逆商業開発：Zuma Deluxeのkeygen

エントリー

こんにちは、Habralumi。
最新のアセンブラーのブログ投稿から判断すると、keygenテーマはここで非常に人気が高まっています。 まあ、私は私の5セントをもたらします。
今日の実験テーマはZuma Deluxeゲームです。これは自分でkeygenをGoogleで検索することはできませんでした（私はゲーマーだとは思わないでください。 免責事項：最初から最後までのこのハックは教育目的で行われたものであり、会社PopCap Gamesの損失を招くことを意図したものではありません。
Zumaディストリビューションをグーグルでダウンロードしてダウンロードし、 OllyDBGを戦闘準備状態にして、分析を開始します。
はい、事前に予約します。しばらくの間、私はLinuxoidで自分自身を黙らせるので、この喜びはすべてWINEの下から始まります。 ただし、このタスクには、通常のテキストファイルに保存されるため、エントリの編集やWINEレジストリの変更の追跡が簡単になるなど、このタスクには利点があることに注意してください。

パート1：陰湿なフラッシュ

一般的に、ゲームを開始し、予想よりも長くプレイします（またはすぐにHKLM / Software / PopCap / Zumaレジストリブランチに登り、TimesExecutedおよびTimesPlayedキーにゼロを設定します）-そして出来上がり：



OK、[今すぐ購入]を選択し、ポップアップブラウザウィンドウを閉じて、悲惨な16.99ユーロでこのようなゲームを購入するというオファーを表示し、[登録キーを手動で入力]を押します。



したがって、入力フィールド。 すでに踊ることができるものから。 予想どおり、「有効なキーを入力してください」というメッセージが表示され、何が何であるかがわかります。 思慮深い検査で警告する最初のことは、ゲームのビナーのすぐ横にあるフォルダー内の存在です.2つのファイルがプログラムでのFlashテクノロジーの使用を示唆しています：実際には、Flash.ocxとdrm.swf ...どうやら、ブラウザーを閉じるのに時間がかかる可能性があります。 OK、このdrm.swfを開きます。



キーを登録するための魅力的なシェル全体は、結局のところ、同じ.SWFファイルで作成されています。 検証コード自体は同じ場所にあるのでしょうか？ 見てみましょう。 ActionScriptデコンパイラ（たとえば、 Flareを使用しました）を取得し、drm.swfからソースコードを取得します。
そこにコンパイルしたものを見ます。 遅かれ早かれ、この興味深い行に出くわします。

gFrameLabels[4] = 'RegFailed'; 

「RegFailed」で検索し、このコードブロックに戻ります。

  if (_root.RegCodeEdit.text.length >= 23 && _root.validate_regkey(_root.RegCodeEdit.text)) { _root.APError.text = ''; gRegFailedHeader = gHeader_RegFail; gRegFailedMessage = gMessage_RegFail; gRegFailedRetryLocation = 'APScreen'; fscommand('Register', _root.RegCodeEdit.text); } 

ここにある。 正しいキーは23文字の長さで（テキストフィールド自体を入力することができなくなります）、 validate_regkey（）が True を返すように強制し ます 。 コードの同じブロックでgRegFailedMessageが発生するような「怖い」値の初期化が行われるという事実は無視できます。 ここでは、それらに関係なく、フラッシュオブジェクトからfscommand（）を介してデータが親プロセスに転送されます。
ここで、 validate_regkey（）関数自体を使用します。 ここに全体があります：

  function validate_regkey(string) { if (string.substr(5, 1) == '-' && string.substr(11, 1) == '-' && string.substr(17, 1) == '-') { char = new Array(); k = 0; while (k <= string.length - 1) { char = string.slice(k, k + 1); if (char == '0' || char == '1' || char == '2' || char == '3' || char == '4' || char == '5' || char == '6' || char == '7' || char == '8' || char == '9' || char == 'A' || char == 'B' || char == 'C' || char == 'D' || char == 'E' || char == 'F' || char == 'G' || char == 'H' || char == 'I' || char == 'J' || char == 'K' || char == 'L' || char == 'M' || char == 'N' || char == 'O' || char == 'P' || char == 'Q' || char == 'R' || char == 'S' || char == 'T' || char == 'U' || char == 'V' || char == 'W' || char == 'X' || char == 'Y' || char == 'Z' || char == 'a' || char == 'b' || char == 'c' || char == 'd' || char == 'e' || char == 'f' || char == 'g' || char == 'h' || char == 'i' || char == 'j' || char == 'k' || char == 'l' || char == 'm' || char == 'n' || char == 'o' || char == 'p' || char == 'q' || char == 'r' || char == 's' || char == 't' || char == 'u' || char == 'v' || char == 'w' || char == 'x' || char == 'y' || char == 'z' || char == '-' || char == ' ') { if (k == string.length - 1) { result = 'Thank you for submitting !'; return true; } } else { result = 'Unauthorized character ' + char; return false; } ++k; } } else { result = 'Error in delimiters'; return false; } } 

まあ、中央監査は明白な傑作です。 おそらくgovnokod.ruに投稿する必要がありますが、まあ、私たちはここで楽しいことをするつもりはありません。 主なことは、この関数がライセンスキーの構造を提供したことです。

#####-#####-#####-#####
ここで、＃はアルファベット「0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz-   「。
正確に23文字。

もう一度考えてみると、プログラム自体の中の正しい文字のセットはわずかに減ると思います。 しかし、今のところ、それは私たちに違いをもたらしません。 OllyDBGを起動し、実験にロードします。 それを起動し（F9）、メインウィンドウが描画されるまで待ちます。
さらに掘る場所は？
「Register」行に等しい最初のパラメーターで見つかったfscommand（）呼び出しを覚えていますか？
したがって、メモリマップ（Alt + M）を開き、この行のエントリを探します（Ctrl + B）。 そして、ここで彼女は、 0x4417D0で自分自身に横たわっています ：



その上にブレークポイントを配置します（選択→Shift + F3）。 次に、確認ウィンドウで、「このゲームを既に購入しましたか？」→「登録キーを手動で入力します」の下のリンクをクリックし、キーフィールドに英数字のゴミをハイフンで区切って5文字の4ブロックに入力します。 「登録」をクリックします。

パート2：より深くする必要がある

それで、ついに検証アルゴリズムの内部に入りました。 メモリのコントロールポイントのリストに移動し、 0x4417D0 （Alt + Y→Del）を削除し、関数の最後まで実行（Ctrl + F9）します。 そこには私たちにとって興味深いものはなく、比較サイクルだけがあり、呼び出し関数（F8）に戻り、返された結果のチェックが表示されます。 繰り返しますが、関数の最後まですべてスキップして、呼び出し元に戻ります。



うん！ そして今、私たちはライセンスキーアナライザーの中心にいます。 この場所を忘れないように、 0x04066CAにコントロールポイント（F2）を配置して見回してください。 少し下（ 0x406757および0x4067A8 ）では、非常に興味深い文字列パラメーター「RegSucceeded」および「RegFailed」を持つ関数呼び出しを見ることができます。 また、上位（ 0x406748 ）は、制御を目的の機能に転送するブランチです。 この分岐は、ALレジスタとBLレジスタの比較（ 0x40672D ）に関連付けられています。 先にさらに2つのコマンドによって呼び出された関数0x404260は 、まさに私たちが探していたもの、つまり 最も重要なチェック機能。

まず、推測を確認しましょう。間違ったソースデータで比較が真になるように比較を変更します。 選択範囲を0x406748に向け、スペースバーを押します。 「アセンブル」ウィンドウが開きます。 遷移を等式、JE、不等式、JNEによる遷移に置き換えます。 実行（F9）...



ほら、最初の要塞がとられます！
しかし今、私たちは単なる亀裂ではなく、非常に重要な情報を書いています。 そして、これは達成されたもので停止するには早すぎることを意味し、プログラムを再起動（Ctrl + F2）し、 0x404260関数の腸を掘り下げる必要があります。

ここでのタスクは、ALおよびBLレジスタがこの関数内でどのように動作するか、およびそれらの等価または不等価の原因となるコードが正確にどこにあるかを理解することです。
関数の「テール」の出口ポイントRETNの近くに移動し、BLレジスタのバックライトをオンにします（コンテキストメニュー→レジスタを強調表示→EBX）。



ご覧のとおり、ALレジスタの内容は「テール」のほぼ全体にわたってBLに格納され、出口の直前にコピーバックされ、スタックから元のEBX値がさらに復元されます。
さらに、AL値自体は、選択のマークが付いた上の図の関数から取得されます。
この関数の内部に入ります-そして何が見えますか：



この関数には2つの出力値（0と1）しかありません。最初の関数は、関数パラメーターとして渡された構造体へのポインターであるバイト文字列が、ポインターが[ECX + 8]にある文字列と一致しない場合に生成されます。 2番目（必要なもの）は反対の状況です。 文字列が同一の場合。

パート3：MD5、RSA、およびすべてすべて

親関数に戻り、[ECX + 8]と[ARG.1 + 8]の値がどこから来るかを見てみましょう。
これを行うには、これらの行を配置するスタック内の2つのアドレスに「ハードウェア」ブレークポイントを配置（選択→Shift + F5）します。 異なるマシン構成およびオペレーティングシステムでは、これらのアドレスは異なる可能性があります。 したがって、私の場合、これらは0x33E624と0x33E660です （一般に、写真のように、上部のESPの位置に関係なく、スタックの状態を示す追加のウィンドウをサイドに表示することをお勧めします）。
これらのコントロールポイントは、次のようにハードウェアベースでなければなりません。 他のタイプのコントロールポイントは、スタックに配置されると、プログラムの「クラッシュ」につながるか、開始間で保存されません。 今のところ、これらのポイントを非アクティブにする必要があります（コンテキストメニュー→ブレークポイント→ハードウェアの無効化）。

プログラムを再起動し、メインスキャン機能（ 0x404260 ）の入り口で停止します。 ブレークポイントをそこに置き、関数を1行ずつ（F8）トレースし、2つのハードウェアブレークポイントの状態を監視します。 トレースは、行0x404546まで両方の値が変わらないことを示しています。 しかし、それはもっと面白いです。

0x404546から直接呼び出される関数は、 0x41E320関数を起動するための「踏み台」であるため、興味深いことは何もありません。 0x41E320にブレークポイントを設定し、F9を押します。
現時点では、スタックには奇妙な、しかしそれでも印刷された文字（たとえば、A ..... 6..O6NBBO .... E4GXF3O0 ..）と改行文字で構成される行があります。接尾辞ZUMA。 さらにトレースし、 0x41E37Fで得点します ：



まあまあ ...はい、これらはMD5アルゴリズムの初期化ベクトルです ！
MD5。 それは良いです。 これで、残りの関数コードの分析は簡単で気楽になりました。

• 0x41E320-0x41E397 ：結果のデータ初期化とメモリ割り当て
• 0x41E39B - 0x41E3C3 ：上記の行からのMD5ハッシュの計算と、結果へのリンクを含む構造の準備（以下、「フレーム」と呼びます）
• 0x41E3C5-0x41E408 ：結果として後方にバイトを再配置するサイクル
• 0x41E40A - 0x41E424 ：関数の4番目のパラメーターが固定されている（0x5E）ため、常にtrueになることが確認されます。
• 0x41E426-0x41E474 ：前のチェックにより実行されないコード
• 0x41E476-0x41E4B5 ：128ビットMD5ハッシュの96ビットへの「トリム」機能。 出口関数

次に、最初のハードウェアブレークポイントを見てみましょう。



私が言ったように、このような5つの意味の構造は、後に「フレーム」と呼ばれます。

• 最初のDWORDは変更されず、常に0x44543Cです
• 2番目のDWORDの目的は明確ではありません（はい、一般的には、後で重要になるため、特に重要ではありません）
• 3番目のDWORDは、バイト文字列が保存されているメモリ内のアドレスです
• 4番目のDWORDは、「有効な」長さをWORDで設定します（つまり、文字列からのWORDがさらに計算に使用される数）
• 5番目のDWORDは、「合計」長さをWORDで設定します（つまり、行を配置するために最初に割り当てられたWORDの数）

したがって、私たちがたった今トレースした手順を実行した後、最初のフレームはすでに満たされています。 つまり、すでに行の1つがあり、条件付きで「参照」と呼びましょう。これは、まだ計算していない0x40454F - 0x40458Cの行と比較されます。

ここで、関数0x41E5A0が呼び出される行0x404560を詳しく見てみましょう。
この機能は非常に長くて恐ろしいですが、ここでは、長くて恐ろしいことを簡単で理解しやすくするためにここにいます。 この関数は、当社が入力した登録キーの文字列を処理し、それを数え直します。

• 0x41E5A0-0x41E608 ：初期化、メモリの割り当て、例外ハンドラーのインストール
• 0x41E60B - 0x41E6EF ：文字列の文字を大文字に変換し、「1」を「L」に、「O」と「0」を「Q」に置き換えるサイクル
• 0x41E6F5-0x41E70A ：2番目のサイクルの準備
• 0x41E710-0x41E7E4 ：28進数システム（最初の文字は最下位、最後は最高）からの変換の原則に従って番号を構築する2番目のサイクル、文字セット「234679ACDEFGHJKLMNPQRTUVWXYZ」、ハイフンを無視し、現在の文字がない場合はエラーをスローするセットで
• 0x41E7EA - 0x41E844 ：結果のコピー、一時バッファーの解放、終了
• 0x41E845-0x41E874 ：2番目のサイクルでエラーがスローされた場合に実行される「テール」

素晴らしい、文字列は数値に変換され、今私たちはそれを使って何かをしています。

大切な瞬間まで、逆のことが行われたと言えば、 0x41E100 （ 0x40458Cからの呼び出し ）の関数が1つしか残っていませんでした。

さて、ここでアセンブラーリストの読み取りとデコードについて悩むつもりはありません。ある友人が、それを逆アセンブルし始めた頃には、指定された実装ではなくても、非常に早い段階でネットワークにリークしていたPopCapのソースコードを投げました機能しますが、少なくともその名前。 一般に、 ドラムロール...正面攻​​撃を開始する関数はaSignature.ModPow（e、n）と呼ばれます。
興味のある人は、行00069をたどって、 ブール関数SexyApp :: Validate（） （SexyApp-何らかの理由でボタンアコーディオンなしの優雅な紳士）と、すでに非常に親しみのある0x404260との顕著な類似性を見つけることができます。

また、 eとn自体にも注意することをお勧めします。

  BigInt n("42BF94023BBA6D040C8B81D9"); BigInt e("11"); 

または、アセンブラー表現では、



名前が示すように、 ModPow（）は累乗法を意味します。
行00478のコメント

  // Public RSA stuff BigInt n("D99BC76AB7B2578738E606F7"); BigInt e("11"); BigInt aHash = HashData(aFileData, aFileDataPos, 94); delete aFileData; BigInt aSignature(aSigStr); BigInt aHashTest = aSignature.ModPow(e, n); 

最後に状況を明確にします：扱っているアルゴリズムはRSAです。

パート4：鍵ジェネレーター

さて、keygenの作成を開始するためのほとんどすべての生データがあります。 あとは、パブリックモジュール0x42BF94023BBA6D040C8B81D9をファクタリングし、プライベート指数を計算するだけです。 さて、 MSieve + TMG RSA Toolを使用して、出力で0x03AE5465C52D0C4C0A8FE303Dを取得します。
残っているのは、長い算術の実装を記述する（または、完成したものを消去する）ことです。 キー自体を生成するアルゴリズムがあります。

1. 文字列USERNAME、0Ah、ZUMAからMD5をカウントします
2. 最後のDWORDを捨て、残りのバイト順を書き込みます
3. WORD-ovoで結果を確認し、シフトを適用します（読み取り：keygenにコピーアンドペースト）。 0x41D280を参照
4. 再び逆バイト順
5. 受信関数ModPow（D、N）から計算します。ここで、D = 0x3AE5465C52D0C4C0A8FE303D、N = 0x42BF94023BBA6D040C8B81D9、E = 0x11
6. 表「234679ACDEFGHJKLMNPQRTUVWXYZ」に従って残差を順次代入して28で除算し、計算されたものからライセンスキーを明らかにする

ここでは、大切な行「A ..... 6..O6NBBO .... E4GXF3O0 ..」が何であるかについての数時間の研究を意図的に省略しました。 USERNAMEとして指定されています。 特に、コンピューターのハードウェアに基づいて生成され、コンピューターのネットワークアダプターの数がその長さに関与していることがわかります。
私の意見では、この世代のコードは、妄想的な麻薬中毒者によって書かれました。 ここで、たとえば、実際の状況：いつでも、私のコンピューターは3つまたは4つのネットワークアダプター（ 低リターン、イーサネットインターフェースeth0 、WiFiインターフェースwlan0） 、およびUSBポート経由で接続され、GPRSモデムの役割を果たす携帯電話を持つことができます、 ppp0 ）。 携帯電話を接続するとすぐに4になります。切断すると-3。これら2つの状態は、ジェネレーターによると、異なる回線に対応しています。 そのため、そのうちの1つで、Zumaが16.99ユーロで購入したため、購入できません。

一般に、前述のこの汚いトリックを生成するコードに基づいて、貼り付けをkeygenにコピーせず、 ReadProcessMemory（）を使用してゲームのメモリから既に完成した行を簡単に盗むことにしました。 ちょっとしたフーリガンとして、名前文字列に自分で何かを書く機能も追加しました（ご想像のとおり 、 WriteProcessMemory（）を使用）。 ただし、残念ながら、このトリックはWINEでのみ機能します（つまり、登録の有効性を保持します）が、「実際の」Windowsでは機能しません。

残りのために-Zuma keygen、概念実証を愛し、支持してください。
記述言語はアセンブラーです。 MD5アルゴリズムは、ゲームバイナリからコピーされ、ファイルでわずかに変更されます。 96ビット演算-本物=）

Keygenは、この記事で説明されているバージョンのZumaだけでなく、他のバージョン（以前または以降）でもテストされました（わかりませんでした）。 ユーザー名を持つアドレスが異なるという事実にもかかわらず、ライセンスキー自体がそれらすべてに近づき、2003年以降のアルゴリズムの不変性を証明しています。

あとがきと参考文献

この記事は、このスレッドの 正しい道を案内してくれたWASM.RUフォーラムの数人の文学者の助けがなければ不可能だったでしょう。
また、TMGハッカーチームのRSA ToolとオンラインのRSA計算機http://nmichaels.org/rsa.pyが私を大いに助けてくれました。
RSAとMD5に関するウィキペディアの記事も、ゲームの腸で何が起こっているのかという本質を理解するために多くを与えてくれました。
誰かが興味がある場合は、ヒープへのすべてのコメントとコントロールポイントを含むOllyDBGの.UDDファイルを配布しました。

PS誰かが30日間の非アクティブ後にファイルが削除されない、より信頼性の高いファイルホスティングサービスをアドバイスできる場合、私は非常に感謝します。

PPSハッキング後、 問題のパッケージのZuma.exeが単なるラッパーであり、Zumaの実際のビンをpopcapgame1.exeと呼ばれるアーカイブをライセンスキーを使用して独自のフォルダーに解凍するアーカイブであることを発見したときの驚きは...

[更新：] Habrastorageに写真を転送しました。