일단, 광고 창의 class를 spy++ 등으로 보면 #30770으로 다이얼로그인 것을 확인할 수 있다. 다이얼로그를 생성하는 API함수는 CreateDialogParam이나 CreateDialogIndirectParam, DialogBoxParam 등이 있는데, DialogBox... 는 Modal 다이얼로그를 생성하지만 광고창은 실제로 떠 있는 동안 다른 창을 선택할 수 있는 Non-modal이다. 따라서 USER32.DLL 모듈에서 CreateDialogParam, CreateDialogIndirectParam을 찾아 브레이크를 걸어준다. 물론, 이 두 함수 모두 스트링을 다루기 때문에 A/W가 붙은 변종들이 있다. XP 이상에서는 A류는 W를 부르는 래퍼일 뿐이므로 W에만 걸어도 무방하다.

그 다음 적당히 실행시켜보면서, 몇 번째 호출때 광고창이 생성되는지 본다. 횟수를 확인한 후에는 광고 창을 만드는 CreateDialogIndirectParam(해 보면 CreateDialogParam은 호출되지 않음을 알 수 있다)을 실행하기 전에, 이 함수를 호출한 Caller들을 Calling Stack을 확인해서 하나씩 브레이크를 걸어본다.

함수의 calling convention에 따라서 stdcall인지 cdecl인지에 맞게 함수 호출를 무시하고 지나가보면, 적당한 위치에서 죽지 않고 무사히 실행되는 부분을 확인할 수 있다. 현재 네이트온(버전 4.0.10.4 (1481))에서는 그 위치가 00671d08이다.

잘 보면, CALL 뒤에 스택을 정리하는 부분이 보인다. 따라서 저 함수는 cdecl이고, 함수의 리턴 방법은 RETN 명령으로 바로 리턴하는 것이다.

RETN은 기계어로 C3이므로, 함수 호출을 따라 가서 00577F40을 C3으로, 명령이 2byte였으니까 다음을 90으로 넣어주면 함수가 완전히 무시된다. 그러고 실행시켜보면 켜자마자 뜨는 광고가 사라진다! 만세ㅋ

그 외의 광고 제거는 리소스 해커 등의 툴을 이용해서 132번과 163번 다이얼로그의 전광판, 광고티커에 주어진 스타일 중 WS_VISIBLE 을 빼면 된다.

#define UNICODE
#define _UNICODE

#include <windows.h>
#include <stdio.h>
#include <tchar.h>

LRESULT WINAPI HookProc(REFCLSID rclsid, LPUNKNOWN pUnkOuter, DWORD dwClsContext, REFIID riid, LPVOID * ppv);
HRESULT WINAPI hookedQueryInterface(LPUNKNOWN pThis, REFIID riid, void ** ppvObject);

BYTE backup[6] = {0, };
BYTE stub[6] = {0, };
BYTE qiStub[6] = {0, };
HRESULT WINAPI (*orgCoCreateInstance)(REFCLSID, LPUNKNOWN, DWORD, REFIID, LPVOID *);
HRESULT WINAPI (*pHookProc)(REFCLSID, LPUNKNOWN, DWORD, REFIID, LPVOID *) = HookProc;
HRESULT WINAPI (*pHookedQueryInterface)(LPUNKNOWN, REFIID, LPVOID *) = hookedQueryInterface;

struct MAP
{
    LPVOID orgAddress;
    BYTE stub[6];
} map[100];

int Initialize()
{
    LPVOID pRealAddress;
    HMODULE hModule;

    if(!(hModule = GetModuleHandle(TEXT("OLE32.DLL"))))
    {
        MessageBox(NULL, TEXT("OLE32.DLL is not found."), NULL, MB_OK);
        return FALSE;
    }
    if(!(pRealAddress = GetProcAddress(hModule, "CoCreateInstance")))
    {
        MessageBox(NULL, TEXT("Cannot found CoCreateInstance"), NULL, MB_OK);
        return FALSE;
    }

    orgCoCreateInstance = pRealAddress;
    memcpy(backup, orgCoCreateInstance, 6);
    *(WORD *)(stub) = 0x25ff;
    *(DWORD *)(&stub[2]) = (DWORD)&pHookProc;
    *(WORD *)(qiStub) = 0x25ff;
    *(DWORD *)(&qiStub[2]) = (DWORD)&pHookedQueryInterface;

    ZeroMemory(map, sizeof(map));

    return TRUE;
}

int Setup(BYTE stub[])
{
    DWORD flOldProtect, flNewProtect, flDontCare;
    MEMORY_BASIC_INFORMATION mbi;
    VirtualQuery((PVOID)orgCoCreateInstance, &mbi, sizeof(mbi));
    flNewProtect = mbi.Protect;
    flNewProtect &= ~(PAGE_READONLY | PAGE_EXECUTE_READ);
    flNewProtect |= (PAGE_READWRITE);
    VirtualProtect((PVOID)orgCoCreateInstance, 6, flNewProtect, &flOldProtect);
    memcpy((PVOID)orgCoCreateInstance, stub, 6);
    VirtualProtect((PVOID)orgCoCreateInstance, sizeof(PVOID), flOldProtect, &flDontCare);
    return TRUE;
}

int SetupQI(LPVOID obj)
{
    int i;
    DWORD flOldProtect, flNewProtect, flDontCare;
    MEMORY_BASIC_INFORMATION mbi;
    LPVOID qiAddr = **(LPVOID **)obj;

    for(i = 0; i < 100; i++)
    {
        if(map[i].orgAddress == qiAddr) return TRUE;
    }

    for(i = 0; i < 100; i++)
    {
        if(map[i].orgAddress == NULL) break;
    }
    if(i == 100) return FALSE;

    map[i].orgAddress = qiAddr;
    memcpy(map[i].stub, qiAddr, 6);

    VirtualQuery((PVOID)qiAddr, &mbi, sizeof(mbi));
    flNewProtect = (PAGE_READWRITE);
    if(!VirtualProtect((PVOID)qiAddr, 6, flNewProtect, &flOldProtect))
    {
        TCHAR buf[1000];
        _stprintf(buf, TEXT("Unable to hook QI of %p: you must set breakpoint manually at %p.\n GetLastError(): %x\n"), obj, qiAddr, GetLastError());
        OutputDebugString(buf);
        return TRUE;
    }
    memcpy((PVOID)qiAddr, qiStub, 6);
    VirtualProtect((PVOID)qiAddr, sizeof(PVOID), flOldProtect, &flDontCare);

    return TRUE;
}

int RestoreQI(LPVOID obj)
{
    int i;
    DWORD flOldProtect, flNewProtect, flDontCare;
    MEMORY_BASIC_INFORMATION mbi;
    LPVOID qiAddr = **(LPVOID **)obj;

    for(i = 0; i < 100; i++)
    {
        if(map[i].orgAddress == qiAddr) break;
    }
    if(i == 100) return FALSE;

    map[i].orgAddress = NULL;

    VirtualQuery((PVOID)qiAddr, &mbi, sizeof(mbi));
    flNewProtect = (PAGE_READWRITE);
    VirtualProtect((PVOID)qiAddr, 6, flNewProtect, &flOldProtect);
    memcpy((PVOID)qiAddr, map[i].stub, 6);
    VirtualProtect((PVOID)qiAddr, sizeof(PVOID), flOldProtect, &flDontCare);

    return TRUE;
}

int WINAPI DllMain(HANDLE h, DWORD dwReason, LPVOID lpReserved)
{
    if(dwReason == DLL_PROCESS_ATTACH)
    {
        MessageBox(NULL, TEXT("injected!!"), NULL, MB_OK);
        //TODO: initialize
        if(!Initialize()) return FALSE;

        if(Setup(stub))
            return TRUE;
        return FALSE;
    }
    else if(dwReason == DLL_PROCESS_DETACH)
    {
    }
    return TRUE;
}

BOOL isFilter(REFIID riid)
{
    TCHAR iid[40];
    StringFromGUID2(riid, iid, 40);
    return _tcsicmp(iid, TEXT("{56A86895-0AD4-11CE-B03A-0020AF0BA770}")) == 0;
}

HRESULT WINAPI HookProc(REFCLSID rclsid, LPUNKNOWN pUnkOuter, DWORD dwClsContext, REFIID riid, LPVOID * ppv)
{
    TCHAR out[1024];
    TCHAR clsid[40], iid[40];
    int ret;

    Setup(backup);
    ret = orgCoCreateInstance(rclsid, pUnkOuter, dwClsContext, riid, ppv);
    Setup(stub);

    if(isFilter(riid))
    {
        SetupQI(*ppv);
    }

    StringFromGUID2(rclsid, clsid, 40);
    StringFromGUID2(riid, iid, 40);
    _stprintf(out, TEXT("CoCreateInstance: CLSID: %s, IID: %s, object: %p\n"), clsid, iid, *ppv);
    OutputDebugString(out);
    return ret;
}

HRESULT WINAPI hookedQueryInterface(LPUNKNOWN pThis, REFIID riid, void ** ppvObject)
{
    HRESULT ret;
    TCHAR out[1024];
    TCHAR iid[40];
    RestoreQI(pThis);
    ret = pThis->lpVtbl->QueryInterface(pThis, riid, ppvObject);
    SetupQI(pThis);
    StringFromGUID2(riid, iid, 40);
    _stprintf(out, TEXT("QueryInterface: this: %p, IID: %s, object: %p, result: %08lX\n"), pThis, iid, *ppvObject, ret);
    OutputDebugString(out);
    if(*ppvObject != NULL)
        SetupQI(*ppvObject);

    return ret;
}

사실, 여기다 적어논 글은 어디까지나 본인이 직접 크랙했던 것을 그대로 일기 형식으로 쓴 것이고, 이걸 보고 공부에 도움이 되길 바라는 마음에서 쓴 글이다. 따라서 이걸 따라 크랙을 못 하는 사람이 수천만-_-이 나오고 날 욕하더라도, 완전히 크랙된 바이너리는 첨부할 생각이 없다.

하지만, 불편해 하는 사람이 너무 많으니까 -_-;; 팁을 하나 주자면, 중간에 있는 내용 다 무시하고 맨 마지막에 실행파일을 패치하는 방법만 살짝 따라하면 크랙된 CBSearch를 얻을 수 있으니까, 그 것만 해 보시라.

85C0             TEST EAX,EAX
90               NOP ;여섯번
C745 FC 05000000 MOVE DWORD PTR SS:[EBP-4], 5

취약점 개요: 재생할 권한이 있을 때 DRM을 해제하여 원래의 MP3 파일로 만들 수 있는 취약점

조건: DShow 기술을 사용하여 filtergraph를 통해 재생할 것, 기존의 format에 DRM 정보를 더하여 DRM 파일을 만들 것

exploit시 필요한 것: Windows Platform SDK 안의 DShow SDK, 디버거

해결 방법(추측): DShow 기술을 사용하지 않는다. 알려진 format이라는 중간단계를 없앤다.

#include <windows.h>

#ifndef MAXNAME
#define MAXNAME 12
#endif

#ifndef MAXSERIAL
#define MAXSERIAL 12
#endif

int KeyGen(LPCTSTR cszName, LPTSTR szSerial);

LRESULT CALLBACK MainWnd(HWND hWnd, UINT uMsg, WPARAM wParam, LPARAM lParam)
{
	switch(uMsg)
	{
	case WM_CREATE:
		CreateWindow(TEXT("STATIC"), TEXT("Name:"), WS_CHILD | WS_VISIBLE, 10, 10, 100, 20, hWnd, (HMENU)-1, NULL, NULL);
		CreateWindow(TEXT("EDIT"), NULL, WS_CHILD | WS_VISIBLE | WS_BORDER | ES_AUTOHSCROLL, 120, 10, 100, 20, hWnd, (HMENU)101, NULL, NULL);
		CreateWindow(TEXT("STATIC"), TEXT("Serial:"), WS_CHILD | WS_VISIBLE, 10, 40, 100, 20, hWnd, (HMENU)-1, NULL, NULL);
		CreateWindow(TEXT("EDIT"), NULL, WS_CHILD | WS_VISIBLE | WS_BORDER | ES_READONLY | ES_AUTOHSCROLL, 120, 40, 100, 20, hWnd, (HMENU)102, NULL, NULL);
		CreateWindow(TEXT("BUTTON"), TEXT("Get"), WS_CHILD | WS_VISIBLE, 20, 70, 80, 20, hWnd, (HMENU)IDOK, NULL, NULL);
		CreateWindow(TEXT("BUTTON"), TEXT("Exit"), WS_CHILD | WS_VISIBLE, 130, 70, 80, 20, hWnd, (HMENU)IDCANCEL, NULL, NULL);
		SetFocus(GetDlgItem(hWnd, 101));
		break;
	case WM_COMMAND:
		switch(wParam)
		{
		case IDOK:
			{
				TCHAR name[MAXNAME];
				TCHAR serial[MAXSERIAL] = {0, };
				GetDlgItemText(hWnd, 101, name, MAXNAME);
				if(!KeyGen(name, serial))
				{
					MessageBox(hWnd, TEXT("Cannot generate serial!"), NULL, MB_ICONERROR + MB_OK);
				}
				else
				{
					SetDlgItemText(hWnd, 102, serial);
				}
			}
			break;
		case IDCANCEL:
			SendMessage(hWnd, WM_CLOSE, 0, 0);
			break;
		}
		break;
	case WM_DESTROY:
		PostQuitMessage(0);
		break;
	}
	return DefWindowProc(hWnd, uMsg, wParam, lParam);
}

INT WINAPI WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR szCmdLine, int nCmdShow)
{
	WNDCLASS wndclass;
	HWND hWnd;
	MSG msg;

	ZeroMemory(&wndclass, sizeof(wndclass));
	wndclass.style = CS_VREDRAW | CS_HREDRAW;
	wndclass.lpfnWndProc = MainWnd;
	wndclass.hInstance = hInstance;
	wndclass.hCursor = LoadCursor(NULL, IDC_ARROW);
	wndclass.hbrBackground = CreateSolidBrush(GetSysColor(COLOR_3DFACE));
	wndclass.lpszClassName = TEXT("KEYGEN");

	RegisterClass(&wndclass);

	hWnd = CreateWindow(TEXT("KEYGEN"), TEXT("Keygen"), WS_POPUP | WS_CAPTION | WS_VISIBLE, CW_USEDEFAULT, CW_USEDEFAULT, 250, 150, NULL, NULL, hInstance, NULL);
	UpdateWindow(hWnd);

	while(GetMessage(&msg, NULL, 0, 0))
	{
		TranslateMessage(&msg);
		DispatchMessage(&msg);
	}

	DeleteObject(wndclass.hbrBackground);

	return (int)msg.wParam;
}

#include <windows.h>

#ifndef UNICODE
#error This keygen must be Unicode program
#endif

#ifndef MAXSERIAL
#define MAXSEIRAL 17
#endif

int KeyGen(LPCWSTR cszName, LPWSTR szSerial)
{
	int i;
	unsigned char name[3];
	unsigned short tmp[5];
	if(wcslen(cszName) < 4) return 0;
	for(i = 0; i < 4; i++)
	{
		name[1] = name[2] = 0;
		WideCharToMultiByte(CP_ACP, 0, &cszName[i], 1, (LPSTR)name, 3, NULL, NULL);
		if(name[1] != 0)
		{
			name[2] = name[0]; name[0] = name[1]; name[1] = name[2]; name[2] = 0;
		}
		wsprintf(tmp, TEXT("%02X"), *((unsigned short *)name) + 0x64);
		wcscat_s(szSerial, MAXSERIAL, tmp);
	}
	return 1;
}

cl keygen.c p0.c /DUNICODE /DMAXNAME=5 /DMAXSERIAL=17 /Fekeygen.exe /link user32.lib gdi32.lib