1. Demonstration: EXEs und DLLs per Debugger дndern.
Bei einem Crack werden eine oder mehrere Dateien eines Programms verдndert - mit dem Zweck, die Anwendung um Funktionen zu erweitern. Cracker nutzen das, um beispielsweise eine Test- zu einer Vollversion zu machen oder eine Kopierschutz-Abfrage zu umgehen. Mit derselben Methode lassen sich aber auch Funktionen ergдnzen oder eine Bedienerfьhrung individuell anpassen. Da die Programmdateien nur selten im Quelltext vorliegen, geht so etwas nur ьber „Reverse-Engineering"-Methoden. Dabei wird die Datei in ihren Assembler-Code zerlegt und dann mit JIT-Debuggern (Just In Time) Schritt fьr Schritt durchlaufen, bis die Stelle gefunden ist, an der die gesuchte Blockade auftritt. An dieser Stelle muss der Code angepasst und neu assembliert werden. Voraussetzung sind neben Intuition einige Assembler-Kenntnisse. So arbeiten Cracker: Wir wollen das anhand eines Beispiels demonstrieren.
Da zum Beispiel der Eingriff in eine Systemdatei von Windows die Urheberrechte von Microsoft verletzt, haben wir selbst die kleine EXE-Anwendung "CrackMe" programmiert, an der Sie diese Methode ausprobieren kцnnen. Zusдtzlich brauchen Sie nur noch den JIT-Debug-gerOllydbg.
Demonstration im Video: Wenn Sie die folgende Beschreibung Schritt fьr Schritt nachvollziehen wollen, sehen Sie sich unser Flash-Video an.
So lдuft es ab: Wenn Sie die CrackMe.EXE per Doppelklick aufrufen, erscheint zunдchst eine Dialogbox. Nach einem Klick auf „OK" sehen Sie eine weitere Box mit einem Fortschrittsbalken, symbolisch fьr eine beliebige laufende Anwendung. Noch ein Klick auf „OK" beendet das Tool. Ziel ist es nun, die erste Dialogbox zu ьberspringen, so dass die Anwendung ohne Zwischenabfrage gestartet wird.
1. Starten Sie dazu Ollydbg, und laden Sie von dort aus die pcwCrackME.EXE. Nachdem die EXE disassembliert wurde, wird im Hauptfenster „CPU - main thread" die Zeile mit dem Einsprungpunkt markiert.
2. Wenn Sie nun <Strg>-<F8> drьcken, wird der Code Schritt fьr Schritt abgearbeitet, bis die Dialogbox erscheint. Aktivieren Sie nun wieder das Hauptfenster, und setzen Sie mit <F2> einen „Breakpoint" auf die markierte Zeile, die einen „Call"-Befehl enthдlt. Eine solche Markierung unterbricht die Code-Ausfьhrung beim nдchsten Mal, bevor diese Zeile abgearbeitet wird.
3. Mit <Strg>-<F2> gehen Sie nun wieder zum Anfang und drьcken <Strg>-<F8>. Die Ausfьhrung unterbricht diesmal am Breakpoint.
Der „Call"-Befehl verrдt Ihnen, dass hier eine Unterroutine ausgefьhrt wird. Mit<Strg>-<:F8> lassen Sie diese erneut bis zum Erscheinen der Dialogbox durchlaufen. Setzen Sie wieder einen Breakpoint, und zurьck geht's zum Start.
4. Wiederholen Sie den Vorgang, bis Sie eine Zeile erreichen, in der der Befehl „Message-BoxA" aus der User32.DLL aufgerufen wird. Hier verlдsst die Anfrage den Code von pcw-CrackMe, also mьssen Sie sie kurz vorher umlenken. Fьnf Zeilen weiter oben finden Sie eine passende Sprungmarke. Sie erkennen sie am Befehl „JMP". Setzen Sie auf diese Zeile einen Breakpoint, und durchlaufen Sie die gesamte Prozedur noch einmal.
5. Wenn die Ausfьhrung am letzten Breakpoint angekommen ist, klicken Sie doppelt auf den Befehl, um ihn anzupassen. Der nдchstliegende Schritt ist, einfach ьber den Befehl „Mes-
sageBoxA" hinwegzuspringen. Also geben Sie statt „JMP SHORT 00408B08" den Befehl „JMP SHORT 00408B19" ein - die Nummer entspricht der Zeilennummer nach dem Aufruf des zu ьberspringenden Befehls. Klicken Sie dann auf „Assemble" und „Cancel", und lassen Sie den Code mit <Strg>-<F8> weiterlaufen. Die Dialogbox erscheint zwar nicht, dafьr erhalten Sie eine Fehlermeldung beim Befehl „Retn". Hier fehlt die Adresse, bei der die Ausfьhrung des Codes fortgesetzt werden soll. 6. Das Sprungziel funktioniert also nicht: zweiter Versuch. Sie kцnnen jetzt probieren, die gesamte letzte Unterroutine zu ьberspringen, indem Sie als Sprungziel die Zeile angeben, die auf jenen „Call" Befehl folgt, der die aktuelle Unterroutine gestartet hat. Dabei handelt es sich es sich also um die Zeile nach dem vorletzten Breakpoint. Lassen Sie den Code noch einmal von vorn durcharbeiten, und notieren Sie sich die Zeilennummer nach dem vorletzten Breakpoint (0040810A). Tragen Sie beim letzten Breakpoint statt „JMP SHORT 00408B08" „JMP LONG 004081OA" ein, und lassen Sie weiterlaufen. Siehe da: Das funktioniert. :twisted:[/b]