Date : 25/09/94
Protection : CLEF PHYSIQUE
Programme : MEMOTEL WINDOWS V2.0 FR
Outils : SOFT-ICE V2.64, HEXUTIL V3.32
Fichier : MEMOTEL.EXE
Temps pass� : 20 minutes
Soci�t� : GOTO Informatique
Origine : S.D.
Divers : En clair.
Num�ro : 251
Mon premier crack sous WINDOWS, et une clef physique en plus.
Je vais m'octroyer un verre de vodka finnoise tout � l'heure.
Je commence � repasser la r�solution de WINDOWS en VGA standard
afin de faire fonctionner S-ICE correctement.
Et un BPIO 379 R pour commencer.
A partir de l� S-ICE resurgit et je "disable" le point d'arr�t pour
prendre du champ avec F10. Je fais quelques essais par ci par l�
lorsque je remarque des tests curieux pr�c�dent des XOR ax,ax ou bien
mov ax,1. Mais rien n'y fait apparemment.
Je d�cide d'examiner la fen�tre du message d'erreur. Apr�s son
affichage le programme refait un test puis continue. Las je n'y crois
pas beaucoup mais cel� ne coute rien: je force le test suivant le call
de la fen�tre et.... les menus de memotel apparaissent !
0967:00003986 CALL 2A07:254F call de la fen�tre.
:0000398B ADD SP,+04
:0000398E OR AX,AX
:00003990 JNZ 3995 ---> Saut vers le programme.
:00003992 JMP 3AB6 ---> Sort vers WINDOWS.
Il suffit donc de rechercher la chaine: 83C4040BC07503E92101
Et de modifier : ..........EB........
Nota: cette chaine est pr�sente deux fois. ( je ne l'ai trouv�
qu'une fois avec S-ICE mais probablement le test doit �tre reproduit
ailleurs ) J'ai donc modifi� les deux instances.
Quelqu'un sait-il comment faire afficher � S-ICE les valeurs hexa
des instructions ? Ok. �a y est : CODE ON !
Ci-dessous l'endroit physique o� l'on trouve les deux chaines.
Une chose int�ressante c'est que sous WINDOWS aussi bien le segment
CS que le segment IP n'est pas initialis� ! ( voir second hit )
Ce qui fait qu'il est difficile d'enlever le call responsable de
l'affichage puisque les quatres octets du code sont re�crit !
Premier hit:
58870 octets ont �t� lu du fichier MEMOTEL.EXE
Cha�ne recherch�e : 83 C4 04 0B C0 75 03 E9 21 01
Chaine trouv�e : 83 C4 04 0B C0 75 03 E9 21 01
� � � u � !
Fichier MEMOTEL.EXE
Egalit� trouv�e � l'offset HEXA: 0CB8B DEC: 052107
R�f�rence PCTOOLS Secteur: 101 D�p: 395
Second hit:
153062 octets ont �t� lu du fichier MEMOTEL.EXE
Cha�ne recherch�e : 9A �� �� �� �� 83 C4 04 0B C0 EB 03 E9 21 01
Chaine trouv�e : 9A FF FF 00 00 83 C4 04 0B C0 EB 03 E9 21 01
� � �
Fichier MEMOTEL.EXE
Egalit� trouv�e � l'offset HEXA: 23BE4 DEC: 146404
R�f�rence PCTOOLS Secteur: 285 D�p: 484
Freddy
|
