크랙을 해서 등록이 되었다고 나왔는 데, 다시 그 프로그램을 시작하면 왜 여전히 등록이 되지 않았다고 나오는가 하는 초보 크랙커의 질문을 수없이 받았다. 이에 대한 해답은 아주 간단하다. 하지만 "크랙커 처럼 생각하는" 게 필요하다. 도구: W32Dasm 8.9(아니면 당신이 좋아하는 어떤 버전이라도 상관없다) Hex Workshop(아니면 당신이 좋아하는 어떤 hex editor라도 상관없다) PolyView 3.00 beta 9 다운로드 받을 수 있는 곳 http://www.polybytes.com/betafiles/pvbeta.exe PolyView 3.00 beta 9의 크랙을 시작하기 전에, 크랙커/프로그래머 처럼 생각하는 방법에 대해 알아 볼 필요가 있다. 프로그래머는, 처리해야 할 작업이 있고 그 작업을 한 번 이상 실행해야 할 때, 그 작업을 처리하는 함수를 만들고, 그 작업을 실행해야 할 때마다 함수를 불러주는 식으로 프로그램을 만들도록 배운다. 그리고 대부분의 프로그래머는 이름/등록번호 짝을 확인하는 작업을 적어도 두 번 이상 사용한다. 등록번호를 적어 넣었을 때 한 번, 프로그램을 시작할 때 한 번. 이런 이유로 프로그래머는 보통 등록번호를 확인하는 작업을 하는 함수를 만든다. 이 정도 까지 얘기를 했으니, 내가 하고자 하는 얘기가 무엇인지 이제 알 수 있을 것이다. 등록번호를 확인하는 그 함수를 크랙한다면, 프로그램이 등록번호를 확인할 때 마다 언제나 등록이 된 것으로 알 것이다. 이제, 이런 방법의 예제로써 PolyView 3.00 beta 9를 살펴 보도록 하자. 프로그램을 시작하면, 도구 막대기에서 "Registration"이라는 메뉴를 볼 수 있을 것이다. 그리고 그 아래에 "License Information"이라는 부분도 볼 수 있을 것이다. 그 곳에는 이름과 등록번호를 적어 넣는 곳이 있다. 쓰고 싶은 걸 아무 것이나 써 넣고 "OK"버튼을 누른다. 등록번호로 정수를 써 넣지 않았다면, "Please enter a positive interger(양의 정수를 써 넣으세요)"라는 에러 메세지가 나올 것이다. 그 밖의 경우에는 "Registration Unsuccessful(등록 실패)"라는 에러 메세지가 나올 것이다. W32Dasm을 시작하고 PolyView.exe를 연다. 그 다음에 string references를 선택하고 "Registration Unsuccessful"이라는 문자열을 찾는다. 문자열 목록에서 그 문자열을 찾았다면, 바로 위에 "Registration successful"이라는 문장도 보일 것이다. 이제 "Registration Unsuccessful"에 더블 크릭해서 아래와 같은 코드 부분으로 찾아간다: * Referenced by a Jump at Address:004400C9(C) | * Possible Reference to String Resource ID=00141: "Unregistered" | :0044016C 688D000000 push 0000008D :00440171 8BCF mov ecx, edi :00440173 E8D9070600 call 004A0951 :00440178 53 push ebx :00440179 53 push ebx * Possible StringData Ref from Data Obj ->"Registration unsuccessful. please " ->"verify that you have entered the " ->"information exactly as shown on " ->"your registration letter." | :0044017A 684C364F00 push 004F364C :0044017F 899E70010000 mov dword ptr [esi+00000170], ebx :00440185 E8D88A0600 call 004A8C62 우선 알아 볼 수 있는 내용은 이 부분이 004400C9에 있는 조건 분기에 의해서 불려진다는 것이다. 004400C9이 있는 곳 까지 찾아가면, 아래와 같은 부분이 보일 것이다: :004400B7 50 push eax :004400B8 51 push ecx :004400B9 898670010000 mov dword ptr [esi+00000170], eax :004400BF E8DCF0FEFF call 0042F1A0 ;등록번호_확인_함수() :004400C4 83C408 add esp, 00000008 :004400C7 85C0 test eax, eax ;또 이 유명한 TEST군. :004400C9 0F849D000000 je 0044016C ;je 나쁜_놈 이미 배운 것을 적용할 때다. je 004016c를 그냥 NOP해 버린다면, 프로그램은 어떤 등록번호를 넣었던 지 간에 등록이 되었다고 할 것이다. 하지만 프로그램을 다시 시작하면 여전히 "Unregistered"라고 할 것이다. 아까 프로그래머들이 함수를 하나 만들고, 필요할 때마다 그것을 불러 사용한다고 내가 한 말을 기억하는가? 이 프로그램을 만든 프로그래머도 역시 그런 방법을 썼다. call 0042F1A0이 바로 그 함수를 부르고 있는 것이다. W32dasm에서 0042F1A0으로 찾아가 보면, 아래와 같은 코드가 보일 것이다: * Referenced by a CALL at Addresses: |:0040423B , :004046B8 , :004055FA , :0042DDBE , :0042DE36 |:004395C4 , :0043CE1A , :0043D6B0 , :0043E35A , :00440025 |:004400BF , :004419BC , :0044234D , :00452FF9 , :004531CB |:004B9033 | :0042F1A0 64A100000000 mov eax, dword ptr fs:[00000000] 위에 나와 있는 주소들이 모두 등록이 되었나를 확인하기 위해서, 등록번호_확인_함수()를 부르고 있는 곳이다. 그럼 이제 궁금한 것은 한 가지이다. 어떻게 해야 등록할 수 있는 걸까. call 등록번호_확인_함수()가 있는 부분을 다시 한 번 잘 살펴 보자. 특히 나쁜_놈 부분으로 분기하는 곳을 잘 보면, eax가 0일 때 분기한다는 것을 알 수 있을 것이다. 따라서, 이 프로그램을 크랙하는 방법 중에서 가장 쉬운 것은, call에 의해서 불려진 mov eax, dword ptr fs:[00000000] 대신에 push 00000001 pop eax ret 라고 바꿔 주는 방법일 것이다(기계어 코드로는 6A0158C3) 이제 그 함수는 언제나 eax에 1값을 돌려준다. 그리고 프로그램은 등록된 것이라고 생각할 것이다. 이 글에서 설명된 방법은 이름/등록번호 확인 부분에만 적용되는 것은 아니다. 넓게 생각해 보면, 이 방법은 다른 방법의 protection scheme에도 적용할 수 있다는 것을 알 수 있을 것이다(예를 들어, 대부분의 경우 날짜 확인 방법이나, 글상자를 이용하는 protection scheme은 단 한 개의 함수를 사용한다.) ------------------------------------------------------------------------------- 이 글은 The_RudeBoy_[PC]가 쓴 글을 제가 옮긴 것 뿐이라는 것을 다시 한 번 밝힙니다. Page 3 21. Por Una Cabeza 21. Por Una Cabeza ------------------------------------------------------------------------------- What Time Does the Library Open? Written by Sojourner 사실 난, ftp://ftp.mcneel.com/pub/rhino/rhino32.exe에서 무료로 얻을 수 있는 이 프로그램의 베타 테스터였다. 지금은 ftp://ftp.mcneel.com/pub/1.00/demo에서 얻을 수 있다. 한 번 가서 관심있으면 살펴 보길 바란다. 난 가 보았다. "최신" 데모 버전이 아직도 거기에 있었다. model, 3DS Max의 plug 따위와 함께 말이다. 정말 우리 같은 사람들에게는 잘 된 일이 아닐 수 없다. 3D 에 관련된 일을 하기 때문에 나는 이 프로그램에 관심을 갖게 되었고, 쉬운 사용 방법과 그 기능에 반했다. 또, 내가 갖고 있는 베타 버전이 1.00 버전과 거의 다를 바 없다고 추측했다. 왜냐하면 사용 기간이 지나고 나면 $795 정도를 내고 "full" 버전을 받을 수 있다고 들었기 때문이다. 고맙지만, 나는 사양하겠다. 내 베타 버전과 똑같은 기능의 'full' 버전을 그 만큼의 돈을 내고 살 이유가 없기 때문이다. 마지막 베타 버전이 1998년 10월 까지 기능하는 "신데렐라 protection"을 쓰고 있었는데, 그게 아주 형편없는 방법이어서 PC 시계만 고치면 언제까지고 필요할 때마다 프로그램을 쓸 수 있었다... 아마 많은 멍청한 놈들이 그 방법을 쓰고 있을 거라고 생각하고 있다. 하지만, 어쨋거나 나는 (예비) 크랙커이기 때문에, 코드를 한 번 살펴 봐야 겠다고 맘을 먹었다. 이번이 나에겐 두 번째로 시도하는 크랙이기 때문에, 솔직히 말해서 약간 겁이 난 게 사실이었다. 1997년 12월 31일에 Tristan이 쓴 글을 읽었다. 그는 "초보 여러분, 직접 한 번 해 보세요"라고 용기를 주었기 때문에, 용기를 가지게 되었다. 또, 다른 +HCU학생들이 쓴 글들을 적어도 30 개 이상은 읽고 "열심히" 공부했다. 마지막으로 나는 이렇게 생각했다. "만약에 내가 이것을 크랙한다면, 내가 앞으로 공부하는 데 훌륭한 도구를 갖게 되는 거야. 또 크랙을 못한다고 해도, 적어도 기계어 코드에 대한 것을 배운거잖아!" 시간은 흐르고, 프로그램을 사용하려고 계속 컴퓨터 시계를 고치는 짓을 하고 싶지 않았다. 머리 싸매고 크랙하기 시작했다. 알림: WDASM89로 이 프로그램을 크랙하려면 적어도 200 메가 바이트 정도의 공간이 있어야 한다. 그렇지 않으면 시간이 굉장히 오래 걸린다. rhino_main.exe파일이 우리가 disassemble할 파일이고, 80 메가 바이트 크기의 소스 파일을 만들어 낸다. 20-30분 정도가 걸릴 테니까, WDASM89가 열심히 돌아가고 있을 동안 다른 일을 해라. 언제가 크랙할 때면 그렇겠지만, 중요하다 싶은 것은 잘 적어 놓길 바란다. 그렇게 하면 다음 번에 할 때 시간이 많이 절약될 것이다. 또 어셈블리어와 WinAPI에 대한 자료도 중요하다. 가능하다면 Win95, 98, NT 프로그래밍 책도 있으면 좋을 것이다. 이런 것들은 정말 꼭 필요하다. 도구 : WDASM89, UltraEdit, Soft-Ice 3.2 여기서 Rhino를 받을 수 있다! History : 베타 버전으로 시작해서 3년 정도가 지난 다음에 full 버전이 나왔다. 크랙 시작: 이 프로그램을 크랙하는 데 성공하려면 두 가지 부분에 대해서 생각해야 한다. 어떤 면에서 그 두가지가 서로 관련이 있다. 알림 - 여러분이 이 프로그램을 이미 압축을 풀어서 설치했다고 생각한다. 압축되어 있는 파일을 크랙하려고 힘쓰는 사람이 없길 바란다. 제대로 시작해야 하지 않겠는가. :-) 1. 시계를 제대로 맞추고 Rhino를 시작한다(제대로 된 시간이라면 1998년 9월 첫째 주 다음 부터 10월 말 사이를 말한다). 물론 프로그램은 제 기능을 다 할 것이다. 프로그램을 이용해서 작업을 하고 그것을 파일로 저장한다. 크랙을 하기 위해서 마지막에 이 파일을 쓸 것이다. 2. 이젠 시계를 어, 가령 98년 12월 정도로 맞추어 본다. Rhino를 다시 시작해 본다. 으흐흐. "This beta version has expired(베타 버전 사용 기간이 끝났습니다)"라는 메시지의 글상자가 뜨고 프로그램이 실행되지 않을 것이다. 사실 우리는 "종료 프로세스(Exit Process)"로 보내 지는 것이다. 이 메시지의 내용과 내가 한 말을 기억해 두길 바란다. 3. 어느 정도를 알아 보았으니 이젠 WDASM89로 가서 크랙을 시작하자. W32DASM에서 "Import Functions"를 누르고 Kernel32 GetLocaltime을 찾아 보아야 한다. 왜냐? 프로그램이 시작할 때, Rhino는 지금이 몇 시인지를 확인하고 그 값을 이미 정해져 있는 인자들과 비교 할 것이다. 1998(07CEh)나 11(000Bh)같은 것과 말이다. 아래의 코드를 살펴보자. 만약에 모든 조건이 만족스럽다면, 프로그램이 실행될 것이지만, 그렇지 않다면 어떻게 되는 지는 물론 알고 있을 것이다. 덧붙인다면, "This beta version of Rhino has expired"라는 문자열을 찾아 보는 방법을 쓸 수도 있을 것이다. 그리고 그 방법을 쓰면 정확히 우리가 원하는 부분의 코드를 찾아낼 수 있다. 이런 방법은 이 protection이 아주 멍청하기 때문이면, 항상 이런 방법이 통하는 것은 아니다. * Reference To: KERNEL32.GetLocalTime, Ord:00F5h | :00488AE9 FF15088D8C00 Call dword ptr [008C8D08] :00488AEF 66817C2404CE07 cmp word ptr [esp+04], 07CE 위에서 볼 수 있듯이, 이 두개의 비교 부분이 시스템 시간과 "공장"에서 만들어진 시간을 비교한다. 공장에서 만들어진 시간들은 모두 16진수로 저장되어 있다. 첫번째 조건 분기에서는 1998년이 아니라면 분기할 것이고, 두 번째 분기에서는 11월 보다 작은 값이라면 분기할 것이다. 이런 것들은 WinAPI 함수인 GetLocalTime 으로 부터 얻어진다. 하지만 잠깐만. 아래의 00488B00 부분을 보자. (만약 모든 게 제대로 되었다면) 이 부분을 마무리 짓는 ret가 나온다. 그렇지 않다면 00488B0E로 보내져서 사용기간이 다 되었다는 글상자가 나타날 것이다. :00488B00 33C0 xor eax, eax :00488B02 5B pop ebx :00488B03 83C410 add esp, 00000010 :00488B06 C3 ret :00488B07 6A00 push 00000000 * Possible StringData Ref from Data Obj ->"Beta copy expired" | :00488B09 6810C67F00 push 007FC610 * Possible StringData Ref from Data Obj ->"This beta version of Rhino has " ->"expired." | :00488B0E 68E8C47F00 push 007FC4E8 :00488B13 6A00 push 00000000 따라서 우리는 다음과 같이 바꿔 줘야 한다. :00488AF6 7508 jne 00488B0E 이제 시간이 어떻게 되었든지 간에 프로그램을 쓸 수 있게 되었다. 으하하! 끝났다. 어. 잠깐만. 그게 아니다! WDASM89에서 위와 같이 바꾼 다음에 시계를 바꿔가면서 프로그램을 실행시켜 보자. 제대로 실행되고 있는 것 처럼 보인다. 이제 당신이 쓰고 있는 hex editor로 프로그램을 위와 같이 고친 다음 시계를 앞으로 돌려 보자. 그러니까 2010 따위로 말이다. 그리고 그렇게 고친 것을 WDASM으로 실행시켜 보자. 프로그램도 제대로 시작하고(귀찮은 글 상자 없이), 저절로 종료되지도 않을 것이다. 그럼 문제가 뭘까? 아까 우리가 저장했던 파일을 기억하는가? 한 번 그 파일을 열어 보자. 열었나? 좋다. 그럼 이번엔 그 파일을 약간 고친 다음에 저장해보자. 피융! 프로그램이 다시 저절로 종료된다. 도대체 이게 무슨 일인가? 우리가 버그를 고친 줄 알았는데! 음, 솔직히 말해서 이 부분에서 애를 먹었다. "저장" 버튼을 누를 때 마다 history 상태를 살펴 보게 된다. 처음에는 이게 GetLocalTime함수가 어딘가에서 사용되고 있기 때문이라고 생각했다. 그래서 WDASM에 중단점을 설정하고 그 부분을 잡아 내려고 했다. 하지만 아무것도 찾을 수 없었다. 그래서 다른 방법을 써 보기로 했다. 버튼과 그 버튼의 상태를 확인하는 함수를 찾아 보았다. 그러나 역시 이번에도 실패했다. 분명히 시간에 관련된 함수가 체크를 하고 있을 거라는 생각을 했다. 그래서 이번에는 SoftIce3.2를 열어서 GetLocalTime에 중단점을 설정했다(BPX GetLocalTime). Ctrl-D를 눌러서 프로그램으로 돌아오면 다시 SoftIce화면이 뜬다. 우리가 아까 "고쳤던" 그 부분 말이다. 그 부분은 hex editor로 고쳤다, 그렇지 않나? 다시 Ctrl-D를 눌러서 프로그램으로 돌아오면 이제야 제대로 된 화면이 나오고 작업할 수 있게 된다. 그러면 아까의 그 파일을 열어서 또 약간 고친 다음에 "저장" 버튼을 누른다. 이번에 SoftIce는 GetLocalTime 함수에서 중단한다. 그리고 F12를 누르고 F10을 몇 번 눌러서 아래와 같은 부분이 나온 곳까지 갈 수 있을 것이다. 이 부분은 SoftIce에서 가져다 붙일 수 없어서, WDASM89로 만든 소스 파일에서 가져다 붙인 것이다. 아래에서 볼 수 있듯이 "Free Library" 부분을 호출하는 call이 있다. 그게 뭐라고 생각하나? 0041785E까지 F10을 눌러서 오면 dword ptr [ebp+FFFFFF6C], eax를 비교하는 부분이 또 나온다? 그건 또 뭐하는 걸까? SoftIce는 그것들이 뭔지 여러분에게 가르쳐 준다. 내가 아래에 적어 놓은 것을 보아라. 그리고 그 바로 아래인 0041786A에는 또 다른 비교 부분이 있다. 그 곳에서는 또 뭘 비교하고 있는 걸까? * Reference To: KERNEL32.FreeLibrary, Ord:0098h | :00417832 FF15A88C8C00 Call dword ptr [008C8CA8] :00417838 8B857CFFFFFF mov eax, dword ptr [ebp+FFFFFF7C] :0041783E 25FFFF0000 and eax, 0000FFFF :00417843 898578FFFFFF mov dword ptr [ebp+FFFFFF78], eax :00417849 33C0 xor eax, eax :0041784B 668B857EFFFFFF mov ax, word ptr [ebp+FFFFFF7E] :00417852 898564FFFFFF mov dword ptr [ebp+FFFFFF64], eax :00417858 8B8578FFFFFF mov eax, dword ptr [ebp+FFFFFF78] :0041785E 39856CFFFFFF cmp dword ptr [ebp+FFFFFF6C], eax [여기서 eax는 GetLocalTime으로 부터 지금이 몇 년도 ] [인가 하는 값을 받은 상태이다. 또, [ebp+FFFFFF6C] 는 이미 ] [07C(1998)라는 값을 이미 갖고 있는 상태이다. ] :00417864 0F8516000000 jne 00417880 :0041786A 8B8564FFFFFF mov eax, dword ptr [ebp+FFFFFF64 :00417870 3945F8 cmp dword ptr [ebp-08], eax [여기서 eax는 GetLocalTime으로 부터 지금이 무슨 달 ] [인가 하는 값을 받은 상태이다. 또, [ebp-08]는 이미 ] [000B(11)이라는 값을 갖고 있는 상태이다. ] :00417873 0F8E07000000 jle 00417880 :00417879 33C0 xor eax, eax :0041787B E925000000 jmp 004178A5 아래에서 볼 있듯이 지금 상태에서(00417880) 두 개의 중요한 분기가 그 부분을 가리키고 있다. 그리고 그 부분은 프로그램을 종료시킨다. 따라서 우리가 아무 때고 시간에 관계없이 파일을 저장할 수 있게 하려면 고쳐야 할 곳이 그 분기일 것이다. 그 부분을 고치려고 몇 가지 방법을 써 봤지만, 가장 좋은 방법은 그냥 00417864(위에 나와있다)와 00417873(위에 나와있다)에 각각 6개의 nop을 쓰는 것이었다. 그렇게 하면 이제 프로그램은 eax를 xor한 다음 무조건 분기해서 004178A5(아래에 나와 있다)로 우리를 데려갈 것이다. 따라서 프로그램은 언제까지나 완벽하게 실행되는 것이다. 1980년 부터 2095년까지 시계를 고쳐가며 실행해 봤지만 아무 문제 없었다. 이제 말한대로 hex editor를 이용해서 고친고 Rhino를 맘껏 사용하자! * Referenced by a Jump at Addresses: | :00417880 C70508488C0000000000 mov dword ptr [008C4808], 00000000 :0041788A E8514F0300 call 0044C7E0 :0041788F A1844F8C00 mov eax, dword ptr [008C4F84] :00417894 50 push eax * Reference To: USER32.DestroyWindow, Ord:008Ah | :00417895 FF1544918C00 Call dword ptr [008C9144] :0041789B B801000000 mov eax, 00000001 :004178A0 E900000000 jmp 004178A5 * Referenced by a Jump at Addresses: |:004177FD(U), :0041781F(U), :0041787B(U), :004178A0(U) | :004178A5 5F pop edi :004178A6 5E pop esi :004178A7 5B pop ebx :004178A8 C9 leave :004178A9 C3 ret 쉬운 것처럼 보여도 쉬운 것은 없다는 것을 알아야 할 것이다. (초보인) 나한테는 이 방법을 알아내는 데 몇 시간이나 걸렸다. +orc가 "zen"이라고 한 것만큼 경험도 우리에게 많은 도움을 준다. 하지만 경험이 전부는 아니다. 주위로 부터 배우지 않는다면 경험도 소용 없을 것이다. 나는 크랙에 대한 글을 쓰는 크랙커들에게 정말 뭐라고 고맙다고 해야 할 지 모르겠다. 우리는 좋은 선생님이 필요하다.(그리고 좋은 도구, 우리가 직접 만든 것 말이다). 여러분 모두 열심히 공부해서, 그리고 크랙해서 글을 쓰자. 크랙커와 protector가 함께 배울 수 있도록 말이다! 강좌 신청: 다른 dll파일로의 call! 함수, 창, 메시지 따위를 잡아내는 여러 가지 방법들에 대한 글. Thanks! :-) ------------------------------------------------------------------------------- 이 글은 Sojourner 가 쓴 글을 제가 옮긴 것 뿐이라는 것을 다시 한 번 밝힙니다. Page 3 22. Love Buzz 22. Love Buzz 이번 글에서는 새롬 데이타맨이라는 프로그램에 대해서 이야기 하려고 합니다. 이 프로그램의 이름은 들어 본 적이 있었지만, 다운 받은 건 얼마 안 돼요. 아무튼, PC 통신 자료실에 가서 찾다 보니까, IMF버전이라는 재미있는(?) 버전이 있더군요. 살펴 보니까, 이 IMF버전이라는 건 다른 쉐어웨어와는 약간 다른 식의 버그(?)가 있었습니다. 설치한 날 부터 언제까지 쓸 수 있는 게 아니라, 쓸 수 있는 날짜가 정해져 있습니다. 3월 31일까지 라던가 4월 30일까지 처럼 말입니다. 그 기간이 지나면 새로 패치를 받아서 사용기간을 연장시킬 수 있습니다. 데이타맨을 실행하면 창의 왼쪽 아랫 부분에 작은 광고가 계속 나옵니다. 그러니까, 돈을 주고 등록을 하는 대신에 광고를 봐 주는 거에요. 그리고, 달 마다 패치를 받아서 광고를 바꿔 주는 거에요. 재미있죠? 이 글에서 설명할 버전(?)은 4월 30일까지 쓸 수 있는 버전입니다. 그 버전이 언제 까지 쓸 수 있는 버전이던 간에 같은 방법(protection scheme)을 쓸 테니까 그것은 문제 되지 않을 거에요. 그럼, 4월 30일이 지나면 어떻게 되는 지 한 번 시스템의 시간을 바꿔 보죠. 지금 이 글을 쓰고 있는 오늘의 제 컴퓨터의 시계는 4월 23일 토요일 오후 7시 33분입니다. 아직 4월 30일이 지나지 않았으니까 문제 없이 실행됩니다. 이제 시계를 5월 23일로 바꿔보고 실행을 해 보면, 다음과 같은 내용이 써 있는 글상자가 나옵니다. 사용기간 만료 현재 버전의 사용기간이 만료되었습니다. 다음의 위치에서 IMF 버전 패치를 다운로드 받아 설치하십 시오. 패치를 설치하지 않으면 프로그램 시작때마다 10초간 동작이 지연됩니다. 패치를 설치 하지 않았다고 해서 기능을 쓸 수 없는 건 아니군요. 다만 10초 동안 기다려야 하고, 자꾸만 패치를 받으라는 글 상자가 튀어 나옵니다. 아무튼, 새롬 데이타맨을 종료한 다음에 시계를 4월로 바꾸고 다시 프로그램을 실행시켜 보죠. 그러면 프로그램은 아무 문제 없다는 듯 그 글상자를 나타내지 않고 실행됩니다. 그러니까 프로그램은 '날짜'만 확인하고 있다는 거에요. 이렇게 시스템의 날짜를 확인할 때 쓰이는 함수가 GetSystemtime이에요. 프로그램을 닫고 sice로 들어가서 bpx GetSystemtime으로 중단점을 설정한 다음에 다시 프로그램을 실행시킵니다. 그러면 sice화면이 나타납니다. F11을 누른 다음 F12를 두 번 눌러서 Dmimf의 코드로 찾아 가 봅시다. :004160F0 E8EFDC0500 Call 00473DE4 :004160F5 8B08 mov ecx, dword ptr [eax] :004160F7 890D98134B00 mov dword ptr [004B1398], ecx :004160FD 8D4C240C lea ecx, dword ptr [esp+0C] :00416101 E822DB0500 Call 00473C28 :00416106 8D54240C lea edx, dword ptr [esp+0C] :0041610A C784249000000000000000 mov dword ptr [esp+00000090], 00000000 :00416115 52 push edx :00416116 E8C5FD0300 call 00455EE0 :0041611B 83C404 add esp, 00000004 :0041611E 8D44240C lea eax, dword ptr [esp+0C] :00416122 8D4C2410 lea ecx, dword ptr [esp+10] 뭐 이런 부분이 나오는데요, 우리에겐 별로 관심있는 부분이 아닙니다. 다시 한번 F12를 눌러서 P ret합니다. :0041630F E8BCFDFFFF call 004160D0 ;GetSystemtime :00416314 85C0 test eax, eax ;(ret된 곳) :00416316 740D je 00416325 :00416318 E893FFFFFF call 004162B0 ; 이제 위에 보이는 부분이 우리의 관심을 끕니다. 두번째로 보이는 조건 분기인 jne 004163E4에서 분기를 하면(JUMP) 그 글상자가 나타나지 않고, 분기를 하지 않으면(NO JUMP) call 00473AA8에 의해서 글상자가 나타납니다. 한 번 해 보세요. 시계를 5월에 맞춰 놓았다면 jne 004163E4에서 NO JUMP일 것이고, 시계가 4월에 맞춰져 있었다면 JUMP를 해서 글상자는 나타나지 않을 거에요. 그럼 여기서 바로 크랙을 할 수 있을까요? 그러니까, 날짜가 지나도 jne 004163E4에서 분기를 하도록 코드를 바꿔 놓는 다면 어떨까요. 그 부분의 기계어 코드인 0F85BF000000를 E9C0000000 90(JMP 004163E4/nop)으로 바꾸는 거에요. 물론 그렇게 하면 시작할 때 나오는 귀찮은 글상자는 없어질 거에요. 날짜가 어떻든지 간에 말입니다요. 저도 처음에는 이렇게 하구선 크랙을 한 줄 알았어요. 그런데 프로그램을 계속 쓰다 보니까, 다른 기능을 쓰는 데에도 글상자가 다시 나오더군요. 다른 곳에서도 날짜를 확인하고 패치를 받으라는 글상자를 나오게 하는 부분이 있었던 거에요. 그러니까, 위에서 한 것은 프로그램 시작 부분만 고친거죠. 보다 '근본적'으로 크랙을 해야 하겠죠? (사실, 글상자를 나타내는 그 다른 곳을 찾아가서 역시 조건분기를 바꿔주는 위와 같은 방법을 써도 될 거에요. 하지만, 일일이 그런 부분을 다 찾아 다니는 것도 귀찮은 일이죠. : ) 우리가 방금 바꿔 주었던 그 조건 분기 jne 004163E4는, 바로 위에 있는 call 004162B0의 결과값(eax)에 의해서 분기 여부가 결정되는 거였습니다. 그러면 그 call 004162B0을 찾아가서 살펴 보죠. :004162B0 51 push ecx :004162B1 8B0D90134B00 mov ecx, dword ptr [004B1390] :004162B7 8BC4 mov eax, esp :004162B9 8908 mov dword ptr [eax], ecx :004162BB B998134B00 mov ecx, 004B1398 :004162C0 E89B0B0000 call 00416E60 ;4/30이 지났는가? :004162C5 85C0 test eax, eax :004162C7 751F jne 004162E8 :004162C9 8B1594134B00 mov edx, dword ptr [004B1394] :004162CF 51 push ecx :004162D0 8BC4 mov eax, esp :004162D2 B998134B00 mov ecx, 004B1398 :004162D7 8910 mov dword ptr [eax], edx :004162D9 E8720B0000 call 00416E50 ;3/23이 지났는가? :004162DE 85C0 test eax, eax :004162E0 7506 jne 004162E8 :004162E2 B801000000 mov eax, 00000001 ;좋은 flag :004162E7 C3 ret :004162E8 33C0 xor eax, eax ;나쁜 flag :004162EA C3 ret call 004162B0이 부르고 있는 부분은 위와 같습니다. 찬찬히 살펴 보기만 해도 어떤 방법을 쓰고 있는 지 추측할 수 있습니다. 'flag'를 이용한 방법이에요. 두 개의 call(call 00416E60, call 00416E50)이 있고 그 결과값에 따라서 조건분기(jne 004162E8)가 있습니다. 그 조건분기가 분기하는 곳은 한 곳입니다. xor eax, eax에요. 만약에 그 곳에서 분기하지 않았다면 mov eax, 00000001을 실행해서 eax에 1이라는 flag를 설정합니다. 아시겠죠? 아마도 두 개의 call은 날짜를 확인하는 call일 거에요. 그래서 날짜가 적당한 날짜였다면 분기하지 않을 겁니다. 그래서 eax에 1이라는 값을 주고 ret됩니다. 만약 날짜가 적당하지 않다면 eax에 0을 주고 ret됩니다. 아까 봤던 call 004162B0/test eax, eax/jne 004163E4 에서 eax가 1일 때 분기합니다. 살펴 보았듯이 분기를 하면 글상자를 보지 않게 되구요. 여기까지만 보고도 이제 어떻게 해야할 지는 아시겠죠? 날짜가 어찌 되었건 eax에 1을 주면 되니까, xor eax, eax를 바꿔 줘야 겠죠. 바꿀 수 있는 코드가 2바이트 33C0입니다. 그러니까 B001, 즉 mov al, 1로 바꿔주면 됩니다. 하지만 이렇게 확신하는 건 결과적인 얘기구요, 과연 그 두개의 call이 우리의 예상대로 '날짜'를 확인하는 부분을 호출하고 있는 것일까요? 아마 그럴 거에요. 첫 부분에서도 살펴 보았듯이 지금 이 부분은 GetSystemtime함수를 실행한 바로 다음에 나오는 부분이니까요. 그래도 한 번 찾아가 보죠. :00416E50 8B09 mov ecx, dword ptr [ecx] ;time(NULL) :00416E52 8B542404 mov edx, dword ptr [esp+04] ;3/23/0:00 :00416E56 33C0 xor eax, eax :00416E58 3BCA cmp ecx, edx :00416E5A 0F9CC0 setl al :00416E5D C20400 ret 0004 :00416E60 8B09 mov ecx, dword ptr [ecx] ;time(NULL) :00416E62 8B542404 mov edx, dword ptr [esp+04] ;4/29/23:59 :00416E66 33C0 xor eax, eax :00416E68 3BCA cmp ecx, edx :00416E6A 0F9FC0 setg al :00416E6D C20400 ret 0004 두번째 call인 call 00416E50이 부르고 있는 00416E50부분 부터 볼께요. 반전 막대기(어.. 이 반전막대기라는 말은 제 글에서 제가 맘대로 붙여서 쓰고 있는 말 중의 하나인데요, sice에서 IP(instruction pointer)를 가리키고 있는 색깔있는 막대기를 말합니다 : )가 00416E66 xor eax, eax에 와 있을 때 :? ecx 명령과 :? edx명령을 한 번 해 보세요. 지금 제 시스템 시간은 99년 4월 25일 0:54:33를 지나고 있습니다. 이 때 ecx와 edx의 값은 각각 10진수로 924969724와 922114800입니다. 그리고 이 값들은 cmp ecx, edx/setl al에 의해서 비교됩니다. 지난 번 picaview에 대한 글 어디에서인가 setz명령에 대한 이야기를 한 적이 있는 걸로 기억합니다. 이 setl도 비슷한 명령일 것이라고 추측할 수 있죠? 아마 SET if Less정도의 의미일 거에요. cmp ecx, edx로 ecx와 edx를 비교해서 ecx가 edx보다 '작다면' al을 설정(1)합니다. 그리고 ret됩니다. 그러면 도대체 924969724와 922114800라는 건 뭔데 비교를 하는 걸까요? 저도 어느 쪽인가 하면 멍청한 편이거든요. 그래서 처음에는 뭔지 잘 몰랐는데요. C에서 time()이라는 함수가 있어요. time(NULL)은 1970년 1월 1일 부터 지금의 시스템 시간까지 몇 초가 지났나 하는 값을 가리킵니다.(왜 하필 1970년 1월 1일 부터냐 하면, 그 날이 UNIX 생일이라서 그렇다고 하던데, 맞죠? : ) 그래서 한 번 확인해 봤어요. 922114800을 3600*24*365로 나눠 보니까 대충 19가 나오더군요. 1970 + 19 = 1999 잖아요. 결론적으로 말하면 ecx는 지금의 시스템 시간까지 경과된 시간을 초 단위로 돌려준 값이구요, edx는 1999년 3월 23일 0시 00초 까지 경과된 시간을 초 단위로 돌려준 값입니다.(이 부분이 약간 이상해요. sice에서 확인했을 때에는 이렇게 3월 23일 0시 00초까지의 값이 922114800이었는데요, 도스에서 직접 time(NULL)을 써서 만든 프로그램으로 알아 보니까 3월 22일 10시 00초까지의 값이 922114800이더군요. 저는 뭐 윈도우 프로그래밍에 대해서는 모르니까, 윈도우에서는 time(NULL)의 역할을 하는 함수가 어떻게 작동하는 지 모릅니다. 왜 이런 차이가 생기는 지 아시는 분은 저 좀 가르쳐 주세요 : ) 그러니까 지금 이 프로그램은, 3월 23일까지 경과된 시간값 edx와 시스템 시계가 가리키는 시간까지 경과된 시간값 ecx를 비교하고 있는 거에요. 다시 말하면, 시스템 시간이 99년 3월 23일이 지난 것인지 확인하고 있는 거죠. 그래서 3월 23일이 지나지 않았다면(ecx 2 하위 메모리 값 POP 명령이 모두 실행된 다음에는, 상위 메모리 값 ESP -> 1 esi edi 2 하위 메모리 값 단, eax = 2 esi = push된 esi edi = push된 edi 스택에 관한 짧은 이야기를 이해했기를 바란다. _함수 알아내기_ 요즘에 나오는 W32DASM이나 IDA Pro같은 disassembler는 함수를 잘 찾아내지만, disassembler가 함수를 구분하지 못하는 경우가 있다. 포인터에 의해서 지정된 함수가 그런 예가 될 것이다. 따라서 컴파일러가 고급 언어의 함수를 어떻게 어셈블리어로 바꾸는 지를 알아야 할 필요가 있다. _CALL명령과 RET명령_ 간단히 말해서 call명령은 프로그램의 다른 부분으로 제어권을 넘기는 방법이다. 마치 _jmp_나 _j*condition*_ 명령 처럼 말이다. 하지만 아예 제어권을 그냥 넘겨 버리는 분기 명령과는 다르게 call 명령은 return명령을 저장하면서 제어권을 넘긴다. 그래서 호출된(called) 부분이 _ret_명령으로 끝나게 되면 프로그램은 호출한 곳(caller)으로 다시 돌아가게 된다. 이러한 사실로, call명령의 성공여부는 되돌아갈 때 필요한 정보(return information)를 저장하고 꺼내오는 방법에 달렸다는 것을 알 수 있다. 호출될 부분이 TSS(task state segment)나 task gate가 아니라면 그 방법은 아주 간단하다. 호출된 부분은 호출한 부분의 주소를 저장하는 방법을 써서 다시 돌아갈 수 있다. _call_ 명령은 호출된 부분으로 분기하기 전에 (E)IP 레지스터 값을 저장해서 그렇게 할 수 있는 것이다. 아마 여러분도 이미 알고 있겠지만, (E)IP 는 CPU가 실행해야할 곳을 가리키고 있다. 단순히 (E)IP 레지스터 값을 바꾸는 것만으로도 프로그램이 실행되는 방법을 바꿀 수가 있는 것이다. call 명령은 이 값을 스택에 _push_해서 저장한다. (E)IP 는 명령이 실행되자 마자 증가하기 때문에, 스택에 push된 값은 call 명령 다음에 나오는 명령 부분의 (E)IP값이다. 32비트 프로그램에서는 모든 call이 근거리 호출(near call)이다. 세그먼트내(intrasegment) 이동이 필요할 때가 있는 16비트 프로그램에서는 원거리 호출(far call)을 써야 할 필요가 있을 때가 있다. 원거리 호출에서는 CS:(E)IP가 저장되어야 한다. CS레지스터가 먼저 push된 다음, (E)IP레지스터가 스택에 push된다. 호출된 부분이 끝났을 때, _ret_ 명령이 (E)IP값(과 CS값, 원거리 호출에서는)을 _pop_해서 (E)IP(와 CS레지스터)에 옮겨 놓는다. call이 쓰이는 모양은 아주 간단하다. 불려질 부분에 상관없이, 그 쓰이는 모양은 같다: _ call * address*_ call명령이 간접 주소 지정 방식을 사용할 때 문제가 생긴다. 예를 들어서 call edi나 call [ebx+0dh] 따위가 그것이다. 첫번째 같은 경우, call 명령 전에 있는, edi에 값을 넣는 명령을 찾아보면 된다. 보통 이런 주소값은 Windows API의 주소이다. 두번째 경우, 디버거를 사용하는 방법을 쓸 수 있다. 그 곳에 중단점을 설정한 다음, ebx의 값을 알아 낸다. 또는 여러분 스스로 찾아낼 수 있도록 여러가지를 배우는 것이다. Fravia+는 이미 call relocation에 관한 훌륭한 글을 썼다. 읽어 봐라. 내가 덧붙일 말은 IDA Pro를 이용하면 call relocation table을 Search in Core 기능을 이용해서 찾을 수 있을 거라는 것이다. 엄청나게 많은 간접 주소를 지정하는 C++프로그램에서 그 주소가 어느 부분을 가리키고 있는 가를 알아내는 것은 거의 불가능하다. 이 점이 W32DASM이 IDA Pro보다 좋은 점이다. 함께 들어 있는 디버거를 이용하면 그런 주소를 찾는 것은 식은 죽 먹기이다. call 명령이 함수가 시작 되는 곳을 지정한다면, ret명령은 함수가 끝나는 부분을 가리킬 것이라는 것은 당연하다. 기본적으로 ret명령은 적절한 (E)IP(와 CS, 원거리 호출에서)를 사용해서 호출한 부분으로 돌아간다. call 명령(과 호출된 부분)의 종류에 따라서, _ret_는 _retn_(near return), _retf_(far return), _iret_(involving task switching)이 될 수 있다. ret명령은 프로시져 한계 안에 있을 때에만 n이나 f 따위가 꼬리에 달려 붙지 않고 나타난다. IDA Pro같은 좋은 disassembler는 프로그램을 적절하게 어셈블리어 소스로 disassemble한다. 그래서 프로시져 한계 안에 ret명령을 넣는다. 그렇게 하면 ret의 종류를 결정 짓는 것은 프로시져의 종류(근거리냐 원거리냐)가 될 것이다. ret명령은 복귀 주소(return address)가 pop된 다음, 얼마만큼의 바이트가 없어져야 하는 가를 결정하는 숫자 파라미터를 지정할 수 있다. 아래와 같은 코드를 본 다면: 어떤_프로시져 proc near ... ... pop edi pop esi add esp, 10h pop bp ret 8 어떤_프로시져 endp 어떤_프로시져 가 스택에 push된 모든 값을 제대로 pop했다고 한다면, 호출한 부분의 상태는 아래와 같을 것이다: ... ; esp는 xxxxxxxx를 가리킴 push 32bit_변수 ; esp는 32bit_변수 를 가리킴 push 또_다른_32bit_변수 ; esp는 또_다른_32bit_변수 를 가리킴 call 어떤_프로시져 inc edi ; ret명령이 여기로 오게 함 ; 그리고 esp 는 xxxxxxxx를 가리킴 ... 함수가 끝나는 곳을 정하는 것은 헷갈릴 수 있다. compiler optimizer가 활성화된 상태라면, 함수가 호출된 곳으로 돌아갈 수 있는 곳이 몇 군데 있을 수 있다. 보통은 함수가 끝나면 또 다른 함수가 시작된다. ret가 여러 개가 있다고 하더라도 ret명령 다음에 나오는 명령을 살펴 보면 함수가 어디에서 끝나는 지 알아낼 수 있다. disassembler가 다음에 나오는 함수를 정확하게 표시해 준다면, 이것은 문제가 되지 않을 것이다. 하지만 그렇지 못할 경우, 우리는 함수 시작부분(prologue) 같은 곳을 찾아 헤메야만 할 것이다. _함수 시작부분과 끝부분(Function Prologue and Epilogue)_ 컴파일러에 의해서 만들어지는 함수의 시작부분은 아래에 나오는 것의 변형된 모습이다: + (E)BP를 스택에 저장 + (E)SP(스택 포인터)를 (E)BP 레지스터로 옮김 + 스택 포인터 감소 시켜서 지역 변수가 쓸 자리 만들기 + 함수의 레지스터를 스택에 저장 어셈블리어로 나타내자면 아래와 같을 것이다(32bit): push ebp ;호출하는 곳의 EBP frame저장 mov ebp, esp ;새로운 EBP설정 sub esp, xxxx ;xxxx는 지역 변수가 쓸 바이트 값 push esi ;호출하는 곳의 레지스터 저장 push edi ... C/C++프로그램에서는 호출된 함수는 다음 레지스터를 보존해야 한다: (E)SI, (E)DI, (E)BP, (E)SP, CS, DS, SS. 즉, 호출된 함수는 위의 레지스터를 바꿀 수 없는 것이다. 만약에 호출된 함수가 이런 레지스터를 써야 한다면(ESI와 EDI가 가장 많이 쓰이는 것이다), 먼저 그것을 스택에 저장해야 할 것이다. 그러나 호출된 함수는 다음을 쓸 수 있다: (E)AX, (E)BX, (E)CX, (E)DX, ES. 이것들은 먼저 저장할 필요 없이 마음대로 쓸 수 있다. 컴파일러는 함수 시작부분에서 이런 저장 작업을 할 것이다. _ENTER와 LEAVE_ 80286 이상의 프로세서에서는 두 가지의 특별한 명령이 추가 되었다. 서브루틴을 호출할 때 stack frame이 필요한 고급언어를 위해서 만들어진 그 두 명령이 바로 ENTER와 LEAVE이다. 80286이상의 code generation이 활성화 된 상태라면, 컴파일러는 이런 명령을 쓰려고 할 것이다. 아래를 보자: enter xxxx, 0h ;xxxx는 지역변수가 사용할 바이트 push esi push edi ... ENTER 명령에서 쓰인 0h는 level number이다. level 0에서는 _enter_명령은 아래와 같은 방법을 거쳐서 stack frame을 만든다: push ebp mov ebp, esp sub esp, xxxx level이 0이라면 ENTER는 부모(parent's)의 (E)BP를 먼저 저장하고, 더 상위의 level의 (E)BP를 순서 대로 저장한 다음 현재의 (E)BP를 마지막으로 저장한다. 이런 방법이, 프로그램이 상위의 level 변수에 도달하는 걸 더 편리하게 해 준다. 함수가 상위 level의 변수를 참고하려 한다면, 아래와 비슷한 코드를 쓸 것이다: mov esi, [ebp-4] ;최상위 level의 (E)BP를 꺼내옴 ;다음 level의 (E)BP는 [ebp-8] mov eax, ss:[esi-8] ;최상위 level의 첫번째 변수 꺼내옴 ;첫번째 변수가 32비트 값이면 ;그 다음 변수는 [ebp-C]에 있음 level 0 이상에서 프로그램이 ENTER를 쓰는 일은 거의 없다. Clarion으로 컴파일 된 프로그램은 예외다. 위의 설명에서 알 수 있듯이, level 0이상에서의 ENTER는 stack frame에서 더 많은 공간이 필요하다. LEAVE명령은 단순히 이전의 (E)BP와 (E)SP를 복구시켜서, 지금의 스택에서 stack frame을 없애버린다. push된 값들이 호출한 곳으로 함수가 돌아가기 전에 모두 없어져야 한다는 게 중요하다. 그렇지 않으면 ret 명령은 잘못된 (E)IP값을 pop하게 될 것이다. 이런 이유로 함수의 끝부분은 함수의 첫부분과 많이 비슷한 모양을 갖는다. 이번엔 함수의 첫부분에서 했던 과정을 거꾸로 하는 것이다. 위에서 보았던 예를 생각한다면 코드는 아래와 같을 것이다: .... pop edi pop esi add esp, xxxx pop ebp ret 또는 LEAVE명령을 이용해서: .... pop edi pop esi leave ret 처럼 될 수도 있다. 위에서 보인 코드는 격식을 모두 갖춘 예 였다. 실제로는 일부분이 빠질 수도 있다. 만약에 프로그램이 변수가 필요하지 않는 것이라면 컴파일러는 stack frame을 새로 만들지 않을 것이다. 32비트 프로그램에서는 지역 변수가 필요한 경우라도 ebp stack frame을 설정하지 않아도 된다. 32비트 주소 지정 방식에서는 컴파일러가 지역변수와 인수에 주소를 지정할 때 ESP를 직접 사용할 수 있다. 또 프로그램이 어셈블리어로 쓰였을 가능성도 언제나 있는 것이다. 그런 경우라면 지금까지 우리가 예상했던 것들은 모두 적용되지 않을 수 있다. 그야말로 프로그래머 맘대로인 것이다. _MFC message maps macro에 의해서 호출되는 함수_ 소스 파일을 이용한 크랙을 처음 해 보는 사람에게는 이 부분이 어려울 수도 있다. 하지만 요즘 많은 프로그램이 MFC를 이용하고 있고 몇몇 컴파일러(Watchcom 과 Symantec을 포함한)는 벌써 그것을 지원하고 있다. 그래서 이 부분 역시 꼭 알아야 한다. 원한다면 이 부분을 제껴 버릴 수도 있다. 원하는 부분의 정보를 알아 내는 데에는 몇 가지 방법이 있다. .rdata 부분을 옮겨 보여주는 hex editor를 이용할 수도 있고 IDA Pro의 Search in Core 기능을 이용할 수도 있다. message maps가 뭔지 알고 있다면 도움이 될 것이다. 나는 그것에 대해 여기서 말하지 않겠다. 당신이 MFC 프로그래머가 아니라면 George Shephered 와 Scot Wingo가 쓴 Visual C++ Developer Journal에 실린 글을 읽어 보면 될 것이다. 여기서 다룰 message maps는 AFX_MSGMAP_ENTRY이다. 다음과 같이 정의 된다: struct AFX_MSGMAP_ENTRY { UINT nMessage; UINT nCode; UINT nID; UINT nLastID; UINT nSig; AFX_PMSG pfn; }; 첫번째 필드는 시스템으로 부터 오는 윈도우 메시지이다. 메시지의 정의는 SDK에서의 그것과 같다. 우리의 목적에 걸맞는 중요한 메시지는 WM_COMMAND이다. 그것은 0111h로 정의 되고 우리가 메뉴나 버튼을 클릭할 때마다 윈도우가 보내는 메시지이다. 두번째 필드는 WM_NOTIFY코드를 나타낸다. 세번째 필드는 첫번째 control ID이고 네번째 필드는 마지막 control ID이다. 제어권이 나란하게 배치되어 있는 상태라면(예를 들어 라디오 버튼 형식(radio button group)이나 병렬 메뉴(cascading menu)같은 경우), 첫번째 아이템은 nID에 위치하고 마지막 아이템은 nLastID에 위치한다. 다섯번째 필드는 메시지를 처리를 위한 함수의 서명(signature)이다. 그리고 마지막 필드는 메시지 처리 함수에 대한 포인터이다. 이런 사실을 알면 특정한 버튼이나 메뉴에 대한 함수를 찾아 낼 수 있다. disassemble한 실행화일로 부터 자원을 꺼내 보는 게 첫번째 할 일이다. 나는 Visual C++'s resource editor를 사용해서 그런 작업을 한다. 당신이 원하는 부분의 자원을 찾아내고 그것의 ID를 알아낸다. 이제부터 나올 예를 그대로 따라해 보려면 MFC 프로그램 하나를 disassemble해야 한다. 어떤 MFC 프로그램이라도 상관 없다. 예를 들어서 어떤 함수가 프로그램의 저장(save) 메뉴를 다루기 위해 쓰이는 지 알고 싶다고 해 보자. resource eidtor를 살펴 보았더니 저장(Save) 메뉴의 ID가 57603이었다. IDA Pro에서라면 .rdata부분으로 간다(View , Segment에서 .rdata를 선택한다). 그 다음에 IDA의 "Search for Text in Core..." 기능을 이용한다(Alt+B). 찾을 방향이 "아래로"로 선택되어 있는 지 확인하기 바란다. 그렇지 않다면 취소를 누른 다음 TAB키를 이용해서 찾을 방향을 바꿔 준다. 찾을 문자열로 57603을 쓴 다음 decimal을 클릭한 후 OK를 누른다. IDA는 아래와 비슷하게 보이는 곳에서 멈출 것이다: .... 0045C738 db 3 커서가 위치한 곳의 값은 dword decimal 단위로 바꿔준다. 가장 빠른 방법은 "o"를 누른 다음 "h"를 누르는 것이다(o는 dword값으로 바꿔준다, h는 그것을 dword decimal로 다시 바꿔준다. 옳은 방법은 아니지만 되긴 된다. 더구나 빠르게. :). 그렇게 한 다음엔 57603이라고 나올 것이다. 그렇지 않다면 찾기를 계속해 본다. 그렇게 나왔다면 커서가 있는 곳의 근처에 있는 값들도 바꿔본다. 그러면 아래와 비슷하게 나올 것이다: .... 0045C730 dd 111h 0045C734 dd 0 0045C738 dd 57603 0045C73C dd 57603 0045C740 dd 0Ch 0045C744 dd offset loc_423280 .... 오프셋 423280에서 이 부분의 메시지를 다루는 함수를 찾을 수 있을 것이다. 하지만 이게 끝이 아니다. 비슷한 ID가 다른 class들에서 사용되기 때문에 .rdata 세그먼트에 있지 않을 때 까지 찾기를 계속해야 한다. 이 ID가 쓰이는 곳을 전부 찾은 다음에 그 주위의 바이트값들을 살펴보아서 제대로 된 곳이 어디인지를 알아낼 수 있을 것이다. 위에서 했던 방법 처럼 바꿔 주면 된다. 대화상자 안에서의 버튼을 찾고 있다면 그 대화상자 안에 있는 다른 버튼들도 볼 수 있다. 메뉴를 찾을 때에는 주의할 게 있다. 프로그램이 CView로 부터 나온 여러 개의 class를 갖고 있다면 똑같은 ID가 나타날 수 있는 곳이 여러 개 있을 수 있다는 것이다. 여러 번 해 보다 보면 익숙해 질 것이다. 언젠가는 누군가에 의해서 이런 일을 하는 FRMSPY나 EXE2DPR같은 도구가 나올 지도 모르겠다. 하지만 그 날까지는 이 방법이 내가 알고 있는 가장 빠른 방법이다. debugger를 이용하는 방법보다도 더 빠른 방법이다. SoftICE의 stack 명령을 이용해서 찾아 낼 수도 있을 것이다. 그러나 정확한 위치를 찾기 위해서는 몇 개의 스택을 비교해 봐야 한다. 난 아직도 MFC에 대해서는 초보다. 그러니까 당신이 다른 방법을 알고 있다면 나에게 편지 해 주기 바란다. 그러면 그 방법을 이 강좌에 넣을 수 있을 것이다. _함수의 Return 값_ 함수의 return값에 대해서는 별로 할 말은 없다. 32비트 프로그램에서는 함수는 EAX에 return값을 저장한다. 16비트 프로그램에서는 16비트 값은 AX에 저장하고 32비트 값은 DX:AX에 나누어서 저장한다. 하지만 프로그램이 어셈블리어로 쓰여졌다면 함수의 return값은 어떤 곳에라도 저장될 수 있다. 어셈블러가 보통 쓰는 약속은, 함수가 boolean 함수라면 캐리 플래그 레지스터(CF)를 적절하게 설정한다는 것이다. 이 경우에는 다음에 나오는 JC나 JNC같은 명령을 찾아 볼 수 있다. _함수의 인수(Function Arguments)_ 함수의 인수를 어떻게 알아 보느냐에 대해 말하기 전에 함수를 호출하는 데 많이 쓰이는 약속들(calling convention)에 대해서 알 필요가 있다. fastcall calling convention의 경우가 아니라면 컴파일러는 호출될 함수에 대한 인수를 스택에 저장한다. 함수 호출 약속에 대해서 알아 보는 것이 함수의 인수가 어디에 있는 지를 알아 내는 데 많은 도움을 줄 것이다. 함수 호출 약속은 어셈블리어에서 어떻게 인수가 함수에 넘겨지는 지 또 함수가 끝났을 때 어떻게 스택을 비우는 지에 대해서 결정한다. 아래의 표는 함수 호출 약속의 일부를 보였다. _함수 호출 약속 _ _인수 넘기기_ _스택 관리_ _함수 이름 나타내기(C only) _ _참고_ __pascal 왼쪽에서 오른 쪽으로. 호출된 함수가 자신의 인수를 스택에서 직접 꺼냄 편지 주세요 16비트 윈도우 함수에서 쓰이는 함수 대부분에서 쓰임 __cdecl (C Calling Convention) 오른쪽에서 왼쪽으로 호출하는 함수가 스택에서 인수를 꺼냄 함수 이름 앞에 밑줄 덧붙임. 예: _Foo CRT(C runtime library)에서 쓰임. __stdcall 오른쪽에서 왼쪽으로 호출된 함수가 자신의 인수를 스택에서 꺼냄 함수 이름앞에 밑줄 덧붙임. 함수 이름 뒤에 [@+(인수 목록의 바이트 값의 10진수 값)]를 붙임 예: _Foo@10 Win32에서 쓰이는 함수 대부분에 쓰임 __fastcall 처음 나오는 두개의 DWORD 인수는 ECX와 EDX에, 나머지는 오른쪽에서 왼쪽으로 호출된 함수가 자신의 인수를 스택에서 꺼냄 함수 이름 앞에 @ 붙임. 함수 이름 뒤에 [@+(인수 목록의 바이트 값의 10진수 값)]를 붙임 예:@Foo@10 레지스터를 이용하는 방법이 특이하기 때문에 인텔 CPU에만 적용. Borland 컴파일러에서 쓰이는 기본적인 함수 호출 약속(Delphi도 포함) thiscall this pointer는 ECX에, 인수는 오른쪽에서 왼쪽으로 호출하는 함수가 스택에서 인수를 꺼냄 없음. C++ 코드에 의해 자동으로 쓰임 naked 오른쪽에서 왼쪽으로 호출하는 함수가 스택에서 인수를 꺼냄 없음 VxD에서만 쓰임. 알림: 이 표는 MSJ에 John Robbins이 쓴 글에서 가져왔다. 그 "Penguin guy"가 실수를 거의 하지 않는 편이지만, 내 컴파일러로 모두 확인해 봤다. C++ 컴파일러로 확인하고 싶다면 C++의 name mangling을 방지 하기 위해서 extern "C"를 이용하기 바란다. 내 컴파일러(MSVC 4.2)는 내가 만들 수 있는 함수 호출 약속 기능에 제한을 두고 있다. 나는 Pascal 형식의 함수를 선언할 수 없는 것이다. pascal 형식의 함수 이름이 어떤 것인지 알고 싶다면 나에게 편지하기 바란다. 우리의 목적에 맞는 두 개의 중요한 부분만 짚고 넘어갈 것이다:_인수 넘기기_와 _스택 관리_가 그것이다. 게다가 나머지 부분도 "우리 말"로 쓰여 있잖나. : ) _인수 넘기기_ 부분은 프로그램이 함수를 호출할 때 인수가 어떻게 스택에 push되는 가를 보여준다. 인수가 _왼쪽에서 오른쪽_으로 push된다면, 함수가 다음과 같이 선언 되었을 때: 어떤_함수 (0x1000, 0x2000, 0x3000); 다음과 같이 나타날 것이다: push 1000h push 2000h push 3000h call 어떤_함수 ... 마찬 가지로, 인수가 _오른쪽으로 왼쪽으로_ push된다면, 다음과 같을 것이다: push 3000h push 2000h push 1000h call 어떤_함수 ... 인수가 _레지스터를 이용해서 넘겨진다면_(예: fastcall style): push 3000h mov edx, 2000h mov ecx, 1000h call 어떤_함수 ... push된 순서가 하나하나 연속해서 꺼내 질 것이라고 생각하면 안된다. 예를 들어 Win32 프로그램의 heap의 메모리를 배치하려고 한다고 하자. 그렇게 하려면 HeapAlloc 함수를 쓸 수 있을 것이다. 하지만 또 다른 heap을 새로 만드는 대신에 프로세스의 heap을 쓰고 싶다고 하자. 다음과 같이 할 것이다: LPVOID lpMem = HeapAlloc(GetProcessHeap(), 0, 1024); 그리고 disassembly 소스 파일에서는 다음과 같이 나타날 것이다: push 400h ;HeapAlloc 인수 push 0 ;HeapAlloc 인수 call ds:GetProcessHeap ;GetProcessHeap은 인수를 취하지 않는다. ;따라서 이 함수는 먼저 push된 두 값을 ;신경쓰지 않는다 push eax ;GetProcessHeap함수로 부터 돌려 받은 ;메모리 HANDLE을 push call ds:HeapAlloc ;이제 HeapAlloc의 인수가 모두 처리됐으니까 함수 호출 mov [ebp-20], eax ;돌려 받은 LPVOID 포인터를 지역 변수로 저장 ... 이제 _스택 관리_에 대해서 살펴 보자. ret명령에 대해서 얘기할 때 인수가 push되기 전에 (E)SP가 이전 값을 되돌려 받는 다고 했던 것을 기억하고 있는가? 간단히 말해서 그것이 스택 관리이다. (E)SP의 값을 누가 설정하느냐가 말이다. 호출된 함수가 스택을 관리한다면, 아래와 같은 부분을 함수의 끝부분에서 볼 수 있을 것이다(이 예에서 함수는 32비트 함수이며, 각각 32비트 값을 갖는 세 개의 인수를 갖는다.): ... ;32비트 코드이다 pop edi pop esi add esp, 20h ret 0Ch ;스택 지우기, 12 바이트를 pop. 호출하는 함수가 스택을 관리하는 역할을 한다면, 호출하는 부분은 아래와 같을 것이다: ... ;32비트 코드이다 push 3000h push 2000h push 1000h call 어떤_함수 add esp, 0Ch ;스택 지우기, 12바이트를 pop. 하지만 모든 call다음에 add esp, xxxx명령이 있을 거라고 생각하면 안된다. 호출되는 함수가 하나나 두개의 인수밖에 취하지 않을 때 컴파일러가 필요하지 않은 레지스터에 스택을 pop시킬 수도 있기 때문이다. 다음과 같은 경우 처럼: ... ;32비트 코드이다 push 1000h ;인수는 하나 뿐 call 작은_함수 pop edx ;스택 지우기, 4바이트를 꺼냄 ;edx는 필요없는 값을 갖고 있었음 mov edx, [ebp-20] ;다른 곳에 쓰기 위해 edx 준비 시킴 ... 스택 관리를 살펴 보는 것은 우리가 살펴 보는 함수가 얼마나 많은 인수를 취하고 있나를 알아 볼 수 있도록 도와 준다(push된 값들이 순서대로 하나 하나 연속해서 꺼내지지 않는 다는 것을 기억하라). 32비트 함수가 10h를 스택에서 pop했다면 그 함수는 4개의 인수를 취하고 있는 것이다. 꼭 기억해 둘만한 사실은 모든 Win32 API함수의 인수는 32비트라는 것이다. 표에서 스택 관리 부분을 잘 살펴 보면 C의 함수 호출 약속만이 호출한 함수가 스택을 지우게 한다는 것을 알 수 있을 것이다. C 프로그램에서 함수가 여러 개의 인수를 취할 수 있다는 게 그 이유 중 하나가 될 것이다. printf함수가 그 예다. 호출되는 함수가 그 인수의 수가 몇개인지 미리 알 수 없으므로 함수 안에서 스택을 지울 수가 없는 것이다. 따라서 스택 관리는 호출하는 부분이 관리해야 하는 것이다. 이것이 왜 일부 Win32 API가 stdcall 함수 호출 약속 대신, C 함수 호출 약속을 쓰는 가에 대한 대답이 될 수 있을 것이다. 여러분이 직접 만든 wsprintf나 그 비슷한 함수를 사용하는 프로그램을 한 번 살펴 볼 수 있을 것이다. 프로그램을 disassemble할 때 함수의 인수가 어디에 있는 지 알고 싶다면, 우선 해야 할 일은 그 함수가 어떤 함수 호출 약속을 쓰고 있느냐 하는 것을 알아내는 것이다. 함수가 어떤 함수 호출 약속을 쓰고 있는 가를 알아 낸 다음 나머지는 아주 간단한 일이다. 이번엔 실제의 예를 한번 들어 보겠다(아마 여러분은 push 1000h따위의 예가 지겨워 졌을 것이다 :). Win32의 대화상자 프로시져는: LRESULT CALLBACK AboutProc(HWND hDlg, UNIT msg, WPARAM wParam, LPARAM lParam) 함수가 함수 처음부분을 실행한 다음(즉, move ebp, esp가 실행 된 다음), 스택은 아래와 같을 것이다. _스택 내용_ _주소_ _설명_ lParam [EBP+14h] 호출하는 부분에서 push됨 wParam [EBP+10h] 호출하는 부분에서 push됨 msg [EBP+0Ch] 호출하는 부분에서 push됨 hDlg [EBP+08h] 호출하는 부분에서 push됨 return EIP [EBP+04h] CALL 명령에 의해 push됨 Previous EBP [EBP+00h] 함수 처음 부분에 의해 push됨 [EBP+08h]의 주소를 쓰는 코드가 함수 코드 안에 있다면, 그 부분이 hDlg를 사용하고 있다는 걸 알 수 있다. 따라서 [EBP+08h]를 [hDlg]로 바꿔 놓을 수 있다. 마찬가지로 [EBP+0Ch]는 [msg]로 바꿀 수 있다. 여기서 중요한 것은(그리고 꼭 기억해야 할 것은): _함수가 (E)BP stack frame을 사용한다면_ _함수의 인수는 (E)BP로부터 양의 방향으로 증가된 오프셋에 있다_ 라는 것이다. 이것은 16비트 코드에서도 마찬가지이다. 단 16비트 코드에서는 인수가 16비트 크기이고, 원거리 호출일 경우 CS도 스택에 push된다. CS가 먼저 push되고([BP+04h]에), 다음에 IP가 push된다([BP+02h]에). 인수(변수도 마찬가지이다)를 알아 내려고 할 때, Win32 프로그래밍의 기술을 알고 있다면 무척이나 도움이 된다. 예를 들어서 프로그래머가 handle의 종류를 새로 조정하지 않을 수도 있다. 만약에 여러분이 살펴 보고 있는 함수를 호출하고 있는 부분이 Win32의 GetParent()함수를 호출했다고 하자. 또 결과값을 우리가 살펴 보고 있던 함수 호출 부분에 돌려 준다면 그 함수 내에서는 hwndParent는 변하지 않는다. 마찬가지로 CreatFile()함수에 의해서 돌려 받는 handle은 파일에 대한 handle로 남아 있는다. 크랙을 하기 위해 disassemble을 하고 있고, 함수 호출 부분이 대화상자를 설정하기 위해서 hwndParent를 넘겼다면 그것이 어떻게 쓰이고 있는 가는 신경쓰지 않아도 된다. 보통 이와 같은 사실은 이런 인수와 함께 호출되는 함수를 살펴 보지 않아도 상관없게 해 준다. 한편 포인터는 함수에서 다른 종류로 바뀔 수 있다. 이런 것은 disassembly에서는 나타나지 않는다. 어셈블리어에서는 32비트는 32비트일 뿐이다. 그것이 문자열에 대한 포인터인지 structure 에 대한 포인터인지간에 말이다. 따라서 그런 것의 이름을 고쳐 쓸 때에는 주의를 해야한다. 또 그렇게 간단한 일이 아닐 때도 있다. 32비트 프로그램에서는 컴파일러가 [ESP+20h]처럼 ESP를 인수의 주소 지정에 사용하기도 한다. 이런 것을 본다면 역시 이름을 고쳐 쓸 때 주의해야 한다. 스택에 어떤 값이 push되거나 pop될 때마다 ESP의 값이 바뀌기 때문이다. [ESP+20h]에 저장되어 있는 문자열이 나중에는 함수가 두개의 DWORD값을 스택에 push한다면 [ESP+28h]로 바뀔 수도 있기 때문이다. 우리에게는 다행스럽게도 IDA Pro같은 disassembler가 있다. IDA Pro에서는 disassembler 안에서 인수와 지역 변수의 이름을 새로 바꿀 수 있다. 그리고 EBP이건 ESP이건 간에 IDA Pro는 옳바른 것으로 이름을 바꿀 것이다. _변수 알아내기_ _지역 변수_ 함수의 지역 변수는 스택에 저장된다. 컴파일러가 지역 변수를 레지스터를 이용해서 저장하는 경우도 있다. 그러나 특정 레지스터가 특정 명령에 쓰이기 때문에(MOVSD명령이 EDI를 사용하고, 카운터가 필요한 명령에서 ECX를 사용하고, IDIV명령에서 EAX를 쓰는 것 처럼), 함수가 실행되는 동안 계속해서 지역변수를 저장하는 데 레지스터를 사용하는 것은 아주 드물다. 기억해 둘 중요한 사실은 _함수가 (E)BP stack frame을 사용할 때 _지역변수는 (E)BP로 부터 음의 방향으로 증가된 오프셋에 위치한다_ 는 것이다. 또 함수가 인수의 주소 지정에 ESP를 사용했다면 지역변수 주소 지정에서도 ESP를 사용한다는 사실이다. 함수가 ESP를 사용할 때, 인수와 지역 변수 모두 ESP로 부터 양의 방향으로 증가된 오프셋에 위치한다. 지역변수를 살펴볼 때 함수의 함수 호출 약속은 다를 것이 없다. 다만 naked 함수 호출 약속이 예외인데, 이 때는 프로그래머가 어셈블리어로 직접 함수를 쓴 경우이다. 지역 변수를 알아 내는 것은 인수를 알아 내는 것 처럼 쉬운 일은 아니다. 인수를 살펴 볼 때에는 push명령을 통해서 그것이 16비트인지 32비트인지를 알 수 있었다. 지역 변수의 종류를 알아 내기 위해서는 특정 변수가 어떻게 쓰이는 가를 살펴 봐야 한다. 이 글의 뒷부분에서 어떻게 지역변수의 종류를 살펴 보는 가에 대해서 얘기 할 것이다. 함수를 보고 얼마 만큼의 바이트가 지역 변수에 쓰이는 가를 결정할 수도 있다. 우리가 sub esp, xxxx와 같은 명령어를 함수 첫부분에 보았다면, xxxx가 바로 함수가 필요로 하는 지역변수의 바이트 값이다. _전체 변수(Global Variables)_ 함수에서 쓰이는 전체 변수를 결정하는 것은 아주 쉽다. 전체 변수는 EBP나 ESP의 도움없이 주소 지정이 가능하다. 따라서 다음과 같은 명령을 보았다면: mov eax, [00421EB0] 우리는 이 함수가 전체 변수를 쓰고 있는 것을 알 수 있다. 그러나 그 변수의 종류를 결정하는 것은 지역 변수의 종류를 결정하는 방법과 같다. 함수가 그것을 어떻게 사용하는 가를 알아야 한다. disassembler가 그것을 제대로 된 값으로 바꾸었을 때에도(전체변수의 주소가 지정되었을 때 disassembler가 찾아낸 명령에 의해), 항상 믿을 만한 것은 아니다. disassembler가 나타낸 값은 단지 참고할 만한 값일 뿐이다. 우리의 눈과 머리와 경험을 대신할 수는 없는 것이다. : ) 16비트 프로그램을 살펴 볼 때에는 전체 변수의 이름을 바꿀 때 조심해야 한다. 세그먼트(DS 또는 ES)가 제대로 된 값을 가리키고 있는 가를 우선 확인해야 한다. _변수 종류 알아내기_ 이미 Win32 API가 어떻게 함수의 인수 종류를 결정하는 지 얘기했다. 똑같은 방법이 변수의 종류를 결정하는 데에도 쓰인다. 함수가 쓰고 있는 지역 변수를 관찰하고 있을 때, Win32API를 가장 먼저 찾아야 한다. Win32 API가 쓰이는 방법대로 변수의 이름을 바꿔 주는 것만으로 소스 파일의 내용이 훨씬 더 간결해 보일 수가 있을 때도 있다. 다음 코드를 살펴 보자: ... push offset 00423440 lea edx, [ebp-5BOh] push edx push offset 0041EC2C push offset 0041EC34 call ds:WritePrivateProfileStringA ... API 도움말에 따르면, WritePrivateProfileString함수가 다음과 같이 선언된다: BOOL WritePrivateProfileString( LPCTSTR lpAppName, // pointer to section name LPCTSTR lpKeyName, // pointer to key name LPCTSTR lpString, // pointer to string to add LPCTSTR lpFileName // pointer to initialization filename ); 이제 오프셋 00423440에서 .INI 파일의 파일이름을 찾을 수 있다는 것을 안다. 그리고 지역 변수인 [EBP-5B0h] 은 써 넣을 key값의 문자열이다. 마찬가지로 0041EC2C와 0041EC34를 szKey와 szSection으로 각각 바꿀 수 있다. 인수가 변수의 종류를 알아내는 데 쓰일 수 있다면 돌려 받는 값(return value)역시 변수를 알아내는 데 쓰일 수 있다. 아래와 같은 예를 살펴 보자: ... call ds:_hread mov [ebp-40h], eax ... API 도움말에서, _hread는 읽어들인 값의 바이트값을 돌려 준다는 것을 알 수 있다. 이미 얘기 된 바대로, return value는 eax에 저장된다. 따라서 [EBP-40h]는 읽어들인 값의 바이트 값의 dword단위 값일 것이다. 아마 그것을 dwRead로 이름을 고칠 수 있을 것이다. 많은 변수들이 임시 변수로 쓰인다. 그리고 프로그램 내에서 그것은 다르게 쓰일 수 있다. 따라서 여러분이 이름을 바꿔 놓은 변수가 프로그램 내에서 어떻게 쓰이는 가를 항상 확인해야 한다. 그것이 계속해서 어떤 특정한 방법으로 쓰이고 있다면 아마 여러분이 추측한 그 변수의 쓰임이 맞을 것이다. 요즘에는 IDA Pro같은 disassembler는 이런 것들을 꽤 높은 수준까지 끌어 올렸다. 즉 Win32 API만 보여 주는 데 그치는 것이 아니라 FLIRT 라는 기술로, IDA Pro는 우리가 살펴 보는 함수가 CRT(C runtime library), MFC classes, Delphi function, Borland's VCL function등도 보여준다. 만약에 당신이 Delphi 프로그램을 많이 사용한다면, Peter Sawatzki의 다운로드 페이지에서 Delphi의 FLIRT library를 다운 받을 수도 있다. 만약 프로그램이 알려진 API를 쓰지 않는다면 변수를 알아내기는 쉽지 않을 것이다. 가장 알아내기 쉬운 변수종류는 boolean 변수이다. 아래와 같은 코드를 본다면: ... move eax, [ebp-40h] test eax, eax jz 41453D_주소 ... [EBP-40h]에서는 아마도 BOOL 종류의 변수를 찾을 수 있을 것이다. 쉽게 알아 낼 수 있는 변수로 또 하나는 for구문에서의 카운터가 있다. C에서 for 구문은 보통 아래와 같이 쓰인다: for (i=0; i 아래의 코드를 자세히 살펴 보기 바란다. [EBP-164h]가 어떻게 쓰이는 가를 살펴 보자: ... mov dword ptr _[ebp-164h]_, 0 ;[ebp-164h]를 초기화 jmp short 41453D_주소 ;41453D_주소 에서 시작 41452E_주소: mov ecx, _[ebp-164h]_ ;또 한번 [EBP-164h]가 inc ecx ;증가 된 다음 mov _[ebp-164h]_, ecx ;저장 됨 41453D_주소: cmp dword ptr _[ebp-164h]_, 400h;[ebp-16] > 1624 ? jnb short 414567_주소 ;크다면 분기 ... ;다른 변수들을 ... ;이용하는 코드들 ... ;간단히 하기 위해 제꼈다 jmp short 41452E_주소 ;되돌아감 414567_주소: ... 어떻게 실행되는 지 알겠는가? 맞다 [EBP-164h]가 카운터이다. 당신이 C 프로그래머가 아니라면 재미 있는 사실을 모를 것이다. C 프로그래머는 여러 개의 목적으로 카운터를 쓰지 않는다. 만약에 소스 파일에서 for 구문을 찾아 냈다면 대부분의 경우 다른 함수에서 for구문을 쓸 때에도 같은 카운터를 다시 쓸 것이다. 프로그래머가 for구문을 쓰는 이유 중의 하나는 array의 순서를 매기기 위한 것이다. 아래의 코드는 위에서 예를 들었던 부분에서 옮긴 것이다: mov eax, [ebp-164h] mov edx, ds:00423194[eax*4] 위의 코드에서, [EBP-164h]는 ds:00423194h에 있는 array로 정의된 전체 변수에 대한 순서값을 저장하고 있다. array는 32비트 정수이다. 그것이 카운터가 4바이트([eax*4])씩 증가하는 이유이다. array가 CHAR형(1 바이트)이었다면 위의 코드는 다음과 같을 것이다: mov eax, [ebp-164h] mov edx, ds:00423194[eax] array와 그것의 순서 매김이 모두 지역 변수라면 코드가 위 처럼 간결하지는 않을 것이다. DWORD형의 array는 다음과 같이 disassemble될 것이다: mov eax, [ebp-164h] mov edx, [ebp+eax*4-40h] 위의 코드에서 [EBP-40h]에서 시작하는 DWORD형의 array를 찾을 수 있을 것이다. 여기 까지이다. 컴파일러가 어셈블리 코드를 만들어 내는 방법은 많이 있다. 내가 알아낸 방법을 모두 여기에 쓸 수는 없다. 연습을 계속하는 것이 확실한 방법이다. Disassembling을 정확하게 알아낼 수는 없다. 함수의 변수를 알아내는 것을 언제나 정확하게 할 수 있을 거라고 생각하면 안된다. 하지만 난 디버거를 이용하는 방법보다는 소스 파일을 이용하는 방법을 더 좋아한다. disassembly는 우리가 언제 든지 사용할 수 있는 선택사항이라고 생각하면 된다. 디버거에서 단 몇 초만에 얻을 수 있는 정보를 얻기 위해서 3MB 프로그램을 disassemble하려고 기다려야 한다면 말이 안될 것이다. 왜 먼저 disassemble하나, 그 이유에 대해서 생각해 봐야 한다. 디버거를 이용한 크랙에서는 중요하지 않은 함수에 혼란스러워 질 가능성이 크다. 중단점에 메달리기 보다는 함수를 살펴본다. 그게 GetLastError를 호출하는 call일 뿐일 수도 있지 않은가(아직도 그런 경험을 기억하는가? ;) ------------------------------------------------------------------------------- 이 글은 Rhayader가 쓴 글을 제가 옮긴 것 뿐이라는 것을 다시 한 번 밝힙니다. Page 4 26. All Apologies 26. All Apologies 이번에 살펴 볼 프로그램은 K.실록(평가판)이라는 개인 정보 관리 프로그램입니다. 변변한 수첩도 하나 없어서 아는 사람 전화번호 적어 놓은 쪽지를 자주 잃어 버려서 구박받고 사는 저 같은 사람에게 쓸만한 프로그램인 것 같습니다. 이런 프로그램이 있다는 걸 알게 된 건, 우연히 신문에서 본 기사에서 였습니다. 뭐 정부에서 선정한 권장 소프트웨어 목록이었던가 하는 기사가 실린 적이 있었습니다. 개인정보 관리 분야에서는 명인2000과 K실록, 하얀종이 두장, 한국인98이 나와 있었습니다. 제가 사용하는 PC 통신 자료실에 가 보니까 이 K실록(평가판)이 있더군요. 잘 기억은 나지 않지만 자료실에 소개된 글에서는 평가판이라서 등록할 수 있는 사람 수가 50명으로 제한 되어 있고 나머지 제한 사항은 없다고 했습니다. 휴우.. 어떻게 크랙해야 할 지 감이 잡히시죠? 등록된 사람 수를 세어 보는 부분이 있을 거에요. 그리고 확인해 봐서 50명이 넘게 등록을 하려고 한다면 등록시키지 않겠죠. 우리는 그 부분을 찾아서 50명이 넘어도 등록시키도록 만들어 주면 되겠죠? 그런데 혹시 이런 걱정을 하시는 분이 계실 지도 모르겠습니다. 프로그램 자체가 50명 분의 데이타만을 처리할 수 있도록 만들어 졌으면 어떡하냐..하는 것 말이에요. 그러니까 단순히 등록된 사람의 수를 확인하는 것이 아니라 아예 50명 이상의 데이타를 처리할 수 없도록 평가판을 만들어 놓은 게 아닐까. 과연 그렇게 했을까요? 아마 +ORC의 강좌를 읽어 보셔서 프로그래머가 어떤 사람들인지를 알고 계신 분들이라면 이런 걱정이 쓸데없는 생각이라는 걸 알고 계실 거에요 : ) 6, 740, 640 바이트의 거대한 크기의 파일을 다운 받았습니다. 그리고 설치를 하니까 실행파일이 여러개 있더군요. 그 중에서 K.실록 의 파일은 1, 924, 608 바이트 크기(k_his.exe)입니다. 우선은 50명 이상의 사람을 등록시켜 봐야 겠죠. 그렇게 했을 때 프로그램이 어떤 식으로 대응하는 지를 살펴봐야 하니까요. 열심히 50명 이상을 등록해 봤더니 52번째 사람을 등록할 때 글상자가 튀어 나왔습니다. 그 글상자를 보니까 전형적인 윈도우의 MessageBox였습니다. 왜 그 빨간색 가위표가 옆에 있는. 그러면 이제 Sice에서 Bpx MessageBoxA로 중단점을 설정한 다음, 다시 한번 52번째 사람을 등록시켜 봐야죠. 등록시키려고 '등록' 버튼을 누르면 Sice 화면으로 들어 갑니다. F11을 눌러서 MessageBoxA를 호출한 곳을 찾아 가보면 * Referenced by a (U)nconditional or (C)onditional Jump at Address: |:0044C7B5(C) ; | :0044D1F1 68FF000000 push 000000FF :0044D1F6 6830655300 push 00536530 * Possible Reference to String Resource ID=17431: " 샬X? ;이 문자열이 무슨 문자열 | ;인지는 안봐도 알겠죠? :0044D1FB 6817440000 push 00004417 :0044D200 A144565300 mov eax, dword ptr [00535644] :0044D205 50 push eax * Reference To: USER32.LoadStringA, Ord:0177h | :0044D206 FF150C8B5300 Call dword ptr [00538B0C] :0044D20C 6A10 push 00000010 * Possible StringData Ref from Data Obj ->"50" ;50..이라는 숫자군요 | :0044D20E 68CC5F5200 push 00525FCC :0044D213 6830655300 push 00536530 :0044D218 8B4508 mov eax, dword ptr [ebp+08] :0044D21B 50 push eax * Reference To: USER32.MessageBoxA, Ord:0188h | :0044D21C FF15108B5300 Call dword ptr [00538B10] ; 위에 있는 코드는 제가 W32DASM으로 disassemble한 것에서 일부를 옮겨 놓은 것입니다. 이 부분을 호출한 곳을 Sice에서 찾아가 보려고 했지만 쉬운 일이 아닌 것 같아서 직접 W32DASM으로 disassemble했습니다. 위에서도 볼 수 있듯이 이 글상자를 호출한 곳은 0044C7B5입니다. 더구나 조건 분기(Conditional Jump)로 여기로 왔군요. 그 곳으로 찾아 가봅시다. :0044C7AE E893180600 call 004AE046 ;50명 이상인가 확인 :0044C7B3 85C0 test eax, eax ;50명 넘었나? :0044C7B5 0F85360A0000 jne 0044D1F1 ;넘었으면 분기->MessageBoxA :0044C7BB 68B6140000 push 000014B6 :0044C7C0 8B4508 mov eax, dword ptr [ebp+08] :0044C7C3 50 push eax 단순히 위에 있는 조건 분기(jne 0044D1F1)를 없애 주면 될까요? call 004AE046이 의심스러운 call이라는 것은 확실합니다. 그 결과값에 따라서 분기를 결정하니까요. 혹시 이 004AE046 부분을 호출하는 곳이 이 곳 말고도 다른 곳에 있다면 이 부분의 조건 분기를 고치는 것만으로는 부족할 것 같습니다. call 004AE046이 호출하는 곳을 한 번 찾아 가보죠. 참 여기서 eax값(함수의 결과값)이 0이면 50명 이하인 것이고 0이 아닌 값이라면 50명 이상인 것이라는 걸 다시 한번 기억하고 넘어갑시다.(test eax, eax/jne 0044D1F1가 무슨 뜻인지는 다 아시죠?) :004AE046 55 push ebp :004AE047 8BEC mov ebp, esp :004AE049 83EC04 sub esp, 00000004 :004AE04C 53 push ebx :004AE04D 56 push esi :004AE04E 57 push edi :004AE04F A174645300 mov eax, dword ptr [00536474] :004AE054 50 push eax * Reference To: c4dll.d4recCount, Ord:007Ch | :004AE055 E8C43F0600 Call 0051201E :004AE05A 8945FC mov dword ptr [ebp-04], eax ;[ebp-04]=등록된 사람 수 :004AE05D 837DFC32 cmp dword ptr [ebp-04], 00000032 ;등록된 사람 수 > 50 ? :004AE061 0F8E0F000000 jle 004AE076 ;등록된 사람 수 > 50 이라면 :004AE067 B801000000 mov eax, 00000001 ;eax에 1을 옮기고 :004AE06C E90C000000 jmp 004AE07D ;ret :004AE071 E907000000 jmp 004AE07D * Referenced by a (U)nconditional or (C)onditional Jump at Address: |:004AE061(C) | ;등록된 사람 수 너무하는 군요. 어떻게 이렇게 속이 훤히 들여다 보이게 protection scheme을 만들어 놓다니.. 더이상 제가 뭐라고 주절 거리며 설명할 필요도 없겠죠? 32h(10진수로 50)라는 것도 아무런 속임수 없이 그냥 썼군요. 이 부분의 코드를 고치는 방법도 여러가지가 있겠지만 저는 004AE067에 있는 mov eax, 00000001명령을 mov eax, 00000000으로 만드는 방법을 썼습니다. 그러니까 B801000000을 B800000000으로 바꾸어 주는 거에요. 그러면 등록된 사람수가 50명 이상이건 이하이건 모두 eax는 0을 갖게 됩니다. 바로 이 eax가 아까 위에서 보았던 test eax, eax/jnz 0044D1F1에서 쓰여서 언제든지 그 글상자는 볼 수 없게 되는 거에요. 약간은 자세한 설명이 부족한 것도 같은데요, 이 글의 전 글들을 읽어 보신 초보 크랙커라면 별 어려움 없이 이해하셨을 거라고 생각합니다. Page 4 27. FAGET 27. FAGET 보통 아무 생각없이 지나치는 일이라도 한 번 더 생각해 보면 신기하고 놀라운(?) 일이라는 생각이 들 때가 있습니다. 내가 지금 눈으로 보고 있는 것들이 어떻게 해서 보이는 것일까, 봄이 된 걸 어떻게 알고 꽃이 필까 하는 따위의 것들 말이에요. 꿈많은 문학 소년이라서가 아니라 제가 좀 멍청해서 그런 생각을 하나 봅니다. 그런데 제 취미 생활인 크랙을 하다가도 그런 비슷한 생각이 든 적이 있습니다. SoftICE라는 디버거는 정말 훌륭하지 않은가 하는 생각 말입니다(하긴 저는 '컴퓨터'라는 물건 자체가 신기합니다). 생각할 수록 신기했습니다. SoftICE가 할 수 있는 능력이라는 것이 말이에요. 정말 대단한 '도구'라는 생각이 듭니다. 이 글을 읽고 계신 분 들이라면 아마 대부분 SoftICE를 갖고 계실 거라고 생각합니다. 그리고 대부분의 경우 다른 '크랙커'가 알려 준 등록번호로 등록을 하셨을 것이구요. 이제 이 글을 읽고 _여러분의_ 이름과 _여러분의_ 등록번호로 SoftICE를 등록할 수 있을 거에요. 또, 그렇게 등록하면 NuMega 사이트에서 _업그레이드_까지 할 수 있을 거에요. 아까 말한 것 처럼 SoftICE는 정말 훌륭한 디버거라고 생각합니다. 정말 진짜 '등록'해서 써도 아깝지 않을 훌륭한 프로그램이라고 생각합니다. 여러분 중에서는 저처럼 돈없고 불쌍한 학생만 있는 것은 아니겠지요. 저도 이 글을 읽고 나서, 새로 등록(?)을 했습니다. 참고 삼아서 말씀드리면 SoftICE에 대한 저의 등록정보는 --------------------------------- _NuMega SoftICE_ version 3.25 --------------------------------- This program is registered to: +kurt nowhereland 4811-2345FF-FF --------------------------------- 에요. 위에 있는 '저의' 등록정보를 갖고 등록하실 분은 안 계시겠죠? 이 글을 읽고나면 스스로 등록번호를 만들어 낼 수 있을 텐데 말이에요(더구나, 이미 '등록'해서 쓰고 계시잖아요?). 위의 것은 그냥 참고 삼아서 말씀드린 거에요. 아래 글을 쓴 사람도 나이가 그렇게 많은 분은 아닌 것 같습니다. 고등학생이나 대학생 정도 밖에 안 될 것 같은 데, 참 대단하다는 생각이 드는 군요. ------------------------------------------------------------------------------- _How to trick Numegas registration routines(and to download everything you want from Numega's site) disassembling Softice itself by +OCHE SATRIANI's &+OBLLEK's _ 내가 처음으로 SOFTICE를 다운 받은 건 CRACKSTORE's page에서 였다. 이 '아름다운 디버거'를 얻기 위해 몇 시간이 걸렸는 지 모르겠다. 내가 새벽 3시가 다 될 때 까지 아직도 인터넷에서 어정거리고 있는 걸 알면 우리 엄마가 날 죽이려고 할 것이다. 하지만 그렇게 보낸 시간이 내가 크랙커가 되기 위해서 처음으로 한 노력이었다. 다운 받은 다음에 FOSI라고 하는 사람으로 부터 얻은 등록번호로 이 프로그램을 설치했다. 난 그 때, 여러분처럼, 신이 나 있었다. 다음날 (CRACKER's page에서 얻은 그 등록번호로) NUMEGA's PAGE에서 내 softice를 업데이트 하려고 했다. 어떻게 됐을것 같은가? There has been a problem processing your request because the file has been downloaded an excessive amount of times. Error 100 Please contact Customer Service 어쩌면 SOFTICE를 업데이트 하기 전에 등록 신청서를 작성해야 하는 지도 몰라서 작성했더니, 이런 메시지가 나왔다. NuMega Product Registration You have used a test serial number. Please use your back button to return to the form. 어허... 이런 바보같으니라구. 아마도 NUMEGA가 그 등록번호를 BLACKLIST에 올려 놓았나보다. 한참 궁리한 끝에, SOFTICE의 설치 과정에서 등록번호를 많이 만들어 낼 수 있을 것이라는 결론을 얻었다. 그래 그래... 이 놈한테 자기가 해야 할 일을 시킨 다음 NUMEGA에서 우리의 사랑스런 SOFTICE를 업데이트 하는 거야! _[WARMING UP]_ 자, SOFTICE를 설치해 보자. 어쩌구 저쩌구 .... 이거 누르고, 저거 누르고, 정말 따분한 작업 끝에, 드디어 InstallShield가 이름과 소속과 등록번호를 물어온다. 이름과 소속에는 아무 거나 써 넣고, 등록번호에도 1234-567890-AB 같이 아무 등록번호나 써 넣자. 그 다음에 중단점을 어떻게 설정해야 좋을 지 생각해 보았다 몇 번 해 보니까, BPX SENDDLGITEMMESSAGEA가 먹혀 들어간다는 것을 알았다(SENDDLGITEMMESSAGEA가 어떻게 선언 되는 지 궁금하다면 WINAPI 도움말을 참고하라. 아직도 WINAPI 도움말을 갖고 있지 않다면 http://www.crackstore.com/tools.htm에 가서 얻어 보길 바란다). 우선 PROTECTION이 어디에 있는 지 부터 알아 내야 할 것이다. 하지만 그것은 아주 아주 찾기 어렵기 때문에 참을성을 갖고 기다려야 할 것이다. _[YES I'VE FOUND IT!]_ 아 찾아 냈다고? 참 빨리도 배우는 군, 친구. 맘에 들었어. 뭐가 어떻게 돌아가고 있나 한 번 살펴 보자. 하지만 지금 어디에 있는 건지 알고 있는가? 모른다고? SOFTICE화면에 NMINST32! .text+0E44라는 게 보이는가? NMINST32.DLL안에 있다는 뜻이다 : ) 그럼 계속해서 살펴 보자. :10001E44 FFD5 call ebp :10001E46 8D7C2418 lea edi, dword ptr [esp+18] ----------------- ----------------- ----------------- :10001E87 8D442410 lea eax, dword ptr [esp+10] :10001E8B 50 push eax :10001E8C 6800620110 push 10016200 첫번째 표 저장 :10001E91 E81A800000 call 10009EB0 :10001E96 83C408 add esp, 00000008 스택 고치기 :10001E99 85C0 test eax, eax :10001E9B 7542 jne 10001EDF :10001E9D 8D442410 lea eax, dword ptr [esp+10] :10001EA1 50 push eax :10001EA2 68A0620110 push 100162A0 두번째 표 저장 :10001EA7 E804800000 call 10009EB0 :10001EAC 83C408 add esp, 00000008 :10001EAF 85C0 test eax, eax :10001EB1 752C jne 10001EDF :10001EB3 8D442410 lea eax, dword ptr [esp+10] :10001EB7 50 push eax :10001EB8 6850620110 push 10016250 표 없음 :10001EBD E8EE7F0000 call 10009EB0 :10001EC2 83C408 add esp, 00000008 :10001EC5 85C0 test eax, eax :10001EC7 7516 jne 10001EDF :10001EC9 8D442410 lea eax, dword ptr [esp+10] :10001ECD 50 push eax :10001ECE 68B0610110 push 100161B0 표 없음 :10001ED3 E8D87F0000 call 10009EB0 :10001ED8 83C408 add esp, 00000008 :10001EDB 85C0 test eax, eax :10001EDD 740F je 10001EEE :10001EDF 68D0660110 push 100166D0 위에서 볼 수 있듯이 똑같은 call을 네 번 호출하고 있다. call 10009EB0이 그것이고, 그 call이 호출되기 전에 두 개의 파라미터가 push된다. 한 번 보자. _첫번째 파라미터_ lea eax, dword ptr [esp+10] ----------> EAX 는 어떤 주소 값을 갖게 된다 push eax 이제 SOFTICE에서 EAX값을 보면 다음과 같을 것이다: 123.....AB.890.. 무슨 말인지 알겠나.....? 우리가 써 넣은 글자 중에서 처음에 나오는 글자 세개와 11번째, 12번째, 8번째, 9번째, 10번째 글자를 취해서 첫번째 파라미터로 쓰는 것이다. [그럼 나머지 글자는 필요 없겠네]........ 이렇게 생각했다면 잘못 생각한 것이다. 나머지 글자들은 진짜 등록번호를 만들 때 쓰이기 때문이다! _두 번째 파라미터_ PUSH 10016200 명령은 첫번째 표를 스택에 저장하고, PUSH 100162A0은 두번째 표를 저장한다. 첫번째 표는 아래와 같을 것이다: 190 400 401 410 411 420 421 430 431 480 481 두번째 표는 첫번째 표와 같지만 190이 191로 바뀐다._ 이 말은 처음 세 개의 글자로 열 두개 중 하나를 선택할 수 있다는 말이다_, 그 중 맘에 드는 것 하나를 골라라. 이제 CALL 10009EB0이 나온다, 그게 뭘까? 중요한 것은, 그 CALL로 부터 돌아왔을 때 EAX가 0이어서는 안된다는 것이다. EAX가 0이라면 JNE 10001EDF에서 분기하지 않을 것이기 때문이다. _[INSIDE THE CALL 10009EB0]_ :10009EB0 8B4C2408 mov ecx, dword ptr [esp+08] ECX = 123.....AB.890.. :10009EB4 57 push edi :10009EB5 53 push ebx :10009EB6 56 push esi ____________ 우리가 쓴 첫번째 글자를 :10009EB7 8A11 mov dl, byte ptr [ecx] | DL에 옮김 :10009EB9 8B7C2410 mov edi, dword ptr [esp+10] | EDI = 첫번째 표 :10009EBD 84D2 test dl, dl | :10009EBF 7469 je 10009F2A | :10009EC1 8A7101 mov dh, byte ptr [ecx+01] | 두번째 글자를 DH에 옮김 :10009EC4 84F6 test dh, dh | :10009EC6 744F je 10009F17 ____________| 첫번째와 두번째 글자를 모두 쓰지 않았다면 이 call을 종료 * Referenced by a (U)nconditional or (C)onditional Jump at Addresses: |:10009F02(C), :10009F15(U) | :10009EC8 8BF7 mov esi, edi :10009ECA 8B4C2414 mov ecx, dword ptr [esp+14] :10009ECE 8A07 mov al, byte ptr [edi] :10009ED0 46 inc esi :10009ED1 38D0 cmp al, dl :10009ED3 7415 je 10009EEA ---------> 두 글자가 같다면 다음 글자를 비교. _[THE CALL 10009EB0 CONCLUSION]_ 1234-567890-AB 같은 아무렇게나 만든 등록번호를 써 넣었을 때, 그 등록번호의 처음 세 글자(이 경우, 123)가 190과 비교된다. 만약에 같지 않다면 400과 비교되고, 역시 같지 않다면 401... 이렇게 계속해서 비교되어서 481까지 비교된다(그러니까 표에 있는 값 전부와 비교되는 것이다). 전부 비교해 봐도 같은 경우가 나오지 않을 땐 무시무시한 일이 벌어진다. 바로 XOR EAX, EAX명령이 실행되어서 EAX를 0으로 만들어 버리는 것이다. 그렇다, 처음 세 글자는 반드시 표 안에 있는 값 중 어느 하나와 같아야 하는 것이다. 그럼 여기서 아까 우리가 써 넣었던 등록번호를 1900-123456-78로 바꾸자(표 값 중에서 맘에 드는 걸로 아무 것이나 골라 잡으면 된다!) *각각의 표 값들은 특정한 의미가 있다. 그것들을 한 번 씩 모두 테스트 해보길 바란다. _[JNE 10001EDF]_ 자 그럼 여기까지 왔다면 첫번째 PROTECTION은 넘긴 것이다. 그럼 10001EDF로 분기하자. :10001EDF 68D0660110 push 100166D0 :10001EE4 E8C77B0000 call 10009AB0 ?????????????? :10001EE9 83C404 add esp, 00000004 :10001EEC 8BF0 mov esi, eax :10001EEE 85F6 test esi, esi :10001EF0 7549 jne 10001F3B CALL 10009AB0 다음에도 역시 EAX가 0이 되면 안된다. 만약 EAX=0이라면 ESI=0이 될 것이고, 그렇다면 10001F3B로 분기하지 않는다. 그렇게 되면 등록번호가 틀렸다는 글상자가 튀어나오게 된다. _[INSIDE THE CALL 10009AB0]_ :10009AB0 83EC34 sub esp, 00000034 :10009AB3 33C0 xor eax, eax ----------------- ----------------- ----------------- ----------------- ----------------- :10009B0F 83C408 add esp, 00000008 :10009B12 85C0 test eax, eax :10009B14 7408 je 10009B1E 정말 지겹도록 긴 코드 부분이다!!! 아무튼 JE 10009B1E는 쓸모없는 조건분기이다. 어떻게 되었건 아래에 보이는 곳으로 분기된다: :10009B1E 6840630110 push 10016340 * Reference To: KERNEL32.LoadLibraryA, Ord:018Eh ___ | | :10009B23 FF15D4E10110 Call dword ptr [1001E1D4] | UTILITY.DLL 확인 :10009B29 8BF8 mov edi, eax | :10009B2B 85FF test edi, edi | :10009B2D 752F jne 10009B5E __| SOFTICE 화면에 다음과 같은 메시지가 나올 것이다: WINICE:Load 32 .......어쩌구 저쩌구 ..... Mod=UTILITY UTILITY.DLL이라고 불리는 DLL이 C:\WINDOWS\TEMP\_ISTMP0.DIR에서 로드됨 로드되는 DLL에 대해서 좀 더 자세히 알고 싶으면 MOD UTILITY라고 써 보아라. 그러면 그 DLL의 PATH 같은 쓸모있는 정보를 보여 줄 것이다. 아무튼 그건 DLL이 있나 없나를 확인하는 부분이다. 만약에 DLL이 없다면 ERROR VALUE를 갖는 글상자를 보게 될 것이다. 우리는 하드 디스크에 안전하게 DLL을 보관하고 있으니까, 걱정할 필요 없다. * Possible StringData Ref from Data Obj ->"DigitCheck" | :10009B5E 68AC3F0110 push 10013FAC :10009B63 57 push edi * Reference To: KERNEL32.GetProcAddress, Ord:0115h | :10009B64 FF15C4E10110 Call dword ptr [1001E1C4] :10009B6A 85C0 test eax, eax :10009B6C 740E je 10009B7C :10009B6E 8D4C2408 lea ecx, dword ptr [esp+08] :10009B72 51 push ecx :10009B73 FFD0 call eax ---------> 이게 마지막으로 살펴볼 Call이다 :10009B75 83C404 add esp, 00000004 :10009B78 8BF0 mov esi, eax :10009B7A EB2D jmp 10009BA9 이 부분 빠져 나가기 CALL EAX는 UTILITY.DLL을 호출하고 있다. 이제 그 DLL 안으로 들어갈 것이고, 바로 이 부분이 비교부분이 있는 곳이다. _[CALL EAX]_ Exported fn(): DigitCheck - Ord:0001h :10001110 56 push esi :10001111 B9FFFFFFFF mov ecx, FFFFFFFF ----------------- ----------------- ----------------- ----------------- ----------------- :1000113D E87E010000 call 100012C0 진짜 등록번호 만들기 :10001142 33C0 xor eax, eax --->EAX = 0 (첫번째 글자를 가리킴) _______ :10001144 8A8814B30010 mov cl, byte ptr [eax+1000B314] |진짜 등록번호를 :1000114A 328810B30010 xor cl, byte ptr [eax+1000B310] |만드는 곳을 다시 :10001150 0A0D17B30010 or cl, byte ptr [1000B317] |반복한 다음에 :10001156 888818B30010 mov byte ptr [eax+1000B318], cl |그 값을 :1000115C 80C930 or cl, 30 |[1000B318]에 저장 :1000115F 888818B30010 mov byte ptr [eax+1000B318], cl | _______| :10001165 80F939 cmp cl, 39 |숫자인가? :10001168 7609 jbe 10001173 |아니라면 알파벳으로 :1000116A 80C107 add cl, 07 |바꿔 준 다음 :1000116D 888818B30010 mov byte ptr [eax+1000B318], cl ______|저장. :10001173 8A90E8B20010 mov dl, byte ptr [eax+1000B2E8] 우리가 써 넣은 등록번호 :10001179 8A8818B30010 mov cl, byte ptr [eax+1000B318] 진짜 등록번호 :1000117F 3AD1 cmp dl, cl 둘을 비교, 같은가? :10001181 740C je 1000118F ______ :10001183 80C920 or cl, 20 |같지 않다면 :10001186 A30CB30010 mov dword ptr [1000B30C], eax |소문자로 비교해 본다 :1000118B 3ACA cmp cl, dl | :1000118D 7513 jne 100011A2 ______|나쁜 분기 * Referenced by a (U)nconditional or (C)onditional Jump at Address: |:10001181(C) | ___ :1000118F 40 inc eax | 4번 밖에 :10001190 A30CB30010 mov dword ptr [1000B30C], eax | 비교를 하지 않는 :10001195 83F804 cmp eax, 00000004 | PROTECTION :10001198 7CAA jl 10001144 __| 이제 [1000B318]에서 진짜 등록번호를 볼 수 있고, 우리가 써 넣은 등록번호는 [1000B2E8]에서 볼 수 있다. 우리가 써 넣은 등록번호가 1900-123456-78이었다는 걸 기억하는가? 비교부분은 마지막 네 글자(이 경우, 5678)만 진짜 등록번호와 비교한다. 만약 같지 않다면 소문자로 바꿔서 비교 한다. 그래도 같지 않다면 XOR EAX, EAX 명령을 실행한 다음 이 부분을 벗어난다(그러면 안 되지!) 진짜 등록번호는 우리가 써 넣은 등록번호로 만들어진다. 그러니까 우리가 써 넣은 등록번호의 나머지 부분이 쓸모 없을 거라는 생각은 잘못된 것이다. 비교 부분에서 EAX는 단지 포인터일 뿐이다: 즉 EAX의 역할은 '다음' 글자를 가리키는 것이다. 1000118F에 있는 INC EAX명령으로 이 것을 확인할 수 있을 것이다. _[THE LAST PART] _ NUMEGA's page에 가서 당신의 SOFTICE를 등록하자. 1단계 http://www.numega.com/support/register.asp에 가서 당신의 등록번호를 써 넣는다. 그러면 아래와 같은 아름다운 메시지를 볼 수 있을 것이다: NuMega Product Registration Thank you, OCHE SATRIANI, for registering your NuMega solution. As a registered user, look forward to exciting updates and announcements. 2단계 이제 http://www.numega.com/support/updates/updates.shtml에 가서 당신의 SOFTICE를 업데이트 하자. 1900-xxxxxx-xx모양의 등록번호는 SOFTICE를 3.24로 업데이트 하는 데에만 쓰일 수 있다고 결론 지었다. 그런데, 4xxx-xxxxxx-xx모양의 등록번호를 써 넣었을 때 굉장한 일이 벌어졌다 Update Status The following component versions are available: + BC 5.0 Standard - Version 5.03 + BC 5.0 Visual C++ - Version 5.03 + SI 3.20 Windows 95/98 - Version 3.24 + CodeReview 5.0 - Version 5.01 + FailSafe 5.0 - Version 5.21 + TrueTime 1.x Visual Basic Edition - Version 1.20 + SI 3.20 Windows NT - Version 3.24 *아까 분명히 표에 있는 각각의 값들은 저마다 특별한 의미를 갖고 있다고 말했다. 해 보던지 말던지는 당신 맘이다. _[SOCIAL ENGINEERING]_ 이제 NUMEGA에 있는 사람을 골탕먹일 차례다. GARY TAN(Numega의 아시아-태평양 지역 영업 담당)에게, 내가 완전히 등록된 상품을 갖고 있는데 다른 상품은 어떻게 업데이트 하는 지 또 CD-ROM으로 업데이트 하려면 어떻게 해야 하는 지를 메일로 물어 보자, 그는 정말 멍청하지만 굉장한 답장을 해 왔다. 나에게 비밀번호를 몇 개 주면서 http://www.numega.com/downloads/start.shtml라는 URL을 가르쳐 주었다. 정말 그가 왜 그렇게 멍청한가 하는 생각을 떨쳐 버릴 수가 없다. 왜냐하면 그 URL에는 SMARTCHECK 따위의 정말 훌륭한 소프트웨어가 있었기 때문이다. 비록 그 소프트웨어들이 모두 비등록판이지만, 그것들 역시 등록번호를 알아내는 게 쉬운 일일 것이라는 건 확신한다. 그는 또 이렇게 말했다: 소프트웨어의 불법 복제 때문에 SoftICE의 평가판을 더 이상 우리의 웹 페이지에서 다운받을 수 없습니다.(헤헤헤헤헤...) 이제 당신도 나름대로 속임수를 써 보기 바란다. FX38xx라는 비밀번호로 들어가려고 했더니 들어갈 수 없었다고 말해보라, 그 사람도 멍청한 사람이라면 당신에게 제대로 된 비밀번호를 가르쳐 줄 지도 모르는 것 아닌가. 연락처: info@numega.com Better be QUICK don't let NUMEGA recognize your newly reversed SN# again, coz it's STILL FRESH FROM THE OVEN ! OE'97 ITS 4397100xxx GREAT THANKS to +MaLaTTiA + OCHE SATRIANI + OBLEK oche_satriani@start.com.au oblek@start.com.au ------------------------------------------------------------------------------- Page 4 28. I Hate Myself And Want To Die 28. I Hate Myself And Want To Die 안녕하세요. 이번 글에서는 SoftICE의 Key Generator를 만드는 얘기를 하려고 합니다. KeyGen을 만들어 보는 것은 이번이 두 번째가 되네요. PicaView 다음이니까요. 이 글은 제가 쓴 것이긴 하지만 이 앞의 글(FAGET)을 읽어 보신 분이라면 누구나 만들 수 있을 거에요. 앞의 글을 쓰신 분(+OCHE SATRIANI, +OBLLEK)들은 아마 우리 초보 크랙커에게 숙제를 내 주려고 KeyGen을 만드는 자세한 방법은 얘기하지 않았나 봅니다. 저도 이미 '등록된(?)' SoftICE를 쓰고 있으니까, KeyGen따위를 만드는 것은, 저에게 별로 쓸모없는 일이라고 생각할 수도 있을 거에요. 하지만 어떤 크랙커께서 말씀하셨듯이 크랙커가 꼭 프로그램을 자기가 쓰려고 크랙하는 것만은 아니잖아요(다른 크랙커께서도 그렇겠지만, 저도 크랙만 하고 그 다음엔 삭제해 버리는 프로그램이 많습니다, 물론 이 SoftICE 경우는 안 그렇겠죠). 다시 한 번 말씀드리지만 KeyGen을 만드는 데 필요한 힌트는 이 앞의 글(FAGET)에서 모두 나왔습니다. 그러니까 이 글을 읽어 보시기 전에, 앞의 글을 먼저 읽어 보시고, 혼자서 KeyGen을 만들어 보세요. 그러면 제가 얼만큼 멍청하게 KeyGen을 만들었나 새삼 느끼실 수도 있잖아요. 잡소리는 여기서 집어 치우고, 시작해 봐요. 자세한 내용은 생략하겠습니다. FAGET에서 다 나온 얘기니까요. 아래를 보죠. :10001110 56 push esi :10001111 B9FFFFFFFF mov ecx, FFFFFFFF :10001116 57 push edi :10001117 2BC0 sub eax, eax :10001119 8B7C240C mov edi, dword ptr [esp+0C] :1000111D F2 repnz :1000111E AE scasb :1000111F F7D1 not ecx :10001121 2BF9 sub edi, ecx :10001123 8BC1 mov eax, ecx :10001125 C1E902 shr ecx, 02 :10001128 8BF7 mov esi, edi :1000112A BFE0B20010 mov edi, 1000B2E0 :1000112F F3 repz :10001130 A5 movsd :10001131 8BC8 mov ecx, eax :10001133 83E103 and ecx, 00000003 :10001136 F3 repz :10001137 A4 movsb ;우리가 쓴 등록번호를 숫자로 :10001138 E893000000 call 100011D0 ;바꿔 주는 call :1000113D E87E010000 call 100012C0 ;등록번호_만드는_함수() :10001142 33C0 xor eax, eax :10001144 8A8814B30010 mov cl, byte ptr [eax+1000B314] :1000114A 328810B30010 xor cl, byte ptr [eax+1000B310] :10001150 0A0D17B30010 or cl, byte ptr [1000B317] :10001156 888818B30010 mov byte ptr [eax+1000B318], cl :1000115C 80C930 or cl, 30 :1000115F 888818B30010 mov byte ptr [eax+1000B318], cl :10001165 80F939 cmp cl, 39 :10001168 7609 jbe 10001173 :1000116A 80C107 add cl, 07 :1000116D 888818B30010 mov byte ptr [eax+1000B318], cl :10001173 8A90E8B20010 mov dl, byte ptr [eax+1000B2E8] :10001179 8A8818B30010 mov cl, byte ptr [eax+1000B318] :1000117F 3AD1 cmp dl, cl :10001181 740C je 1000118F :10001183 80C920 or cl, 20 :10001186 A30CB30010 mov dword ptr [1000B30C], eax :1000118B 3ACA cmp cl, dl :1000118D 7513 jne 100011A2 :1000118F 40 inc eax :10001190 A30CB30010 mov dword ptr [1000B30C], eax :10001195 83F804 cmp eax, 00000004 :10001198 7CAA jl 10001144 :1000119A B801000000 mov eax, 00000001 :1000119F 5F pop edi :100011A0 5E pop esi :100011A1 C3 ret :100011A2 33C0 xor eax, eax :100011A4 5F pop edi :100011A5 5E pop esi :100011A6 C3 ret FAGET에서는 이 부분을 [CALL EAX]라는 부분으로 다루었습니다(찾아 보세요). FAGET에서 1000113D에 있는 call이 등록번호를 만들어 내는 부분을 호출하는 call이라고 했습니다. 하지만 그 부분을 살펴 보지는 않았어요. 우리가 원하는 건 여기선 KeyGen이니까 우선 그 call이 호출하는 부분 부터 살펴 봐요. 이 부분은 나중에 다시 살펴 보겠습니다. :100012C0 53 push ebx :100012C1 BA08000000 mov edx, 00000008 ;edx=>카운터 역할(8) :100012C6 C7050CB3001000000000 mov dword ptr [1000B30C], 00000000 ;변수(카운터) 사용 준비 :100012D0 8B0D0CB30010 mov ecx, dword ptr [1000B30C] ;ecx=>포인터 역할 :100012D6 A10CB30010 mov eax, dword ptr [1000B30C] ;eax=>포인터 역할 :100012DB 81C110B30010 add ecx, 1000B310 ;ecx--->숫자로 바뀐 등록번호를 가리킴 :100012E1 33DB xor ebx, ebx ;ebx(bl)->ecx가 가리키는 값을 받아오는 역할 :100012E3 8B0485B0900010 mov eax, dword ptr [4*eax+100090B0] ;목록 값 읽어오기 :100012EA 8A19 mov bl, byte ptr [ecx] ;숫자로 바뀐 등록번호(x) :100012EC 8A0418 mov al, byte ptr [eax+ebx] ;목록의 x번째 값을 읽어서 :100012EF 8801 mov byte ptr [ecx], al ;숫자로 바뀐 등록번호 값 바꾸기 :100012F1 FF050CB30010 inc dword ptr [1000B30C] ;변수(카운터) 증가 :100012F7 39150CB30010 cmp dword ptr [1000B30C], edx ;8 글자 모두 처리했나? :100012FD 7CD1 jl 100012D0 ;아직 안했으면 반복 :100012FF 5B pop ebx :10001300 C3 ret 생각보다 간단하게 보입니다. 이 부분에서 등록번호를 모두 만드는 것은 아닌데요, 거의 모든 작업이 이루어 지기는 합니다. SoftICE는 어떻게 등록번호를 만들어 내는 건지, 우선 대충 말씀드리면요. SoftICE는 미리 준비된 '목록'을 갖고 있습니다. 그리고 사용자가 써 넣은 등록번호의 처음 8글자를 읽어 와서 그 '목록'을 이용해서 새로운 8자리 숫자를 만들어 냅니다. 그리고 그 새로운 8자리 숫자를 이용해서 또 새로운 4개의 문자열을 만들어 냅니다. 마지막으로 그 4개의 문자열과 사용자가 써 넣은 등록번호의 마지막 4글자를 비교해서, 등록번호가 맞는 지 여부를 결정하는 거에요. 그럼 이제 위의 부분이 어떤 말을 하고 있는 것인지 들어보죠. mov edx, 8 mov dword ptr [1000B30C], 0 mov ecx. [1000B30C] mov eax, [1000B30C] add ecx, 1000B310 xor ebx, ebx mov eax, dword ptr [4*eax+100090B0] 1000B30C라는 주소가 여러 번 나오는 군요. 더 아래에 있는 cmp dword ptr [1000B30C], edx명령에서 알 수 있듯이 이 것은 '카운터'의 역할을 하고 있습니다. 우선 0으로 초기화 되고 다음에 나올 inc dword ptr [1000B30C]명령으로 하나 씩 증가하고 있습니다. ecx나 eax는 여기서 모두 '포인터'의 역할을 하고 있는데요. ecx는 숫자로 바뀐 등록번호를, eax는 아까 말씀 드렸던 그 준비된 '목록'값을 각각 가리키고 있습니다. 우선 0으로 초기화 된 다음에 add ecx, 1000B310으로 ecx는 숫자로 바뀐 등록번호를 가리키게 되고, 또 mov eax, dword ptr [4*eax+100090B0]명령으로 eax는 '목록'값을 가리키게 됩니다. 그렇담 숫자로 바뀐 등록번호라는 건 뭐고, '목록'이라는 건 뭘까요. 많은 분 들이 이미 알고 계시겠지만 우리가 써 넣은 등록번호는 '숫자'가 아닙니다. 예를 들어 4001-2345AB-CD(등록번호의 처음 세 글자가 특별한 값을 가져야 한다는 것은 FAGET에서 나온 얘기라 여기서 하지 않겠습니다)라는 등록번호를 썼다고 해 보죠. SoftICE는 이것을 '숫자'로 읽지 않고 문자열로 받아들입니다. 특히 처음 8글자를 읽어 들인다고 했으니까 40012345라는 걸 받아 들이겠죠. 이 것을 읽어 들이는 방법은 ascii 코드를 이용해서 4는 34(모두 16진수), 0은 30, 1은 31 ... 이렇게 받아 들입니다. 이런 이야기는 picaview에 대한 이야기를 할 때에도 잠깐 나왔었어요. 이런 문자열 상태의 등록번호를 '숫자'로 바꿔 놓는 거에요. SoftICE는 이미 그런 역할을 하는 함수를 호출해서 등록번호를 바꿔서 메모리에 올려 놓았다는 거에요. 그리고 그 부분의 주소값을 ecx가 갖고 있습니다. 한 번 :d ecx명령을 해 보세요. 메모리 창에 나타난 값들을 주의깊게 살펴 본다면 04 00 00 01 02 03 04 05 처럼 나타나 있다는 걸 알 수 있을 거에요. 그러니까 ecx가 그 부분을 '가리키고' 있는 셈입니다. 이 번에는 [4*eax+100090B0]이라는 주소 값을 주목해야 합니다. 그것은 아까 말씀 드린 '준비된' 목록 값을 가리키고 있습니다. 아마 sice화면에서는 [EAX*4+01E090B0] 처럼 나타나 있을 거에요. 이 mov eax, dword ptr [4*eax+100090B0]명령이 실행된 다음에 :d eax명령을 내려 보세요. 0F 01 0B 03 08 04 0D 07 0C 00 00 00 00 00 00 00 0A 0C 01 08 02 00 09 0F 05 0B 00 00 00 00 00 00 09 05 0C 02 07 06 0F 04 0E 0A 00 00 00 00 00 00 03 04 0C 0B 01 0A 0D 08 00 0E 00 00 00 00 00 00 0D 01 06 0A 05 09 04 08 00 03 00 00 00 00 00 00 07 0B 06 0A 05 09 04 08 00 03 00 00 00 00 00 00 00 0D 03 0F 0A 08 02 0C 04 06 00 00 00 00 00 00 09 05 0D 01 03 0B 0C 04 02 08 00 00 00 00 00 00 데이타 창에 이런 값들이 나타날 거에요. 바로 제가 말한 준비된 '목록'입니다. 이것을 각 줄마다 10개씩의 값이 있고 모두 8줄이 있습니다. 8줄. 우리가 처리하는 숫자의 갯수이군요. 그러니까 SoftICE는 우리가 써 넣은 등록번호의 처음 8글자를 읽어가면서 각각의 글자에 대해서 위의 목록을 쓰는 거에요. 첫번째 글자에 대해서는 목록의 첫째 줄에 있는 값중의 하나를, 두번째 글자에 대해서는 목록의 두번 째 줄에 있는 값 중의 하나.. 이런 식으로 해서 말이에요. 아무튼 eax가 이 '목록'을 가리키고 있습니다. mov bl, byte ptr [ecx] mov al, byte ptr [eax+ebx] mov byte ptr [ecx], al 아까 ecx는 숫자로 바뀐 등록번호를 가리키고 있다고 했습니다. 그러니까 mov bl, byte ptr [ecx]명령은 그 등록번호 중 하나(byte 크기)를 꺼내와서 bl에 옮겨 주는 명령입니다. 왜 옮겨 주냐고요? 다음 명령에서 그 이유가 나옵니다. mov al, byte ptr [eax+ebx] eax는 목록을 가리키고 있다고 했습니다. eax+ebx는 뭘까요? 목록에서 ebx(bl) 번째에 있는 값을 al에 옮겨 주라는 명령이에요. 가령 지금 우리는 이 부분을 '처음' 실행한다고 해 보죠. 그럼 등록번호인 40012345 중에서 첫번째 '수'인 04를 읽어 들이고 있겠군요. 이 04는 bl에 저장되어 있습니다. 다음에는 목록의 '첫번째' 줄에 04번째 있는 값을 읽어서 al에 옮깁니다. 여기서 주의할 점은, 목록은 0번째 값부터 시작한다는 거에요. 그러니까 첫 번째 줄 0F 01 0B 03 08 04 0D 07 0C 00 00 00 00 00 00 00 에서 네번째(04) 값은 03이 아니라 08입니다. 만약 이 부분을 두번째로 실행하는 중이라면 등록번호의 두번째 숫자인 00을 읽어서 bl에 옮긴 다음, 목록의 두번째 줄 00번째 값인 0A를 읽어서 al에 옮길 거구요. 그런식으로 해서 8개의 글자를 모두 처리하는 거에요. 그렇게 al에 옮겨진 값은 mov byte ptr [ecx], al명령으로 ecx가 가리키는 곳, 즉 숫자로 바뀐 등록번호가 있는 곳에 다시 옮겨집니다. 데이타 창을 잘 관찰하면서 단계적으로 실행해 보면 제가 무슨 말을 하고 있는 지 아실 수 있을 거에요. inc dword ptr [1000B30C] cmp dword ptr [1000B30C], edx jl 10001200 pop ebx ret 이 부분은 카운터를 증가 시키고, 카운터 값과 글자 수(8)값을 비교해서 글자를 모두 처리 했나를 확인하는 곳이에요. 이제 이런 것 쯤은 우리도 쉽게 알 수 있을 만큼은 되겠죠? 아직 다 처리하지 않았다면 jl명령으로 이 부분을 다시 반복합니다. 여기 까지 실행하고 난 다음에는 숫자로 바뀐 등록번호 8글자 대신에 '새로운' 8개의 글자가 만들어 지겠죠? 그럼, 이 부분을 C로 고쳐 보겠습니다. 준비된 목록과 표(FAGET에서 나온 그 두개의 표)는 array(ref[8][16], table[13][3])를 써서 만들었습니다. (제 C실력에 대해서는 다시 말씀 안드리겠습니다.) for (i=0; i 그럼, 이 부분을 호출했던 곳으로 다시 가서 새로만들어진 값을 어떻게 이용하는 지 살펴 봅시다. :10001110 56 push esi :10001111 B9FFFFFFFF mov ecx, FFFFFFFF :10001116 57 push edi :10001117 2BC0 sub eax, eax :10001119 8B7C240C mov edi, dword ptr [esp+0C] :1000111D F2 repnz :1000111E AE scasb :1000111F F7D1 not ecx :10001121 2BF9 sub edi, ecx :10001123 8BC1 mov eax, ecx :10001125 C1E902 shr ecx, 02 :10001128 8BF7 mov esi, edi :1000112A BFE0B20010 mov edi, 1000B2E0 :1000112F F3 repz :10001130 A5 movsd :10001131 8BC8 mov ecx, eax :10001133 83E103 and ecx, 00000003 :10001136 F3 repz :10001137 A4 movsb ;우리가 쓴 등록번호를 숫자로 :10001138 E893000000 call 100011D0 ;바꿔 주는 call :1000113D E87E010000 call 100012C0 ;등록번호_만드는_함수() :10001142 33C0 xor eax, eax :10001144 8A8814B30010 mov cl, byte ptr [eax+1000B314] ;새로 만들어진 값중 4+n번째값 :1000114A 328810B30010 xor cl, byte ptr [eax+1000B310] ;과 0+n번째 값을 XOR (단, n은 이 부분이 몇번째로 실행되는 가, 그 횟수를 뜻합니다,n은 0부터 3까지) :10001150 0A0D17B30010 or cl, byte ptr [1000B317] ;그 결과를 다시 , 새로 만들 어진 값중 7번째 값과 OR :10001156 888818B30010 mov byte ptr [eax+1000B318], cl ;그 결과값을 저장 :1000115C 80C930 or cl, 30 ;그 것을 0x30과 OR :1000115F 888818B30010 mov byte ptr [eax+1000B318], cl ;해보면 숫자가 되는지 :10001165 80F939 cmp cl, 39 ;확인해 봐서 :10001168 7609 jbe 10001173 ;숫자가 아니라면 :1000116A 80C107 add cl, 07 ;7을 더해 줌 :1000116D 888818B30010 mov byte ptr [eax+1000B318], cl ;그러고 난 다음에 :10001173 8A90E8B20010 mov dl, byte ptr [eax+1000B2E8] ;사용자가 써 넣은 등록번호와 :10001179 8A8818B30010 mov cl, byte ptr [eax+1000B318] ;비교해 본다 :1000117F 3AD1 cmp dl, cl ;같은가? :10001181 740C je 1000118F ;같으면 다음 글자를 비교 :10001183 80C920 or cl, 20 ;같지 않으면 대문자인지 :10001186 A30CB30010 mov dword ptr [1000B30C], eax ;확인한 다음 :1000118B 3ACA cmp cl, dl ;다시 비교 :1000118D 7513 jne 100011A2 ;그래도 같지 않다면 XOR->ret :1000118F 40 inc eax ;같으면 다음 글자를 읽어 :10001190 A30CB30010 mov dword ptr [1000B30C], eax ;들인다. :10001195 83F804 cmp eax, 00000004 ;4글자가 모두 같은가? :10001198 7CAA jl 10001144 ;모두 같다면 :1000119A B801000000 mov eax, 00000001 ;eax=1 :1000119F 5F pop edi :100011A0 5E pop esi :100011A1 C3 ret :100011A2 33C0 xor eax, eax ;한 글자라도 같지 않다면 :100011A4 5F pop edi ;eax=0 :100011A5 5E pop esi :100011A6 C3 ret 아까 새로 만든 8개의 글자를 갖고 하는 작업은 별로 복잡하지도 않습니다. 위에서 볼 수 있듯이 우선 그 8개의 글자를 앞부분 4글자와 뒷부분 4글자로 둘로 나눠봅니다. 즉, 앞의 4글자 따로 뒤의 4글자 따로. 짝이 맞죠? mov cl, [eax+1000B314] xor cl, [eax+1000B310] eax+1000B314와 eax+1000B310 이라는 주소를 잘 보세요. 앞뒤로 네 글자씩 나눠준 것을 알 수 있죠? 그 각각의 첫번째 글자씩 꺼내서 XOR을 시켜 줍니다. or cl, byte ptr [1000B317] mov byte ptr [eax+1000B318], cl or cl, 30 mov byte ptr [eax+1000B318], cl cmp cl, 39 jbe 숫자일_경우 add cl, 07 mov byte ptr [eax+1000B318], cl :숫자일 경우 mov dl, byte ptr [eax+1000B2E8] mov cl, byte ptr [eax+1000B318] cmp dl, cl 그런 다음 뒤의 4글자 중 마지막 글자(1000B317에 있는 글자)와 지금까지의 결과값을 OR해 줍니다. 그리고 30과 OR해 줘서 ascii값으로 숫자를 나타내는 글자인지 확인(cmp cl, 39/jbe)합니다. 숫자라면 곧바로 우리가 써 넣은 등록번호와 비교하고, 숫자가 아니라면 7을 더해 줘서 ASCII값으로 대문자를 나타내는 값을 만들어 줍니다. 그리고 나서 우리가 써 넣은 등록번호와 비교합니다. 이 과정을 각각의 4글자를 모두 처리할 때 까지 4번 반복합니다.(cmp eax, 00000004/jl 10001144) 그 때마다 처리되는 글자는 방금 처리된 글자 다음에 나오는 글자가 되겠지요. 비교적 간단하지 않나요? 더 아래에 나오는 부분은 우리가 써 준 등록번호와 비교하는 부분이니까 더 이상 자세히 살펴 보지 않겠습니다. 여기까지만 해도 KeyGen을 만드는 데 필요한 정보는 충분히 얻었으니까요. 그럼 여기까지 한 것을 모두 종합해서 완전한 C 소스를 쓰겠습니다(언제나 C 소스를 쓸 때가 오면 제 자신이 더욱 초라해지는 군요). #include #include #define MAX 13 int main(void){ char c, bval[MAX]={0}; char table[13][3]={{'1','9','0'},{'4','0','0'},\ {'4','0','1'},{'4','1','0'},\ {'4','1','1'},{'4','2','0'},\ {'4','2','1'},{'4','3','0'},\ {'4','3','1'},{'4','8','0'},\ {'4','8','1'},{'5','1','0'},{'5','1','1'}}; /*표 */ char dval[8]={0}; char ref[8][16]={{0xf,1,0xb,3,8,4,0xd,7,0xc,0,0,0,0,0,0,0},\ {0xa,0xc,1,8,2,0,9,0xf,5,0xb,0,0,0,0,0,0},\ {9,5,0xc,2,7,6,0xf,4,0xe,0xa,0,0,0,0,0,0},\ {3,4,0xc,0xb,1,0xa,0xd,8,0,0xe,0,0,0,0,0,0},\ {0xd,1,6,0xb,8,0xa,0xe,4,3,0xc,0,0,0,0,0,0},\ {7,0xb,6,0xa,5,9,4,8,0,3,0,0,0,0,0,0},\ {0,0xd,3,0xf,0xa,8,2,0xc,4,6,0,0,0,0,0,0},\ {9,5,0xd,1,3,0xb,0xc,4,2,8,0,0,0,0,0,0}}; /*준비된 목록*/ int i, j, length=0, get_ref; char pre_code[8]={0}, new[8]={0}, cl[8]={0}; printf("\nSoftICE version 3.x KeyGenerator ... coded/cracked by +kurt"); printf("\n\n(originally cracked by +OCHE SATRIANI, +OBLLEK)\n\n"); printf("enter 5 random digits: "); for (i=0; (c=getchar()) != '\n' ; ++i) { if(c>=0x30 & c=0x30 & pre_code[i] C로 프로그래밍한 게 좀 우습더라도, 이해는 가시죠? 그리고, 이 글 내용 중에서 잘못된 부분을 가르쳐 주실 분은 언제든지 저에게 편지(pluskurt@hanimail.com)해 주세요. 그럼, 좋은 하루 되세요 Page 4 29. Serve the Servants 29. Serve the Servants 안녕하세요. 이게 얼마만에 글을 올리는 건지 모르겠네요. 이 글 전 까지, 모두 28개의 글이 있는데요, 이것은 모두 홈페이지를 만든 다음 두 달 동안 쓴 글이에요. 그러니까, 이틀에 글 하나를 올린 셈이네요. 처음에는 그렇게 글을 열심히(?) 썼는데, 요즘엔 통 글을 쓰지 않았어요. 아마 제가 크랙에 대해 그 때보다 조금이라도 더 알았기 때문이 아닐까요. 조금 더 알고 나니까, 예전에 쓴 글들이 참 부끄럽네요. 그런데, 여기 부끄러운 글을 하나 더 올립니다. 이 글에 있는 크랙 내용도 정말 쉽습니다. 저같은 초보 크랙커가 생각하기에도, 윈도우 프로그램에서는 크랙하기가 정말 쉬운 것들이 많이 있습니다. 심지어 내가 지금 뭘 하고 있는 지도 모르는 채 크랙이 끝나버리는 경우도 있으니까요. 제가 이런 말을 하는 이유는 이제 막 크랙이라는 것에 도전(?)하려고 하는 초보 크랙커들에게 너무 겁먹지 말라는 말을 하고 싶어서에요. 그렇게 어려운 것만 있는 게 아니에요. 이제 쓸 내용처럼 말이에요. 이 글에서 크랙하려고 하는 프로그램은 TurboGo라는 프로그램입니다.(TurboGo for Window$95 v4.01) 지난 번에도 이런 홈페이지를 만든 적이 있다는 얘기는 했습니다. 그 때에는 'Patch'도 몇 개 올렸었어요. 그런 Patch를 올리는 것을 별로 좋아하지는 않는데요, 그 때 patch를 올린 이유는, 크랙을 배우기 어려운 분들을 위해서였어요. 그 때 올린 patch들은 모두 '바둑' 프로그램에 대한 patch였습니다. 물론 저 처럼 제 나이 또래 중에서도 바둑을 좋아하시는 분들이 있겠지만, 바둑을 좋아하시는 분 들 중에서는 나이 많으신 분들이 많을 것 같았구요, 그런 분들이 크랙을 배우는 건 드문 일이 잖아요. 그래서 그런 분들을 위해서, 제가 크랙한 바둑 프로그램들의 patch를 올렸던 건데요, 이번에 크랙할 프로그램 TurboGo도 바둑 프로그램이에요. 전 실력이 없어서, 이 프로그램이 어느 정도의 실력을 가진 것인지는 모릅니다. 하지만, 그런대로 이름이 알려진 프로그램인 것 같으니까, 아주 형편없지는 않겠죠. 참고로, 이런 바둑 프로그램(윈도우용) 중에 Taku Chan이라는 프로그램도 있습니다. 이건 일본 사람이 만든 바둑 프로그램인데요, 역시 web에서 어렵지 않게 구하실 수 있을 거에요. Taku Chan은 3단계의 급수(?)를 갖고 있는 프로그램입니다. 그런데, 등록하지 않으면 그 중 제일 약한 급수와 밖에 대국할 수 없습니다. 초보 (크랙커)분들에게 적당한 프로그램입니다. 한 번 크랙해 보세요. 아주 쉽답니다. 아무튼, TurboGo도 비슷한 protection을 쓰고 있습니다. 등록하지 않으면 5단계의 급수 중에서 가장 높은 두 단계(Strongest, Stronger)로는 대국할 수 없습니다. 흠, 그렇담 TurboGo의 진짜 실력도 알 수 없잖아요. 그런데 뭘 믿고 TurboGo를 등록하겠어요? 언젠가 말씀드렸지만, 크랙을 했더라도 정말 맘에 들고 오랫동안 쓰고 싶은 프로그램이라면 등록을 해야 한다고 생각합니다. 그러니까, 이 TurboGo처럼, 크랙을 해서 '제대로' 프로그램을 사용한 다음, 맘에 들면 프로그램을 등록해서 오랫 동안 쓸 수 있지 않겠어요? 크랙을 해서 가장 높은 단계로도 대국을 해 봐야 '제대로' 쓴 게 되겠죠? 또, 등록하지 않으면, 프로그램을 시작할 때와 종료할 때, 등록하라는 귀찮은 상자가 나타납니다. 그럼, 크랙을 해 봐요. 미리 말씀드렸듯이 아주 쉽습니다. 프로그램(TurboGo.exe)을 시작하면 등록하라는 글 상자가 나타납니다. Register단추를 누르면, 이름(Name)과 등록번호(Serial nr)를 써 넣을 수 있는 칸이 있는 상자가 나타납니다. 각각의 칸에 아무 거나 써 넣고, OK 단추를 눌러 봅시다. 예상한 것 처럼, 등록번호가 틀렸다는 글상자(messagebox)가 나타납니다. 그럼 이제 생각을 해 봐야죠. 이런 '등록번호' 방식의 protection scheme에서 흔히 쓰듯이 GetDlgItemTextA나 GetWinowTextA함수에 중단점을 설정해야 할까요. 이 경우 그런 중단점은 듣지 않습니다. 그렇담 hmemcpy 에 중단점을 설정할 수도 있겠지만, 이번엔 좀 다른 방법을 쓰겠습니다. K.실록을 크랙했을 때 처럼, '잘못 되었다'는 '글상자'에 중단점을 설정하는 거에요. 아까, 아무 거나 쓰고 OK단추를 눌렀을 때 등록번호가 '잘못 되었다'는 글상자가 나왔습니다. 그 '글상자'를 나오게 하는 함수는 messagebox라는 함수인데요, 그 함수에 중단점을 설정한다면, 그런 '잘못 되었다'는 글상자를 호출하는 부분을 찾아 낼 수 있을 것이구, 그렇다면 그 부분을 호출하는 부분도 찾을 수 있겠죠. 이해 하시겠어요? 앞의 글들을 좀 읽어 보신분이라면 쉽게 이해가 되겠지만, 다시 한 번 말씀드릴께요. 제 생각은 이런 거에요. 우리가 써 넣은 등록번호를 '검증'하는 부분이 있을 거라는 거에요. 그리고 등록번호가 잘못되었다면, 위에서 말한 그 글상자를 호출하겠죠. 그렇담 글상자를 호출하는 부분을 찾아서 '거슬러 올라가면' 등록번호를 검증하는 부분을 찾을 수 있지 않을까 하는 생각이에요. messagebox함수에 중단점을 설정하기 위해서, sice에서 bpx messageboxa라고 명령합니다. 그리고, TurboGo로 돌아와서 다시 한번 OK단추를 누르면, sice화면이 나타납니다. F11을 눌러서 messagebox함수를 호출한 TurboGo의 코드로 찾아가면, 다시 TurboGo의 글상자가 나타납니다. '확인' 버튼을 누르면 다시 sice화면으로 돌아옵니다. :0042D5BF 57 push edi :0042D5C0 56 push esi :0042D5C1 8B4324 mov eax, dword ptr [ebx+24] :0042D5C4 50 push eax :0042D5C5 E82A8DFDFF Call 004062F4 ; MessageBoxA :0042D5CA 8945FC mov dword ptr [ebp-04], eax :0042D5CD 33C0 xor eax, eax :0042D5CF 5A pop edx :0042D5D0 59 pop ecx :0042D5D1 59 pop ecx :0042D5D2 648910 mov dword ptr fs:[eax], edx :0042D5D5 68F3D54200 push 0042D5F3 :0042D5DA 8B45F4 mov eax, dword ptr [ebp-0C] :0042D5DD E8DA9BFFFF call 004271BC :0042D5E2 8B45F8 mov eax, dword ptr [ebp-08] :0042D5E5 50 push eax :0042D5E6 E8918DFDFF Call 0040637C :0042D5EB C3 ret :0042D5EC E97B5EFDFF jmp 0040346C :0042D5F1 EBE7 jmp 0042D5DA :0042D5F3 8B45FC mov eax, dword ptr [ebp-04] ; RET :0042D5F6 5F pop edi :0042D5F7 5E pop esi :0042D5F8 5B pop ebx :0042D5F9 8BE5 mov esp, ebp :0042D5FB 5D pop ebp :0042D5FC C20400 ret 0004 그럼 여기서 F12(P RET)을 눌러서 이 부분을 호출한 곳으로 찾아 가보면, 위에 RET라고 주석을 단 곳으로 RET 됩니다. 한 번 더 F12를 눌러서 찾아 가 봅시다. :0047407C 6A30 push 00000030 :0047407E 8B0D68D04800 mov ecx, dword ptr [0048D068] :00474084 8B15B8D14800 mov edx, dword ptr [0048D1B8] :0047408A A140D04800 mov eax, dword ptr [0048D040] :0047408F 8B00 mov eax, dword ptr [eax] :00474091 E8F694FBFF call 0042D58C :00474096 33C0 xor eax, eax ; RET :00474098 5A pop edx :00474099 59 pop ecx :0047409A 59 pop ecx :0047409B 648910 mov dword ptr fs:[eax], edx :0047409E 68B3404700 push 004740B3 :004740A3 8D45FC lea eax, dword ptr [ebp-04] :004740A6 E81DF9F8FF call 004039C8 :004740AB C3 ret :004740AC E9BBF3F8FF jmp 0040346C :004740B1 EBF0 jmp 004740A3 :004740B3 5E pop esi ; RET :004740B4 5B pop ebx :004740B5 59 pop ecx :004740B6 5D pop ebp :004740B7 C3 ret 위와 같은 곳에 오게 되는 데요. 즉, call 0042D58C가 아까 위에서 본 부분(messagebox가 있는 곳)을 호출한 곳이라는 걸 알 수 있습니다. 다시 한 번 F12를 누르면 아래에 RET라고 주석해 놓은 곳으로 RET되구요, 한 번 더 F12를 누르면 아래와 같은 곳으로 갑니다. :0041E0BF 8BD8 mov ebx, eax :0041E0C1 8BD0 mov edx, eax :0041E0C3 8B83A8000000 mov eax, dword ptr [ebx+000000A8] :0041E0C9 FF93A4000000 call dword ptr [ebx+000000A4] ; 그러니까, 위에 화살표한 부분(call dword ptr [ebx+000000A4])에서, 지금까지 살펴 본 부분을 모두 호출하고 있는 거네요. 그럼 이제까지 설정했던 중단점을 모두 지우고(또는 해제), 위의 화살표 한 부분에 새로 중단점을 설정합니다. 그리고, sice를 빠져 나와서, 다시 한번 등록을 해 봐요. 그러면, 방금 설정했던 중단점 때문에, sice화면이 뜨고 커서는 중단점을 설정했던, 위에서 화살표 부분에 있습니다. 그럼 F8(T, Trace)을 눌러서 그 call이 호출하는 부분으로 찾아 가봅시다. :00473F1C 55 push ebp :00473F1D 8BEC mov ebp, esp :00473F1F 6A00 push 00000000 :00473F21 53 push ebx :00473F22 56 push esi :00473F23 8BD8 mov ebx, eax :00473F25 33C0 xor eax, eax :00473F27 55 push ebp :00473F28 68AC404700 push 004740AC :00473F2D 64FF30 push dword ptr fs:[eax] :00473F30 648920 mov dword ptr fs:[eax], esp :00473F33 8D55FC lea edx, dword ptr [ebp-04] :00473F36 8B83E8010000 mov eax, dword ptr [ebx+000001E8] :00473F3C E89397FAFF call 0041D6D4 :00473F41 8B45FC mov eax, dword ptr [ebp-04] :00473F44 E83B6AFCFF call 0043A984 ;등록번호 검사 :00473F49 84C0 test al, al ;등록번호 제대로 썼나? :00473F4B 0F842B010000 jz 0047407C ;아니야? 그럼 messagebox띄워. :00473F51 A13CD34800 mov eax, dword ptr [0048D33C] ;제대로 썼어? 그럼 turbogo.ini파일 수정 :00473F56 803800 cmp byte ptr [eax], 00 :00473F59 0F8514010000 jne 00474073 :00473F5F A13CD34800 mov eax, dword ptr [0048D33C] :00473F64 C60001 mov byte ptr [eax], 01 :00473F67 8D55FC lea edx, dword ptr [ebp-04] :00473F6A 8B83EC010000 mov eax, dword ptr [ebx+000001EC] :00473F70 E85F97FAFF call 0041D6D4 :00473F75 8B55FC mov edx, dword ptr [ebp-04] :00473F78 A1CCD14800 mov eax, dword ptr [0048D1CC] :00473F7D E89AFAF8FF call 00403A1C :00473F82 8D55FC lea edx, dword ptr [ebp-04] :00473F85 8B83E8010000 mov eax, dword ptr [ebx+000001E8] :00473F8B E84497FAFF call 0041D6D4 :00473F90 8B55FC mov edx, dword ptr [ebp-04] :00473F93 A1E0D04800 mov eax, dword ptr [0048D0E0] :00473F98 E87FFAF8FF call 00403A1C :00473F9D 6A40 push 00000040 :00473F9F 8B0D20D04800 mov ecx, dword ptr [0048D020] :00473FA5 8B15D8D04800 mov edx, dword ptr [0048D0D8] :00473FAB A140D04800 mov eax, dword ptr [0048D040] :00473FB0 8B00 mov eax, dword ptr [eax] :00473FB2 E8D595FBFF call 0042D58C 위와 같은 코드를 호출하고 있었던 건데요. 잘 한 번 보세요. 주목할 만한 부분은 call 0043A984/test al, al/jz _0047407C_에요. jz 0047407C는 바로 아까 위에서 보았던 글상자를 호출하는 과정(파란색으로 표시한 곳)으로 분기시키는 명령이잖아요. 그러니까, 등록번호를 제대로 쓰지 않았다는 그 글상자는 여기 이 jz 0047407C에서 분기해서 호출된 것이에요. 이것을 확인해 보려면, F10(P, Proceed)을 눌러서, jz 0047407C까지 한 단계씩 실행한 다음, 그곳에서 r fl z명령으로 Zero flag를 바꿔서, 분기(JUMP)를 하지 않게(NO JUMP) 만들어 보세요. 그리고 F5(X)를 눌러서 TurboGo를 마저 실행시키면, 이번에는 아까와는 다른 보기 좋은 '글상자'가 나타날 거에요. Thank you for registering TurboGo. Your version is now fully functional! 이라고 쓰여 있는 글상자가 나와요. 이제 크랙은 끝난 거나 다름없겠죠? 위에서 볼 수 있듯이 call 0043A984/test al, al/jz 0047407C이 중요한 부분입니다. call 0043A984에서 등록번호를 확인한 다음, 그 결과를 al 레지스터에 돌려주고, 그것에 따라서 분기하느냐 마느냐가 결정되는 거겠죠. 그럼, 이제 우리는 call 0043A984가 호출하는 부분으로 찾아가야 겠죠? :0043A984 55 push ebp :0043A985 8BEC mov ebp, esp :0043A987 83C4C0 add esp, FFFFFFC0 :0043A98A 53 push ebx :0043A98B 56 push esi :0043A98C 57 push edi :0043A98D 33D2 xor edx, edx :0043A98F 8955D0 mov dword ptr [ebp-30], edx :0043A992 8945FC mov dword ptr [ebp-04], eax :0043A995 8B45FC mov eax, dword ptr [ebp-04] :0043A998 E85B94FCFF call 00403DF8 :0043A99D 33C0 xor eax, eax :0043A99F 55 push ebp :0043A9A0 689AAB4300 push 0043AB9A :0043A9A5 64FF30 push dword ptr fs:[eax] :0043A9A8 648920 mov dword ptr fs:[eax], esp :0043A9AB C645F835 mov [ebp-08], 35 :0043A9AF C645F959 mov [ebp-07], 59 :0043A9B3 C645FA49 mov [ebp-06], 49 :0043A9B7 8B45FC mov eax, dword ptr [ebp-04] :0043A9BA E88592FCFF call 00403C44 ;등록번호 읽어오기 :0043A9BF 83F809 cmp eax, 00000009 ;등록번호가 9자리냐? :0043A9C2 7409 jz 0043A9CD ;그렇다면 flag를 1로 설정 :0043A9C4 C645FB00 mov [ebp-05], 00 ;아니라면 flag를 0로 설정하고 :0043A9C8 E9AF010000 jmp 0043AB7C ;등록번호를 검증할 필요도 없다. :0043A9CD C645FB01 mov [ebp-05], 01 ;등록번호 검증시작 :0043A9D1 8D45E0 lea eax, dword ptr [ebp-20] :0043A9D4 8B55FC mov edx, dword ptr [ebp-04] :0043A9D7 8A12 mov dl, byte ptr [edx] :0043A9D9 885001 mov byte ptr [eax+01], dl :0043A9DC C60001 mov byte ptr [eax], 01 :0043A9DF 8D55E0 lea edx, dword ptr [ebp-20] :0043A9E2 8D45DC lea eax, dword ptr [ebp-24] :0043A9E5 E82A80FCFF call 00402A14 :0043A9EA 8D45D8 lea eax, dword ptr [ebp-28] :0043A9ED 8B55FC mov edx, dword ptr [ebp-04] :0043A9F0 8A5206 mov dl, byte ptr [edx+06] :0043A9F3 885001 mov byte ptr [eax+01], dl :0043A9F6 C60001 mov byte ptr [eax], 01 :0043A9F9 8D55D8 lea edx, dword ptr [ebp-28] :0043A9FC 8D45DC lea eax, dword ptr [ebp-24] :0043A9FF B102 mov cl, 02 :0043AA01 E8DE7FFCFF call 004029E4 :0043AA06 8D55DC lea edx, dword ptr [ebp-24] :0043AA09 8D45D4 lea eax, dword ptr [ebp-2C] :0043AA0C E80380FCFF call 00402A14 :0043AA11 8D45D8 lea eax, dword ptr [ebp-28] :0043AA14 8B55FC mov edx, dword ptr [ebp-04] :0043AA17 8A5205 mov dl, byte ptr [edx+05] :0043AA1A 885001 mov byte ptr [eax+01], dl :0043AA1D C60001 mov byte ptr [eax], 01 :0043AA20 8D55D8 lea edx, dword ptr [ebp-28] :0043AA23 8D45D4 lea eax, dword ptr [ebp-2C] :0043AA26 B103 mov cl, 03 :0043AA28 E8B77FFCFF call 004029E4 :0043AA2D 8D55D4 lea edx, dword ptr [ebp-2C] :0043AA30 8D45E7 lea eax, dword ptr [ebp-19] :0043AA33 B103 mov cl, 03 :0043AA35 E8F67FFCFF call 00402A30 :0043AA3A 8D45E0 lea eax, dword ptr [ebp-20] :0043AA3D 8B55FC mov edx, dword ptr [ebp-04] :0043AA40 8A5204 mov dl, byte ptr [edx+04] :0043AA43 885001 mov byte ptr [eax+01], dl :0043AA46 C60001 mov byte ptr [eax], 01 :0043AA49 8D55E0 lea edx, dword ptr [ebp-20] :0043AA4C 8D45DC lea eax, dword ptr [ebp-24] :0043AA4F E8C07FFCFF call 00402A14 :0043AA54 8D45D8 lea eax, dword ptr [ebp-28] :0043AA57 8B55FC mov edx, dword ptr [ebp-04] :0043AA5A 8A5207 mov dl, byte ptr [edx+07] :0043AA5D 885001 mov byte ptr [eax+01], dl :0043AA60 C60001 mov byte ptr [eax], 01 :0043AA63 8D55D8 lea edx, dword ptr [ebp-28] :0043AA66 8D45DC lea eax, dword ptr [ebp-24] :0043AA69 B102 mov cl, 02 :0043AA6B E8747FFCFF call 004029E4 :0043AA70 8D55DC lea edx, dword ptr [ebp-24] :0043AA73 8D45D4 lea eax, dword ptr [ebp-2C] :0043AA76 E8997FFCFF call 00402A14 :0043AA7B 8D45D8 lea eax, dword ptr [ebp-28] :0043AA7E 8B55FC mov edx, dword ptr [ebp-04] :0043AA81 8A5201 mov dl, byte ptr [edx+01] :0043AA84 885001 mov byte ptr [eax+01], dl :0043AA87 C60001 mov byte ptr [eax], 01 :0043AA8A 8D55D8 lea edx, dword ptr [ebp-28] :0043AA8D 8D45D4 lea eax, dword ptr [ebp-2C] :0043AA90 B103 mov cl, 03 :0043AA92 E84D7FFCFF call 004029E4 :0043AA97 8D55D4 lea edx, dword ptr [ebp-2C] :0043AA9A 8D45EB lea eax, dword ptr [ebp-15] :0043AA9D B103 mov cl, 03 :0043AA9F E88C7FFCFF call 00402A30 :0043AAA4 8D45E0 lea eax, dword ptr [ebp-20] :0043AAA7 8B55FC mov edx, dword ptr [ebp-04] :0043AAAA 8A5208 mov dl, byte ptr [edx+08] :0043AAAD 885001 mov byte ptr [eax+01], dl :0043AAB0 C60001 mov byte ptr [eax], 01 :0043AAB3 8D55E0 lea edx, dword ptr [ebp-20] :0043AAB6 8D45DC lea eax, dword ptr [ebp-24] :0043AAB9 E8567FFCFF call 00402A14 :0043AABE 8D45D8 lea eax, dword ptr [ebp-28] :0043AAC1 8B55FC mov edx, dword ptr [ebp-04] :0043AAC4 8A5202 mov dl, byte ptr [edx+02] :0043AAC7 885001 mov byte ptr [eax+01], dl :0043AACA C60001 mov byte ptr [eax], 01 :0043AACD 8D55D8 lea edx, dword ptr [ebp-28] :0043AAD0 8D45DC lea eax, dword ptr [ebp-24] :0043AAD3 B102 mov cl, 02 :0043AAD5 E80A7FFCFF call 004029E4 :0043AADA 8D55DC lea edx, dword ptr [ebp-24] :0043AADD 8D45D4 lea eax, dword ptr [ebp-2C] :0043AAE0 E82F7FFCFF call 00402A14 :0043AAE5 8D45D8 lea eax, dword ptr [ebp-28] :0043AAE8 8B55FC mov edx, dword ptr [ebp-04] :0043AAEB 8A5203 mov dl, byte ptr [edx+03] :0043AAEE 885001 mov byte ptr [eax+01], dl :0043AAF1 C60001 mov byte ptr [eax], 01 :0043AAF4 8D55D8 lea edx, dword ptr [ebp-28] :0043AAF7 8D45D4 lea eax, dword ptr [ebp-2C] :0043AAFA B103 mov cl, 03 :0043AAFC E8E37EFCFF call 004029E4 :0043AB01 8D55D4 lea edx, dword ptr [ebp-2C] :0043AB04 8D45EF lea eax, dword ptr [ebp-11] :0043AB07 B103 mov cl, 03 :0043AB09 E8227FFCFF call 00402A30 :0043AB0E C645F303 mov [ebp-0D], 03 :0043AB12 8D75E7 lea esi, dword ptr [ebp-19] :0043AB15 8D5DF8 lea ebx, dword ptr [ebp-08] :0043AB18 8D45D0 lea eax, dword ptr [ebp-30] :0043AB1B 8BD6 mov edx, esi :0043AB1D E8C690FCFF call 00403BE8 :0043AB22 8B45D0 mov eax, dword ptr [ebp-30] :0043AB25 8D55F4 lea edx, dword ptr [ebp-0C] :0043AB28 E8CB80FCFF call 00402BF8 :0043AB2D 8BF8 mov edi, eax :0043AB2F 837DF400 cmp dword ptr [ebp-0C], 00000000 :0043AB33 753A jnz 0043AB6F :0043AB35 897DD4 mov dword ptr [ebp-2C], edi :0043AB38 DB45D4 fild dword ptr [ebp-2C] :0043AB3B 33C0 xor eax, eax :0043AB3D 8A03 mov al, byte ptr [ebx] :0043AB3F 8945CC mov dword ptr [ebp-34], eax :0043AB42 DB45CC fild dword ptr [ebp-34] :0043AB45 DEF9 fdivp st(1), st(0) :0043AB47 E8607EFCFF call 004029AC :0043AB4C 8945C8 mov dword ptr [ebp-38], eax :0043AB4F DB45C8 fild dword ptr [ebp-38] :0043AB52 897DC4 mov dword ptr [ebp-3C], edi :0043AB55 DB45C4 fild dword ptr [ebp-3C] :0043AB58 33C0 xor eax, eax :0043AB5A 8A03 mov al, byte ptr [ebx] :0043AB5C 8945C0 mov dword ptr [ebp-40], eax :0043AB5F DB45C0 fild dword ptr [ebp-40] :0043AB62 DEF9 fdivp st(1), st(0) :0043AB64 DED9 fcompp :0043AB66 DFE0 fstsw ax :0043AB68 9E sahf :0043AB69 7504 jnz 0043AB6F :0043AB6B 85FF test edi, edi :0043AB6D 7504 jnz 0043AB73 :0043AB6F C645FB00 mov [ebp-05], 00 ;등록번호 틀렸음, flag를 0으로 설정 :0043AB73 43 inc ebx :0043AB74 83C604 add esi, 00000004 :0043AB77 FE4DF3 dec [ebp-0D] :0043AB7A 759C jnz 0043AB18 :0043AB7C 33C0 xor eax, eax :0043AB7E 5A pop edx :0043AB7F 59 pop ecx :0043AB80 59 pop ecx :0043AB81 648910 mov dword ptr fs:[eax], edx :0043AB84 68A1AB4300 push 0043ABA1 :0043AB89 8D45D0 lea eax, dword ptr [ebp-30] :0043AB8C E8378EFCFF call 004039C8 :0043AB91 8D45FC lea eax, dword ptr [ebp-04] :0043AB94 E82F8EFCFF call 004039C8 :0043AB99 C3 ret :0043ABA1 8A45FB mov al, byte ptr [ebp-05] ;flag를 al로 옮겨놓자 :0043ABA4 5F pop edi :0043ABA5 5E pop esi :0043ABA6 5B pop ebx :0043ABA7 8BE5 mov esp, ebp :0043ABA9 5D pop ebp :0043ABAA C3 ret 위에 나온 긴 코드가 모두 등록번호를 '검증'하는 부분인데요, keygen을 만들 것이 아니라면 굳이 자세히 살펴 볼 필요가 없습니다. 제가 파란색으로 표시한 부분만 한 번 보세요. TurboGo가 어떤 식으로 열심히 등록번호를 검증하던, 중요한 건 'flag'를 이용한다는 거에요. 열심히 등록번호를 살펴 본 다음, 등록번호가 제대로 된 것이라면 [ebp-05]라는 부분에 1을 설정합니다. 그렇지 않다면 [ebp-05]에 0을 설정합니다. 저는 이 [ebp-05]를 flag라고 불렀습니다. 아무튼, 그렇게 설정된 [ebp-05]의 값은 나중에 al레지스터로 옮겨집니다. 그리고, 바로 그 al레지스터에 있는 값을 가지고 TurboGo는 다시, 등록번호가 제대로 되었는 가를 판단하게 되는 거에요. 기억나세요? 이 부분 전에 보았던 곳에서 중요하다고 했던 call 0043A984/test al, al/jz 0047407C 부분말이에요. 거기서 test al, al/jz 0047407C에서 알 수 있듯이, 바로 al레지스터의 값을 갖고 등록번호가 제대로 된 건 지를 판단하고 있는 거에요. 이런 것은, 위의 부분 처음 쯤에 나온 call 00403C44/cmp eax, 00000009/jz 0043A9CD/mov [ebp-05],00/jmp 0043AB7C/mov [ebp-05], 01의 코드에서도 알 수 있잖아요. 이 부분은 바로, 등록번호에 몇 자리를 써 넣었는지를 확인해서, 9자리를 써 넣었으면 [ebp-05]에 1을 설정한 다음 등록번호 검증과정을 실행하고, 그렇지 않으면 [ebp-05]에 0을 설정한 다음 등록번호 검증도 하지 않고 이 부분을 빠져 나가라는 명령입니다. 한 번 찬찬히 보시면, 제가 무슨 말을 하고 있는 지 아실 거에요. 자, 이제 크랙은 끝났습니다. 어떻게 해야 할까요? 여러가지 방법이 있겠지만, 우선 떠오르는 건 두 가지 방법입니다. 0043AB6F에 있는 mov [ebp-05], 00명령을 mov [ebp-05], 01으로 바꾸어 주는 방법이 우선 있겠죠. mov [ebp-05], 00는 등록번호 검증 과정 결과, 등록번호가 틀렸을 때에, flag 즉, ebp-05가 가리키는 값을 0으로 만들게 하라는 명령인데요, 이 것을 mov [ebp-05], 01명령으로 고친다면, 등록번호가 틀렸을 때에도, flag값은 여전히 1로 될 테니까요. 그러니까, mov [ebp-05], 00의 기계어코드인 C645FB00를 mov [ebp-05], 01의 기계어코드인 C645FB01로 바꿔 주면 되는 거에요. 이 방법보다 좀 더 나은 방법은 0043ABA1에 있는 mov al, byte ptr [ebp-05]명령을 mov al, 01/nop명령으로 바꿔주는 거에요. 그러니까, TurboGo가 flag로 사용하고 있는 [ebp-05]의 값을 무시해 버리는 거에요. TurboGo는 열심히 등록번호를 검증해서 flag에 그 결과를 기록한 다음, 마지막으로 al레지스터에 그 flag값을 넣었습니다. 하지만, 우리는 그 flag와는 관계 없이 al레지스터에 '무조건' 1을 넣어 버리는 거에요. 그렇담 등록번호가 틀렸건 맞았건 상관없이 TurboGo는 항상 등록번호가 맞은 걸로 생각하겠죠? 다시 말하면 mov al, byte ptr [ebp-05]의 기계어 코드인 8A45FB를 mov al, 01/nop의 기계어코드인 B001/90로 바꿔주면 되는 거에요. 이 방법이 왜 첫번째 방법보다 좀 낫다고 했냐 하면요, 첫 번째 방법을 쓰면 등록번호로 9자를 쓰지 않았을 때엔 TurboGo가 여전히 등록번호가 틀린 것을 알아내기 때문이에요. 왜 그런가, 또 그렇다면 어떻게 해야 할까 하는 것은 제가 말씀 안드려도 다 아실거에요. 여기까지 TurboGo를 크랙하는 이야기를 했습니다. 말은 길게 했어도, 그 내용은 간단하지 않나요? 저는 이런 방법을 굳이 이름을 붙이자면, '거슬러 올라가기'라고 하고 싶습니다. '초보 크랙커에게'라는 곳에도 썼지만, 이런 방법으로 크랙할 수 있는 '연습용' 프로그램으로는 '우리집 인터넷 가계부 2.0'이라는 프로그램이 있습니다. 그 프로그램도 역시 이 TurboGo를 크랙하는 데 썼던 방법처럼, 거슬러 올라가서 flag를 바꿔 놓는 방법을 쓰면 쉽게 크랙할 수 있습니다. 그리고, 다시 한 번 말씀드리지만 맘에 들어서 오랫동안 쓰고 싶은 프로그램이 있다면 등록해서(정말로 등록하는 것을 말합니다), 그것을 만든 사람에게 대가를 주어야 한다고 생각합니다. 그렇지 않다면, 이런 글을 굳이 읽을 필요가 있을까요? 웹에 널린 게 warez/crackz에요. 이미 등록되어 있는 프로그램을 '훔쳐서' 쓰면 되지, 뭐하러 골치 아프게 크랙까지 배워요? Page 5 30. Mondschein Sonate op.27 30. Mondschein Sonate 안녕하세요. 이번 글은 InstallSHIELD에 관한 글입니다. InstallSHIELD에 관한 글을 부탁하신 분 이 계셔서 찾아보다가 NaTzGUL이라는 크랙커가 쓴 글이 가장 괜찮은 것 같아서 여기 옮겼습니다. 보시다시피, 굉장히 내용이 길어요. 아우~ 이거 옮기는 데 시간은 참 많이 들었는데 제가 제대로 옮긴 건지 잘 모르겠네요. 저는 대충 이해가 되거든요.. 그런데, 글 옮긴 놈이 '대충' 이해가 되니, 글 읽는 분께서 제대로 이해가 되실 지는 잘 모르 겠네요. 언제나 드리는 말씀이지만, 제발 제가 옮긴 글, 아니면 제가 쓴 글 중에서 틀린 부분 이 있으면 지적해 주세요. 예전에는 틀린 부분 지적해 주시는 분들이 많았는데, 요 즘에는 그런 분이 안 계세요. 엉뚱하게도 저에게 해킹하는 방법을 가르쳐 달라고 하 시는 분들이 많구요. 저는 다시 한 번 Window$의 놀라운 성능에 놀랐습니다. 이 글이 거의 70Kb에 가깝네 요, 이렇게 파일이 커져 버리니까, 한 50Kb 정도 넘어갔을 때 부터인지 아예 텍스트 에디터에서 한글 쓰기를 거부해 버리는군 요. 제가 윈도우 설정을 잘못했는지 어쩐 지는 몰라도, 참 윈도우는 대단한 것 같습 니다. 얼마전에 하드를 또 깨끗이 했기 때문에 제가 갖고 있는 윈도우용 텍스트 에 디터가 몇 개 없는데요, 메모장을 포함한 그 밖의 '상용(=돈에 의한, 돈을 위한, 돈 그 자체의)' 텍스트 에디터에서도 한글이 먹히지를 않네요. Aurora나 UltraEdit를 다시 다운 받는 것도 귀찮고 해서 잘 다룰 줄도 모르는(?) vi로 이 글을 쓰고 있습니다. 윈도우에서 글 쓰면 텔레비젼 틀어놓고 보면서 할 수 있는 거 하나 좋아서, 그렇게 해 왔는데, 윈도우가 다시 한 번 저를 놀라게 하니 어쩔 수 없군요. 잡소리가 길었습니다. 이 글에는 특히 더 틀린 곳이 많이 있을 것 같습니다. 그래서 특별히(?) 원본을 제 홈페이지에 올려 놓았습니다(원본). 비교해 가시면서 읽 어 주시구요, 틀렸다 생각하는 곳은 여지없이 저에게 가르쳐 주세요. 그래야 저도 여러분께 배울 수 있잖아요. 덧붙이는 말 : 원본의 내용 중에서 G) WIN32.HLP는 옮기지 않았습니다. 이 강좌에서 꼭 필요한 것도 아니구요, WIN32.HLP에 대한 도움말은 다른 곳에서도 많이 구해 볼 수 있어서요. 옮기기 귀찮아서가 가장 큰 이유였지만요. ------------------------------------------------------------------------------- 글쓴이 : NaTzGUL [REVOLT?7] 편지 받는 곳 : natzgul@hotmail.com InstallSHIELD Script Cracking 차례 : + A) 소개말 (정말 '소개'일 뿐이다) + B) 필요한 도구(아마 여러분 대부분이 필요한 도구를 갖고 있을 것이다) + C) 무엇을 할 것인가(D를 읽기 전에 이 부분을 읽기를 바란다) + D) 첫번째 방법(다른 방법) + E) 두번째 방법(스크립트 크랙!!) + F) 덧붙이는 말(보통의 InstallSHIELD 설치 과정) + G) WIN32.HLP(도움이 될 만한 설명들) + H) 마지막으로 덧붙이는 말(이건 안 읽어도 상관없다) + I) 고마운 분들(이 부분은 꼭 읽기를 바란다, 헤헤!!) ------------------------------------------------------------------------------- A) 소개말 내 첫번째 크랙 강좌에 오신 여러분을 환영한다. 앞으로도 더 많은 크랙강좌를 쓰려고 한다. 벌써부터라도 강좌를 쓸 수도 있었지만, 다른 사람들이 내 어설픈 영어를 읽는 게 두려웠었다 ;) 그러니 (내 부족한 영어를) 용서하고 잘 이해해 주기 바란다. 수준 : 이 글의 모든 크랙 과정에 있어서, 될 수 있는 한 모든 설명을 하려고 노력할 것이다. 그래서 아마 초보 크랙커라도 이 강좌를 이해할 수 있을 것이다(아마도 ;). 이미 말 했듯이, 이 강좌를 보면서 갖게 될 유일한 문제라는 건 아마 나의 '형편없는' 영어일 뿐일 것 같다, 헤헤. 대상 : 우리가 크랙할 프로그램은 Twelve Tone Systems에서 만든 Cakewalk HomeStudio라는 프로그램이다. 난 이 프로그램을 #Cracking(EFNET)의 Kirk_Hamm으로부터 얻었다 - 난 그 사람이 누군지도 모른다. 그는 단지 크랙이 필요했을 뿐이다. 하지만 그가 보낸 파일은 그 어플리케이션 파일 전체가 아니라 설치 과정이 실행되는 데 필요한 파일 뿐이었다. 압축된 파일의 크기는 536KB밖에 되지 않는다. 그러니까 만약에 여러분중에 그 파일이 필요한 사람이 있다면 Efnet이나 Email을 통해서 나에게 연락해 주면, 바쁘지 않으면 보내 주겠다 =). PROTECTION : 이 프로그램은 3가지 protections을 쓰고 있다. 1. CD-CHECK 2. CD-KEY 3. SERIAL ------------------------------------------------------------------------------- B) 필요한 도구 다음과 같은 도구가 필요하다: -Numega의 SoftICE 3.x (훌륭한 디버거이다. Numega에게 정말 고맙다) -URSoft의 W32Dasm 8.9 (참고자료가 있는 게 좋다) -Hex-Workshop 또는 다른 어떤 Hex-Editor라도 좋다 (오홍, 어디에 코드가 있는 지 보여줘) -InstallSHIELD 압축/해제 프로그램인 Icompx (그의 홈페이지에 이 도구를 올려 놓아준 Lord Caligo에게 고마움을) -만약 당신이 +Cracker라면, 마티니 또는 보드카, 아니면 담배가 필요할 것이다 ;) 이 도구들은 모두 Lord Carligo의 홈페이지에서 구할 수 있다. 내가 본 것 중에서는 가장 훌륭한 크랙 자료 페이지(Cracking Resource)이다. http:/cracking.home.ml.org ------------------------------------------------------------------------------- C) 무엇을 할 것인가 압축을 C:\TEMP 디렉토리에 풀어준다면 아래와 같은 파일이 있을 것이다: _SETUP.LIB 151 KB SETUP.EXE 659 KB _SETUP.DLL 5,98 KB SETUP.INS 89,5 KB SETUP.PKG 이건 별 볼일 없다. (어플리케이션 전체를 압축해제 했다면 훨씬 많은 파일이 있다) 우선 우리가 해야 할 일이 뭔지 설명하겠다. InstallSHIELD로 설치하는 경우에는 보통 다음과 같은 파일이 쓰인다. _SETUP.LIB파일은 InstallSHEILD의 압축된 데이터베이스 파일이다. 이 파일은 설치를 지원하는 exe파일이나 dll파일을 포함할 수 있따. 어떤 경우에는 이런 지원 파일(Support Files)들이 SETUP.EXE파일이 있는 디렉토리에 같이 있을 수 있다. 하지만 우리가 하려는 이 크랙의 경우에는 그 파일들은 _SETUP.LIB파일 속에 압축되어 들어 있다(뒤에서 다시 설명). 그 #Cracking에 있는 사람이 나한테 보내주지 않은 것은 프로그램 자체를 포함하고 있는 데이터베이스 파일(xxx.1-x, xxx.z)이다. 그 파일의 크기는 아주 크다 ;). 하지만 상관 없다. 왜냐하면 우리가 크랙하는 데에는 그 프로그램은 전혀 필요가 없으니까 말이다. 압축된 데이터베이스 파일은 언제나 "13 5D 65 8C 3A 01 02 00"으로 시작한다. 따라서 여러분들이 xxx.z나 xxx.1-x파일을 찾지 못할 경우라면 이런 바이트 코드를 한 번 찾아 보라. 그리고, 압축된 데이터베이스 파일의 맨 마지막 부분에서는 모든 파일 이름을 볼 수 있다. SETUP.PKG파일은 프로그램의 데이터베이스 파일에 있는 파일의 파일 이름을 모두 담고 있다. 하지만 우리가 크랙하는 데에 이것들은 필요하지 않다. 따라서 SETUP.PKG파일도 우리에겐 필요하지 않다. InstallSHIELD는 설치과정에서 프로그램의 파일들을 복사해 올 때, SETUP.PKG파일을 이용하는 게 아닌가 생각한다. 아무튼, 우리에게는 필요하지 않으니까 다음으로 넘어가자. _SETUP.DLL은 InstallSHIELD의 Resource DLL이기 때문에 우리에게는 중요하지 않다. 왜냐하면 그것은 어떤 프로그램의 설치과정이건 상관없이 InstallSHIELD로 설치하는 것이라면 항상 따라 다니는 Support File이기 때문이다. SETUP.INS파일은 설치 스크립트(Installation Script)파일을 컴파일한 것이며, InstallSHIELD의 설치과정에 있어서 가장 중요한 부분이다 !!!. 이 파일은 모든 작업을 제어하며 설치 과정 중 대부분의 메세지를 갖고 있고, 우리의 두번째 방법에서 중요한 역할을 하게 될 것이다. SETUP.EXE은 이 모든 것들 중 가장 중심이 되는 것이며, 말하자면 설치 엔진(Installation Engine)으로써 스크립트를 실행하고 DLL파일을 호출하며 디스크 접근(Disk-Access)을 관장한다. 지금까지는 별 문제가 없으리라고 본다. 이제 여러분은 InstallSHIELD에 대해서 아주 많은 것을 알았다 = ) 이제 시작해 보자... ------------------------------------------------------------------------------- D) 첫번째 방법(FIRST APPROACH) (CD-CHECK) 가정 : 나는 SoftICE에서 다음과 같은 것을 가정하겠다. F5="^x;" F7="^here;" F8="^t;" F9="^bpx;" F10="^p;" F11="^G @SS:ESP;" F12="^p ret;" 또한 여러분이 SoftICE를 설치한 디렉토리에 있는 winice.dat파일은 다음과 같은 내용을 포함하고 있어야 한다. EXP=c:\windows\system\kernel32.dll EXP=c:\windows\system\user32.dll 힌트 : 문장 앞에 "*"표시가 있고 괄호 안에 있는 말들은 SoftICE안에서 명령해야 하는 것들을 뜻한다! 시작 : 자 이제 정말로 크랙을 시작해 보자. 우선 그냥 설치를 시작하고(SETUP.EXE) 어떻게 돌아가나 살펴보자. 흠, 우선 글상자가 하나 튀어 나와서 이렇게 말한다. "Setup must be run from the original CD(설치는 원본 CD에서 실행되어야 합니다)". 이제 우리의 다음 작업은 GetDriveTypeA("A"가 붙은 이유는 SETUP.EXE파일이 32 비트 프로그램이기 때문이다.)에 중단점을 설정하는 게 이치에 맞는 일일 것이다. GetDriveType에 대해서 더 자세한 설명을 원한다면 이 강좌의 G) WIN32.HLP를 보라. * Ctrl+D를 눌러서 SoftICE 안으로 들어간 다음, "BPX GetDriveTypeA"라고 명령한다. * 이제 "Ctrl+D"("F5")를 눌러서 윈도우즈로 돌아온 다음, 다시 Setup.exe를 실행한다. 자 이제, 그 글상자가 나타나기 전에 SoftICE까 뜰 것이다. 우리는 Kernel32의 GetDriveTypeA에 있다. 이 부분을 빠져 나가자. * "F11"을 한 번 누르면, INSHELP로 옮겨 진다. 이런 젠장!!! 이게 뭐야? 이건 디렉토리에 있지도 않았는데!! * 이 파일에 대해서 자세히 알아 보기 위해 "MOD INSHELP"라고 명령했더니, 그 파일이 아래와 같은 곳에 있다고 SoftICE가 알려 주었다: C:\TEMP\_ISTMP0.DIR\INSHELP.DLL 이제 우리는 그 파일이, InstallSHIELD가 _ISTMP0.DIR이라는 이름으로 만든 임시 디렉토리를 만들고 그 곳에 넣어둔 것이라는 것을 알았따. 하지만 이 파일이 어디서 온거지? 내가 아까 C)에서 데이터베이스 파일에 대해 말한 것을 잊지 않고 있나? 기억하는가? 기억하지 못한다면 다시 한 번 읽어보라!!! 이 DLL파일은 분명 _SETUP.LIB파일에 있을 것이다. 그렇담 우리가 어떻게 패치할 수 있을까? 우리에겐 ICOMPX라는 InstallSHIELD 압축/해제 프로그램이 있다 ; ) 자 이제 _SETUP.LIB파일을 decompress 해 보자("ICOMP _SETUP.LIB *.* -d -i") 아래와 같은 파일을 얻을 수 있다: INSHELP.DLL UNINST.EXE _ISRES.DLL 아래의 두 파일은 다만 support file일 뿐이고 우리에겐 중요하지 않다. 우리가 알고 있는 것은 INSHELP.DLL가 CD-CHECK을 하고 있으며, 그 것은 _SETUP.LIB안에 들어 있고, 우리는 _SETUP.LIB파일의 압축을 풀었다가 다시 압축할 수 있다는 사실이다. 또 "ICOMP"라고만 명령하면 그 프로그램을 어떻게 사용하는 지에 대해서 자세한 설명을 볼 수 있을 것이다. 이제 이 파일에 대한 정보를 가득 얻었고, 또 어떻게 patch해야 할 지도 알았으니까 SoftICE를 계속 이용해보자. 우리는 여전히 INSHELP.DLL안에 있다. 그럼 이제 그 부분의 어셈블리어/코드 내용을 아래에 보이겠다. 여러분이 보고 있는 것과 첫번째 4자리의 주소는 다를 수 있다!(relocation) 그리고 SoftICE가 100011A0 (0)에서 나타났으니까, 그곳으로 가보자!!! DWORD TABLE: :10001308 BA120010 DWORD 100012BA 이 부분은 간접분기(indirect jump)를 위한 :1000130C C7120010 DWORD 100012C7 DWORD데이터들이다. :10001310 D4120010 DWORD 100012D4 내가 이 부분을 여기에 보인 이유는 :10001314 E1120010 DWORD 100012E1 여러분이 앞으로 내가 하는 과정을 :10001318 EE120010 DWORD 100012EE 따라오게 하기 좋게끔 하기 위해서이다 ;) :1000131C B0110010 DWORD 00011B0 :10001320 FB120010 DWORD 100012FB Start of this routine: :10001160 81ECE8020000 sub esp, 000002E8 임시 Stack-Frame 만들기 :10001166 B9FFFFFFFF mov ecx, FFFFFFFF ecx=FFFFFFFF (카운터) :1000116B 2BC0 sub eax, eax eax=0 :1000116D 56 push esi esi 저장 :1000116E 57 push edi edi 저장 :1000116F 8BBC24F4020000 mov edi, [esp + 000002F4] edi는 "C:\TEMP\"를 가리키게 된다 :10001176 F2 repnz :10001177 AE scasb 0(end)이라는 문자를 검색 :10001178 F7D1 not ecx ecx=길이값+1=9 :1000117A 2BF9 sub edi, ecx edi를 조정 :1000117C 8BC1 mov eax, ecx 길이값을 eax에 저장 :1000117E C1E902 shr ecx, 02 길이값을 4로 나눠준다 = 2 :10001181 8BF7 mov esi, edi esi=edi는 "C:\TEMP\"를 가리키는 포인터 :10001183 8D7C2448 lea edi, [esp + 48] "CWHS_601" | :100011ED B938600010 mov ecx, 10006038 * Referenced by a Jump at Address:1000120C(C) | :100011F2 8A10 mov dl, [eax] 여기서 나의 Volume Name인 "HD_C"과 :100011F4 3A11 cmp dl, [ecx] "CWHS_601"을 비교 :100011F6 751A jne 10001212 (5) 나쁜 분기! :100011F8 0AD2 or dl, dl :100011FA 7412 je 1000120E :100011FC 8A5001 mov dl, [eax+01] :100011FF 3A5101 cmp dl, [ecx+01] :10001202 750E jne 10001212 (5) 나쁜 분기! :10001204 83C002 add eax, 00000002 :10001207 83C102 add ecx, 00000002 :1000120A 0AD2 or dl, dl :1000120C 75E4 jne 100011F2 * Referenced by a Jump at Address:100011FA(C) | :1000120E 33C0 xor eax, eax 좋아 좋아! :10001210 EB05 jmp 10001217 계속해서 단계별로 실행을 하려면 위에 나오는 나쁜 분기들을 nop시켜야 한다. * "F10"으로 단계별로 실행시키다가 그 나쁜 분기에 왔을 때, "a"명령으로 "nop"을 두개 입력한다. (4)에서의 분기는 설치과정이 원본 CD에서 실행되었을 때만 분기된다. 만약 거기서 그렇게 분기했다면 Volume 명과 Filetype을 체크하지 않는다. 이 강좌의 F)부분을 읽어서 GetVolumeInformation (FileSystemFlags)에 대해서 더 알아보기 바란다 !! 자 이제 (5)부분의 나쁜 분기는 아래 부분으로 분기할 것이다... * Referenced by a Jump at Addresses:100011F6(C), :10001202(C) | :10001212 1BC0 sbb eax, eax eax=0 :10001214 83D8FF sbb eax, FFFFFFFF eax=1 * Referenced by a Jump at Address:10001210(U) | :10001217 85C0 test eax, eax eax=0이라면 :10001219 740D je 10001228 10001228으로 분기! 좋은 사람! :1000121B 33C0 xor eax, eax 그렇지 않으면 :1000121D 5F pop edi eax=0값을 갖고 분기! 나쁜 놈! :1000121E 5E pop esi :1000121F 81C4E8020000 add esp, 000002E8 :10001225 C20400 ret 0004 * Referenced by a Jump at Address:10001219(C) | :10001228 8D4C2414 lea ecx, [esp + 14] ecx는 나의 File System 종류인 "FAT"을 가리킴 * Possible StringData Ref from Data Obj ->"CDFS" | :1000122C B848600010 mov eax, 10006048 * Referenced by a Jump at Address: |:1000124B(C) | :10001231 8A11 mov dl, [ecx] 여기에서 내 File System 종류는 "FAT"이다 :10001233 3A10 cmp dl, [eax] 이 값이 "CDFS"와 비교된다 ! :10001235 751A jne 10001251 (6) 나쁜 분기 ! :10001237 0AD2 or dl, dl :10001239 7412 je 1000124D :1000123B 8A5101 mov dl, [ecx+01] :1000123E 3A5001 cmp dl, [eax+01] :10001241 750E jne 10001251 (6) 나쁜 분기 ! :10001243 83C102 add ecx, 00000002 :10001246 83C002 add eax, 00000002 :10001249 0AD2 or dl, dl :1000124B 75E4 jne 10001231 * Referenced by a Jump at Address:10001239(C) | :1000124D 33C0 xor eax, eax 좋아 좋아 ! :1000124F EB05 jmp 10001256 다시 한 번 (6)의 나쁜 분기를 nop시켜야 한다!! 그렇지 않으면 이 곳(10001251)에 '나쁜 놈'으로써 도착하게 된다. * Referenced by a Jump at Addresses:10001235(C), :10001241(C) | :10001251 1BC0 sbb eax, eax 오래된 방법, (10001212)를 다시 보자! :10001253 83D8FF sbb eax, FFFFFFFF * Referenced by a Jump at Address:1000124F(U) | :10001256 85C0 test eax, eax :10001258 740D je 10001267 좋은 사람은 10001267로 분기 :1000125A 33C0 xor eax, eax :1000125C 5F pop edi :1000125D 5E pop esi :1000125E 81C4E8020000 add esp, 000002E8 :10001264 C20400 ret 0004 * Referenced by a Jump at Addresses:100011E0(C), :10001258(C) | :10001267 8A442448 mov al, [esp + 48] ;al=드라이브 이름 "C" 43h :1000126B 8D8C24D8010000 lea ecx, [esp + 000001D8] :10001272 51 push ecx :10001273 A250600010 mov [10006050], al ^-------------"X:\Cakewalk\_setup.lib" * Possible StringData Ref from Data Obj ->"C:\Cakewalk\_setup.lib" | :10001278 6850600010 push 10006050 :1000127D E8EE010000 call 10001470 자, 이제 Windows95에서 CD-Protection에 대한 것을 몇 개 더 알았다. -INSHELP는 우선 설치가 CD-ROM에서 실행되고 있는 가를 확인한다. -그 다음에는 Volume Name과 File System을 체크한다. -그리고 "setup.lib"이라는 파일을 확인한다. -마지막으로 INSHELP는 모든 게 잘되었다면 "1"을 돌려 주고 잘못 된 게 있다면 "0"을 돌려 준다. 이런 CD-CHECK은 이제 크랙할 수 있다. 이제 다음으로 넘어가자... (CD-KEY) 자 이제, 그 글상자는 다시는 나오지 않는다. 대신 우리를 환영하는 창이 뜬다. 이제 글을 쓸 수 있는 칸이 나오고, 13자리의 CD-KEY를 써넣구 어쩌구 저쩌구 하라는 게 나온다. * "1234567890123"을 써 넣고 GetWindowTextA함수에 중단점을 설정한다 : "BPX GetWindowTextA" NEXT -> 단추를 누르면 SoftICE가 나타난다. 이건 너무 쉽군 ; ) * 우리는 이제 GetWindowTextA에 있다. "F11"을 눌러서 프로그램의 코드로 돌아가자. 나는 EAX 레지스터 값이 뭔가 한 번 살펴 봤다. 왜냐하면 그 값은 언제나 GetWindowTextA함수에서 문자열의 길이값을 갖고 있기 때문이다. 그런데 이런 제길!!!! 그 값은 내가 써 넣은 문자열의 길이값이 아니었다. 따라서 내가 써 넣은 문자열을 읽어 들인 게 아닐 것이다. = ( 하지만 걱정하지 말자. 이건 초보 크랙커가 크랙하지 못하게 한 쬐께만 속임수일 뿐이다. 또 이런 트릭을 쓰는 프로그램이 요즘에 많이 나왔다는 것도 알아 두자!! Setup은 우리가 써 넣은 문자열을 읽어 들이기 위해서 GetWindowTextA를 사용한다. 하지만 그것은 우리가 NEXT -> 버튼을 누를 때 까지 기다리지 않는다. 우리가 글자 하나를 쓸 때마다 읽어 들이는 것이다. * 그러니까 우리가 설정한 중단점을 잠깐 해제 해 보자 : "BD 0", 그리고 나서 "12345678901234"를 써 넣은 다음 다시 중단점을 설정 해 본다 * "BD 0".(이렇게 한 다음 SoftICE를 빠져 나오는 것을 잊지 말자) 자 이제 마지막 글자를 back-space키를 눌러서 지우면 짠!!! 다시 GetWindowTextA에 왔다. * 이제 "F11"을 눌러서 프로그램의 코드로 들어가자. 이제 훨씬 나아 보인다. 왜냐하면 EAX의 값이 0D즉, 13이기 때문이다. 그러니까, 우리가 써 넣은 문자열의 길이인 것이다 ; ) 우리는 Setup 안에 있다. GetWindowTextA 바로 다음에 "LEA EAX, [EBP+FFFFFBF4]"라는 명령이 있다. 이것은 EAX가, 우리가 써 넣은 문자열을 가리키고 있는 것이다. * 이제 "F8"이나 "F10"을 눌러서 단계별로 실행해 보자. * "D EAX"명령을 해 보면 "1234567890123"을 볼 수 있다!! * 그럼 우리가 원하는 걸 얻었으니까, 이제 "BC *" 명령으로 중단점을 지워 버리자. 이제는 메모리를 읽어들이는 부분(Memory Access)에 중단점을 설정하자. * "BPM EAX". 그리고 나서 SoftICE를 빠져 나오면, 바로 다시 SoftICE가 뜰 것이다. SoftICE는 다른 곳에서 중단되었지만, 우리에게 중요한 것은 lstrcpyA이다. 그 곳에 아래와 같은 코드들이 있을 것이다 : ... ............ REPNZ SCASB 여기까지 제대로 왔다면 설정했던 중단점을 모두 지워도 좋다. * "F8"을 눌러서 두 명령만큼 단계 실행한다음 EDI에 새로 중단점을 설정하자: * "BPM EDI". 아니면 그냥 SoftICE를 나와서 설치 창으로 돌아온 다음 NEXT -> 단추를 누르면 lstrcpyA에 중단점이 걸리면서 몇 번 더 SoftICE가 뜰 것이다. 이번엔 중단점을 지우지는 말고, 아까처럼 두 명령만큼 단계 실행한 다음 INSHELP안에 들어올 때, EDI에 중단점을 설정한다 !!! 그렇다 역시 똑같은 dll인 것이다 ; ) 다시 한번 어셈블리어 코드 소스를 보여 줄 것이다. 다시한번 말하지만 처음 4자리 주소값은 여러분의 것과 아래의 것과는 다를 수 있다는 것을 생각해 주길 바란다(relocation). SoftICE는 10001377에서 중단될 것이다!!! Start of this routine: :10001350 83EC34 sub esp, 00000034 임시 스택프레임 생성 :10001353 53 push ebx ebx 저장 :10001354 56 push esi esi 저장 :10001355 57 push edi edi 저장 :10001356 E8D5FCFFFF call 10001030 초기화 되었는가? :1000135B 85C0 test eax, eax ok ? (아마 그럴 것이다) :1000135D 750B jne 1000136A 그렇다면 1000136A로 분기, 아니면 :1000135F 33C0 xor eax, eax eax=0로 설정. 나쁜 놈 !!! :10001361 5F pop edi edi 복구 :10001362 5E pop esi esi 복구 :10001363 5B pop ebx ebx 복구 :10001364 83C434 add esp, 00000034 임시 스택프레임 제거 :10001367 C20400 ret 0004 Ret CD-CHECK에서 처럼 여기서도 EAX=0은 나쁜 놈을 뜻하는 것같다. 단순히 이 부분(10001350에서 시작하는)을 약간 고쳐 주는 것만으로도 CD-KEY는 크랙할 수 있다. 하지만 이런 KEY-protection을 크랙하는 방법에 대해서 더 자세히 알고 싶다면 아직 크랙하지 말자. 원본 : :10001350 83EC34 sub esp, 00000034 임시 스택프레임 생성 :10001353 53 push ebx ebx 저장 :10001354 56 push esi esi 저장 :10001355 57 push edi edi 저장 :10001356 E8D5FCFFFF call 10001030 초기화 되었는가? 바꾸기 : :10001350 33C0 xor eax,eax eax=0 :10001352 40 inc eax eax=eax+1=1 좋은 사람 :10001353 C20400 ret 0004 Ret Hex editor 로 INSHELP.DLL을 열어서 "83EC34535657"을 찾는다. 딱 한곳에서(오프셋 750)에서 찾을 수 있다. 그 부분을 "33C040C20400"으로 고쳐 저장한다. 자 이제 _SETUP.LIB으로 압축하자. 그냥 "icomp inshelp.dll _setup.lib"라고 명령하면 된다. 아직 INSHELP.DLL은 지우지 말자. 다음에 또 필요하다. 이제 아무 번호나 써도 괜찮을 것이다, 멋지군 헤헤 =) CD-KEY protection에 대해서 더 알고 싶은가? 아니라면 그냥 다음 (SERIAL)로 넘어가자!!! 좋다, 그럼 계속해서 이 부분을 살펴 보자. * Referenced by a Jump at Address:1000135D(C) | :1000136A 8B5C2444 mov ebx, [esp + 44] ebx는 우리가 써 놓은 번호를 가리킨다 :1000136E 8D4C240C lea ecx, [esp + 0C] ecx는 새로운 주소값 :10001372 8BC3 mov eax, ebx eax=ebx=우리가 쓴 번호를 가리키는 포인터 :10001374 803B00 cmp byte ptr [ebx], 00 (9) KEY=NULL ? :10001377 741B je 10001394 이 부분을 크랙하기 위해서는 마지막 부분인 10001467(24)에서 시작해야 할 것이다. eax=edx가 바로 등록번호이며 그것은 E7B37(15)일 것이다. (23)에서는 E7B38은 (eax/edi)의 나머지값, 즉 (eax/12D6E1)의 나머지값임을 알 수 있다. (22) 흠, 이 부분이 지랄맞은 곳이다. 이 부분이 반복되면서 (eax)에 있는 값을 놓치기 때문이다. 우리가 알 수 있는 것은 eax의 값은 4자리 마다 한 번씩 추출될 것이라는 것이다. 왜냐하면, 30*40*40*40+30*40*40+30*40+30=C30C30 > 12D6E1 이기 때문이다. 따라서 우리는 KEY(seed KEY)값으로 "3xx6x1yyyyyyy"라는 값을 넣을 수 있을 것이다. x는 아무 숫자라도 상관없고, y는 제대로 넣어야 하는 값이다. 우선, Setup프로그램으로 돌아가서 KEY값을 선택하자. 나는 "3006010000000"라는 KEY값을 썼다. 제대로된 KEY(vaild KEY)값을 얻기위해 우선 무식공격(Brute-Force-Crack)을 써 보자 = ) 이 방법이 가장 좋은 방법은 아니지만, 이 프로그램이 등록번호를 만드는 과정이 짧기 때문에 실행되는 데 시간이 오래 걸리지 않을 것이다. 등록번호가 E7B37과 비교되는 곳인 100013C1(15)까지 단계별로 실행하자. 다음 줄인 100013C6에 와서 이 부분의 코드를 약간 손 보기로 하자. * EBX 레지스터 값이 쓰이지 않으니까, 이 것을 카운터로 써 보자. "r ebx=0"이라고 명령한다. * 다음에 "a"라고 명령해서 우리가 직접 이 부분에 프로시져(procedure)를 만들어 넣어 보기로 한다. 이 프로시져가 등록번호 찾는 일을 도와 줄 것이다. 아래에서 나온 주소값은 여러분의 주소값에 맞게 고쳐주어야 한다. * "JNZ GO_ON" 제대로 된 KEY값이 아님, GO_ON으로 분기 * FOUND: "NOP" 잘 되가는 지 여기서 멈춰서 살펴볼 것이다 * GO_ON: "CMP EBX,1312CFF" 0-19999999 사이에 있는 숫자인지 확인 * "JZ FAIL" 그렇지 않다면 FAIL로 분기 * "MOV ESI,[ESP+C]" ESI는 우리의 KEY값을 가리키고 있다 * "MOV EAX,EBX" EAX=EBX * "MOV ECX,A" ECX=A=10d * CONVERT_DEC: "XOR EDX,EDX" EDX=0 * "DIV ECX" EAX=EAX/ECX, EDX=(EAX/ECX)의 나머지 값 * "ADD DL,30" EDX=EDX+"0" * "MOV [ESI+C],DL" 숫자를 KEY값에 저장 * "DEC ESI" ESI는 바로 전의 숫자를 가리키고 있다 * "CMP EAX,0" 과정이 모두 끝났나? * "JNZ CONVERT_DEC" 아직 안 끝났으면 CONVERT_DEC으로 분기 * "JMP 100013B7" 이 부분에서 KEY값을 확인! GO_ON에서의 비교는 프로그램 ID(App-ID)가 손상되지 않았는 가를 확인한다. * 좋다, 위의 지저분한 코드를 모두 입력했다면 ; ) 이제 지금까지 설정했던 중단점을 모두 없애고 "BC *" * 새로운 중단점을 FOUND에 설정하자. 그리고 SoftICE를 빠져 나간다음에 잠깐 기다리면..... SoftICE까 FOUND에서 멈출 것이다, 우선 EAX값을 확인하자. 그 값은 E7B37일 것이다 * 그렇게 나왔다면 제대로 된 KEY값을 "D [ESP+C]"명령으로 확인할 수 있다. 나는 내가 아까 집어 넣었던 KEY(seed KEY) 에 대해서 "3006010147046"라는 제대로 된 KEY(vaild KEY)를 얻었다. = ) * 우리가 만든 위의 프로시져를 빠져 나가기 위해서는 EIP레지스터 값을 1000142D로 바꿔 주어야 한다 "r eip=1000142D" 그리고 중단점을 지운다. 다음, SoftICE를 빠져 나와서, Setup으로 돌아간다. 설치를 취소하고 다시 시작한 다음 좀 아까 얻어낸 KEY를 써 넣어보자. 요약 : - KEY는 반드시 13자리의 숫자를 가져야 한다. - KEY는 4개의 고정된 숫자가 있다. "3xx601yyyyyyy". 그것은 바로 프로그램 ID(3601), 그러니까 Twelve Tone Systems 에서 만든 다른 프로그램과 구별하기 위해 쓰이는 숫자이다. Setup은 이 프로그램 ID를 쓰기전에 그 값을 INSHELP에 넘겨준다. - yyyyyyy은 무식 공격(Brute-Force-Cracking)으로 얻어낼 수 있다. 자 이 부분의 protection은 크랙되었다, 다음으로 넘어가자... ------------------------------------------------------------------------------- (SERIAL) KEY에 대한 크랙은 약간 속임수 같은 면이 있었지만, 어쨌튼 지금 여기, 등록번호를 구하는 곳 까지 왔다 Setup 프로그램은 사용자 이름(User-Name), 회사(Company), 등록번호(Serial)을 물어온다. 그냥 아무 거나 써 넣자. 나는 사용자 이름으로 "NaTzGUL", 회사로 "REVOLT", 등록번호로 "1234567890"을 썼다. KEY에 대한 크랙에서 했던것과 똑같이 하면, SoftICE가 뜰 것이다. 등록번호가 제대로 된 것인지 확인하는 코드가 있을 것이구. 난 포기했다!! push, pop 그리고 call이 너무 너무 많이 있다. 못 믿겠으면, 직접 도전해 보시길! 이 부분을 크랙하기 위해서는 새로운 방법이 필요하다. ------------------------------------------------------------------------------- E) 두번째 방법 가정 : 첫번째 방법에 대해 약간이라도 읽어 봤고, 프로그램(INSHELP)가 원본 그대로 있다고 가정한다 들어가기 : ZEN!!(ZEN은 그냥 원문에 그대로 ZEN이라고 썼습니다. 무슨 뜻인지 궁금한 분들은 +ORC의 강좌(HOW TO CRACK)를 읽어 보세요 -+kurt) 그렇다, 우리에게 필요한 게 바로 그거다 = ) 내가 첫번째 방법 에 대해서 말하면서 얘기했지만, InstallSHIELD의 설치에서 가장 중요한 역할을 하고 있는 것은 SETUP.INS이다. SETUP.INS는 컴파일된 스크립트이다. 이게 무엇을 뜻하는고 하니, 컴파일 되기 전에는 다음과 같은 기본적인 명령들을 포함하고 있었을 것이라는 말이다. - "IF,THEN,(ELSE)" - "GOTO" - "CALL" - "RETURN()" - "LOAD","OPEN","CLOSE" - "MESSAGEBOX" - etc. 이 프로그램을 크랙하는 데 컴파일 이전의 상태로 되돌리는 짓 따위는 필요하지 않을 거라고 생각했다. 가장 중요한 것은 "IF, THEN"일 것이다. 스크립트 내용 중 아마 가장 많이 나오는 명령일 것이며, 다음과 같은 문법으로 쓰였을 것이다: IF 비교구문 THEN ..... 비교구문 = (인수1)을 (arg2)와 비교 인수1은 변수이고, 인수2는 변수 또는 상수값일 것이다(당연히 두 개의 상수값을 비교하는 것은 말이 안된다!) 비교구문은 다음에 나온 6가지 중의 하나일 것이다: 종류: 그에 따른 분기명령: LOWER-EQUAL JLE GREATER-EQUAL JGE LOWER JL GREATER JG NOT-EQUAL JNE EQUAL JE 컴파일 된 다음의 비교 명령은 다음과 같이 나타날 것이다: Compare_mnemonic,result,Byte_A, arg1, Byte_B, compare_type, Byte_C, arg2 Byte_A는 arg1을 가리키고 있고, Byte_B는 compare_type의 결과를 갖는다. Byte_C는 arg2를 가리키고 있고, 또 arg2가 변수인지 상수인지도 말해준다. * Referenced by a Jump at Address:0043C89F(C) | :0043C7B2 8B45F4 mov eax, [ebp-0C] eax=arg1 :0043C7B5 3945F8 cmp [ebp-08], eax arg2와 arg1을 비교 :0043C7B8 0F8E0C000000 jle 0043C7CA 작거나 같은가? 비교형 1번 !!! :0043C7BE C745FC01000000 mov [ebp-04], 00000001 1값을 결과값으로 [ebp-4]에 돌려줌 :0043C7C5 E907000000 jmp 0043C7D1 end로 분기 * Referenced by a Jump at Address:0043C7B8(C) | :0043C7CA C745FC00000000 mov [ebp-04], 00000000 0값을 결과값으로 [ebp-4]에 돌려줌 * Referenced by a Jump at Address:0043C7C5(U) | :0043C7D1 E906010000 jmp 0043C8DC end로 분기 * Referenced by a Jump at Address:0043C8A9(C) | :0043C7D6 8B45F4 mov eax, [ebp-0C] :0043C7D9 3945F8 cmp [ebp-08], eax :0043C7DC 0F8D0C000000 jnl 0043C7EE 크거나 같은가? 비교형 2번 ! :0043C7E2 C745FC01000000 mov [ebp-04], 00000001 :0043C7E9 E907000000 jmp 0043C7F5 * Referenced by a Jump at Address:0043C7DC(C) | :0043C7EE C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C7E9(U) | :0043C7F5 E9E2000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8B3(C) | :0043C7FA 8B45F4 mov eax, [ebp-0C] :0043C7FD 3945F8 cmp [ebp-08], eax :0043C800 0F8C0C000000 jl 0043C812 작은가? 비교형 3번! :0043C806 C745FC01000000 mov [ebp-04], 00000001 :0043C80D E907000000 jmp 0043C819 * Referenced by a Jump at Address:0043C800(C) | :0043C812 C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C80D(U) | :0043C819 E9BE000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8BD(C) | :0043C81E 8B45F4 mov eax, [ebp-0C] :0043C821 3945F8 cmp [ebp-08], eax :0043C824 0F8F0C000000 jg 0043C836 큰가? 비교형 4번! :0043C82A C745FC01000000 mov [ebp-04], 00000001 :0043C831 E907000000 jmp 0043C83D * Referenced by a Jump at Address:0043C824(C) | :0043C836 C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C831(U) | :0043C83D E99A000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8C7(C) | :0043C842 8B45F4 mov eax, [ebp-0C] :0043C845 3945F8 cmp [ebp-08], eax :0043C848 0F850C000000 jne 0043C85A 같지 않은가? 비교형 5번! :0043C84E C745FC01000000 mov [ebp-04], 00000001 :0043C855 E907000000 jmp 0043C861 * Referenced by a Jump at Address:0043C848(C) | :0043C85A C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C855(U) | :0043C861 E976000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8D1(C) | :0043C866 8B45F4 mov eax, [ebp-0C] :0043C869 3945F8 cmp [ebp-08], eax :0043C86C 0F840C000000 je 0043C87E 같은가? 비교형 6번! :0043C872 C745FC01000000 mov [ebp-04], 00000001 :0043C879 E907000000 jmp 0043C885 * Referenced by a Jump at Address:0043C86C(C) | :0043C87E C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C879(U) | :0043C885 E952000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8D7(U) | :0043C88A C745FC00000000 mov [ebp-04], 00000000 :0043C891 E946000000 jmp 0043C8DC :0043C896 E941000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C7AD(U) | :0043C89B 837DEC01 cmp [ebp-14], 00000001 자, 이제 비교형에 대해서 정리를 해 보자: 비교명령 : 수학 표현식: 대응되는 분기명령: 비교형(dword): LOWER-EQUAL = JGE 2 LOWER JG 4 NOT-EQUAL != JNE 5 EQUAL = JE 6 MESSAGEBOX 함수의 바이트 구조: 2A,0,61,length(word),text 라면 특정한 text(문자열)을 보여주는 글상자(messagebox)를 화면에 나타낸다. IF-THEN명령의 비교부분이 우리가 가장 알고 싶어하는 부분이었으므로, 이제 바로 한참 아래에 나와있는 START 부분으로 곧장 가도 좋다. 그렇지 않으면 다른 명령들과 그 명령들이 어떻게 구성되는 가를 여기에서 설명하겠다. = ) IF-THEN 명령의 컴파일 된 상태는 다음과 같이 보일 것이다: COMPARE, BRANCH_TO location IF !(result - arg_x) (result - arg_x)는 비교되는 값이 같다면 0을 갖게 되고, 그렇지 않은 경우에는 0이 아닌 값을 갖게 된다. 이 결과값은 비교에 의해서 결정되며 arg_x는 변수이거나 상수가 될 수 있다. 이제 IF-THEN 명령의 코드값을 살펴 보자: COMPARE-structure,BRANCH_TO_mnemonic,l_index, SUB, Byte_A,result,Byte_C,arg_x BRANCH_TO_mnemonic = 22,0,70 SUB = 95 (in an IF-THEN instruction!) Byte_A="B"=0x42 비교한 다음의 결과값은 언제나 인덱스 변수가 된다. Byte_B="A"=0x41 arg_x는 IF-THEN명령에서는 언제나 상수값이다. l_index=워드형(인덱스) result = 워드형(인덱스 변수) arg_x = 더블워드형(상수) = IF-THEN명령에서는 0x00000000 BRANCH 위치는 스크립트 안에서의 오프셋 값이며, 다음과 같은 식에서 얻어진다. location=dword[l_index*6+Branch-Table-Offset+2] Location-Table-Offset=Offset "_EWQ" ; 이 스크립트에서 이 값은 14546이다 그냥 "_EWQ"라는 문자열을 파일 안에서 찾아보면 찾을 수 있을 것이다(스크립트 마지막에 링크되어 있다. GOTO 명령의 바이트 코드 구조 : 2C,00,70,l_index 내가 알아낸 명령어들은 더 있지만, 이 강좌에서 필요한 내용은 아니다. 이런 정보들을 이용해서 Decompiler를 만드는 일은 아주 수월한 일일 것이다. 더구나 Setup이 실행되고 있는 주소값을 알고 있다면, mnemonic값을 보고 그 부분이 어떤 명령을 하고 있는 부분인가 하는 것을 알아내는 것은 어려운 일이 아닐 것이다. 하지만 이런 내용은 이 강좌에서 다룰 내용이 아닐 뿐 만 아니라, 이 강좌가 지금 너무 길어져 버렸다. 자, 이제 우리의 첫번째 Script-Cracking을 시작해 보자. = )... START: (CD-CHECK) 우선, 이 CD-CHECK이 스크립트 명령으로 어떻게 쓰여졌을까를 생각 해 보아야 한다. 가장 쉬운 방법은 아마 다음과 같은 방법일 것이다: arg1=CALL(INSHELP,CD-CHECK) IF arg1=0 THEN MESSAGEBOX "Setup must be run from the original CD":END ELSE RETURN(1) 또는... arg1=CALL(INSHELP,CD-CHECK) IF arg1 != 0 THEN RETURN(1) ELSE MESSAGEBOX "Setup must be run from the original CD":RETURN(0) 위와 같은 코드를 컴파일하고 나면, 바이트 코드는 다음과 같이 될 것이다. 28,01,32,"B",arg1 (word),"A",6 (dword),"A",0 (dword),...,2A,0,61,27 (word),"Setup must be..." or this... 28,01,32,"B",arg1 (word),"A",5 (dword),"A",0 (dword),...,2A,0,61,27 (word),"Setup must be..." 여기에 SETUP.INS파일의 한 부분을 보였다...(오프셋 8D70) arg1_인덱스_변수(워드형) 비교형 5번!!! 결과_인덱스_변수(워드형) 이 부분의 비교형이 5번이라는 것을 알았으므로, 그냥 비교형을 6번으로 바꿔주 기만 하면 이 CD-CHECKD부분은 크랙이 된 것이다. 쉽지 않은가! 그런데, 여러분은 지금 패치되지 않은 INSHELP를 사용하고 있어야 한다. 위에서 했던 대로 패치된 INSHELP를 사용하고 있다면, 그 결과는 우리가 원하는 것과 반대가 될 것이다. (CD-KEY) SETUP.INS파일에서 2A,0,61이라는 바이트 코드를 찾아서, CD-KEY 부분 을 확인하고 있는 부분이 어디인지 알아내었다. 오프셋 8FD0이었다. 8FD0 42 00 00 28 01 32 2E 00 42 2D 00 41 02 00 00 00 B..(.2..B-.A.... KEY-길이 ! 오프셋 904C를 6으로 바꿔주면 이 KEY-Protection은 역사속으로 사라질 것이다, 헤헤 !! 이제 아무 것이나 써 넣어도 제대로 된 등록번호가 된다. 또, 만약에 그 값으로 4를 대신한다면 등록번호로 아무 것도 써 넣지 않아도 된다 (Serial) 자, 이제 이 지랄맞은 Serial-Check를 크랙해 보자. 이 부분은 INSHELP도 사용하지 않고, 다른 DLL도 사용하지 않는다. 순전히 스크립트 만을 이용한다. 이 말은 글상자를 띄우기 전에 비교형 5나 6을 사용하지 않을 것이라는 말이다. 우리의 사랑스런 SoftICE를 좀 사용하는 방법밖에 없겠다. Setup이 비교 하는 부분에서 무슨 짓을 하고 있는 지를 알아 보기 위해서는 사용자 이름(User-Name), 회사(Company), 그리고 Serial을 써 넣어야 한다. 나는 "123456789" 를 써 넣었다. 이제 Ctrl+D를 눌러서 SoftICE를 불러서, Setup의 코드 안에 들어 와 있는 지를 확인 해야 한다(코드창의 맨 아래 오른쪽 쯤에 "Setup"이라고 써 있어야 한다) 만약에 Kernel이나 User API에 있다면 Setup 안에 들어갈 때까지 "F12"를 몇 번 누르면 된다. * 0043C89B에 중단점을 설정한다 "bpx 0043C89B" 그곳이 비교하는 부분이 시작되는 곳이다. 이제 SoftICE를 빠져 나와서 NEXT-> 단추를 누르자. SoftICE는 0043C89B에서 몇 번 멈출 것이다. 그리고 나서 Setup은 비교를 시작한다. 여기에 내가 해 본 결과를 보였다: Comparisions: Compare_type: (1) 0 != 1 5 중요하지 않다 (2) 0 >= 3 2 중요하지 않다(문자열의 위치를 가리키는 포인터?) (3) 9 31 4 이건 serial의 첫번째 글자 (5) 7A 31 4 "a"-"z","A"-"Z","0"-"9"사이의 값인지 확인 (7) 5A 31 4 (9) 39 우리가 써 넣은 serial 각각의 문자를 하나하나 비교하고 있는 것 같다. 우리가 써 넣은 serial은 제대로 된 것이 아니니까, 이 비교부분을 속여보자 (3)이 부분이 문자열에서 문자의 위치를 가리키고 있는 포인터역할을 하고 있는 것 같다. 그래서 우리가 써 넣은 serial의 문자열 길이를 구하고 있다. 이 부분을 빠져 나오려면, 거꾸로 이 부분을 살펴봐야 할 것이다. 여기에 바이트를 나타내었다. 6240 00 28 01 32 2E 00 42 2D 00 41 02 00 00 00 41 00 .(.2..B-.A....A. 이 부분은 단지 Serial에 6250 00 00 00 22 00 70 D7 00 95 42 2E 00 41 00 00 00 ...".p?뷓..A... 아무 글자라도 써 넣었나를 6260 00 B5 00 80 66 00 70 DB 00 62 26 00 21 00 32 2D .?f.p?b&.!.2- 확인하고 있다. 6270 00 42 00 00 22 00 70 D4 00 95 42 2D 00 41 00 00 .B..".p?뷓-.A.. 6280 00 00 21 00 32 9B FF 41 01 00 00 00 2C 00 70 D6 ..!.2?A....,.p? 6290 00 00 00 02 00 3A 00 41 00 00 00 00 2A 00 61 37 .....:.A....*.a7 62A0 00 50 6C 65 61 73 65 20 65 6E 74 65 72 20 79 6F .Please enter yo 62B0 75 72 20 73 65 72 69 61 6C 20 6E 75 6D 62 65 72 ur serial number 62C0 20 74 6F 20 63 6F 6E 74 69 6E 75 65 20 77 69 74 to continue wit 62D0 68 20 73 65 74 75 70 2E 41 01 00 FF FF 00 00 00 h setup.A..??... 62E0 00 00 00 01 00 2C 00 70 D9 00 00 00 06 00 2F 00 .....,.p?..../. 62F0 62 24 00 21 00 32 2D 00 42 00 00 28 01 32 2E 00 b$.!.2-.B..(.2.. 6300 42 2D 00 41 03 00 00 00 41 00 00 00 00 22 00 70 B-.A....A....".p 이 부분은 이름에 아무 글자라도 6310 D8 00 95 42 2E 00 41 00 00 00 00 3A 00 41 00 00 ?뷓..A....:.A.. 써 넣었는지를 확인하고 있다. 6320 00 00 2A 00 61 2E 00 50 6C 65 61 73 65 20 65 6E ..*.a..Please en 6330 74 65 72 20 79 6F 75 72 20 6E 61 6D 65 20 74 6F ter your name to 6340 20 63 6F 6E 74 69 6E 75 65 20 77 69 74 68 20 73 continue with s 6350 65 74 75 70 2E 41 01 00 FF FF 00 00 00 00 00 00 etup.A..??...... 6360 01 00 2C 00 70 D3 00 00 00 02 00 01 00 41 32 00 ..,.p?......A2. 6370 00 00 B8 00 00 00 06 00 B6 00 10 00 01 00 02 02 ..?........... 6380 00 00 05 00 00 00 2F 00 62 9B FF 21 00 32 2D 00 ....../.b?!.2-. 6390 42 00 00 21 00 32 9A FF 42 2D 00 21 00 32 99 FF B..!.2?B-.!.2? 63A0 41 00 00 00 00 21 00 32 98 FF 41 00 00 00 00 00 A....!.2?A..... 63B0 00 10 00 29 01 28 01 32 2D 00 42 99 FF 41 01 00 ...).(.2-.B?A.. (3) 당연히 !!! 63C0 00 00 42 9A FF 22 00 70 E5 00 95 42 2D 00 41 00 ..B?".p?뷓-.A. 63D0 00 00 00 7A 00 32 97 FF 52 9B FF 42 99 FF 28 01 ...z.2?R?B?(. 63E0 32 2D 00 42 97 FF 41 04 00 00 00 41 61 00 00 00 2-.B?A....Aa... (4) 63F0 28 01 32 2E 00 42 97 FF 41 03 00 00 00 41 7A 00 (.2..B?A....Az. (5) 6400 00 00 27 01 32 2F 00 42 2D 00 42 2E 00 28 01 32 ..'.2/.B-.B..(.2 6410 2D 00 42 97 FF 41 04 00 00 00 41 41 00 00 00 28 -.B?A....AA...( (6) 6420 01 32 2E 00 42 97 FF 41 03 00 00 00 41 5A 00 00 .2..B?A....AZ.. (7) 6430 00 27 01 32 30 00 42 2D 00 42 2E 00 26 01 32 2D .'.20.B-.B..&.2- 6440 00 42 2F 00 42 30 00 22 00 70 DF 00 95 42 2D 00 .B/.B0.".p?뷓-. 6450 41 00 00 00 00 28 01 32 2E 00 42 99 FF 41 02 00 A....(.2..B?A.. 6460 00 00 41 03 00 00 00 22 00 70 DD 00 95 42 2E 00 ..A....".p?뷓.. 6470 41 00 00 00 00 2F 01 B7 00 41 00 00 00 00 00 00 A..../.?A...... 6480 00 00 00 00 01 00 19 01 32 98 FF 42 98 FF 41 01 ........2?B?A. 6490 00 00 00 00 00 00 00 00 00 08 00 28 01 32 2D 00 ...........(.2-. 64A0 42 97 FF 41 04 00 00 00 41 30 00 00 00 28 01 32 B?A....A0...(.2 (8) 64B0 2E 00 42 97 FF 41 03 00 00 00 41 39 00 00 00 27 ..B?A....A9...' (9) 64C0 01 32 2F 00 42 2D 00 42 2E 00 22 00 70 E3 00 95 .2/.B-.B..".p?? 64D0 42 2F 00 41 00 00 00 00 28 01 32 2D 00 42 99 FF B/.A....(.2-.B? 64E0 41 01 00 00 00 41 03 00 00 00 22 00 70 E1 00 95 A....A....".p?? 64F0 42 2D 00 41 00 00 00 00 2F 01 B7 00 41 00 00 00 B-.A..../.?A... 6500 00 00 00 00 00 00 00 01 00 19 01 32 98 FF 42 98 ...........2?B? 6510 FF 41 01 00 00 00 00 00 00 00 00 00 02 00 19 01 ?A.............. 6520 32 99 FF 42 99 FF 41 01 00 00 00 2C 00 70 DC 00 2?B?A....,.p? 6530 00 00 04 00 28 01 32 2D 00 42 98 FF 41 06 00 00 ....(.2-.B?A... (11) 마지막 확인과정 6540 00 41 0D 00 00 00 22 00 70 E6 00 95 42 2D 00 41 .A....".p?뷓-.A 6550 00 00 00 00 2F 01 B7 00 41 00 00 00 00 00 00 00 ..../.?A....... 오프셋 (3)(63BE)의 부분을 2로 바꿔준다면 마지막 확인 부분까지 갈 수 있다. (11) Setup은 마지막으로 serial이 13글자인지를 확인한다. 오프셋 (11)(653D)을 5로 바꿔 주기만 하면 이 Serial Check은 크랙된다. 요약: Script Cracking이 첫번째 방법보다 훨씬 쉽다는 것을 알았을 것이다. 우리는 단지 MessageBox를 찾아서 스크립트를 분석해 주기만 하면 됐다. 우리가 해야 할 이라는 건 스크립트를 약간 바꿔 주기만 하는 것이었다. 그걸로 끝이다. 스크립트 명령에 대해 좀 더 알아낸다면, 제대로 된 등록번호까지 얻을 수 있을 것이다. Decompiler도 만들 것이다. 그건 시간문제일 뿐이다. 기대하시라, 헤헤 ------------------------------------------------------------------------------- F) 덧붙이는 말 이 부분에서는 InstallSHIELD의 설치과정에 대해서 살펴 보겠다. Setup.exe(InstallSHIELD 2.x) 파일이 16비트 실행파일이면, 그것은 The Install ation launcher라고 불린다. 그 경우 Win32 OS에서는 __inst32i.ex_라고 불리는 보조 파일(support file)이 필요하다. 이런 설치는 이 강좌에서 설명한 설치과정과는 약간 다른 과정을 거친다. _inst32i.ex_ 파일은 압축되어 있지만, icompx를 사용하여 압축된 것이 아니다. 하지 만 그것은 상관없다!!! 그리고 그 파일은 아래와 같은 파일을 담고 있다 : INSTALL.EXE _INS0432._MP LZWSERV.EXE _INZ0432._MP WUTL95i.DLL _WUTL95.DLL BOOT16.EXE _INJ0432._MP _inst32i.ex_파일의 앞 부분에서 위와 같은 파일 이름들을 얻을 수 있다. Setup은 초기화를 한 다음에 Windows의 임시 디렉토리(C:\Windows\Temp)에 _inst32 i.ex_파일의 압축을 푼다. 설치를 시작하면 다음과 같은 파일을 Windows\Temp 디렉토리에서 볼 수 있을 것이다. DIR This dir will be created by _ins0432._mp !!! _INS0432._MP 659 KB This is exactly Setup.exe from this Tutorial !!! _INZ0432._MP 20,1 KB This is LZWSERV.EXE (doing the de-compress.) _WUTIL95.DLL 36,0 KB A win95 support file _ISTMP0.DIR content : _SETUP.LIB 151 KB This is exactly the same compressed lib file !!! 1f8584.DLL 89,0 KB Support DLL INSHELP.DLL 23,5 KB Yup, da same DLL !!! UNINST.EXE 292 KB Also da same one 위에서 보면 금방 알 수 있듯이, 우리가 했던 경우와 똑같은 파일들이다. 다만 이름 이 바뀌었을 뿐이다. 그 뿐이다!!! 이 파일을 가지고 크랙을 하고 싶다면 복사해서 이름만 바꿔주면 된다. ------------------------------------------------------------------------------- H) 마지막으로 덧붙이는 말 하, 당신도 성공했군 = ) 이게 이 강좌의 마지막이다. 여러분이 조금이라도 배울 수 있었기를 바란다. 궁금한 점이나 제안할 게 있거나, 아니면 그냥 고마움을 표시하고 싶다면.. 나에게 편지하면 된다 !!! 그리고 틀린 곳을 찾았다면 나에게 꼭 알려 주었으면 좋겠다. 나도 단지 인간일 뿐 이다 = ) 이 강좌는 처음에 메모장으로 쓰여 졌지만, 나중에 가서는 너무 크기가 커져서, 워 드패드로 바꿨다. 싫어하지 않았으면 좋겠다 다음 강좌(natz-2)는 html파일이 될 것이며, 무엇에 대해 쓸 지 생각해 보지 않았다 그러니 그냥 기대만 하시라!! ------------------------------------------------------------------------------- I)고마운 분들 Groups: REVOLT, #CRACKING, UCF, PC97, HERITAGE,CRC32 #CRACKING4NEWBIES, CORE, RZR, PWA, XF, DEV etc. PERSONAL: CoPhiber, Spanky, Doc-Man, Korak, lgb, DDensity, Krazy_N, delusion, riches, Laamaah, Darkrat, wiesel, DirHauge, GnoStiC, JosephCo, niabi, Voxel,TeRaPhY, NiTR8, Marlman, THE_OWL, razzia, K_LeCTeR, FaNt0m, zz187, HP, Johnastig, StarFury, Hero, +ORC, +Crackers, Fravia+, LordCaligo, BASSMATIC, j0b ,xoanon, EDISON etc. (c) 1998 NaTzGUL All rights reversed ------------------------------------------------------------------------------- 이 글은 NaTzGUL이 쓴 글을 제가 옮기기만 했음을 다시 한번 밝힙니다. Page 5 31. 가버려 31. 가버려 안녕하세요. 이번 글도 다른 크랙커의 글(Frog's Print)을 옮긴 건데요, Frog's Print라고 나오는 글은 이미 옮긴 적이 있습니다. 기억나는 게 W32dasm7을 크랙하는 글인데요. 아무튼 이런 크랙커들은 참 존경(?)해 마지 않습니다. DOS용 프로그램을 크랙하는 데 대한 글을 올려 달라는 분이 계셔서 올렸는데요, 제가 초보라서 뭘 잘 몰라서 그럴 수도 있지만요. 제 생각엔 DOS프로그램을 크랙하는 게 Windowze 프로그램 크랙하는 것 보다 훨씬 어려운 것 같아요. DOS프로그램을 크랙하려면 인터럽트에 대해서 많이 알고 있어야 할테니까요. 아닌가요? 한 번 말씀드린 적이 있는 것 같은데, 어떤 글에서 읽었는데요. DOS프로그램을 크랙하는 것을 체스 두는 것에, Windowze 프로그램을 크랙하는 것은 퍼즐을 푸는 것에 비교할 수 있다고 하는 글을 읽은 적이 있었어요. 우리 실정에 맞게 고쳐 본다면, DOS 프로그램은 바둑, Windowze 프로그램은 오목인가요? 짧은 글인데요, 인터럽트에 관한 내용은 어셈블리어에 대한 도움말이나 책을 보시면 도움을 받으실 수 있을 거에요. Sourcer 라는 프로그램은 많이 들어 보셨을 거에요. DOS에서 돌아가는 disassembler인데요. 어셈블리어 소스를 만들 때, 각각의 코드에 대한 주석, 그러니까 그 코드, 명령이 무슨 역할을 하는 건지 옆에다 설명까지 넣어주는 기능도 있는 프로그램이에요. 그래서 이 프로그램을 좋아하는 사람도 있고, 그 이유 때문에 이 프로그램을 싫어하는 사람도 있다고 합니다. 저는, 그런 주석들이 오히려 보기 힘들게 복잡시럽게 만드는 거 같아서 별로 좋아하지는 않습니다. 그리고 제가 붙인 이 글 제목 말인데요. 항상 외국 노래 제목만 붙였는데, 이번에는 우리 나라 노래 제목도 한 번 붙여 봤어요. 제가 원래 나이에 걸맞지 않게(?) 노래방에 가기도 싫어하고, 간다고 해도 부르는 노래 번호가 4자리는 거의 없는 .. 시대에 뒤떨어진 아이이라서요. 요즘 노래는 잘 모르는데, 우연히 이 노래를 듣게 됐는데요. 좋던데요. 뮤직 비디오로 처음 봤는데, 가수도 아주 샥시하구요.^^(mp3로 만들어서 이 글 쓰면서 계속 듣고 있어요) ------------------------------------------------------------------------------- SOURCER 7 (DOS BPINT의 유용함) by Frog's Print - Sourcer 7.0(V Communications 사 제작)은 훌륭한 DOS용 disassembler 이다. 비록 사람들이 이 프로그램을 처음 대할 때 어떻게 써야 하는 지 몰라 당혹스러워 하고, 또 아주 복잡해 보이기는 하지만, 꼭 필요한 우리의 도구임에 틀림없다. 인터넷에서 쉽게 구할 수 있을 것이다. 하지만 쉐어웨어가 아니기 때문에, 인터넷에서 구했다면 zip파일 안에, 등록할 때 필요한 패스워드가 함께 들어 있을 것이다. 하지만 우리는 크랙커이지 않은가. 그 따위 등록번호는 집어 던져 버리고 '크랙커 답게' Sourcer 7.0을 크랙하자. 우선 구닥다리 OS용 크랙 도구를 번쩍번쩍 새로운 SoftICE 3.21로 크랙한다는 사실이 맘에 든다. 또 DOS 프로그램을 크랙하는 방법을 잊지 않을 수도 있으니 좋지 않은가. 여기선 Sourcer 7.0으로 설명하지만 이전의 어떤 버전이라도 이 방법을 적용할 수 있다. 실제로 나는 이전 버전들을 모두 이 방법으로 크랙했다. INSTALL.BAT파일을 실행시키면 다음과 같은 글이 나온다 : Please enter the product serial number from the Sourcer diskette label (i.e. SX123456-ABCD). S/N:_ -------------------------------------------------------- [[Sourcer 디스켓 껍데기에 있는 제품 등록번호를 써 주세요]] [[(예 : SX123456-ABCD) ]] 여기서 눈여겨 볼 것은 "S/N:" 바로 다음에 있는 "_", 즉 깜박이는 커서이다. 이 프로그램은 당신이 등록번호를 써 넣고 키를 누르기를 기다리고 있는 것이다. 아무 숫자/문자나 써 넣는다면, 커서가 한 칸 오른쪽으로 움직인다는 것을 알 수 있을 것이다(우리는 텍스트 모드에 있는 것이다 :-) 그래서 마지막 입력한 글자에 항상 커서가 따라다닐 것이다. Dos 인터럽트 중에서 커서가 한 칸 씩 움직이게 하는 것이 있다. Int 10h 의 함수번호 02h Ah = 02h Dh = 행 (Rows, 0..24) Dl = 열 (Columns, 0..79) Sourcer 7.0에서는 커서가 처음에 14(0x0e)행 36(0x24)열에 위치해 있다. 이것을 확인하기 위해서, 설치 프로그램을 종료시키고(ctrl-c) Int 10h 함수 번호 02h, 행=14, 열=36 에 중단점을 다음과 같이 설정하자 : BPINT 10 IF Ah==02 &Dh==0x0e &Dl=0x24 DO "rs" "rs" 명령은 꼭 필요한 것은 아니다. 하지만 그 명령을 해 주면 프로그램 실행이 중지 될 때 마다 SoftICE 화면을 보여주지 않고 프로그램 화면을 보여 줄 것이다. 프로그램 실행이 몇 번 중지 되기 때문에 이렇게 해 두면 를 그 때 마다 누르지 않아도 우리가 원하는 곳을 찾을 수 있을 것이다(난 게으른 편이다). 자 이제 다시 INSTALL.BAT파일을 실행하자. 커서가 깜박이는 모습을 보기 전에 3 번의 중단이 있을 것이다: -첫번째 중단 : Please enter the product serial number from the Sourcer diskette label (i.e. SX123456-ABCD). S/N: -두번째 중단 : Please enter the product serial number from the Sourcer diskette label (i.e. SX123456-ABCD). S/N: (+녹색 상자가 나옴) -세번째 중단 : Please enter the product serial number from the Sourcer diskette label (i.e. SX123456-ABCD). S/N: (+상황표시줄에 글자를 띄움) -네번째 중단(이 중단이 깜박이는 커서가 보이는 제대로 된 중단점이다) Please enter the product serial number from the Sourcer diskette label (i.e. SX123456-ABCD). S/N:_ 이제 우리가 확실히 제대로 된 인터럽트에 위치했다는 것을 알았다. 이제 중단점을 지우고, 새롭게 설정하자. 이번에는 그냥 INT 10, AH=02h으로만 해주자. BPINT 10 IF Ah==2 아무 숫자/문자 를 써도 SoftICE가 그 때마다 뜰 것이다. 이제 를 누르면 다시 한 번 중단될 것이다. 중단점을 해제 하고 ;를 네 번 누르자. 그럼, SRIN.EXE파일 중간의 다음과 같은 부분에 올 것이다: 00011447: 9A04006E12 call 0126E:00004 ; 우리가 이 곳으로 찾아온 곳이다. 0001144C: 83C406 add sp,006 0001144F: 16 push ss 00011450: 8D46EE lea ax,[bp][-0012]; 입력한 것들은 Ax에 저장 00011453: 50 push ax 00011454: 9A7F360000 call 00000:0367F 00011459: 83C404 add sp,004 0001145C: 16 push ss 0001145D: 8D46EE lea ax,[bp][-0012] 00011460: 50 push ax 00011461: 90 nop 00011462: 0E push cs 00011463: E8A100 call 000011507 00011466: 83C404 add sp,004 00011469: 8BF8 mov di,ax 0001146B: 0BFF or di,di ; 패스워드가 제대로 된 건가? 0001146D: 7429 je 000011498 ; 그렇다, 다시_확인 부분으로 분기 0001146F: 9AA415F31A call 01AF3:015A4 ; 제대로 된 것이 아니라면.. 00011474: 1E push ds ; 나쁜_놈이구먼. 00011475: 68981F push 01F98 ; "잘못된 번호를 썼습니다.." 00011478: 6A0E push 00E 0001147A: 6AFF push 0FF 0001147C: 6A11 push 011 ... ... 0001148A: 6A0E push 00E 0001148C: 6AFF push 0FF 0001148E: 6A12 push 012 00011490: 9AB502F31A call 01AF3:002B5 00011495: 83C40A add sp,00A 00011498: 0BFF or di,di ; 패스워드가 제대로 된 건지 다시_확인!! 0001149A: 7403 je 00001149F ; 좋은_사람 0001149C: E96CFF jmp 00001140B ; 나쁜_사람 위 부분을 크랙하기 위해서는 단지 첫번째 나오는 "or di, di"를 "xor di, di"로 바꿔 주기만 하면 설치가 제대로 될 것이다. 여러분이 보았듯이, 프로그램이 어떻게 돌아가는지 시간을 들여서 약간만 관찰하고, 또 DOS의 인터럽트에 대해서 잘 알고 있다면 너무나 쉬운 일이다. 제대로 된 BPINT만으로 어떤 DOS 프로그램이라도 크랙할 수 있다.왜냐하면 *.COM파일이나 *.EXE 파일들은 실행되려면 인터럽트가 반드시 필요하기 때문이다. Frog's Print October 1997 - (c) Frog's Print, 1997. All rights reversed. ------------------------------------------------------------------------------- 이 글은 Frog's Print의 내용을 제가 우리말로 옮긴 것 뿐임을 다시 한 번 말씀드립니다. Page 5 초보 크랙커에게 초보 크랙커에게 _이 곳에는 크랙을 이제 막 시작하려는 초보 크랙커 분들이 읽기에 적당한 내용을 올려 놓겠습니다. 저도 초보이다 보니까, 이런 생각을 해 봤습니다. 이 홈페이지에 있는 글을 읽고 과연 다른 분들이 똑같은 방법으로 크랙을 할 수 있을까 하는 생각을 말입니다요. 물론, 그렇게 되길 바라면서 글을 쓴 것이지만요. 또, 그렇게 크랙을 했다면 '연습'이 필요하지 않을까요? 비슷한 방법으로 크랙할 수 있는 프로그램을 도움 받지 않고 스스로 크랙해 보는 것 말이에요. 그래서, 우선은, 제 홈페이지의 글에서 나온 방법과 비슷한 방법으로 크랙할 수 있는 프로그램들을 약간 써 봤습니다. 생각나는 대로 써 봤는데요, 나중에 또 생각나면 덧붙여서 쓸 께요. _ hear the echo 이 방법은 제가 PicaView를 크랙할 때 잠깐 이야기 했던 방법인데요. sice를 이용해서 크랙하다 보면, 메모리의 어떤 부분에 등록번호가 기억되어 있을 때가 있습니다. 그 때 단순히 그 부분을 sice의 d 명령따위를 이용해서 살펴 보고, 등록번호를 알아내는 방법입니다. 물론, 이 방법으로 크랙할 수 있는 프로그램이라면 다른 방법으로도 크랙할 수 있는 것은 다시 말할 필요가 없겠죠. 이 방법은 또, 이지포스터98을 크랙할 때에도 이용했습니다. WinZip 7.0 Winzip을 hear the echo의 방법으로 크랙한다면, 크랙하는 도중에 하나의 '이름'에 대해서 3개의 서로 다른 등록번호를 찾을 수 있을 거에요. Brick Layer 2.5a 이 프로그램은 어떤 분께서 알려 주신 프로그램인데요, 제목 그대로 윈도우용 벽돌쌓기이에요. 이것도 역시 hear the echo를 이용하면 간단하게 크랙할 수 있습니다. Virtual CDROM 1.0 이 프로그램은 Logicraft Information Systems에서 만든 프로그램인데요, 무슨 프로그램인지는 아마 다들 아실 거에요. 저는 이 프로그램을 PC통신 자료실에서 얻었는데요, 압축파일 안에 patch(keygen)까지 들어 있더군요. 하지만 우리는 크랙커잖아요. hear the echo로 간단히 크랙할 수 있습니다. 거슬러 올라가기 이 방법은 K.실록과 TurboGo를 크랙하는 방법에 대해서 쓴 글에서 얘기한 방법입니다. 에러 메시지를 이용해서 등록번호 처리과정을 찾아가는 방법입니다. 사실 이 방법은 대부분의 프로그램을 크랙하는 데 쓰일 수 있습니다. 하지만, 이런 방법으로 크랙하면 복잡하고, 또 아무런 효과도 보지 못하는 경우도 있습니다. 바로 Opera를 크랙할 때가 그런 경우인데요, 그런 프로그램은 다른 방법으로 크랙하는 게 좋을 것 같습니다. 우리집 인터넷 가계부 2.0 이 프로그램은 설치 후 60일인가 정도 밖에 쓸 수가 없습니다. 사용기간을 넘긴 날짜에서 가계부를 쓰려고 한다면 '에러 메시지'가 나옵니다. 바로 이 글상자를 이용해서 '중요한' 부분을 찾아 거슬러 올라가는 방법을 씁니다. 참고로, dialogbox함수에 중단점을 설정해서 거슬러 올라가기를 시작하세요. Taku Chan 이 프로그램은 일본의 한 고등학교 수학교사가 만들었다는 바둑 프로그램입니다. 컴퓨터와 대국할 수 있는 바둑 프로그램인데요, 등록하지 않으면 컴퓨터의 수준(?)이 낮은 단계로 밖에 조정이 안되고, 50수 또는 100수(컴퓨터의 수준에 따라) 이상을 두지 못합니다. 역시 거슬러 올라가기 방법을 쓰면 되는데요, sice를 이용하는 것 보다 disassemble한 소스파일을 이용한 방법이 훨씬 편합니다. 조건 분기 바꾸기 이 방법은 가장 기본적(?)인 방법으로 많이 쓰이는 방법입니다. 이런 방법이에요. 등록번호를 입력하면 어떤 부분에서 그 등록번호가 맞는지를 확인합니다. 그 곳에서 등록번호가 맞다면 eax레지스터에 1을 주고, 그렇지 않으면 eax레지스터에 0을 줍니다. 그리고, 그 '확인' 과정을 호출한 곳에서 test명령으로 eax값을 확인한 다음 조건분기로 등록 여부를 결정합니다. 그러니까, call 등록번호_확인_과정 test eax, eax jnz 등록/등록_안됨 이런 과정을 거치는 거에요. 이 방법은 정말 정말 많이 쓰이는 방법인데요, 제 글 여러 곳에서 설명했듯이, 아주 크랙하기 쉽습니다. 단순히 jnz/jz의 조건분기만 바꿔 주는 것만으로도 크랙할 수 있습니다. 그 중에서 간단한 예를 들어보면 NoteWorthy Composer 1.55b (32bit)이 프로그램은 악보를 그리는 데 쓰는 프로그램인데요, 악보를 미디 파일로 저장할 수도 있고, 연주할 수도 있는 프로그램입니다. 등록하지 않으면, 악보를 인쇄할 때, 등록용지(Register Form)을 출력하고, 또 만든 악보를 10개 밖에 저장 못합니다. 등록번호를 써 넣는 방법의 Protection Scheme인데요, 문제의 '조건분기'를 찾는 것이 아주 쉬울 거에요.
LviewPro 2.1 이 프로그램은 그림 그릴 때 쓰는 프로그램이에요. 등록하지 않으면 21일 동안 쓸 수 있습니다. 이 프로그램을 크랙하는 데에는 위에 있는 거슬러 올라가기 방법을 쓸 수도 있지만, GetLocalTime따위의 함수에 중단점을 설정한 다음, '중요한' 부분을 찾아서 조건 분기를 바꿔 주는 방법도 편하게 할 수 있습니다. 왜 GetLocalTime(또는 GetSystemTime)함수에 중단점을 설정하는 지는 아실 거에요. _*to beginners*_ 홈페이지로 Page 1 Page 1 _1. Intro_ _크랙에 필요한 도구 소개_ _2. About A Girl_ _W32Dasm7.exe 크랙하기_ -w32dasm이용 -명령 횟수 제한 없애기 -소스 파일 저장할 수 있게 하기 -(틀린 부분을 고쳤습니다 -99.3.16) _3. The Man Who Sold The World_ _PicaView.dll 크랙하기(1)_ -SoftIce이용 -PicaView의 등록번호 만드는 과정을 살펴 보고 -등록번호 만드는 프로그램(KeyGen)을 만듭니다. __4. The Unforgiven_ _WinRAR95 (ver 2.0) 크랙하기_ _-SoftIce이용 -WinRAR95를 크랙하는 방법을 살펴봅니다. -Little-John의 글을 옮긴 것입니다. _5. Lithum_ _PicaView.dll 크랙하기(2)_ -SoftIce이용 -PicaView의 등록번호 만드는 과정을 살펴 보고 -등록번호 만드는 프로그램(KeyGen)을 만듭니다. _6. Until It Sleeps_ _Add Web 1.23 크랙하기_ -W32Dasm이용 -Add Web 1.23을 크랙하는 방법을 얘기한 글을 옮겼습니다. -올해의 멍청한 protection상 수상(1997) -Tristan의 글을 옮긴 것입니다. _7. Yellow Submarine_ _HexWorkshop (ver 2.53) 크랙하기_ -W32Dasm이용 -HexWorkshop을 크랙하는 방법을 설명한 글을 옮겼습니다. -중급자용(초보자는 다른 글을 먼저 읽고 읽어주세요) -Heres의 글을 옮긴 것입니다. _1_ ------------------------------------------------------------------------------- 홈페이지로 낙서판 자료실(tools/links) mail to +kurt Page 2 Page 3 Page 4 Page 5 *pluskurt@hanimail.com* Page 2 Page 2 _8. Come As You Are_ _PicaView.dll 크랙하기(3)_ -SoftIce이용 -PicaView의 등록번호 만드는 과정을 살펴 보고 -등록번호 만드는 프로그램(KeyGen)을 만듭니다. -등록번호 만드는 과정의 첫번째 부분을 살펴보았습니다. _9. Eight Days A Week_ _Filo v1.7, WhoSock v1.91, ExIcon v1.9a, Horas v2.1 크랙하기_ -SoftIce이용 -네 개(+8)의 프로그램을 한 번에 크랙하기 -역시 별로 어렵지 않은 글입니다. -Plushmm[PC'97]의 글을 옮겼습니다. _10. Year Of The Boomerang_ _AddLink크랙하기_ -SoftIce이용 -귀찮은 글 상자(NAG Screen)을 keygen으로 바꾸자 -쉽고 설명이 자세한 글입니다. -Jon의 글을 옮겼습니다. _11. Dumb_ _PicaView.dll 크랙하기_ -SoftIce이용 -PicaView의 등록번호 만드는 과정을 살펴 보고 -등록번호 만드는 프로그램(KeyGen)을 만듭니다. -등록번호 만드는 과정의 두번째 부분을 살펴보았습니다. -PicaView에 대한 이야기를 모두 마쳤습니다. _12. Revolver_ _Arjshell32 크랙하기_ -W32Dasm, SoftIce이용 -Arjshell의 저장(save)기능을 쓸 수 있게 하기. -Flag를 이용하는 크랙 방법입니다. -Rundus의 글을 옮겼습니다. _13. Something In The Way_ _이지 포스터98 크랙하기_ -SoftIce이용 -올해의 멍청한 protection scheme상(1998) 후보 : ) _14. Imagine_ _Visual Basic 크랙_ -Hex Editor이용 -Visual Basic으로 만들어진 프로그램을 크랙하는 방법에 대해 얘기했습니다. -+Sync의 글을 옮겼습니다. -왕초보용 _2_ ------------------------------------------------------------------------------- 홈페이지로 낙서판 자료실(tools/links) mail to +kurt Page 1 Page 3 Page 4 Page 5 *pluskurt@hanimail.com* Page 3 Page 3 _15. Heart-Shaped Box_ _HexWorkshop (ver 2.54) 크랙하기_ -SoftIce이용 -무식한 방법으로 크랙했습니다. -크랙, 3분에 OK _16. Nothing Else Matters_ _메모장(Notepad) 크랙하기_ -W32Dasm이용 -위의 글과 대조대는 '유식한' 방법입니다. -메모장(Notepad)의 글꼴을 바꾸는 크랙에 대한 글입니다. -Mammon_의 글을 옮겼습니다. -초보 크랙커에게 권할 만한 좋은 글입니다. _17. Battery_ _화면보호기 비밀번호 크랙_ -SoftIce이용 -비밀번호가 걸린 화면 보호기 크랙 -Mammon_의 글 중 일부를 옮겼습니다. _18. Walk!_ _암호화(encryption)에 대한 강좌_ -Jon이 쓴 글을 옮겼습니다. -(How to reverse engineer encrypted files) -(암호화된 파일 크랙하기) _19. In Dreams_ _자바스크립트 글상자(JavaScript MessageBox) 없애기_ -SoftIce이용 -자바스크립트 글상자가 나오지 않도록 Netscape를 크랙합니다 -+YOSHi가 쓴 글을 옮겼습니다. _20. In My Life_ _PolyView 3.00 beta 9 크랙_ -W32Dasm이용 -왕초보용 글입니다요 -크랙한 것 같은 데, 왜 다시 시작해 보면 여전히 비등록판인가? -The_RudeBoy_[PC]가 쓴 글을 옮겼습니다. _21. Por Una Cabeza_ _Rhino32 크랙하기_ -W32Dasm/SoftIce이용 -날짜 제한 크랙(Time Trial Crack) -Sojourner가 쓴 글을 옮겼습니다. _3_ ------------------------------------------------------------------------------- 홈페이지로 낙서판 자료실(tools/links) mail to +kurt Page 1 Page 2 Page 4 Page 5 *pluskurt@hanimail.com* Page 4 Page 4 _22. Love Buzz_ _새롬 데이타맨98 IMF 버전 크랙하기_ -SoftIce이용 -날짜 제한 크랙하기 -초보자용 _23. Roll Right_ _Window$98 등록번호 크랙하기_ -M$ 바보 : ) -IH8U가 쓴 글을 옮겼습니다. _24. Beautiful People_ _Netscape 크랙하기_ -Borland Resource Workshop 이용 -넷스케이프의 단추를 좀 더 쓸모있게 바꾸기 -Mammon_이 쓴 글을 옮겼습니다. _25. Stairway To Heaven_ _Disassembly에 대한 강좌_ -cRACKER's nOTES의 글 중에서 옮겼습니다 -Disassemble한 소스 파일에서 함수/인수/변수 알아내기 -Rhayader가 쓴 글을 옮겼습니다. _26. All Apologies_ _K.실록(평가판) 크랙하기_ -W32DASM이용 -데이타 입력제한 크랙 _27. FAGET_ _SoftICE 크랙하기_ -SoftICE 이용 -SofTICE 설치과정에서 등록하기 -+OCHE SATRIANI와 +OBLLEK가 쓴 글을 옮겼습니다. _28. I Hate Myself And Want To Die_ _SoftICE 크랙하기_ -SoftICE 이용 -SoftICE KeyGen 만들기 _4_ ------------------------------------------------------------------------------- 홈페이지로 낙서판 자료실(tools/links) mail to +kurt Page 1 Page 2 Page 3 Page 5 *pluskurt@hanimail.com* Page 5 Page 5 _29. Serve the Sevants_ _TurboGo for window$95 v4.01 크랙하기_ -SoftIce이용 -'flag'를 이용한 프로그램 크랙하기 -초보자용 _30. Mondschein Sonate _ _InstallSHEILD 크랙하기_ -여러가지 이용 -InstallSHEILD에 대한 여러가지 크랙 접근 -NaTzGUL의 글을 옮겼습니다. _31. 가버려 _ _Sourcer 7.0 크랙하기_ -SoftICE 이용 -DOS 인터럽트(interrupt) 써서 DOS 프로그램 크랙하기 -Frog's Print의 글을 옮겼습니다. _5 ------------------------------------------------------------------------------- 홈페이지로 낙서판 자료실(tools/links) mail to +kurt Page 1 Page 2 Page 3 Page 4 *pluskurt@hanimail.com* +kurt page _ _+kurt page_ _ _ 머리말 _ 이 페이지에서는 크랙에 대한 이야기를 했습니다. 누구나 처음 부터 자전거를 잘 타는 건 아니에요. 자전거를 탈 줄 아는 사람에게는, 그게 아무 것도 아닌 것처럼 생각되도 처음 자전거를 배울 때에는 누구나 다 고생하면서 어렵게 배우지 않았나요. 저도 어렸을 때 자전거를 처음 배울 때, 고생(?) 많이 하면서 배운 기억이 나요. 뒤에서 아빠가 잡아 주면서 배우잖아요. 아빠가 몰래 손을 놓아서 나무에도 부딪히고, 하여튼 그런 기억이 나네요. 도대체 어떻게 두 바퀴만 가지고 넘어지지 않고 갈 수가 있는 건지 이해가 안 됐었죠. 제가 크랙이라는 것에 대해 처음 알아보기 시작했을 때도 마찬가지였던 것 같습니다. 우선, 크랙에 대한 글을 찾는 것부터가 저에겐 어려운 일이었습니다. 또, 그 글들 대부분은 쉽게 써 놓았다고 하는 것들도 저에게는 너무 어려웠었죠. 물론 저의 아둔한 머리 탓도 있었겠지만, '왕'초보를 위해 쓴 정말 쉬운 글은 그렇게 흔하지 않았던 것도 그 이유였던 것 같습니다. 그래도, 크랙이라는 건 저에겐 아주 매력적인 일이었습니다. 그래서 인터넷을 돌아다니면서 여러 글을 많이 읽었습니다. 그 중에서도 단연 +ORC의 강좌(_HOW TO CRACK, by +ORC, A TUTORIAL_)가 큰 도움이 되었는데요. 그런 글 덕분에 지금은 어떤 글을 읽으면 어느 정도 까지는 이해할 수 있고, 또 몇개의 프로그램은 도움을 받지 않고 혼자서 크랙도 할 수 있게 되었어요. 제가 처음 크랙할 때의 그 어려움을 생각하면서 이 홈페이지를 만들었습니다. 여기에는 제가 직접 쓴 글과, 다른 크랙커들이 쓴 글을 제가 우리말로 옮긴 글이 있습니다. 제가 직접 쓴 글에서는, 이 글을 읽고 있는 분들이 크랙에 대해서 전혀 모르고 있다고 생각하고 글을 썼습니다. 그 첫번째로 어떤 프로그램(PicaView32)이 등록번호를 만들어 내는 과정을 자세하게 살펴 보면서, 앞으로의 크랙에 많이 필요할 것 같은 어셈블리어에 대한 얘기와 SoftIce라는 디버거를 쓰는 방법에 대한 얘기를 주로 했습니다. 그리고, 다른 크랙커의 글을 옮길 때에는 덧붙임이나 빠트림없이 있는 그대로를 옮기려고 했습니다. 또, 그 글을 누가 썼는 지도 당연히 밝혔습니다. 따라서 외국 크랙커의 글은 쉬운 글, 설명이 비교적 많은 글 부터 옮겼습니다. 제가 아직도 초보 수준을 벗어 나지 못했기 때문에 다른 '훌륭한' 크랙커의 글을 옮기는 것도 꼭 필요한 일 일것입니다. 제가 직접 쓴 글과 다른 크랙커가 쓴 글을 옮긴 것은 그 글에 붙인 제목으로도 구분할 수 있을 거에요. *1999년 3월 11일 +kurt pluskurt@hanimail.com* *_preface_* _차례_ Page 1 W32Dasm ver 7 (demo) Picaview32 ver 1.3 WinRAR95 ver 2.0 AddWeb ver 1.23 HexWorkshop ver 2.53 크랙에 관한 첫번째 이야기. 크랙에 필요한 도구들에 대한 설명. PicaView로 크랙에 대한 이야기 시작 Page 2 Filo ver 1.7, WhoSock ver 1.91, ExIcon ver 1.9a, Horas ver 2.1 AddLink Picaview32 ver1.3 ArjSell32 이지 포스터98 ver 2.32, Visual Basic Crack 한 가지 방법으로 여러개의 프로그램 크랙하기 귀찮은 글 상자(NAG Screen)를 key-gen으로 만들기 PicaView 크랙 끝(11. Dumb) Flag를 이용한 크랙(ArjShell) 올해의 멍청한 protection scheme상 후보(1999 :) 이지 포스터98 v2.32 Visual Basic으로 만들어진 프로그램 크랙하기 Page 3 Hex Workshop v2.54, 메모장(Notepad),화면 보호기(Screen saver), 암호화(encryption)자바 스크립트 글상자 없애기(Netscape), PolyView 3.00 beta 9, Rhino32 Hex Workshop v2.54 3분만에 크랙 메모장(Notepad)의 글꼴 바꾸기(By Mammon_) 화면 보호기 비밀번호 크랙(By Mammon_) 암호화에 대한 강좌(By Jon) 자바 스크립트 글상자(JavaScript MessageBox) 없애기 크랙커처럼 생각하기(왕초보용) 날짜 제한 크랙(GetLocalTime) Page 4 새롬 데이타맨98 IMF 버전, Window$98 등록번호 확인, Netscape Navigator, Disassembly 강좌, K.실록, NuMega SoftICE 날짜 제한 크랙 Window$98 등록번호 확인 크랙 넷스케이프 단추 바꾸기 Disassembly 소스 파일에서 함수/인수/변수 알아내기(By Rhayader, *excerpt from cRACKER's nOTES*) 데이타 입력 제한 크랙하기 SoftICE 설치과정에서 등록하기 SoftICE KeyGen 만들기 Page 5 TurboGo for Window$95 v4.01 InstallSHIELD 크랙(By NaTzGUL) Sourcer 7.0 크랙 flag를 이용한 크랙 InstallSHIELD Script Cracking DOS Interrupt를 쓰는 크랙(BPINT) _*index*_ 낙서판 자료실(tools/links) mail to +kurt 글 고침 목록 초보 크랙커에게 FAQ == 알림 == 이 페이지의 목적은 '크랙'하는 방법을 얘기하는 것이지, 이미 만들어진 패치나, 등록번호와 이름 짝 들을 놓아 두는 게 아니에요. 그런 것들을 찾아 여기에 오셨다면, 다른 곳으로 가서 찾는 게 빠를 거에요. (This site contains no crackz/warez/serialz at all. So, if you'd been searching for them, try other pages.) 또, 뭐.. 이런 얘기까지 하면 너무 거창한 것 같지만, 이 페이지에 있는 내용은 '배우기' 위해서만 써 주세요(중국 글자말 쓰기 좋아하는 사람들은 '교육적'이란 표현을 쓸테지만요). 정당하게 구한 소프트 웨어를 '개인적' '교육적' 목적으로 크랙하는 것은 아무 문제가 없다고 생각합니다. 그렇게 만든 크랙을 돈받고 판다면 그건 protectionist와 다를 바 없지 않을까요 . 모든 정보가 공유되어야 한다고는 생각하지만, 저 같은 놈이 그런 거창한 것까지는 모르겠고, 적어도 정말 맘에 들어서 _오랫동안_ 쓰고 싶은 프로그램이 있다면 그걸 만든 사람에게 정당한 댓가를 주는 것이 옳다고 생각합니다. 이 페이지의 글 중 일부는 Micro$oft Internet Explorer로 봤을 때 한글이 깨져 보일 수 있습니다(그리고 그렇게 되는 게 제가 _의도_한 것이구요). M$-IE를 쓰는 분들에게는 죄송합니다. 별 볼일 없는 글에 대해서 이런 '_짓_'을 해 놓아서 말이에요. 하지만 어떤 '_회사_'를 싫어하는 것은 그 사람의 자유잖아요 혹시나 M$-IE가 아닌 다른 브라우져에서도 한글이 깨져 보이는 경우가 있으면 저에게 알려 주시면 고맙겠어요. (*CORPORATE MAGAZINES STILL SUCK - _Kurt Cobain_*). (*CORPORATE PROGRAMMERS STILL SUCK - _+kurt_*). _*notice*_ 낙서판 자료실(tools/links) mail to +kurt 글 고침 목록 초보 크랙커에게 FAQ *pluskurt@hanimail.com* FAQ FAQ _그동안 많은 분께서 제가 그분들보다 알고 있는 게 많을 거라고 잘못 믿고(?), 저에게 많이 편지를 보내서 질문을 해 주셨는데요. 저 나름대로는 열심히 대답해 드린다고 했는데, 지금 생각해 보면 별 도움이 안 된 것 같습니다. 그 중 많이 받은 질문들을 여기에 모아 봤습니다. 초보 크랙커 여러분께 도움이 되었으면 좋겠습니다. 물론, 이 FAQ 내용중에서도 틀린 점이 있으면 주저 없이 저에게 알려 주세요. 1. crack이 뭔가요? 2. 글자가 깨져요 3. 프로그램을 sice에 띄우려면 어떻게 해야 하나요? 4. sice화면이 이상해요 5. sice의 설정에 대해 6. 제가 이 홈페이지를 링크시킬 수 있나요? 7. 기계어 코드, 디버거, disassembler, hex editor.. 도대체 이게 뭐하는 거에요? 8. w32dasm이 어디있는 거에요? 못 찾겠어요 9. symbol not defined 라고 나와요 10. 멀티 부팅 하는 방법 아세요? 11. 이 홈페이지를 한꺼번에 다운 받을 수 있나요? 12. 여봐요, 요것좀 크랙해 줘요 13. 해커가 되려면 어떻게 해야 하나요?/홈페이지 해킹은 어떻게 하나요? ------------------------------------------------------------------------------- _Q_크랙이 뭔가요? 크랙이 뭔가요? _A_저는 크랙(__crack__)과 __Reverse Engineer__를 같은 뜻으로 써 왔습니다. 크랙을 넓은 의미로 보아서, __Reverse Engineer__를 포함한다고 제 멋대로 생각한 거에요. 크랙을 사전에서 찾아 보니까, __crack__ _8_ to discover the secret of (a CODE1 (1)) ...[Longman Contemporary Dictionary, p. 238] 라고 나와 있었습니다. 오호, 생각보단 멋있네요. __Reverse Engineer__는 말 그대로, 거꾸로 하는 엔지니어입니다. 그러니까 이미 만들어져 있는 프로그램을 자신이 원하는 대로 거꾸로 바꿔 주는 기술인 것 같습니다. 제가 이 말을 처음 본 곳인 Fravia+의 홈페이지에서는 __Reverse Engineer__에 대해서 이렇게 설명하고 있습니다. __Reverse Engineering__ , i.e individuating and gathering "hidden" or "lost" data in a "backwards" approach: from finished phenomena back to its hidden "code". ------------------------------------------------------------------------------- _Q_글자가 깨져요 홈페이지에 유용한 정보를 아주 잘 만들어 주셔서 감사 합니다. 그런데 문제가 생기는 군요.. 저는 IE 5.0을 사용하는데. 페이지 안쪽으로 들어가서 보려고 하면 화면이 깨져 보이는 군요.. 어떤 이유에서인지를 잘 모르겠으나 아마 고칠수 있다고 생각 합니다... 나머지 내용도 다 보았으면 참 좋겠군요.. 계속 좋은 정보 올려 주시는게 잊지 마지구요.. 제가 알고 있는 해커는 정보를 공유하는 사람이라고 알고 있습니다. 그런 면에서는 아주 좋은 홈페이지를 만드셨습니다. 감사 해요.. _A_이 홈페이지의 글 중 일부는 익스플로러로 봤을 때 한글이 깨져 보일 수 있습니다. 이 말씀은 홈페이지 첫 페이지에서도 말씀드렸는데 제가 받은 편지 중에 이 내용에 대해서 질문, 또는 불평, 심지어 욕(?)을 하시는 분이 가장 많았습니다. 처음에는 그런 편지에 대해서도 일일이 답장을 해 드렸는데요, 지금은 지쳐서 그러지도 못하겠습니다. 그리고 편지 보내 주시는 분들께서 저를 해커라고 하실 때면 정말 민망합니다. 아마 제 홈페이지가 일부 검색 엔진에 '해커 페이지'라는 곳에 분류 되어 있어서 그렇게 부르시는 지 모르겠는데요, 그렇게 분류된 것은 제 의도도 아니었구요, 전 제가 해커라고 생각하지 않습니다. 정말 컴퓨터 잘 하시는 해커 분들께서 보신다면 비웃으실 거에요. ------------------------------------------------------------------------------- _Q_프로그램을 sice에 띄우려면 어떻게 해야 하나요? 안녕하세요. 저도 편지 잘 받았습니다. 요즘 pluskurt님의 글을 읽으며 제가 너무 어셈블리어를 모른다는 생각에 오늘 책 한 권을 사서 보고 있습니다. 동기부여를 주신 pluskurt님께 감사드립니다. 그런데 문제가 생겼습니다. 대부분의 글들을 읽어보면 sice를 사용해야 하던데 막상 제가 sice를 어떻게 사용하는지를 잘 모르겠습니다. 그러니까 예를 들어서 picaview를 sice화면에 띄울려면 어떻게 해야 하는 겁니까? 대부분의 sice설명이 이거에 대해서는 나와 있지 않더군요. 그건 기본인가봐요. 그런데 저는 기본을 모르겠습니다. 부끄러운 질문 같아서 안 할까 망설이다가 주변에 이런 거 아는 사람도 없고 해서 무릅쓰고 합니다. 그러니 비웃지마시고 아니 비웃으셔도 좋으니 가르쳐 주시면 감사하겠습니다. _A_크랙을 조금이라도 알고 계신 분이라면 이런 질문이 정말 우습게 들리실 거에요. 제가 처음에 읽었던 크랙 '강좌'에서도 이런 질문에 대한 내용은 전혀 나와 있지 않았으니까요. 하지만 제가 크랙이라는 걸 처음 시작할 때도 이것과 똑같은 생각을 했습니다. 어떻게 배우지도 않은 것을 알겠어요? 저도 sice가 어떻게 작동하는 지에 대해서는 아는 바가 전혀 없습니다. 그러니까 저도 sice에 대한 자세한 설명은 드리지 못하구요. 제가 쓴 글에서도 자주 'sice 화면으로 들어간다'라는 표현을 썼는데요, 그런 말이 맞는 말인지도 모르겠습니다. 아무튼 sice는 윈도우(도스)를 부팅할 때부터 실행되어 있어야 합니다. 그러니까 autoexec.bat파일에서 sice를 실행 시켜야 하는 거에요. 그렇게 해서 윈도우로 부팅이 된 다음에는, 어떤 프로그램을 실행하더라도 그 상태에서 sice로 들어가는 단축키(Ctrl+D)를 눌러서, 말하자면 그 프로그램을 sice화면으로 불러 들일 수가 있는 거에요. 그 화면에서 실행중인 프로그램을 한 단계씩 실행시켜 볼 수도 있고, 하여튼 디버깅을 할 수 있는 거에요. 제가 아는 다른 디버거는 별로 없지만, 다른 디버거와는 사뭇 다른 방식이라고 생각합니다. ------------------------------------------------------------------------------- _Q_sice화면이 이상해요 크랙을 처음 접하게 됐고 많은 도움 감사합니다. 모든 자료를 프린트해서 직접 보면서 작업을 하는데 문제가 발생 했어요. 1.softice:설치후 화면 보호기 크랙을 실행 하던중 ctrl+D를 누르는 순간 정상이 아닌 거칠게 흐린 화면을 볼수가 있는데 F12을 눌렀더니 그 화면 그대로 2~3번정도 깜박하다 보호기 암호창이 뜬 화면으로 돌아 옵니다. 문제 해결 부탁 합니다. *참고로 저는 win98을 쓰고 있습니다. 2.w32dasm7:이 프로그램 자체를 크랙하는 부분인데 여기서 다운받은 hexworkshop ver2.54 로 수정하는 부분에서 ex)ff0028101 이런 코드는 볼수가 없고 그냥 001234이런 식으 코드만 볼수 있습니다. 역시 문제 해결 부탁 합니다. 공부를 해 보려는데 기본적인 이런 문제들이 걸림니다. 이런 프로그램들의 사용법도 잘 모름니다. 어떤 프로그램을 실행 시켜 작업을 설명해 주실때 예로 탐색기설명시 저장하는 부분 설명시 file.save.ok 이런식으로 부탁 드립니다. 2번 같은 문제 해결 방법에서도 hex edit 프로그램으로 코드를 변화 시키면 된다는데 어런 것도 저한테는 초보로써 큰 벽이 됩니다. c언어를 공부 해서 분석에서는 대강 이해가 가는데 코드를 변화 시키거나 이런 크랙 작업 진행중 프로그램 실행중 막히는 부분이 있습니다. 매우 배우고 싶었던 건데 이렇게 막히는 부분 때문에 글을 띄웁니다. 많이 가르쳐 주십시요. 그럼 또 인사 드리겠습니다. _A_ 1번은 sice를 설치할 때 비디오 드라이버를 잘못 설정해서 그렇게 된 것 같습니다. sice를 설정할 때 자신에게 알맞은 비디오 카드(Display Adapter Setup)를 설정하는 과정이 있습니다. 이 때 테스트를 하면서 제대로 설정해 주어야 합니다. 이미 설치한 다음에도 Display Adapter Setup을 이용해서 다시 설정할 수 있으니까, 자신의 비디오 카드가 무엇인지를 알고 제대로 설정해 주면 됩니다. 제가 알기로 버전이 낮은 SoftICE에서는 일부 그래픽 카드를 지원하지 않는다고 들었습니다. 여러 가지로 설정을 바꿔 봐도 안 되는 분들은 이렇게 한 번 해 보세요. Display Adapter Setup을 시작해서 Display Adapter Selection화면이 나왔을 때, Manufacturer에서 Standard VGA를 선택한 다음, 아래에 있는 체크 버튼 중에서, Universal Video Driver[SoftICE appears in a "window"]-We recommend that you set the video adapter type to Standard VGA를 체크합니다. 이렇게 하면 비디오 설정에 관계 없이 괜찮을 거에요. 이 방법으로는 sice가 윈도의 창(window)에 나타난다고 합니다. 이 분께서 질문한 2번 내용은 저도 무슨 말인지 아직 모르겠습니다. 무슨 질문을 하신 건지. 크랙할 때 기계어 코드를 왜 바꿔야 하는 지, 또 그 기계어코드란 게 무언지, 그것과 어셈블리어는 무슨 관계가 있는 것인지는 제가 쓴 글, 아마 첫번째 글(1. Intro)인 것 같은데요, 그 글에 써 놓았습니다. ------------------------------------------------------------------------------- _Q_sice의 설정에 대해 안녕하세요? +kurt님의 글을 열심히 공부하고 있는 사람입니다. +kurt님의 소프트 아이스설정을 해보았는데, 레지스터 창이 뜨지 않는군요.. 그래서 컴 켤때마다 wc나 alt+r 을 치고 있습니다. 다른건 다바뀌었더군요.. 제가 뭘 잘못한건지.. 답변부탁합니다. 아! 그리고 제 홈페이지에 +kurt님의 홈페이지를 링크 시키려고 하는데 괜찮다면 맬주세요.. _A_제 글 세번째(3. The Man Who Sold The World)에서 sice의 winice.dat파일에서 INIT=라인의 설정에 대해서 잠깐 얘기를 했습니다. INIT="lines 60;color f a 4f 1f e;wd 22;wc 22;wr;code on;X;" 제가 제안한 INIT의 내용인데요, 각각 무슨 뜻인지 설명하면요,(Mammon_ Page에서 보고 썼습니다) + _lines_ 숫자 : 화면에 나타나는 줄의 수를 조절합니다. + _color_ : 화면의 색상을 조정합니다. 색은 4비트의 16진수값으로 표시됩니다(0 : 검정색, 1 : 파란색, 2 : 녹색, 3 : 남색, 4 : 빨간색, 5 : 짙은 보라색, 6 : 갈색, 7 : 회색, 8 : 진한 회색, 9 : 옅은 파란색, A : 옅은 녹색, B : 옅은 남색, C : 옅은 빨간색, D : 옅은 자홍색, E : 노란색, F : 하얀색). 각각의 색은 한 쌍으로 이루어져, 각각 배경색과 글자색을 나타냅니다. 예를 들어서 0f(또는 f)는 검정색 바탕에 하얀색 글자색을 뜻합니다. 설정될 수 있는 것들은, 보통 글자(normal), 굵은 글자(bold, highlighted text), 반전 글자(reverse-display), 도움말(help), 그리고 선(line, 창과 창을 나눠주는 선)들이 있습니다. 예를 들어 _color f a 4f 1f e_라면, 보통 글자는 검정 바탕에 하얀색 글자로, 굵은 글자는 검정 바탕에 밝은 녹색글자로, 반전 글자는 빨간 색 바탕에 하얀 색 글자로, 도움말은 파란색 바탕에 하얀 색 글자로, 그리고 창과 창을 나눠주는 선은 노란색으로 하라는 명령입니다. + _faults on|off_ : General Protection Faults가 발생했을 때, sice가 이를 처리(?)할 것인지를 결정합니다. + _wc 숫자_ : 코드 창(code window)을 활성화(toggle)하고, 그 창의 크기를 줄의 수로서 결정합니다. + _wd 숫자_ : 데이터 창(data window)을 활성화(toggle)하고, 그 창의 크기를 줄의 수로서 결정합니다. + _wl 숫자_ : 지역 변수 창(local variable window)을 활성화(toggle)하고, 그 창의 크기를 줄의 수로서 결정합니다. + _wr 숫자_ : 레지스터 창(register window)을 활성화(toggle)하고, 그 창의 크기를 줄의 수로서 결정합니다. + _ww 숫자_ : 변수 감시 창(watch window)을 활성화(toggle)하고, 그 창의 크기를 줄의 수로서 결정합니다. + _hst=숫자_ : 명령어 라인의 기억 용량을 결정합니다. + _X_ : sice화면을 빠져 나와서 실행중이던 프로그램을 마저 실행시키라는 명령입니다. INIT라인의 마지막에 꼭 있어야 합니다. 부족한 제 홈페이지를 링크해 주시겠다니, 황공할 따름입니다. 부끄럽게도, 지금도 제 홈페이지를 링크해 주신 분들이 몇 분 계세요. 여러분께서 링크해주신 링크를 따라서 제 홈페이지에 오면, 제 홈페이지가 어디에 링크가 되어 있는지를 알 수가 있답니다. ------------------------------------------------------------------------------- _Q_기계어 코드, 디버거, disassembler, hex editor... 도대체 이게 뭐하는 거에요? 근데 제 질문은 크랙킹하려면 무슨 언어를 주로 알아야 한느지에 관한 겁니다. 그리고 소아 하고 헥스 에디터 w32ds를 이용한다고 했는데.. 도저히 저 프로그램들이 뭐에 쓰는지 모르겠어요.. 으.. 디스어셈블러로 소스 보고 근데 갑자기 헥스 에디터로 고치라니,. 이해가 잘 안가요. 답변해주세요.. _A_저도 크랙을 하려면 뭘 배워야 하나 처음엔 막막했습니다. 어떤 글에서 이런 말이 나왔었는데요, '어셈블리어를 더 많이 알 수록, 크랙을 더 잘 할수 있다'. 그래서 저도 어셈블리어를 공부하기 시작했습니다. 물론 크랙을 하기 위해서 어셈블리어 도사가 될 필요는 없을 것 같습니다. 하지만 확실히 어셈블리어에 대해 공부하는 것은 크랙을 하는 데 도움이 많이 됩니다. 다음에 제가 처음 크랙에 대한 '강좌'를 봤을 때 들었던 의문이 '도대체 이게 무슨 소리를 하고 있는 건가?'였습니다. 여기다 '브뽀'를 걸어라, 어디로 '점프'하니까, 여기서 r fl z라고 쓰고 엔터~~, r fl z가 뭐냐고? 나도 모른다. 그 다음엔 헥스 에디터로 그걸 열어서, 무엇무엇을 찾아서 90909090으로 바꿔 버려라 ...... 도대체 그게 무슨 일을 하는 거고, '왜' 그렇게 해야 하는 지 몰라서 답답했습니다. 그래서, 제가 쓴 글 중 첫번째에서 대충 이 것에 대해서 얘기를 했는데요, 아직도 이런 질문을 하시는 분이 많습니다. 여기서 다시 말씀을 드릴께요. 예를 들겠습니다. 가령 이런 프로그램이 있다고 해 봐요. 그러니까, 키보드에서 특정한 문자열이 입력될 때까지 아무 일도 하지 않고, 입력을 기다리는 프로그램이 있습니다. 간단히 하기 위해서 이 프로그램은 키보드에서 특정한 문자열, 예를 들어서 passwd라고 합시다,이 입력되면 프로그램이 종료됩니다. 실제로 저는 이런 프로그램을 만들어 쓴 적이 있어요. 제 컴퓨터가 도스나 윈도우로 부팅할 때면 그 프로그램을 실행 시키도록 해 놓은 적이 있습니다. 이 프로그램의 이름을 PASSWD.COM이라고 합시다. 그 프로그램의 소스는 아래와 같습니다. :프로그램_시작_부분(100) mov ah, 7 int 21h cmp al, 70 jne 프로그램_시작_부분 int 21h cmp al, 61 jne 프로그램_시작_부분 int 21h cmp al, 73 jne 프로그램_시작_부분 int 21h cmp al, 73 jne 프로그램_시작_부분 int 21h cmp al, 77 jne 프로그램_시작_부분 int 21h cmp al, 64 jne 프로그램_시작_부분 :프로그램_종료_부분(126) int 20h 위와 같은 내용은 우리가 sice의 코드 창에서 흔히 볼 수 있는 어셈블리어 소스입니다. 실제로 어떤 언어로 만들었던 지 간에 그 프로그램은 컴파일되면 위와 같은 어셈블리어로 바뀌어 집니다. 다시 한 번 말씀드리면, 이 프로그램은 키보드에서 passwd라는 문자열이 입력될 때 까지 기다리며, 입력되야만 프로그램이 종료됩니다. 만약 우리가 이 프로그램을 새롭게 만들려고 한다면, 그러니까, 아무 문자열이나 입력해도 프로그램이 종료되도록 만들려고 한다면 어떻게 해야 할 까요. 우선 sice같은 디버거로 이 프로그램이 어떻게 이루어져 있나를 확인해 봐야 합니다. 그러니까 sice화면의 코드창에서 이 프로그램의 어셈블리어 소스를 확인합니다. 그렇게 해서 이 프로그램이 어떻게 작동하는 지를 알아보고, 어떻게 고쳐야 우리가 원하는 대로 작동할 것인지 생각해 봅니다. 위의 소스 파일을 보면, int 21h의 7번 함수를 사용하고 있습니다. 이것은 키보드에서 입력된 문자를 읽어 들이며, 또 ^C따위를 받아들이지 않습니다. 그렇게 해서 읽어들인 문자는, cmp al, 71따위의 명령으로 원하는 문자와 비교 됩니다. 그 결과 문자가 제대로 되었다면 다음으로 진행하고 그렇지 않다면 프로그램_시작_부분으로 되돌아갑니다. 그렇게 비교하는 명령이 cmp al, 71입니다(여기서 71은 'p'의 ascii 코드 값입니다, 'passwd'의 첫번째 문자말입니다요). 그리고 그 비교 결과 어디로 분기할지(즉, 프로그램_시작_부분 으로 분기할 것인지, 다음으로 진행할 것인지)를 결정하는 명령이 jne 프로그램_시작_부분 입니다. jne라는 어셈블리어 명령은 Jump If Equal(이것은 JNZ, Jump If Zero와 같습니다)을 뜻하며, 비교값이 같을 때(즉, zero flag가 설정되었을 때), Jne다음에 나온 주소로 분기하라는 명령입니다. 만약 우리가 임의로 jne 프로그램_시작_부분 을 다른 명령으로 바꿔 버린다면 우리가 원하는 결과를 얻을 수 있을 지도 모릅니다. 그러니까, 예를 들어서 jne 프로그램_시작_부분을 모두 아무 의미 없는 명령으로 바꿔 버리는 것을 생각해 볼 수 있습니다. 어셈블리어에서 이 '아무 의미 없는 명령'은 nop입니다. 그러니까, 위의 소스에서 jne 프로그램_시작_부분 을 모두 Nop명령으로 바꿔 버리는 거에요. 사실 위의 프로그램은 제가 debug(DEBUG.COM/DEBUG.EXE)를 이용해서 만든 건데요, 프로그램_시작_부분의 주소는 100입니다. 그래서 사실 jne 프로그램_시작_부분 은 jne 100으로 나타납니다. 즉 우리는 jne 100을 nop로 바꿔야 하는 거에요. 어떻게 해야 바꿀 수 있을 까요? 우리 눈엔 jne 100으로 보이지만, 컴퓨터가 보기에는 jne 100은 0111 0101 1111 1000따위로 나타납니다. 이 0111 0101 1111 1000가 바로 기계어 코드입니다. 2진수로 나타납니다. 하지만 이렇게 2진수로 숫자를 나타내는 것을 좋아하는 사람은 별로 없을 거에요. 헷갈리잖아요. 그래서 16진수를 씁니다. 2진수를 16진수로 나타내면, 각 4자리(4bit)를 한 자리의 16진수로 나타낼 수 있습니다. 즉, 0111 0101 1111 1000은 75F8로 나타낼 수 있는 거에요. 0111 0101 1111 1000보다는 75F8가 보기 좋지 않나요? _hex_ editor는 이렇게 기계어 코드를 우리가 보기 쉽게 16진수(_hex_adecimal)로 나타내어 주는 역할을 합니다. 75 F8에서 75는 JNE명령의 기계어 코드이고 F8은 분기할 곳의 주소를 나타내 줍니다. 이렇게 어셈블리어 명령은 대응하는 기계어 코드가 있습니다. JNE는 75에 대응하고, JE(Jump Equal)은 74에 대응하는 기계어 코드를 갖습니다. 그리고 NOP의 기계어 코드는 90입니다. 즉, 90이라는 기계어 코드는 아무런 의미가 없는 거에요. 그렇담 아까부터 우리가 하려고 했던 일, 즉 jne 100(기계어 코드 75F8) 명령을 nop 명령(기계어 코드 90)으로 바꾸어 주는 일은 hex editor로 PASSWD.COM파일을 열어서, 75F8이라는 기계어 코드를 찾고, 그 부분을 9090이라고 바꿔주면 되는 거에요. 90이 아니고 9090인 이유는 설명하지 않아도 아실 거에요. 말하자면 jne 75F8이라는 명령을 우리는 nop/nop으로 바꾼 거에요. 이렇게 위의 소스에서 보인 jne 프로그램_시작_부분 을 일일이 찾아서 모두 nop으로 바꿔주면(이런것은 NOPing이라고 합니다), PASSWD.COM파일은 우리가 어떤 문자를 입력하더라도, 그 문자열의 길이가 6글자가 넘는다면 프로그램을 종료 시킬 거에요. 이렇게 해서 어셈블리어 소스와 기계어 코드, 그리고 hex editor와의 관계, 그리고 디버거가 왜 필요한 지에 대해서 나름대로 설명했습니다. 아, 그리고 W32DASM같은 disassembler가 왜 필요하냐 하면요, disassemble이라는 말이 실행파일을 읽어 들여서 그것의 어셈블리어 소스를 만드는 것을 말합니다. 그러니까, 실행파일의 어셈블리어 소스를 텍스트 파일 형식으로 얻고자 할 때 필요한 거에요. 마지막으로 덧붙이자면요, 아까 PASSWD.COM파일을 크랙할 때 우리는 jne 프로그램_시작_부분 을 모두 noping해 주는 방법을 택했는데요, 그런 방법 보다는 차라리 맨 처음에 있는 jne 프로그램_시작_부분 명령을 jmp 프로그램_종료_부분 따위로 바꿔 주는 게 훨씬 간단한 방법일 거에요. 참고로 jmp(Jump, 무조건 분기)의 기계어 코드는 주로 EB입니다. ------------------------------------------------------------------------------- _Q_w32dasm이 어디있는 거에요? 못 찾겠어요 커트님, 오늘 하루종일 인터넷을 돌아다녔습니다. 도저히 안되더군요. 하루 완전히 다 날려써요. 크랙 강좌를 보고 드디어 나에게도 빛이 하면서 공부를 하려고 했는데 이게 뭡니까? w32dasm 7은 여기 아니면 다른데서 받을 수 도 없는데 여기 사이트는 망가졌는지 죽어도 다운이 안되요. 지금 근처의 PC방까지 와서 이러고 있잖아요. 절대 안돼요. 더군다나 8.6인가 8.9인가 하여튼 새로 나온 것은 또 보안법이 달라졌다고해서 같은 방법으로 되지도 않더군요. 저 좀 살려주세요. 오늘 하루 다 버렸어요 히힝~~~~~~~! 저한테 7 메일로좀 보내주세요.(가능하다면 다른 것들두). 소프트 아이스는 있구요. 헥스에디터는 천리안에서도 구할 수 있어요. w32dasm은 천리안에도 1.0밖에 없더군요. 그렇다고 해서 다른 데 7.0이 있던 것도 아니구요. 하여튼 오늘 하루 종일 인터넷 돌아다녔는데 못 찾았어요. 도와주세요!!!! _A_자료실에 W32DASM7의 링크를 올려 놓았는데, 접속이 잘 안되었나 봐요. 또 그 링크가 언제까지나 있으라는 법은 없구요. 원하는 파일을 찾을 때 가장 중요한 정보가 뭘까요. 저는 파일이름이라고 생각합니다. w32dasm7의 경우 물론 파일이름은 w32dasm7.zip따위가 되겠죠. 아니면 w32dasm7.exe이거나 말이에요. 아니면 그러니까 간단하게 FTP Search따위를 이용하면 쉽게 w32dasm7을 찾을 수 있습니다. 제가 자주 쓰는 FTP Search는 Lycos FTP Search입니다. FTP Search는 다른 것도 많이 있습니다. Web을 찾아 돌아다니는 방법에 대한 더 자세한 얘기는 +ORC의 강좌에서 나왔습니다. 한 번 봐 보세요. ------------------------------------------------------------------------------- _Q_symbol not defined라고 나와요 안녕하십니까? 당신의 홈페이지를 통하여 많은 것을 배우려는 사람입니다. 크랙에 관심을 가지고 여러 홈페이지를 다니다가 당신의 초보를 위한 홈페이지에 매력을 느껴서 공부를 하고 있습니다. 저는 sice를 노트북에 설치하여 공부를 하고 있이는데 Pica View32(Ver 1.3) 공부중에 당신의 지시대로 bpx getdlgitemtexta의 명령어를 넣으니깐 Symbol not Defined (GetdlgItemteatA)라는 메세지를 발생시킵니다. 그 이유가 무엇입니까? 관심어린 답장을 부탁합니다. 그리고 모르는 것이 나올때 마다 많은 질문을 드릴려고 생각하고 있으니 많은 관심과 정성어린 응답을 부탁합니다. 앞으로도 좋은 강의 부탁합니다. 광주에서.... _A_이 분 참 말씀하시는 게 터프하시군요. Symbol not Defined라는 에러는 대부분 winice.dat파일에서 설정해 주어야 하는 걸 하지 않았기 때문에 일어나는 것 같습니다. 이에 대한 얘기는 제가 쓴 첫번째 글(1. Intro)에서 분명히 했는데, 왜 많은 분들께서 아직도 이런 질문을 하시는 지 모르겠어요. ------------------------------------------------------------------------------- _Q_멀티 부팅 하는 방법 아세요? kurt님의 글을 읽고 감명을 쬐금(^-^;) 받았네요... 다름이 아니고...멀티부팅 하는법좀 알려주시면 어떨까하구요(꼭 알려주셔야해요!) _A_멀티 부팅을 저같은 사람이 설명하려니 좀.. 그렇네요. 간단하게 말씀드릴께요. 우선 config.sys파일을 고쳐야 합니다. 가령 윈도우, 소프트 아이스 윈도우, 도스, 소프트 아이스 도스 이렇게 네 가지로 멀티 부팅 메뉴를 만들고 싶다고 하고 예를 들께요. [menu] menuitem=norm, windoze menuitem=sice, sice95 menuitem=dos, dos menuitem=sicedos, sicedos menudefault=norm, 3 이렇게 [menu]라고 첫줄에 쓰고, 그 다음 menuitem = 메뉴 별명, 메뉴 이름 의 형식으로 원하는 메뉴를 써 줍니다. 위에서 나타낸 것 처럼 첫번째 메뉴의 이름은 windoze이고 이것의 별명은 norm입니다. menuitem=dos, dos에서 처럼 메뉴 별명과 메뉴 이름은 같아도 상관 없습니다. 또 맨 마지막 줄 menudefault=norm, 3은 사용자가 선택을 하지 않으면 기본적으로 norm을 선택하도록 하고, 사용자가 선택하는 데 기다리는 시간은 3초로 한다 라는 의미입니다. [norm] device=C:\WINDOWS\biling.sys dos=high,umb [sice] rem nothing to do [dos] device=c:\windows\himem.sys /NUMHANDLES=100 device=c:\windows\emm386.exe H=100 dos=high,umb,noauto shell=c:\4dos\4dos.com c:\4dos\ /p [sicedos] dos=high,noauto device=c:\si\s-ice.exe /EMM 2048 device=c:\4dos\himem.sys device=c:\si\umb.sys shell=c:\4dos\4dos.com c:\4dos /p 이렇게 위에서 멀티 부팅할 각 메뉴를 쓸 때 썼던 메뉴의 별명을 이용해서 각각의 부팅의 경우에 실행될 내용들을 따로 써 넣으면 됩니다. 그냥 예를 든 것만 보더라도 이해가 되시겠죠? 다음은 autoexec.bat파일을 보겠습니다. goto %config% :norm loadhigh C:\WINDOWS\nlsfunc.exe C:\WINDOWS\country.sys set path=%path%;c:\util\a;c:\tc;c:\util\pkzip;c:\perl\bin set .pl=c:\perl\bin\perl.exe alias ~ = cd home goto end :sice loadhigh c:\windows\nlsfunc.exe c:\windows\country.sys set path=%path%;c:\util\a;c:\tc;c:\tghp;c:\util\pkzip;c:\perl\bin c:\progra~1\numega\softic~1\winice.exe goto end :dos set path=c:\;c:\bat;c:\util\a;c:\tc;%path%;C:\PROGRA~1\ULTRAEDT SET CTCM=C:\CTCM SET BLASTER=A220 I5 D1 H5 P330 E620 goto end :sicedos SET PATH=C:\HNC;C:\;C:\BAT;%PATH%;C:\PROGRA~1\ULTRAEDT goto end :end 처음에 있는 goto %config%가 꼭 필요합니다. %config%는 config.sys를 실행할 때 선택되었던 메뉴 별명을 나타내고 있습니다. 그리고 autoexec.bat를 읽어가기 시작할 때 goto %config%에 의해서 그 선택된 메뉴 부분으로 이동하게 되는 거에요. config.sys파일에서는 꺽쇠 []로 메뉴를 구분했지만 autoexec.bat파일에서는 다른 배치 파일과 마찬가지로 콜론 : 으로 메뉴를 구분합니다. 그리고 각 메뉴의 마지막에는 goto end를 써 주어야만 다른 메뉴의 내용을 읽지 않고 end메뉴로 갑니다. 그리고 마지막에 end메뉴를 따로 만들어 줘야 합니다. 물론 멀티 부팅에서 설정해 줄 수 있는 다른 것들, 그러니까 메모리에 관련된 설정 따위는 제 능력 밖의 것이니까 설명을 드리지 못합니다(물론 기대도 하지 않으셨겠지만요). ------------------------------------------------------------------------------- _Q_ 이 사이트강좌를 한꺼번에 다운로드 받을 방법은 없나요? _A_없습니다. 제가 쓴 글들이 그럴 가치가 있다고는 아직 생각하지 않아서요, 그렇게 따로 한꺼번에 다운 받을 수 있는 파일은 만들어 놓지 않았습니다. 하지만 가끔씩은 어떤 분들이 WebZip인가 하는 프로그램으로 통째로 다운 받아가시는 걸 보고, 그렇게 한 번 만들어 볼까 생각도 해봤는데요, 영 쑥스럽네요. 그리 훌륭한 내용이 아니라서요. ------------------------------------------------------------------------------- _Q_ 여봐요, 요것좀 크랙해 줘요 _A_의외로 이런 부탁(어떤 경우는 거의 명령에 가까운)을 하시는 분들이 많이 계시는데요, 솔직히 말씀 드려서 어떤 분들의 부탁은 들어 드렸지만, 어떤 분들의 부탁에는 응하지 않았습니다. 물론, 그 기준은 그 프로그램을 제가 크랙할 수 있느냐, 없느냐는 아니었습니다. 예를 들어서 이런 분이 계셨습니다. 회사에서 쓰던 엑셀 파일에 어떤 사람이 암호를 걸어 놓아서 쓸 수가 없다, 이 IMF 시대에 짤릴 수도 있다, 어떻게 하면 좋겠는가.. 이런 분에게 어떻게 부탁을 거절하겠어요. 아무튼 기준은 '엿 장수 맘대로' 였습니다. 하지만 앞으로도 되도록이면 이런 부탁은 하지 않으셨으면 합니다. 그리고 저도 되도록 거절 할 거구요. 직접 크랙하세요. 여러분도 크랙커잖아요. ------------------------------------------------------------------------------- _Q_ 13. 해커가 되려면 어떻게 해야 하나요?/홈페이지 해킹은 어떻게 하나요? _A_모릅니다. 한 번 USENET 같은 곳에서 이런 질문을 해 보세요. '인격 모독'이라는 말이 어떤 뜻인지 알 수 있게 될 거에요. 다시 한 번 말씀드리지만, 저는 해커가 아닙니다. 그리고 제 홈페이지의 내용을 조금이라도 읽어 보신 분이라면 이런 질문을 하지 않았을 거라고 생각합니다. 어떤 분들은 아주 정중하게, 그리고 자세하게, 그리고 긴 내용의 편지를 써서 저에게 묻습니다. 그 주제는 역시 '해커가 되려면 어떻게 해야 하나요' 였지만 말입니다. 그런 분들께는 지금까지는 최선을 다해서 제가 아는 한 자세히 어떤 자료가 유용한지, 무엇을 공부하는 게 좋은 지에 대해서 말씀드렸지만, 아마 별 도움은 되지 않았을 거에요. 제가 해커가 아니니까요. 그러니, 제발 그런 질문은 저에게 하지 말아 주세요. _ _*faq*_ 홈페이지로 글 고침 목록 틀린 부분 고친 목록 제목 고친 내용 가르쳐 주신 분 22. Love Buzz 새롬데이타맨98 IMF버전 xor eax, eax를 바꿔 줄 때 mov al, 00이 아니라 mov al, 01 입니다.(5월 21일) -------- 지금까지도 많은 분께서 제 부족한 글을 읽고 틀린 점을 많이 지적해 주셨습니다. 그 분들에게는 정말 고맙다는 말씀 밖에 드릴 말씀이 없습니다. 그렇게 잘못 된 점을 가르쳐 주실 때 마다 그 글을 수정했는데, 그렇게 하면 이미 그 글을 읽은 다른 분들은 그 글이 잘못되었다는 걸 모르실 것 같아서 이 곳을 만들었습니다. 앞으로도 많이 가르쳐 주세요. 그리고 앞으로는 잘못된 곳을 고치게 되면 이곳에도 어디가 잘못되었는 지, 어떻게 고쳤는지 쓰겠습니다. 제목 칸에 있는 글자를 누르면 그 글의 틀린 부분으로 찾아갈 수 있습니다. +kurt 올림 _*acknowledgement 홈페이지로 Author : NaTzGUL [REVOLT 7] Email : natzgul@hotmail.com InstallSHIELD Script Cracking (best viewed under 800x600 with WordPad) CONTENTS: A) INTRODUCTION (It압 only an Intro) B) TOOLS YOU WILL NEED (Well i think most of ya got these Tools) C) WHAT WE ARE DEALING WITH (I recommend that you read this before D) D) FIRST APPROACH (The Alternate way) E) SECOND APPROACH (Script Cracking !!!) F) ADDON (Common InstallSHIELD Installation) G) WIN32.HLP (Descriptions that will help you) H) LAST WORDS (Maybe ya dont need to read this) I) GREETINGS (Don앖 miss this Part, hehe !!!!!) _____________________________________________________________________ A) INTRODUCTION I welcome you to my first Cracking Tutorial and I will try to write more Tutorials in the Future. I could have made more in the past, but i was afraid if anybody could read my BAD English ;) so please excuse me and just try to follow me. LEVEL : Well, I will try to give you all Informations and document all my Steps and Listings, so maybe also a Beginner will understand this Tutorial (maybe ;). As I told you the only Problem you will maybe have is my bad bad English ,hehe. TARGET : Our Target is Cakewalk HomeStudio from Twelve Tone Systems , I have got it from Kirk_Hamm in #Cracking(EFNET) THANX !!! =) - a Person I dont really know ,he was just req the Crack. The File contains not the whole App by the way, just all the neccessary Files to get the Installation running. The compressed File size is only 536 KB, so if you want it just msg me on Efnet or Email me and i will send ya the File if iam not busy =). PROTECTION : This App has 3 Protections. 1.CD-CHECK 2.CD-KEY 3.SERIAL __________________________________________________________________________ B) TOOLS YOU NEED You will need the following Tools: - SoftICE 3.x from Numega (The best Debugger, point. Big Thanx to Numega) - W32Dasm 8.9 from URSoft (I love References) - Hex-Workshop or any other Hex-Editor (Yeah, gimme the Bytes location) - Icompx the InstallSHIELD de/compressor (Thanx to Lord Caligo that he has put it on his Page) - A Martini/wodka if ur a +Cracker and/or a cigarette ;) You can get all these Tools from Lord Carligo압 Web-Page. One of the best Cracking Resource i ever have seen before by the way !!! http://cracking.home.ml.org/ ________________________________________________________________ C) WHAT WE ARE DEALING WITH After unzip앓ing the File into C:/TEMP there are the following files: _SETUP.LIB 151 KB SETUP.EXE 659 KB _SETUP.DLL 5,98 KB SETUP.INS 89,5 KB SETUP.PKG Not important (There are a lot more files in the complete App) Let me first explain what we got here. These are the typical Files from a InstallSHIELD Installation. _SETUP.LIB is a compressed Data-Base from InstallSHIELD. It can contain exe압 and dll압 supporting the Installation. Sometimes these Support Files are in the same dir like SETUP.EXE (unlikely), but in our case they are compressed into _SETUP.LIB (You will see later). What that person from #Cracking didn앖 send me was the compressed Data-Base Files (xxx.1-x,xxx.z) containing the App Files and so they can be very big ;). Don앖 mind it, because we dont need them anyway for cracking. A compressed Data-Base File allways begins with "13 5D 65 8C 3A 01 02 00", so if you cant find any xxx.z or xxx.1-x then just look for these bytes. At the End of every compressed Data-Base File you can see all the File Names by the way. SETUP.PKG contains all the File-Names in the App Data-Base which we dont need and so we dont need SETUP.PKG either. InstallSHIELD uses SETUP.PKG to refer the Files in the App Data-Base in the copying process i believe. Anyway, we dont need it, so lets go on. _SETUP.DLL is a InstallSHIELD Resource DLL and its not important for us, because its only a Support File which is supplied with any InstallSHIELD Installation. SETUP.INS is the compiled Installation Script and its the most important Part in a InstallSHILED Installation Process !!!. In Win95 it has got a globe connected to a phone as icon. This File Controls any Action and has got most of the messages of the Installation and it will play a major Role in our SECOND APPROACH. SETUP.EXE is the head of all, its the Installation Engine and executes the Script and does all calls to DLL압 and Disk-Access (32 Bit !!!). So far so good, now we know much more about InstallSHIELD =) Lets start with the.... ______________________________________________________________________ D) FIRST APPROACH (CD-CHECK) ASSUMPTION : I assume the following things under SoftICE : F5="^x;" F7="^here;" F8="^t;" F9="^bpx;" F10="^p;" F11="^G @SS:ESP;" F12="^p ret;" Also the winice.dat File in your SoftICE dir should contain : EXP=c:\windows\system\kernel32.dll EXP=c:\windows\system\user32.dll HINT : "*" in Front of the Text coming up means, that the text into brackets must be typed under SoftICE! START : Ok, now lets get to business and start our cracking session. First we just start the Istallation (SETUP.EXE) and see whats happening. Well, a MessageBox tells us, that "Setup must be run from the original CD". Our next logical step now should be setting a Breakpoint on GetDriveTypeA ("A" coz SETUP.EXE is a 32 Bit App). Have a look at part G) WIN32.HLP of this tutorial to get more info about GetDriveType !!! * We press Crtl+D and SoftICE pops up and then we type in "BPX GetDriveTypeA" * Pressing "Crtl+D" ("F5") gets us back to Windows, where we start Setup.exe again. Ok, we are in SoftICE before the MessageBox appears. We are in the Kernel32 at GetDriveTypeA, so lets get out of here * by pressing "F11" one time. And now we are in INSHELP, damn !!! whats that ? it wasnt in our dir !! * Well i typed in "MOD INSHELP" to get more info about this file and SoftICE shows me, that its located in : C:\TEMP\_ISTMP0.DIR\INSHELP.DLL Now we see that it압 a DLL and that IstallSHIELD has created a Temporary directory called _ISTMP0.DIR and then it puts the file INSHELP.DLL in there. But where this File comes from ? Ok, maybe you dont have forgotten what i told you in C) about compressed Data-Bases ? Yes ? Then you should read it again now !!!! So this DLL must be in _SETUP.LIB, but how should we patch it ? Well we got ICOMPX the InstallSHIELD de/compressor ;) Let압 decompress _SETUP.LIB ("ICOMP _SETUP.LIB *.* -d -i") These Files we will get : INSHELP.DLL UNINST.EXE _ISRES.DLL The last two files are only support Files and not important for us. What we know now is that INSHELP.DLL makes the CD-CHECK and that it is in _SETUP.LIB which we can decompress and then compress again. By the way you may just type in "ICOMP" to get the full usage. Now that we got all infos about this File and how to patch it lets go on with SoftICE알ng ;). We are still in INSHELP.DLL, so let me give you the listing first: Your adresses may differ in the first four diggits! (relocation) And SoftICE pops up at 100011A0 (0), so go there now!!! DWORD TABLE: :10001308 BA120010 DWORD 100012BA These are the DWORDS for the indirect jmps :1000130C C7120010 DWORD 100012C7 I have place them here coz it will be :10001310 D4120010 DWORD 100012D4 easier for you to follow me ;) :10001314 E1120010 DWORD 100012E1 :10001318 EE120010 DWORD 100012EE :1000131C B0110010 DWORD 00011B0 :10001320 FB120010 DWORD 100012FB Start of this routine: :10001160 81ECE8020000 sub esp, 000002E8 Create a tempprary Stack-Frame :10001166 B9FFFFFFFF mov ecx, FFFFFFFF ecx=FFFFFFFF (counter) :1000116B 2BC0 sub eax, eax eax=0 :1000116D 56 push esi Save esi :1000116E 57 push edi Save edi :1000116F 8BBC24F4020000 mov edi, [esp + 000002F4] edi points to "C:\TEMP\" :10001176 F2 repnz :10001177 AE scasb Scan String for 0 (end) :10001178 F7D1 not ecx ecx=lenght+1=9 :1000117A 2BF9 sub edi, ecx Adjust edi back :1000117C 8BC1 mov eax, ecx Save lenght in eax :1000117E C1E902 shr ecx, 02 Divide lenght by 4 =2 :10001181 8BF7 mov esi, edi esi=edi=ptr to "C:\TEMP\" :10001183 8D7C2448 lea edi, [esp + 48] "CWHS_601" | :100011ED B938600010 mov ecx, 10006038 * Referenced by a Jump at Address:1000120C(C) | :100011F2 8A10 mov dl, [eax] Here it compares my Volume Name "HD_C" :100011F4 3A11 cmp dl, [ecx] with "CWHS_601" :100011F6 751A jne 10001212 (5) Bad jmp ! :100011F8 0AD2 or dl, dl :100011FA 7412 je 1000120E :100011FC 8A5001 mov dl, [eax+01] :100011FF 3A5101 cmp dl, [ecx+01] :10001202 750E jne 10001212 (5) Bad jmp ! :10001204 83C002 add eax, 00000002 :10001207 83C102 add ecx, 00000002 :1000120A 0AD2 or dl, dl :1000120C 75E4 jne 100011F2 * Referenced by a Jump at Address:100011FA(C) | :1000120E 33C0 xor eax, eax All OK ! :10001210 EB05 jmp 10001217 To continue our tracing session you have to nop out the Bad jmps ! * Trace to the jmps "F10" and then "a" with two "nop"압. (4) This jmp will only occure if Setup is running from the original CD-Rom. It then just bypasses the Volume and Filetype Check. I also suggest that you read part F) of this Tutorial to get more and detailed infos about GetVolumeInformation (FileSytemFlags) !! Ok, now comes the part the (5) Bad jmps will jump to.... * Referenced by a Jump at Addresses:100011F6(C), :10001202(C) | :10001212 1BC0 sbb eax, eax eax=0 :10001214 83D8FF sbb eax, FFFFFFFF eax=1 * Referenced by a Jump at Address:10001210(U) | :10001217 85C0 test eax, eax if eax=0 then :10001219 740D je 10001228 goto 10001228 GOOD BOY ! :1000121B 33C0 xor eax, eax otherwise return :1000121D 5F pop edi with eax=0 BAD BOY ! :1000121E 5E pop esi :1000121F 81C4E8020000 add esp, 000002E8 :10001225 C20400 ret 0004 * Referenced by a Jump at Address:10001219(C) | :10001228 8D4C2414 lea ecx, [esp + 14] ecx points to my File System Name "FAT" * Possible StringData Ref from Data Obj ->"CDFS" | :1000122C B848600010 mov eax, 10006048 * Referenced by a Jump at Address: |:1000124B(C) | :10001231 8A11 mov dl, [ecx] here my File System Name "FAT" :10001233 3A10 cmp dl, [eax] will be compared with "CDFS" ! :10001235 751A jne 10001251 (6) Bad jmp ! :10001237 0AD2 or dl, dl :10001239 7412 je 1000124D :1000123B 8A5101 mov dl, [ecx+01] :1000123E 3A5001 cmp dl, [eax+01] :10001241 750E jne 10001251 (6) Bad jmp ! :10001243 83C102 add ecx, 00000002 :10001246 83C002 add eax, 00000002 :10001249 0AD2 or dl, dl :1000124B 75E4 jne 10001231 * Referenced by a Jump at Address:10001239(C) | :1000124D 33C0 xor eax, eax All OK ! :1000124F EB05 jmp 10001256 Again we have to nop out the (6) Bad jmps to continue !! Otherwise we will land here...(10001251) BAD BOY * Referenced by a Jump at Addresses:10001235(C), :10001241(C) | :10001251 1BC0 sbb eax, eax Old soup, look back (10001212)! :10001253 83D8FF sbb eax, FFFFFFFF * Referenced by a Jump at Address:1000124F(U) | :10001256 85C0 test eax, eax :10001258 740D je 10001267 GOOD BOYS jmps to 10001267 :1000125A 33C0 xor eax, eax :1000125C 5F pop edi :1000125D 5E pop esi :1000125E 81C4E8020000 add esp, 000002E8 :10001264 C20400 ret 0004 * Referenced by a Jump at Addresses:100011E0(C), :10001258(C) | :10001267 8A442448 mov al, [esp + 48] ;al=Drive Letter "C" 43h :1000126B 8D8C24D8010000 lea ecx, [esp + 000001D8] :10001272 51 push ecx :10001273 A250600010 mov [10006050], al ^-------------"X:\Cakewalk\_setup.lib" * Possible StringData Ref from Data Obj ->"C:\Cakewalk\_setup.lib" | :10001278 6850600010 push 10006050 :1000127D E8EE010000 call 10001470 Button SoftICE pops up, this is easy hehe ;) * We are in GetWindowTextA so lets get back to the App and press "F11". I looked at EAX, because it always contains the Text lenght GetWindowTextA returns, but hell !!!! this isnt the lengh of my Text and so this cant be my Text =(, brb. Dont worry, this is just a little trick to prevent Beginners to crack it. There are lotta other App out there using this trick btw ! Setup uses GetWindowTextA to retrieves our input, but it dont wait for the user pressing NEXT->, it just gets the text anytime we type in a single letter, * so lets first disable our Breakpoint : "BD 0", and then we type in "12345678901234" and then we enable our Breakpoint : * "BE 0".(dont forget to leave SoftICE) So, now comes the truth. I just deleted the last number with back-space and BOOM !!! yeah we are in GetWindowTextA again so lets leave here * again by pressing "F11". Well, this looks much better, because EAX=0D=13, yeah our Key-lenght ;) We are in Setup by the way. Right after the Call GetWindowTextA there is a "LEA EAX,[EBP+FFFFFBF4]" which will let EAX points to our Text, * so trace over it with "F8" or "F10". * Do a "D EAX" and you will see our text "1234567890123" !! * ok lets delete our Breakpoint, because we got what we wanted: "BC *". And now we set a Breakpoint on Memory Access on our text location: * "BPM EAX". Ok, exit SoftICE and it will fast pop up again. SoftICE will break into different locations, but the one that is important for us is the lstrcpyA. You will land in there at the following instructions : ... ............ REPNZ SCASB and you will break into lstrcpyA several times again, but now dont delete the old Breakpoints, just set the new ones on EDI after the 2 MOVS like before, until you are in INSHELP !!!! yeah its the same dll ;). Let me give you the listing first and consider again that the first four digits of the adresses may differ from yours under SoftICE (relocation). SoftICE will break in at 10001377 !!! Start of this routine: :10001350 83EC34 sub esp, 00000034 Create a temporary Stack-Frame :10001353 53 push ebx Save ebx :10001354 56 push esi Save esi :10001355 57 push edi Save edi :10001356 E8D5FCFFFF call 10001030 Was this routine initialysed ? :1000135B 85C0 test eax, eax Check ok ? (It will be) :1000135D 750B jne 1000136A then goto 1000136A, else :1000135F 33C0 xor eax, eax Set eax=0 BAD BOY !!! :10001361 5F pop edi Restore edi :10001362 5E pop esi Restore esi :10001363 5B pop ebx Restore ebx :10001364 83C434 add esp, 00000034 Delete temporary Stack-Frame :10001367 C20400 ret 0004 Return Well it seems that EAX=0 stands for BAD BOY again like in the CD-Check !! Cracking this CD-KEY could end here just by patching the instructions at the Start of this routine (10001350)... Dont patch it yet, if you wanna learn how to reverse ingineer this KEY-Protection !!!! Original: :10001350 83EC34 sub esp, 00000034 Create a temporary Stack-Frame :10001353 53 push ebx Save ebx :10001354 56 push esi Save esi :10001355 57 push edi Save edi :10001356 E8D5FCFFFF call 10001030 Was this routine initialysed ? Change to: :10001350 33C0 xor eax,eax eax=0 :10001352 40 inc eax eax=eax+1=1 GOOD BOY :10001353 C20400 ret 0004 Return Search for "83EC34535657" in INSHELP.DLL with your Hex-Editor. You will only find one location (Offset 750). Replace the bytes with "33C040C20400" and save it. Ok, and now compress it back into _SETUP.LIB. Just type in "icomp inshelp.dll _setup.lib" and dont delete INSHELP.DLL, because we will need it again later ;) And now any KEY you type in will be valid, cool heh =) Do you wanna learn how to reverse this CD-KEY Protection ? If not just go over to the (SERIAL) Section below !!! Ok, lets go on with this routine... * Referenced by a Jump at Address:1000135D(C) | :1000136A 8B5C2444 mov ebx, [esp + 44] ebx will point to our KEY ! :1000136E 8D4C240C lea ecx, [esp + 0C] ecx will be the new location :10001372 8BC3 mov eax, ebx eax=ebx=pointer to our KEY :10001374 803B00 cmp byte ptr [ebx], 00 (9) KEY=NULL ? :10001377 741B je 10001394 12D6E1 Thus we can set a seed KEY "3xx6x1yyyyyyy", where x can be any number and y will be the corrections.First go back to Setup and choose a seed KEY !!! I used for example "3006010000000". To get a valid KEY let us Brute-Force-Crack this babe =) Its not the best way, but this code generating part is short, thus it will be executed fast. Trace to the location at line 100013C1 (15) where the code will be compared with E7B37. Trace over it to the next line 100013C6 and then we have to code a little procedure. * EBX is unused, so we will use it as counter. Type in "r ebx=0". * Now type in "a" and let us add a little procedure, which will find a valid KEY for us. Please adjust the adresses yourself, since this will be typed directly into memory !!! * "JNZ GO_ON" Not a valid KEY, goto GO_ON * FOUND: "NOP" This will be our Stop Point * GO_ON: "CMP EBX,1312CFF" Check only numbers from 0-19999999 !!! * "JZ FAIL" Yes, goto FAIL * "MOV ESI,[ESP+C]" ESI points to our KEY * "MOV EAX,EBX" EAX=EBX * "MOV ECX,A" ECX=A=10d * CONVERT_DEC: "XOR EDX,EDX" EDX=0 * "DIV ECX" EAX=EAX/ECX, EDX=MOD (EAX/ECX) * "ADD DL,30" EDX=EDX+"0" * "MOV [ESI+C],DL" STORE NUMBER INTO KEY * "DEC ESI" ESI will point to the previous number * "CMP EAX,0" Conversion completed ? * "JNZ CONVERT_DEC" If not goto CONVERT_DEC * "JMP 100013B7" Check this KEY ! The comparision at GO_ON makes sure that the App-ID will not be manipulated !! * Ok, you typed in all this mess ;) Now you must clear all Break-Points "BC *" * and then set a Break-Point on execution on line FOUND !!!! "BPX ". Now leave SoftICE and wait..... SoftICE will pop up at FOUND, so first check EAX, it should be E7B37 !!! * If yes, you can get your KEY with "D [ESP+C]". I have found "3006010147046" for my seed KEY ,btw =) * To get out of this Loop set your EIP to 1000142D "r eip=1000142D" and clear all Break-Points !!! Then leave SoftICE, and you will be back in Setup. Cancel it and then start it again and use your valid KEY !!! Summarize: - KEY must contain 13 numbers. - KEY has got 4 fixed numbers "3xx601yyyyyyy". Its the App-ID (3601), which may differ in other App from Twelve Tone Systems. Setup handles this App-ID to INSHELP before he calls it. - yyyyyyy can be found with Brute-Force-Cracking. This Protection is defeated, lets go over to the... (SERIAL) Well, the KEY was a little bit tricky, heh ? Anyway you are here now to face the Serial !!! Setup asks for a User-Name, Company and Serial, so lets type in sum crap. I typed in "NaTzGUL" as User-Name, "REVOLT" as Company and "1234567890" as Serial. Please procced with the Serial like in the KEY Section !!!! You will land into Setup !!!, damn the Script is doing the Check, brbrb. I gave up !!! There are just too many push,pop and calls, believe me... else try it out !!! To defeat this Protection we need a new method !!! __________________________________________________________________________ E) SECOND APPROACH ASSUMPTION: I assume that you have partialy read the first Approach and that the App (INSHELP) is unpatched in any way !!!! (Original state !!! you may uncompress the whole App again !). INTRO: Zen !!! yeah, thats what we need =) As i told you in our first approach SETUP.INS is the main part of a InstallSHIELD Installation !!! SETUP.INS is a compiled Script, this means before compilation it may have the following basic instructions : - "IF,THEN,(ELSE)" - "GOTO" - "CALL" - "RETURN()" - "LOAD","OPEN","CLOSE" - "MESSAGEBOX" - etc. To decrypt the whole mnemonic back to its instructions is not necessary to crack this app, so i though that the most important instruction should be the "IF,THEN" one. It should occure very often in the Script and it may have the following syntax: IF cmp THEN.... cmp = (arg1) compare_type (arg2) arg1 is a variable, arg2 can be a variable or a constant (two constants makes no sense ,of coz !). the compare_type can only be one of these six types : Type: Corresponding jmp: LOWER-EQUAL JLE GREATER-EQUAL JGE LOWER JL GREATER JG NOT-EQUAL JNE EQUAL JE A compiled COMPARE instruction could look like this : Compare_mnemonic,result,Byte_A, arg1, Byte_B, compare_type, Byte_C, arg2 Byte_A is refering arg1, Byte_B gets the compare_type and Byte_C is refering arg2 and also says if arg2 is a variable or constant. You maybe have realised, that there are some mnemonic압 are missing. As i mentioned this instruction should occure very often in SETUP.INS, so i examined the file for this byte structure and I found out : >>>>> COMPARE mnemonic (actualy 128) !!! | | | 28,01,32,result_var,Byte_A, arg1, Byte_B, compare_type, Byte_C, arg2 Byte_A="B"=0x42 means variable_index(word) is following Byte_B="A"=0x41 means constant (dword) is following Byte_C="A"=0x41 if comparing with a constant Byte_C="B"=0x42 if comparing two viriables result_var = type of word (variable_index) arg1 = type of word (variable_index) compare_type = type of dword (1-6) arg2 = type of word (variable_index) or dword (constant) Example : lets say we have found the following bytes . 28,01,32, 03,00, 42, 01,00, 41, compare_type, 42, 02,00 This will compare a variable with index 0x0001 and a varaible with index 0x002 with the specific compare_type and then stores the result (0/1) of this comparision into the variable with index 0x003. Now what we need are the type of comparisions, hmm how should we obtain them ? Setup is executing this Script, so there is the place we have to search for them !!! I W32dasm Setup.exe and searched for the place where compare_type gets compared with 1-6 and i found them at line 0043C89B. * Referenced by a Jump at Address:0043C89F(C) | :0043C7B2 8B45F4 mov eax, [ebp-0C] eax=arg1 :0043C7B5 3945F8 cmp [ebp-08], eax compare arg2 with arg1 :0043C7B8 0F8E0C000000 jle 0043C7CA lower-equal? compare_type_1 !!! :0043C7BE C745FC01000000 mov [ebp-04], 00000001 return result 1 in [ebp-4] :0043C7C5 E907000000 jmp 0043C7D1 jmp to end * Referenced by a Jump at Address:0043C7B8(C) | :0043C7CA C745FC00000000 mov [ebp-04], 00000000 return result 1 in [ebp-4] * Referenced by a Jump at Address:0043C7C5(U) | :0043C7D1 E906010000 jmp 0043C8DC jmp to end * Referenced by a Jump at Address:0043C8A9(C) | :0043C7D6 8B45F4 mov eax, [ebp-0C] :0043C7D9 3945F8 cmp [ebp-08], eax :0043C7DC 0F8D0C000000 jnl 0043C7EE greater-equal? compare_type_2! :0043C7E2 C745FC01000000 mov [ebp-04], 00000001 :0043C7E9 E907000000 jmp 0043C7F5 * Referenced by a Jump at Address:0043C7DC(C) | :0043C7EE C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C7E9(U) | :0043C7F5 E9E2000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8B3(C) | :0043C7FA 8B45F4 mov eax, [ebp-0C] :0043C7FD 3945F8 cmp [ebp-08], eax :0043C800 0F8C0C000000 jl 0043C812 lower? compare_type_3! :0043C806 C745FC01000000 mov [ebp-04], 00000001 :0043C80D E907000000 jmp 0043C819 * Referenced by a Jump at Address:0043C800(C) | :0043C812 C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C80D(U) | :0043C819 E9BE000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8BD(C) | :0043C81E 8B45F4 mov eax, [ebp-0C] :0043C821 3945F8 cmp [ebp-08], eax :0043C824 0F8F0C000000 jg 0043C836 greater ? compare_type_4! :0043C82A C745FC01000000 mov [ebp-04], 00000001 :0043C831 E907000000 jmp 0043C83D * Referenced by a Jump at Address:0043C824(C) | :0043C836 C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C831(U) | :0043C83D E99A000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8C7(C) | :0043C842 8B45F4 mov eax, [ebp-0C] :0043C845 3945F8 cmp [ebp-08], eax :0043C848 0F850C000000 jne 0043C85A not-equal ? compare_type_5! :0043C84E C745FC01000000 mov [ebp-04], 00000001 :0043C855 E907000000 jmp 0043C861 * Referenced by a Jump at Address:0043C848(C) | :0043C85A C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C855(U) | :0043C861 E976000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8D1(C) | :0043C866 8B45F4 mov eax, [ebp-0C] :0043C869 3945F8 cmp [ebp-08], eax :0043C86C 0F840C000000 je 0043C87E equal? compare_type_6! :0043C872 C745FC01000000 mov [ebp-04], 00000001 :0043C879 E907000000 jmp 0043C885 * Referenced by a Jump at Address:0043C86C(C) | :0043C87E C745FC00000000 mov [ebp-04], 00000000 * Referenced by a Jump at Address:0043C879(U) | :0043C885 E952000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C8D7(U) | :0043C88A C745FC00000000 mov [ebp-04], 00000000 :0043C891 E946000000 jmp 0043C8DC :0043C896 E941000000 jmp 0043C8DC * Referenced by a Jump at Address:0043C7AD(U) | :0043C89B 837DEC01 cmp [ebp-14], 00000001 = JGE 2 LOWER JG 4 NOT-EQUAL != JNE 5 EQUAL = JE 6 MESSAGEBOX byte structure : 2A,0,61,length(word),text will show a messagebox with the specific text! Since the compare part of an IF-THEN instruction is what we really need for our interest you could now go directly to the START further below !!! Otherwise learn more about other instructions and how they are build up =) The structure of a compiled IF-THEN instruction may look like this : COMPARE, BRANCH_TO location IF !(result - arg_x) (result - arg_x) will be zero if they are equal else it will be not zero. The result comes from the comparision and arg_x can be a varible or a constant. Now we come to the IF-THEN byte structure : COMPARE-structure,BRANCH_TO_mnemonic,l_index, SUB, Byte_A,result,Byte_C,arg_x BRANCH_TO_mnemonic = 22,0,70 SUB = 95 (in an IF-THEN instruction!) Byte_A="B"=0x42 result of comparision will allways be a variable_index Byte_C="A"=0x41 arg_x allways will be a constant in an IF-THEN instruction! l_index = type of word (index) result = type of word (variable_index) arg_x = will be a dword (constant) =0x00000000 in an IF-THEN instruction! The branch location will be an offset into the script and it is calculated like this : location = dword [ l_index* 6 + Branch-Table-Offset+2] Location-Table-Offset = Offset "_EWQ" ;in this script it was 14546 !!! Just search for "_EWQ" and you will find it ( Its linked at the end of the script )!!! GOTO byte stucture : 2C,00,70,l_index There are more instructions i have decrypted, but we dont need them for this tutorial. Its quite easy to write a Decompiler with this information and if you have found out the location where Setup is executing the script then its not that hard to see what it is doing depending on the mnemonic, but thats another story and this tutorial is damn big enough !!! Now we can try out our first Script-Cracking attempt =)... START: (CD-CHECK) First think about how this check was written with the Script instructions !! The easiest way may be done like this : (Assume: Return_of_INSHELP=0/1 (BAD/GOOD) !!! ) arg1=CALL(INSHELP,CD-CHECK) IF arg1 = 0 THEN MESSAGEBOX "Setup must be run from the original CD":END ELSE RETURN(1) or this... arg1=CALL(INSHELP,CD-CHECK) IF arg1 != 0 THEN RETURN(1) ELSE MESSAGEBOX "Setup must be run from the original CD":RETURN(0) After compiling this pice of code, the bytes would look like this: 28,01,32,"B",arg1 (word),"A",6 (dword),"A",0 (dword),...,2A,0,61,27 (word),"Setup must be..." or this... 28,01,32,"B",arg1 (word),"A",5 (dword),"A",0 (dword),...,2A,0,61,27 (word),"Setup must be..." I have retrieved this part of SETUP.INS for you....(Offset 8D70) arg1_Variable_index (word) compare_type_5 !!! result_Variable_index (word) . SoftICE will pop up at 0043C89B several times and Setup will perform comparisions ! Here is my history of the comparisions : Comparisions: Compare_type: (1) 0 != 1 5 Not important (2) 0 >= 3 2 Not important (chr-position counter?) (3) 9 31 4 Well, its the first char of our Serial !!! (5) 7A 31 4 between "a"-"z","A"-"Z","0"-"9" (7) 5A 31 4 (9) 39 DIR This dir will be created by _ins0432._mp !!! _INS0432._MP 659 KB This is exactly Setup.exe from this Tutorial !!! _INZ0432._MP 20,1 KB This is LZWSERV.EXE (doing the de-compress.) _WUTIL95.DLL 36,0 KB A win95 support file _ISTMP0.DIR content : _SETUP.LIB 151 KB This is exactly the same compressed lib file !!! 1f8584.DLL 89,0 KB Support DLL INSHELP.DLL 23,5 KB Yup, da same DLL !!! UNINST.EXE 292 KB Also da same one You see now that there are the same files, but only renamed, thats all !!! Copy and rename them if you wanna work with these files. ________________________________________________________________________ G) WIN32.HLP These Desciptions comes from win32.hlp GetDriveType: The GetDriveType function determines whether a disk drive is a removable, fixed, CD-ROM, RAM disk, or network drive. UINT GetDriveType( LPCTSTR lpRootPathName // address of root path ); Parameters lpRootPathName Points to a null-terminated string that specifies the root directory of the disk to return information about. If lpRootPathName is NULL, the function uses the root of the current directory. Return Value The return value specifies the type of drive. It can be one of the following values: Value Meaning 0 The drive type cannot be determined. 1 The root directory does not exist. 2 The drive can be removed from the drive. 3 The disk cannot be removed from the drive. 4 The drive is a remote (network) drive. 5 The drive is a CD-ROM drive. 6 The drive is a RAM disk. _________________________________________________ GetVolumeInformation: The GetVolumeInformation function returns information about a file system and volume whose root directory is specified. BOOL GetVolumeInformation( LPCTSTR lpRootPathName, // address of root directory of the file system LPTSTR lpVolumeNameBuffer, // address of name of the volume DWORD nVolumeNameSize, // length of lpVolumeNameBuffer LPDWORD lpVolumeSerialNumber, // address of volume serial number LPDWORD lpMaximumComponentLength, // address of system's maximum filename length LPDWORD lpFileSystemFlags, // address of file system flags LPTSTR lpFileSystemNameBuffer, // address of name of file system DWORD nFileSystemNameSize // length of lpFileSystemNameBuffer ); Parameters lpRootPathName Points to a string that contains the root directory of the volume to be described. If this parameter is NULL, the root of the current directory is used. lpVolumeNameBuffer Points to a buffer that receives the name of the specified volume. nVolumeNameSize Specifies the length, in characters, of the volume name buffer. This parameter is ignored if the volume name buffer is not supplied. lpVolumeSerialNumber Points to a variable that receives the volume serial number. This parameter can be NULL if the serial number is not required. lpMaximumComponentLength Points to a doubleword value that receives the maximum length, in characters, of a filename component supported by the specified file system. A filename component is that portion of a filename between backslashes. The value stored in variable pointed to by *lpMaximumComponentLength is used to indicate that long names are supported by the specified file system. For example, for a FAT file system supporting long names, the function stores the value 255, rather than the previous 8.3 indicator. Long names can also be supported on systems that use the NTFS and HPFS file systems. lpFileSystemFlags Points to a doubleword that receives flags associated with the specified file system. This parameter can be any combination of the following flags, with one exception: FS_FILE_COMPRESSION and FS_VOL_IS_COMPRESSED are mutually exclusive. Value Meaning FS_CASE_IS_PRESERVED If this flag is set, the file system preserves the case of filenames when it places a name on disk. FS_CASE_SENSITIVE If this flag is set, the file system supports case-sensitive filenames. FS_UNICODE_STORED_ON_DISK If this flag is set, the file system supports Unicode in filenames as they appear on disk. FS_PERSISTENT_ACLS If this flag is set, the file system preserves and enforces ACLs. For example, NTFS preserves and enforces ACLs, HPFS and FAT do not. FS_FILE_COMPRESSION The file system supports file-based compression. FS_VOL_IS_COMPRESSED The specified volume is a compressed volume; for example, a DoubleSpace volume. lpFileSystemNameBuffer Points to a buffer that receives the name of the file system (such as FAT, HPFS, or NTFS). nFileSystemNameSize Specifies the length, in characters, of the file system name buffer. This parameter is ignored if the file system name buffer is not supplied. Return Value If all the requested information is retrieved, the return value is TRUE; otherwise, it is FALSE. To get extended error information, call GetLastError. Remarks The FS_VOL_IS_COMPRESSED flag is the only indicator of volume-based compression. The file system name is not altered to indicate compression. This flag comes back set on a DoubleSpace volume, for example. With volume-based compression, an entire volume is either compressed or not compressed. The FS_FILE_COMPRESSION flag indicates whether a file system supports file-based compression. With file-based compression, individual files can be compressed or not compressed. The FS_FILE_COMPRESSION and FS_VOL_IS_COMPRESSED flags are mutually exclusive; both bits cannot come back set. The maximum component length value, stored in the DWORD variable pointed to by lpMaximumComponentLength, is the only indicator that a volume supports longer-than-normal FAT (or other file system) file names. The file system name is not altered to indicate support for long file names. The GetCompressedFileSize function obtains the compressed size of a file. The GetFileAttributes function can determine whether an individual file is compressed. ______________________________________________________________________ GetWindowText: The GetWindowText function copies the text of the specified window's title bar (if it has one) into a buffer. If the specified window is a control, the text of the control is copied. int GetWindowText( HWND hWnd, // handle of window or control with text LPTSTR lpString, // address of buffer for text int nMaxCount // maximum number of characters to copy ); Parameters hWnd Identifies the window or control containing the text. lpString Points to the buffer that will receive the text. nMaxCount Specifies the maximum number of characters to copy to the buffer. If the text exceeds this limit, it is truncated. Return Value If the function succeeds, the return value is the length, in characters, of the copied string, not including the terminating null character. If the window has no title bar or text, if the title bar is empty, or if the window or control handle is invalid, the return value is zero. To get extended error information, call GetLastError. This function cannot retrieve the text of an edit control in another application. Remarks This function causes a WM_GETTEXT message to be sent to the specified window or control. This function cannot retrieve the text of an edit control in another application. ____________________________________________________________________ H) LAST WORDS Yeah, you made it =) This is the end of this tutorial and i hope i could teach you something, more or less. If you have any questions, suggestions or just wanna gimme some feedback, then just email me !!! Also plz inform me if you have find out any error - i'am only a human being =) This Tutrorial was first written under note-pad, but it got just too big, so that i had to continue writting it with WordPad. I hope you dont mind it ;) The next Tutorial (natz-2) will be in html and i don't exactly know what it will discuss yet, so just watch out for it !!! NaTzGUL/REVOLT natzgul(at)hotmail(point)com _________________________________________________________________ I) GREETINGS Groups: REVOLT, #CRACKING, UCF, PC97, HERITAGE,CRC32 #CRACKING4NEWBIES, CORE, RZR, PWA, XF, DEV etc. PERSONAL: CoPhiber, Spanky, Doc-Man, Korak, lgb, DDensity, Krazy_N, delusion, riches, Laamaah, Darkrat, wiesel, DirHauge, GnoStiC, JosephCo, niabi, Voxel,TeRaPhY, NiTR8, Marlman, THE_OWL, razzia, K_LeCTeR, FaNt0m, zz187, HP, Johnastig, StarFury, Hero, +ORC, +Crackers, Fravia+, LordCaligo, BASSMATIC, j0b ,xoanon, EDISON etc. (c) 1998 NaTzGUL All rights reversed (c) Fravia 1995, 1996, 1997, 1998, 1999. All rights reserved, in the European Union and elsewhere