 Autor
|
Tema: Quitar una imagen de la impresion (Leído 6,134 veces)
|
Revolutions
 Desconectado
Mensajes: 113
|
Hola todos como vais por estos lares? Vengo de vez en cuando para leer un poco, en fin lo que a todos poco tiempo..... Bueno al caso, resulta que tengo un programa en VB6, que a parte de otras limitaciones tiene una imagen que dice TRIAL y lo pone en medio de lo que se imprime y no se como noquearla Os paso unos datos para ver el paciente en cuestion VICTIMA: ID FLOW 5.0 DESCARGA: http://www.jollytech.com/download/IDFlowDemo.exePROTECCION: cada 30 Minutos de funcionamiento salta un contador con 120 Segundos que te deja block, tiempo de uso 30 dias, protegido contra el cambio de fecha, al imprimir pone cartel de TRIAL. AVANCES: no tiene hablitado el form de registro, pasado por varios detectores de packer y no tiene, he chequeado con regmonitor y filemonitor, en el registro no he encontrado nada, he dado un paso atras, estoy echo un lio, con XP todo perfecto pero he cambiado de pc con windows 7 y todo son errores, aparte mcafee me ha borrado casi todo los programas de Ingenieria inversa, este reto se me pone muy cuesta arriba, creo que voy a poner XP y volver a lo de siempre, bueno al lio, he decompilado y estoy en proceso de traceo de varias parte del codigo en concreto la direccion 012A577 que donde hace la verificación del trial. Bueno espero que me ayuden y me den consejo de como seguir. SALUDOS A LOS GRANDES.... REvo |
|
|
|
|
En línea
|
|
|
|
|
MCKSys Argentina
|
Si es una imagen, podrias probar con Multiextractor http://www.multiextractor.com/. Con ese la puedes reemplazar sin problemas (si no esta empacado). Todo el tema de timers, etc, lo podrias resolver con VBReformer. Como siempre, puedes usar Olly y quitar todo a mano  Saludos! |
|
|
|
|
En línea
|
MCKSys Argentina "Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando." |
|
|
Mintaka
Desconectado
Mensajes: 72
|
Hola Revolutions.
Si usas el Olly (como te dice el amigo MCKSys), verás que es fácil dar con las zonas donde están las limitaciones.Por ejemplo buscas en -All referenced text strings- la frase mágica "Trial version".La encuentra fijo y le sustituyes los ascii de las letricas por 20 y bye bye, water mark.La comparación con el 1E (para los días) también la encuentras fijo, etc...
Solo tienes que ponerte y lo sacas.
Suerte,
Mintaka
|
|
|
|
|
En línea
|
Si lloras por no ver el Sol tus lágrimas no te dejarán ver las estrellas.(Tagore)
|
|
|
Revolutions
Desconectado
Mensajes: 113
|
Gracias MCKSys Argentina por tu respuesta
con multiextractor no sale la imagen, quizas este en un error y no era una imagen, bueno sigo con ello y comento.
Inestimable MINTAKA tengo suerte contigo de verdad cada vez que pido ayuda ahi estas, me he alegrado mucho de ver que sigues en la brecha.
Lo intentare, pero creo que ya vi lo de ALL REFERENCED STRINGS y no estaba
Ya comento, GRACIAS de nuevo por vuestra ayuda
SALUDOS
|
|
|
|
|
En línea
|
|
|
|
Revolutions
Desconectado
Mensajes: 113
|
Hola, los progresos son regulares, como bien dijo MINTAKA era correcto los encuentra en las referencias, (no he conseguido lo del 1E por no saber como)estan en unicode pues el programa es multilenguaje, he nokeado para que no lo imprima pero al intentar grabar las modificaciones no me deja pues dice que es la dll del sistema VB6.
Alguna ayuda mas por favor. GRACIAS
|
|
|
|
|
En línea
|
|
|
|
Mintaka
Desconectado
Mensajes: 72
|
... (no he conseguido lo del 1E por no saber como)..........al intentar grabar las modificaciones no me deja pues dice que es la dll del sistema VB6.
1Eh=30d, que son los días de trial y normalmente los puedes encontrar buscando en la ventana del desensamblado, la instrucción PUSH 1E. Es posible que te salga más de una ocurrencia.Es cuestión de poner BP y mirar que hace más adelante con ese valor 1E y así vas descartando.Pero me da la impresión que va a ser en la primera que te pare. Y en cuanto a las modificaciones es que no lo estás haciendo en el lugar adecuado.Hazlo con un editor hexadecimal buscando la frase en unicode y creo que te saldrá más o menos por el offset 0024BB2A. Saludos, Mintaka
|
|
|
|
|
En línea
|
Si lloras por no ver el Sol tus lágrimas no te dejarán ver las estrellas.(Tagore)
|
|
|
gastonp
Desconectado
Mensajes: 32
|
Estuve buscando las cadenas de texto y siguiendolas pude hacer las siguientes modificaciones: 012A6A3C . FF15 4C114000 CALL DWORD PTR DS:[<&MSVBVM60.__vbaOnErro>; MSVBVM60.__vbaOnError
012A6A42 . E8 09020000 CALL IDFlow.012A6C50
012A6A47 . 3BC6 CMP EAX,ESI
012A6A49 7F 15 JG SHORT IDFlow.012A6A60
012A6A4B . E8 00E90B00 CALL IDFlow.01365350 ; mensaje trial over
012A6A50 . 8975 E0 MOV DWORD PTR SS:[EBP-20],ESI
012A6A53 . FF15 30114000 CALL DWORD PTR DS:[<&MSVBVM60.__vbaExitPr>; MSVBVM60.__vbaExitProc
012A6A59 . 68 D56A2A01 PUSH IDFlow.012A6AD5
012A6A5E . EB 74 JMP SHORT IDFlow.012A6AD4
012A6A60 > C745 E0 FFFFF>MOV DWORD PTR SS:[EBP-20],-1
cambiando el salto JG de 012A6A49 por un JMP podemos seguir usandolo despues de los 30 dias. Para sacar el texto de Trial version en la impresión: 010B1E31 . FF15 80104000 CALL DWORD PTR DS:[<&MSVBVM60.__vbaFreeOb>; MSVBVM60.__vbaFreeObjList
010B1E37 . 83C4 1C ADD ESP,1C
010B1E3A . 66:85F6 TEST SI,SI
010B1E3D 0F84 D0000000 JE IDFlow.010B1F13 ; mensaje trial version en vista previa impresion
010B1E43 . 57 PUSH EDI
010B1E44 . 8B75 2C MOV ESI,DWORD PTR SS:[EBP+2C]
010B1E47 . 56 PUSH ESI
010B1E48 . 8B45 28 MOV EAX,DWORD PTR SS:[EBP+28]
010B1E4B . 50 PUSH EAX
010B1E4C . 8B4D 24 MOV ECX,DWORD PTR SS:[EBP+24]
010B1E4F . 51 PUSH ECX
010B1E50 . 8B55 20 MOV EDX,DWORD PTR SS:[EBP+20]
hay que cambiar el JE que esta en 010B1E3D por un JMP. Esto ultimo lo probe en la vista de impresion y funciona bien. No se si al imprimir saldra bien ya que no tengo impresora en casa para probar. Tambien con el VB Decompiler encontre un form que se llama frmTrialPause que es el que aparece cada 30 minutos. Habria que buscar el salto para evitarlo. Otra cosa que me llamo la atencion es que hay un form llamado frmActivation pero dentro del programa no veo ninguna opcion para registrarlo. |
|
|
|
|
En línea
|
|
|
|
PeterPunk77
Desconectado
Mensajes: 77
|
Esta es la línea donde empieza el prodecimiento que imprime " Trial Version " en las tarjetas: 010A93A0 55 PUSH EBP
y basta con convertir esa línea en un RET (0xC3) Esta es la línea donde empieza el procedimiento que controla el período de prueba: 00F99640 55 PUSH EBP
y basta con convertir esa línea en un RET (0xC3) Con esos dos parches el programa ya da no caduca ni muestra el texto. Pero podemos quitar esa ventanita que al arrancar nos dice que nos quedan 30 días. Y ésta es la línea donde comienza el procedimiento que nos muestra dicha nag: 012A5060 55 PUSH EBP
y basta, nuevamente, con convertir esa línea en un RET (0xC3) Y si queréis que no os salga la ventana que pregunta qué tipo de versión queremos evaluar (por cierto yo no noto diferencia entre ellas), podéis nopear estas líneas: 012A6A42 E8 09020000 CALL 012A6C50 012A6A47 3BC6 CMP EAX,ESI 012A6A49 7F 15 JG SHORT 012A6A60
Saludos. ------------------ Edito porque se me olvidó quitar un mensaje "molesto". Cuando le das a imprimir te sale un messagebox diciéndote que es una versión de prueba y que le va a añadir el texto " Trial Version " a la tarjeta (aunque realmente no lo haga porque lo hemos parcheado antes). Así que podemos parchear la llamada a esa messagebox y el salto como que aceptamos siempre: 011EE1F7 E8 54AAEBFF CALL 010A8C50 011EE1FC 0FBFD0 MOVSX EDX,AX 011EE1FF 85D2 TEST EDX,EDX 011EE201 75 60 JNZ SHORT 011EE263
dejándolo así: 011EE1F7 90 NOP 011EE1F8 90 NOP 011EE1F9 90 NOP 011EE1FA 90 NOP 011EE1FB 90 NOP 011EE1FC 0FBFD0 MOVSX EDX,AX 011EE1FF 85D2 TEST EDX,EDX 011EE201 EB 60 JMP SHORT 011EE263
Y como no me ha llegado a salir la nag esa de la pausa cada media hora pues no la he investigado. Saludos. |
|
|
|
« Última modificación: 15 Junio 2010, 01:26 am por PeterPunk77 »
|
En línea
|
|
|
|
gastonp
Desconectado
Mensajes: 32
|
jaja mucho mas facil que estar parchando saltos  !! Gracias PeterPunk77, solo tengo una duda: ¿ como llegaste a saber que la rutina de 00F99640 es la que controla el periodo de prueba? El comienzo de la rutina dice que viene de un jump de 005516E8 pero en esa direccion solo esta el jump y una instruccion sub. Gracias de nuevo, a vos y a todos los del foro por tomarse la molestia de enseñarnos a nosotros los que recien empezamos. Un saludo |
|
|
|
|
En línea
|
|
|
|
PeterPunk77
Desconectado
Mensajes: 77
|
¿ como llegaste a saber que la rutina de 00F99640 es la que controla el periodo de prueba? Adelanté la fecha de windows para ver el mensaje que salía al haber caducado. Luego puse un punto de ruptura en rtcMsgBox y vi que procedimiento era el que lo llamaba. Saludos.
|
|
|
|
|
En línea
|
|
|
|
|
 |
