книги хакеры / журнал хакер / специальные выпуски / Специальный выпуск 66_Optimized

Листинг 3. Проверка регистрации при старте

.text:0001113C

BL

sub_190D8

;

[функция проверки регистрации]

.text:00011140

ANDS

R3,

R0, #0xFF

;

[зарегистрирована ли

программа?]

.text:00011144

BNE

loc_11184

; [нет — вывод диалога, да — переход]

.text:00011148

LDR

R5,

=unk_29AA0

.text:0001114C

MOV

R2,

#5

;

lpType

.text:00011150

MOV

R1,

#0x75 ; 'u'

;

lpName

Официальный сайт PhonTuner'a

.text:00011154

LDR

R0,

[R5]

;

hModule

.text:00011158

BL

FindResourceW

.text:0001115C

MOV

R1,

R0

;

hResInfo

.text:00011160

LDR

R0,

[R5]

;

hModule

остается написать патч. Как уже было сказа-

.text:00011164

BL

LoadResource

но, inline-патч должен быть запущен перед перехо-

.text:00011168

MOV

R3,

#0

дом на OEP (Original Entry Point), но в нашем слу-

.text:0001116C

LDR

R2,

[R4]

;

hWndParent

чае EP (Entry Point) = OEP. Откуда же его вызы-

.text:00011170

MOV

R1,

R0

;

hDialogTemplate

вать? Можно, конечно, поколдовать с самим фай-

.text:00011174

STR

R3,

[SP,#0x48+wRemoveMsg]

лом: добавить новую секцию (с патчем), изменить

.text:00011178

LDR

R3,

=sub_117E0

;

lpDialogFunc

параметр AdressOfEntryPoint в PE-заголовке, ука-

.text:0001117C

LDR

R0,

[R5]

;

hInstance

зав на эту секцию, и потом из тела патча переда-

.text:00011180

BL

DialogBoxIndirectParamW

вать управление непосредственно на начало про-

.text:00011184

граммы в основной секции кода. В предложенном

.text:00011184

loc_11184

; CODE XREF: WinMain+C0 j

способе плохо только то, что придется вносить

.text:00011184

;

WinMain+184 j

значительные модификации в файл (получив, как

.text:00011184

MOV

R3,

#0

;

wMsgFilterMax

следствие, изменение размеров и смешение сек-

ций), чего как раз не хотелось бы. У меня же роди-

Листинг 4. ARM-код inline-патча

лась идея заменить первый в программе BL-пере-

.0001D840

STMFD

SP!,

{LR}

[сохраним адрес возврата в стеке]

ход (Branch with Link) на вызов нашего inline-патча

0001D844

STMFD

SP!, {R0-R3}

[сохраним параметры затертой функции]

и уже из него (после того как основной код будет

0001D848

MOV

R0, #0xEA

[опкод безусловного перехода]

исправлен) передать управление функции, вы-

0001D84C

LDR

R1, =0x18DEF

[адрес перехода

таймера]

зываемой в оригинале. Конечно, звучит немного

0001D850

STRB

R0, [R1]

[замена

байта в

памяти]

странно и сложновато, зато интересно с точки

0001D854

LDR

R1, =0x11147

[адрес вызова диалога]

зрения реализации.

0001D858

STRB

R0, [R1]

[замена

байта в

памяти]

Для начала определимся с местом располо-

0001D85C

LDMFD

SP!,

{R0-R3}

[восстанавливаем

параметры функции]

жения нашего собственного кода. Видимо, после

0001D860

BL

_cinit

[вызов

затертой

функции]

основного кода, перед секцией импорта. Для того

0001D864

LDMFD

SP!,

{PC}

[возвращаемся обратно]

чтобы узнать адрес последней инструкции, в ли-

стинге IDA перейдем на начало секции импорта

Листинг 5. HEX-код inline-патча

(она находится по адресу 1E000). Смотрим выше и

.text:0001D840 00 40 2D E9 0F 00 2D E9 EA 00 A0 E3 14 10 9F E5 .@-ù¤.-ùú.àó¶ ßõ

видим, что секция кода заканчивается адресом

.text:0001D850 00 00 C1 E5 10 10 9F E5 00 00 C1 E5 0F 00 BD E8 ..+õ

ßõ..+õ¤.-ø

1D830. Отступим немного и определим начало

.text:0001D860 A1 FF FF EB 00 80 BD E8 EF 8D 01 00 47 11 01 00 á û.À-øÿÍ .G .

патча на адрес 1D840. Теперь запустим любой ре-

дактор PE, где в конверторе из этого RVA получим

Листинг 6. Сравнение оригинального и пропатченного файлов

File offset. Получается, CC40.

000001D8:

30 70

[размер

секции]

Наконец-то пришла пора разработки тела in-

000001F7:

60 E0

[атрибут is writeable]

line-патча. Здесь советую уделить особое внима-

0000CA0C:

36 8B

[переход на inline-патч]

ние сохранению параметров функции в стеки при

0000CC40:

00000000 00402DE9

[непосредственно

код патча]

входе в подпрограмму (Prolog) и их восстановле-

0000CC44:

00000000 0F002DE9

[STMFD

SP!, {LR}]

нию из стека (Epilog) при выходе из подпрограммы.

0000CC48:

00000000 EA00A0E3

[STMFD SP!, {R0-R3}]

Дело в том, что архитектура ARM поддерживает

0000CC4C:

00000000 14109FE5

[MOV

R0, #0xEA]

множество способов укладывания данных в стек, и

0000CC50:

00000000 0000C1E5

[LDR

R1, =0x18DEF]

если не понимать разницу между ними, быстро за-

0000CC54:

00000000 10109FE5

[STRB

R0, [R1]]

путаешься и приведешь свой КПК к HardReset.

0000CC58:

00000000 0000C1E5

[LDR

R1, =0x11147]

В итоге, после некоторых усилий, зависящих

0000CC5C:

00000000 0F00BDE8

[STRB

R0, [R1]]

от того самого пухленького багажа знаний, должно

0000CC60:

00000000 A1FFFFEB

[LDMFD SP!, {R0-R3}]

получиться нечто, похожее на код из листинга 4.

0000CC4B:

00000000 0080BDE8

[BL

_cinit]

Если выбросить команду «BL _cinit» или заме-

0000CC4C:

00000000 EF8D0100

[адрес

00108D3F]

нить ее на какой-либо другой вызов, можно скомпи-

0000CC4D:

00000000 47110100

[адрес

00011147]

лировать эту программу и таким образом получить

опкоды. Затем вырезать его в HEX-редакторе и по-

местить в жертву по уже оговоренному адресу

CC40. Разумеется, профессионалы обойдутся и без

таких действий и запишут опкоды сразу, по памяти.