Northpole (CiA) and iNNU3NDo (ExE)

Het eerste wat we jullie willen leren is het verschil tussen hackers en crackers (hopelijk weten jullie dit al)

Hackers breken in op computersystemen
Crackers proberen de gehele (of een deel) van de code te herschrijven/veranderen

Je kan dit op een illegale manier doen, dus.. NIET DOEN! Somige mensen cracken voor het plezier, andere voor de kick, de competitie, ...

Wie zijn die crackers?

Sommige mensen denken dat crackers ook virussen schrijven. Niets is minder waar. Het kan gebeuren dat je een virus in een crack hebt die je van het www hebt gehaald, daarom kan je beter efnet's #cracks gebruiken (komen de cracks rechtstreeks van de cracking team's). Het is spijtig dat er langs het www af en toe een virus in gestopt wordt door een "derde", maar wat kunnen we doen tegen zo'n (ziekelijke) individuen?

Crackers doen ook nooit iets illegaal, dat omdat ze een help file meegeven met elke crack. Je zou moeten weten dat je de crack/patch/keygen/... enkel mag gebruiken als je je originele exemplaar kwijt bent. Het zelfde geldt ook voor alle illegale site's:

This is for educational use only, Enter at you risc.. Blablabla, you know the rest, enjoy.

Wel, dat was de inleiding, hier gaan we dan!

- Enkel voor studiedoeleinden! -

We kunnen niet aansprakelijk gesteld worden voor eventuele schade voortkomende van deze tutorial, of van de actie's die erin beschreven worden. Als je iets niet vertrouwd, doe je het beter niet (maar bij ons gaat alles zonder problemen)

1· The tools

• W32Dasm, of soms wel eens Windasm genoemd (1.1)
• Hiew (of een andere hex editor) (1.2)
• Softice (vanaf nu S'ice) (1.3)
• Smartcheck (vanaf nu S'check) (1.4)
• Unpackers (rara..) (1.5)

1·1 W32Dasm of Windasm

Als we over een offset praten, vind je hem op deze manier: (voorbeeld)

Line: 143782 Pg 1692 Code Data @: 0043DEAF1 @Offset 0003DEF1h in file: hardcoded.exe

Je moet de "h" niet noteren, omdat die enkel staat voor "Hexadecimaal"

1·2 Hiew

TiP: maak een snelkoppeling in uw root\windows(of winnt)\sendto\ naar Hiew.exe
==> Het enigste dat je nu hoeft te doen is op het desbetreffende bestand gaan staan, rechtermuisklik ==> kopieren naar: hiew

1·3 SoftIce (S'ice)

Wanneer je S'ice installeerd, moet je autoexec.bat manual of langs het installatiemenu) laten aanpassen. Je moet ook winice.dat aanpassen (in de S'ice directory)

Change this lines:

PHYSMB=196	Uw RAM geheugen
;EXP=c:\windows\system\kernel32.dll	Als je zo'n regel ziet, moet je controleren of je het bestand hebt, en zoja, het pad controleren, en de; verwijderen.

Vergeet de visual basic dll's (msvbvm50.dll and msvbvm60.dll) niet toe te voegen.

Als je S'ice geïnstalleerd hebt, en je krijgt een foutmelding tijdens het opstarten, dan moet je de ; voor de naam van dat bestand verwijderen.

Elke keer je iets veranderd in winice.dat moet je herstarten.

Er is ook een andere (misschien gemakkelijkere) manier om S'ice te configureren: langs Symbol Loader. bewerk de S'ice instalatie settings, en onder de exports tab, moet je tenminste één van de volgende file's toevoegen:

• kernel32.dll
• user32.dll
• gdi32.dll
• advapi32.dll
• msvbvm50.dll
• msvbvm60.dll

Dit is de basis S'ice layout. Probeer jouw S'ice er ook zo te laten uitzien, want dit is de basis lay-out die je nodig hebt!

Register window	________________________________________________ _ _ | | EAX = 00000000 EBX = 00000000 ECX = 00000000 etc… | bereiken met: WR |________________________________________________ _ _
Data Window	| | 0000:00000000 00 00 00 00 00 00 00 00-00 00 00 00 00 etc… | 0000:00000000 00 00 00 00 00 00 00 00-00 00 00 00 00 etc… | etc... bereiken met: WD |________________________________________________ _ _
Code Window	| 0000:00000000 000000 XXX2X 00000000 | 0000:00000000 0000 XXX 00000 | etc...Bereiken met: WC and CODE ON/OFF |________________________________________________ _ _
Command Window	| | Geef hier uw commando's in. |________________________________________________ _ _

Om de inhoud van een adres te bekijken, type je D <address>, like:

• d 00457EB
• d eax

TiP: (voor tijdens het werken):
Als we spreken over een breakpoint zetten, type dan gewoon: BPX (breakpoint on execution) - complete lijst in het tweede document -. De (Ex)A na een bpx (zoals inMessageBoxExA) staat voor 32 bit (zonder dat het 16 bit is). Als je niet juist weet welke te plaatsen, zet dan beide (16 en 32 bit), het kan niets verkeerd doen!

Breakpoint hulpje:
• BL = list all breakpoints
• BC [*/#] = verwijderd een breakpoint [allemaal/aantal]
• BE [*/#] = schakelt breakpoint aan [allemaal/aantal]
• BD [*/#] = schakelt breakpoint uit [allemaal/aantal]

1·42· Smartcheck or S'check

Later volgt er meer info hierover. Het is mogelijk om VB te cracken op 2, misschien wel 3 manieren (dankzij DREAD).

1·5· Unpackers

Dit zijn er enkele:

Schrinker, PE, neolite, petite, UPX, PEcrypt, codecrypt, procdump

2· Beveiligingen

2·1· Hard coded serial

2·1·1· Hoe

2·1·2· Crackme

2·1·2·1· 1e methode - De serial

1. Start hardcoded1.exe, en vul enkele dingen in.
2. "Incorrect serial !". Ooh, we hebben niet veel geluk vandaag..verkeerde gok, hier begint het echte werk.
3. Start w32dasm en laad hardcoded1.exe. Neem een kijkje in het "string data references" venster en zoek voor "Incorrect serial !". Als je er dubbel op klikt, kom je hier:

2·1·2·2· 2e methode - De patch
Denk er wel aan dat een serial vinden beter is dan te patchen!

• We kunnen jne naar je veranderen -> (geeft je (1))
  Of
• We kunnen ervoor zorgen dat hij altijd springt -> (geeft je (2))

a) Zoek de offset van JNE (zoals uitgelegd in 2.2 Hiew)
b) Open het file in hiew en ga naar DECODE mode
c) Ga naar de offset (3DEF1h) mbv F5 (GOTO)
d) F3 (EDIT), vervolgens F2 (ASM)
e) verander het adres na JNE naar het adres van de lijn volgende op die JNE-lijn (dit is de beste manier)
f) F9 (UPDATE) en F10 (QUIT)

2·1·3· Hard Coded Serial - Oefening

De oplossing: [Klik hier]

2·2· Naam/Serial

2·2·1· Hoe ?

2·2·2· Hoe ?

:0043EB57 6A00                    push 00000000
:0043EB59 6894EB4300              push 0043EB94
:0043EB5E 68BCEB4300              push 0043EBBC
:0043EB63 6A00                    push 00000000
:0043EB65 E80277FCFF              Call 0040626C <== Dit is de call naar de messagebox
:0043EB6A 33C0                    xor eax, eax	<== Hier eindigen we

• Zoek de offset van die instructie (3DF35h)
• Maak een kopie van nameserial1.exe en open het in Hiew. Ga vervolgens naar de offset.
• Verander de '8B' van de data naar 'CC' en laat de rest. Nu zou je zoiets moeten zien:

.0003EB35: CC                           int       3
.0003EB36: 45                           inc       ebp
.0003EB37: F8                           clc
.0003EB38: 8B55F4                       mov       edx,[ebp][-000C]2
.0003EB3B: E8EC4FFCFF                   call     .000003B2C   -------- (1)
.0003EB40: 7515                         jne      .00003EB57   -------- (2)

MAAR we moeten de originele data terugplaatsen, wat we zo doen:
Wanneer S'Ice breakt, type je 'd EIP'. Je zal het volgnde zien 'CC 45 F8 8B 55 F4 etc' in het Data venster. Click vervolgens op CC om het te veranderen, en type '8B' (de oorspronkelijke data). Je zal zien dat de code in S'Ice veranderd. We zijn terug in de running :-). Zet een breakpoint op het adres waar je dit ziet: MOV EAX, DWORD ...

NOTE: Deze manier om breakpoints te zetten mag ingewikkeld lijken, maar zal later zeer krachtig blijken, omdat je op deze manier overal kan breaken, en niet enkel op de "gekende breakpoints" zoals GetWindowText of MessageBox.
10. Het moeillijke deel is nu eigenlijk al gedaan...Trance (F10) totdat de cursor over de call staat. Type nu 'd eax' and 'd edx'. En, wat zien we in het data venster?
11. Ja, eerst de code (serial) die wij hebben ingegeven, en vervolgens de juiste serial voor onze naam. We hebben de serial gevonden!

3· Een patcher schrijven

• Offset 7h: 90h
• Offset 8h: 90h

3·1· Mbv Visual Basic
We veronderstellen dat je Visual Basic 6.0 Enterprise gebruikt

3·2· Mbv Delphi
We veronderstellen dat je Delphi 4 Client/Server gebruikt

4· Reference

Enkele tegenovergestelde Jumps JE (Jump if Equal) JNE (Jump if Not Equal) JA (Jump if Above) JBE (Jump if Below or Equal) JAE (Jump if Above or Equal) JB (Jump if Below)

Belangrijkste ASM commando's voor cracking ADD Add 2 values CALL Call a procedure CMP Compare 2 values IDIV Integer division IMUL Integer multiply JMP(S) and other with Jxx Jump to somewhere MOV Move something into a register or an address POP Get something from the 'stack' PUSH Save something in the 'stack' RET Return from a jump or call SUB Substract 2 values TEST Check if zero XOR Xor 2 values note: XOR ECX, ECX means putting ECX to zero

5· Opmerkingen & thnx

Ik hoop ook dat deze tutorial je iets heeft bijgebracht over de kunst van het cracken/reversen. Nu (04/01/2000), brengen we de eerste nederlandstalige uitgave uit. Als je nog vragen/opmerkingen hebt, gelieve onze dit dan te laten weten dmv het formulier hieronder. Gelieve een geldig e-mail adres in te geven, zodat we kunnen antwoorden indien nodig.

We willen ook ons "most wanted station" bedanken *G* voor de goede muziek, en, (dit voor iNNU3NDo), mijn ex-vriendin voor de mooie tijden die we samen hebben gehad!

We willen de volgende personen bedanken (als je er niet instaat, en je denkt dat je erin thuis hoort, mail ons dan met een goede reden!): NORTHPOLE, iNNU3NDo, Knotty, S^Witz, Sepelcrum, Douby, SiONiDE (Stalker!), DnNuke, BuL-LeT (for everything he has done already), Darkshadow, X-callibre, VisionZ-, Rhytm, Rippie (yeah you pet ;), _Duelist, tKC (well.. he rulezzz), Atlantezz, H3llSp4wn, Potsmoke (you gonna make it one day!), Hades, Defiler, U_Schall, Marton, |tCP|, Z-wing, PeeWee (beter gekend als WeePee ;), Dawai, MisterE, Darshaddow, Fearz, ...

Teams: CiA, DREAD, EXECUTiON, CORE, PC, ...

Channels: #C.i.A #DREAD #EXECUTiON #CRACKiNG4NeWBiES #Childporn (grapje!)

5·1· Opmerkingen/vragen