Вернуться на сайт

Руководство по исследованию программы
Халявный Интернет 0.7 (c)FM

Имеем на очереди программу Халявный Интернет 0.7, в описании "Эта программа делает Ваш интернет бесплатным. Для использования программы надо просто подключиться к интернету через вашего провайдера, запустить программу и нажать кнопку "Старт!", программа замаскирует вас под шлюз. В следствии деньги с вашего счёта не будут тратиться!!!" Господа сетевики-затейники, вопрос: кто знает, что такое шлюз? Хорошо, вопрос второй, каким образом это влияет на оплату диалапа? Ответ на первый вопрос все найдут в учебнике, на второй - никак не влияет. Для доказательства этого возьмемся за ковыряние программы.

Кстати, сама ссылка на программу любезно предоставлена товарищем pat и скачана c http://halnet07.narod.ru/halnet07.rar

Стоимость программы всего $6 по WebMoney, но русские люди за такое не плятят, поэтому запускаем NOD32 (Сразу оговорюсь, в прошлой статье я еще использовал DrWeb, но раскаялся и теперь пользуюсь только антивирусом, занимающим топ позицию в рейтинге) . Отсутствие вирусов и троянов, подтверждено, теперь запускаем уже известную утилиту PeId и чудесным образом узнаем, что программа написана в Delphi и ничем не упакована (странно, сейчас мода такая на крипторы и упаковщики, что даже не верится, что есть люди, которые ими не пользуются).

Теперь уже можно смотреть, что от нас требует программа. Запускаем, Видим окно регистрации, требующее ввести код. Вводим все 1, наблюдаем за реакцией. Реакция ожидаемая: неправильный код:

Естественно, мы ничего другого и не ждали. Поэтому запускаем чудесный инструмент, дизассемблер IDA. Но именно после анализа файла в дизассемблере приходят мысли о том, что там нет ни капли своего кода. Нет никаких строковых переменных, ничего такого, что намекает на программу с диалогами и прочей ерундой. К тому же функций работы с сокетами или подобными вещами (естественно, для взаимодействия с интернетом) нет и в помине.

Чтож, запускаем еще один инструмент, специализированный чисто для Delphi, называется DeDe (Delphi Decompiler). Мощная штуковина, позволяет, просмотреть формы, процедуры и т.д. в проге, написанной на Дельфи. Не буду постить рисунок, скажу лишь, что программа имеет единственную форму, показанную на экране, две кнопки на ней и два действия по нажатию на кнопки. Первое действие мы видели на предыдущем рисунке, второе (при нажатии на кнопку "Старт") вот оно:

Экспорт кода выдал следующий листинг программы:

procedure TForm1.BitBtn2Click(Sender : TObject);
begin
(** Possible String Reference to: 'Зарегистрируйтесь!'
|
004564F8 B80C654500 mov eax, $0045650C* Reference to: Dialogs.ShowMessage(AnsiString);
|
004564FD E84A0FFDFF call 0042744C
00456502 C3 ret
end;

procedure TForm1.BitBtn1Click(Sender : TObject);
begin
(** Possible String Reference to: 'Неправильный код!'
|
00456520 B834654500 mov eax, $00456534* Reference to: Dialogs.ShowMessage(AnsiString);
|
00456525 E8220FFDFF call 0042744C
0045652A C3 ret
end;

Для тех, кто в танке, поясняю, при нажатии на кнопку "Зарегистрировать" при любом коде вызывается сообщение "Неправильный код", при нажатии на "Старт" - соответственно "Зарегестрируйтесь". Такую программу любой, кто видел Дельфи, напишет за 30 секунд.

А больше, собственно, и нечего писать, потому что вывод у меня всегда стандартный: такой халявы не бывает !

Вернуться на сайт