книги хакеры / журнал хакер / 107_Optimized

Анонимность в пиринговых сетях — залог спокойствия :)

Задача: незаметно и безопасно качать файлы из пиринговых сетей с помощью DC++.

Решение:

Для примера возьмем одну из файлообменных пиринговых (peer-to-peer) сетей и рассмотрим настройки ее клиента. Direct Connect — это пиринговая сеть, в основе работы которой лежит файлообменный протокол,

№8

Переведенный на русский язык заголовок окна плеера 1by1

Задача: перевести на русский язык текстовую строку в модной программе The Directory Player.

Решение:

Для примера возьмем строку «1by1 » в заголовке окна миниатюрного плеера 1by1.

1.Открываем файл в шестнадцатеричном редакторе WinHex.

2.В меню выбираем «Search Find Text».

3.Вполепоискавводим:«1by1—TheDirectoryPlayer»,вполекодировки выбираемASCII(довольночастострокихранятсяименновэтойкодировке).

xàêåð 11 /107/ 07

разработанный фирмой NeoModus. Прог для работы с этими сетями написано много, у большинства из них открытый код. Но, несмотря на их большое разнообразие, все они похожи, так как являются доработанными версиями одного из самых первых клиентов для сетей Direct Connect

— DC++. Таким образом, у всех клонов DC++ будут схожие настройки. 1.Защищаемся носками :).

Последние версии DC++ поддерживают работу с Socks 5. Запускаем DC++, открываем «FileSettings». В появившемся меню выбираем Connection Settings. Переставляем переключатель на самый нижний пункт SOCKS5, после чего нам дают возможность вбить IP сокса (Socks IP), порт (Port), логин (Username) и пароль. Ни для кого не секрет, что отыскать бесплатный сокс несложно, но тут стоит задуматься о скорости закачки. Не забываем также проверить, поставлена ли галочка напротив Use SOCKS5 server to resolve hostnames («Использовать сервер SOCKS5 для обработки хостов»). 2.Усиливаем защиту.

В этом же окошке Settings выбираем Advanced. Перед нами список дополнительных настроек DC++, где включенные опции помечены галочками. Проверяем наличие галочки напротив «Enable safe and compressed transfers» («Разрешить защищенные передачи и передачи со сжатием»). Таким образом повышаем безопасность и скорость передачи файла. Если галочка не поставлена по умолчанию, ставим. Далее снимаем галочку с опции «Add finished files to share instantly», то есть запрещаем добавлять скачанные файлы в шару. Тем самым мы убираем от посторонних глаз полученные файлы у себя на компе. Осталось сделать пару штрихов, чтобы устранить всякое присутствие следов закачки. Отключаем опцию «Don’t delete file lists when exiting». После выключения DC++ все скачанные файл-листы (списки расшаренных файлов удаленного пользователя) будут автоматически стираться. По умолчанию они сохраняются в папку FileLists в рабочем каталоге DC++. Последней нашей настройкой будет отключение логирования закачек. Для этого перейдем в «File Settings Logs» и снимем галочку с пункта Log downloads.

3.Меры по защите приняты. Теперь можно безопасно скачивать нужную инфу.

4.Строчка «1by1 — The Directory Player» встречается в программе несколько раз (это можно проверить, продолжив поиск по <F3>), поэтому придется перевести все ее вхождения. Как это делается? Заменить строку русским аналогом («Суперпроигрыватель» :)) проще всего путем редактирования

вокне ASCII-дампа (справа от области шестнадцатеричного дампа), забив лишние байты пробелами. После замены сохраняй файл и смотри на плоды своего труда.

Если ты имеешь дело со строкой в кодировке Unicode, то все немного сложнее. Как ты заметил, каждый символ в Юникоде кодируется двумя байтами, причем в случае символов английского алфавита второй байт является нулевым. В такой ситуации заменяй символы, не трогая нулевые байты

(они отображаются точками).

Альтернатива:

Если ты опасаешься навороченности и сложности WinHex, можно воспользоваться любым редактором ресурсов, например Restorator (www.bome. com/Restorator/download.html) или же простейшим ResHack (www.toksin. ru/prog/ut/ResHacker.exe). Вот пример того, как выполнить нашу задачу, используя утилиту Restorator.

1.Открываем распакованный файл.

2.Выбираем из иерархического древа узел «Dialog -> 200» (в других версиях номер ресурса может быть и не 200, все зависит от версии программы; главное — отыскать в подпапке Dialog форму, представляющую собой основное окно программы с заголовком «1by1 — The Directory Player»).

3.Нажимаем кнопку Edit Mode (или клавишу <F6>) для редактирования нашего ресурса.

4.В поле Caption вводим перевод нашей строки. Далее выбираем «File  Save As», подтверждаем изменения и сохраняем файл под другим именем. P.S.Незарегистрированная версия Restorator делает вышеописанное криво, вдобавок дополняя все заголовки окон ссылками на сайт своего производителя. Так что лучше либо разжиться регистрацией, либо пользоваться ResHack (он бесплатен). z

049

как на рисунке.

Распаковка msxml3.pd_ в msxml3.pdb.

msxml3.pd_: 791399 байт распаковано в 3138560 байт,

увеличение на 296%.

Сразу же после распаковки нажимаем OK и видим, как IDA Pro выводит перечень загружаемых символов. А выводит она их так долго, что возникает соблазн попить пива, чтобы не расслабляться.

Короче, нашли мы приключения на свою задницу! И как теперь предполагается искать substringData в дизассемблированном листинге? Обычно это делается по <Shift-F4> (List of names), но только не в этом случае, поскольку сейчас кроме метода нам еще необходимо указать класс, к которому он принадлежит, а вот класса мы как раз и не знаем. «File Produce output file Produce MAP file» — и вот теперь в сгенерированном map-

файле можно искать substringData тривиальным контекстным поиском через FAR или любой другой редактор по вкусу:

ПоискфункцииsubstringData вmap-файле

Ага, правильное имя нашей подопечной оказывается W3CDOMWrapper:: substringData, так что теперь можно смело жать <Shift-F4> и писать его. Искомая функция обнаруживается по адресу 72EB7440h. Запомним его, так как он нам впоследствии очень пригодится.

Дизассемблированныйфрагментфункции

W3CDOMWrapper::substringData

.text:72EB7440 ; public: virtual long __stdcall W3CDOMWrapper::substringData()

.text:72EB7440 ?substringData @W3CDOMWrapper@@

Теперь неплохо было бы проанализировать функцию байт за байтом в поисках ошибок, приводящих к переполнению. Учитывая размер функции, времени на это уйдет порядочно. Но мы же хакеры, поэтому выбираем намного

Отладчик послушно всплывает в момент вызова функции

W3CDOMWrapper::substringData

более быстрый путь. Устанавливаем точку останова на W3CDOMWrapper:: substringData и трассируем функцию под отладчиком, дожидаясь вылета исключения, после которого мы будем точно знать, где порылась собака или другое парнокопытное.

Казалось бы, в чем проблема? Вводи BPX 72EB7440 — и можно курить дальше. Короче, запускаем IE (без эксплойта!!!) и, пока он загружает домашнюю страницу, быстро жмем <Ctrl-D>, чтобы успеть очутиться в контексте IE, а не псевдопроцесса Idle (имя которого SoftICE высвечивает в правом нижнем углу). Вообще-то, можно дать команду ADDR IEXPLORE, переключающую контекст вручную, но она не всегда срабатывает, как ты этого ожидаешь, поэтому первый метод надежнее. Итак, будем считать, что мы находимся в контексте IE. Даем команду u 72EB7440, чтобы дизассемблировать функцию W3CDOMWrapper::substringData, и нас ожидает жестокий облом, поскольку эта функция еще не загружена и соответствующий ей регион памяти не выделен, а потому вместо дизассемблерных инструкций отладчик пишет

«INVALID».

Можно ли сейчас отдать команду BPX 72EB7440 в надежде, что, когда функция загрузится, точка останова сработает? А вот и нет! BPX подразумевает внедрение программной точки останова, которой соответствует машинная команда CCh, а ее внедрять пока что не во что (память-то не выделена), да и все равно она будет затерта при загрузке функции в память. На самом деле необходимо устанавливать аппаратную точку останова на исполнение, что делается так: BPM 72EB7440 X. После этого можно смело вы-

Поиск динамической библиотеки по названию ActiveX-компонента с помощью редактора реестра

ходить из отладчика, загружать в IE наш эксплойт, и отладчик послушно всплывет в момент вызова функции W3CDOMWrapper::substringData.

Половинуработыможносчитатьсделанной.Теперь,нажимая<F10>(Step Over),трассируемфункциюбеззаходавдочерниефункции,дожидаясь возникновенияисключения.Долгождатьнеприходится,ипривыполнении

String::substring(int,int),расположеннойпоадресу72EB74FBh,происходит крэш.

Дизассемблированныйфрагментфункции

W3CDOMWrapper::substringData

Выходим из отладчика, позволяя ему завершить процесс IEXPLORE.EXE, и повторяем всю процедуру вновь, только на этот раз при достижении функции String::substring(int,int) нажимаем не <F10>, а <F8> (Step into),

чтобы войти внутрь нее и посмотреть, что интересного тут происходит:

Дизассемблированныйфрагмент функцииString::substring(int,int)

;String::newString(ushort*,int)

Апроисходит тут, собственно, следующее. При достижении функции String::newString(ushort*,int), которой в качестве параметра int передается значение 7FFFFFFFh в регистре ESI, возникает исключение, что совсем неудивительно, поскольку создать строку такого огромного размера, прямо скажем, затруднительно.

Что ж! Дизассемблируем саму функцию String::newString, где происходит финальное исключение. После нескольких незначащих проверок мы видим следующее.

054

Код функции W3CDOMWrapper::substringData до загрузки ActiveX-библио- теки Microsoft.XMLDOM

ДизассемблированныйфрагментфункцииString:: newString

Авот и машинная команда REP MOVSW. Именно она и вызывает исключение! Бесконтрольное копирование памяти без каких бы то ни было проверок позволяет затирать служебные указатели строго дозированным образом, передавая управление на свой собственный shell-код по обычной методике переполнения кучи, которая здесь не рассматривается. То, что это куча, а не стек, видно из того, что память выделяется оператором new (на приведенных выше фрагментах он отсутствует). С другой стороны, выделенные адреса (куда осуществляется копирование строки) относятся к динамической памяти, что легко узнать, посмотрев на карту.

Подводя итоги, мы не без гордости можем сказать, что не только научились отлаживать ActiveX-компоненты, не только познакомились с файлами отладочных символов, но еще и освоили общие принципы исследования программ без исходных текстов. Кстати, если добавить в функцию substringData() дополнительную проверку (стартовая позиция плюс количество извлекаемых символов должно быть меньше или равно длине строки), что осуществляется прямо в hiew’е (место для нескольких машинных команд найти нетрудно), то можно отказаться от заплатки MS. Хотя при этом с цифровой подписью придется распрощаться, и ActiveX-компонент потребуется подписывать заново, используя свою собственную подпись.

Аона денег стоит! Как вариант — можно править функцию прямо в памяти, но для этого придется отслеживать ее загрузку, что уводит нас в дремучие дебри online patch’а, о котором мы поговорим в другой раз. z

xàêåð 11 /107/ 07