لا حول و لا قوة الا بالله العلى العظيم

موضوع الهكر او بالاصح الكراكر موضوع كبير و متشعب و من السهل جدا استخدام بعض البرمجيات او الثغرات لاختراق او حتى تعطيل بعض الانظمة او المواقع و لكن لا نستطيع ان نطلق على من يستخدم اى من تلك الادوات لفظ هكر لانة يستخدم تلك الادوات دون معرفة اليات عملها و هى متوفرة بكثرة فى الكثير من المواقع العربية و الاجنبية و لكنها سلاح ذو حدين و هذا ليس مجال حديثنا و لكن المقصود بالهكر هو من يتقن اكثر من لغة برمجة و لدية التفكير العالى للوصول الى التغرات الموجودة سوء فى الاجهزة ا و المواقع و يوجود الكثير من الاخوة العرب يمتلكون تلك الموهبة و لكن لا يستخدمونها فى التدمير بل فى التامين و الاصلاح اما عن الاخ المدعى انة استطاع غلق الياهيو لربما استطاع سرقة اى من الواقع المجانية لو حتى المدفوعة و هذا امر سهل و متيسر و استطيع ان اضع لكم الكثير من المواقع مع اسم الادمن و كلمة السر اما مسالة انة استطاع تجميد الياهيو فمعذرة فيبدو ان الاخ لا يدرى عما يتحدث و معذرة على حديثى هذا


معلومات مبسطة عن الهاك و الكراك

دعونا نرى فكرة بسيطة عن القرصنة بصفة عامة و التى تنفسم الى قسمين يتشابهان فى المضمون و يختلفان فى التطبيق و هما الهندسة العكسية او ما يطلق علية الكراك للبرامج و القسم الاخر ما يطلق علية الهاك سواء للمواقع و الايميلات او الاجهازة و الشبكات و دعونا تنعرف على الهنسة العكسية فى هذا المقال للاخ sgr2001 احد الاعمدة العربية فى مجال الهندسة العكسية من دون ضوضاء



ظهرت مفهوم حماية البرامج في الثمانينات من القرن العشرين وبرز بعد ذلك مباشرة مفهوم كسر حماية البرامج ، في ذلك الزمن كان الدوس يحكم جميع برمجيات الحواسيب الشخصية ، ولذلك كانت البرامج تستخدم توابع المقاطعة ( Interrupt) عند رغبتها في التواصل مع الاجزاء الأخرى من الحاسب ، ولذلك تمحورت محاولات كسر حماية البرامج حول الاستعانة بهذه التوابع .
أما الآن ، وبعد ظهور عدة اصدارات من نظام التشغيل وندوز فقد تطورت أدوات البرمجة كثيراً ، لكن المفارقة هنا أن هذه الترقية لم تساهم في زيادة الحماية بل العكس من ذلك فقد انخفض الجهد اللازم لكسر حماية البرمجيات التي تعمل في بيئة وندوز مقارنة بما كان عليه الوضع في الدوس Dos ويعود السبب إلى استخدام البرامج الحالية المكثف لملفات الـDLL و API والتي تقوم بمهام متعددة وفي غاية الأهمية .
وهناك عدة أساليب لحماية البرامج وتندرج هذه الأساليب من مجرد مطالبة المستخدم بإدخال رقم سري لإلى ضرورة وجود قرص ليزري أو مفتاح فعلي الدونقل متصل باحدى بوابات الحاسب .


كيفية كسر الحماية

يعتقد معظم المبرمجين إنه من غير الممكن معرفة تفاصيل التعليمات الداخلية في البرامج إلا في حال توفر البرنامج ( أي النص البرمجي ) . هذا الاعتقاد غير صحيح لوجود ثلاث طرائق للوصول إلى مصادر البرنامج انطلاقا من النسخة التفيذية (exe) .

--------------------------------------------------------------------------------

المنقحات ( Debuggers) :
تسمح المنقحات بتنفيذ وعرض تعليمات البرنامج خطوة بخطوة مع إمكانية إيقاف التنفيذ عند النقاط أو الأجزاء الحساسة . وهكذا يصبح بالإمكان مراقبة ودراسة مختلف اجزاء البرنامج وبالتالي تحديد المقاطع المسؤولة عن توفير الحماية في البرنامج .

--------------------------------------------------------------------------------

برامج فك التجميع (Disassemblers) :
بإمكان هذه البرامج من ايجاد النص البرمجي بلغة التجميع الموافق للنسخة التنفيذية لأي برنامج . كما تستطيع بعض برامج فك التجميع الجديدة إضافة تعليقات توضيحية للمساعدة في شرح بعض مقاطع النص التجميعي . فمثلا هناك بعض البرامج التي تطالب المستخدم بإدخال " رقم تسلسلي ( Serial number ) بالإمكان هنا ايجاد هذه العبارة بسهولة في النص التجميعي وبالتالي نكون حددنا الجزء المسؤول عن حماية البرنامج

--------------------------------------------------------------------------------

برامج إعادة الترجمة ( Decompilers) :
تستطيع هذه البرامج إيجاد النص البرمجي الأصلي انطلاقا من النسخة التنفيذية وذلك من أجل لغة برمجية محددة ، وهكذا نحصل على نص برمجي سهل القراءة لأنه مكتوب بلغة برمجية عالية المستوى ، لكن يجب ان يكون لدينا خبرة كافية في هذه اللغة . ننوه هنا إلى وجود برامج إعادة الترجمة من أجل البرمجيات المكتوبة بواسطة مختلف اللغات مثل الدلفي و الفجول بيسك والجافا




كسر حماية البرامج
لا نريد ان ندخل في التفاصيل ولكننا نستعرض الطرق العامة لكسر حماية البرامج :

--------------------------------------------------------------------------------

1 - المخطط العام لكسر الحماية :
إن عدم استخدام التشفير أو التحزيم يؤدي إلى تسهيل عملية كسر الحمايات ويعود سبب هذه السهولة إلى إمكانيات تمثيل مخطط هذه الحمايات على الشكل التالي :


....,result = Security Check (condition1,conditions2
<برنامج قانوني واصل التنفيذ> if (result = TRUE) then
<إظهار رسالة تنبيه أو معاقبة المستخدم> else


يمثل condition1 ( الشرط 1 ) الرقم التسلسلي ، و conditions2 الرقم التسلسلي الصحيح ، أو قد يمثلا استجابة الدنغل المثبته والاستجابة الصحيحة .....
ويتدرج عمل Security Check ( اختبار الصلاحية ) من مقارنة بسيطة بين سلسلتي محارف إلى استعلامات I/O مثل البحث عن ملف أو التحقق من البوابة ....... وبالنسبة لمعاقبة المستخدم فقد تتضمن تعطيل عدة توابع من البرنامج أو الإنهاء المفاجئ لعملية التسجيل وهناك بعض البرامج التي تتسبب بإيقاف بعض برامج التشغيل .
ونستطيع ترجمة المخطط السابق إلى لغة التجميع حيث يبدو كما يلي :


push condition2
push condition1
call Security Check
test eax,eax
<تسجيل قانوني > jnz adreess1
<إظهار رسالة خطأ أو عقوبة المستخدم >

نذكر انه يتم تمرير المعاملات بشكل عكسي إلى التوابع بواسطة push ويتم تخزين نتيجة التابع في التسجيل EAX وتشابه العملية test جراء AND منطقي مع تعدل العلامة Z (في التسجيل FLAG) وفقا لنتيجة AND بعدئذ تتحقق jnz من وضع العلامة Z لتقرير القفز إلى متابعة التسجيل ، أو متابعة التنفيذ بهدف إظهار رسالة تنبيه. في ضوء هذا الترميز تتوجه محاولات كسر الحماية في عدة طرق





طرق كسر الحماية

1- استخدام المنقح

تتضمن هذه الطريقة إعداد نقاط إيقاف مناسبة مثل ايقاف التنفيذ عند مقارنة سلسلتي محارف بواسطة StrCmp وعند الوصول إلى هذه النقطة يتم اتباع احدى الطرق التالية :
أ - البحث عن الرقم التسلسلي
تفضي دراسة محتويات condition1 و conditions2 إلى العثور على رقم تسلسلي صحيح .

--------------------------------------------------------------------------------


ب - تعديل الترميز ( Tempering أو Patching )
تتمحور هذه الطريقة حول استبدال القفزة الشرطية jnz بالقفزة العكسية jz وهكذا يتم قبول جميع الأرقام التسلسلية كما نستطيع استبدال jnz بالقفزة غير الشرطية jmp مما يؤدي إلى عدم تنفيذ العقوبة اطلاقا .

--------------------------------------------------------------------------------


ج - تغيير النتيجة
نتوجه إلى هذا الأسلوب في حال عدم إمكانية تعديل الترميز لسبب ما مثل استخدام اختبارات CRC في البرنامج المستهدف في هذه الحالة يتحقق الكسر من خلال قلب إحدى العلامات باستدعاء تابع الصلاحية مثل قلب قيمة العلامة z ي المسجل FLAG هدف عكس عمل بعض القفزات.

--------------------------------------------------------------------------------


د - برنامج توليد المفاتيح :
وهو اجراء هندسة عكسية للخوارزميات المولدة للمفتاح في البرنامج

--------------------------------------------------------------------------------


2 - استخدام برامج فك التجميع

3 - بعض تعليمات لغة التجميع
JE - JN 74 القفز في حالة المساواة
JNE - JNZ 75 القفز في حالة عدم المساواة
JMP EB قفزة غير شرطية
NOP 90 بلا تأثير





كسر برنامج يطلب الرقم التسلسلي للقرص المحلي بالتسمية او غير التسمية
البرنامج المطبق عليه الدرس حمله من هنا
نبدأ بفك تجميع البرنامج Crackme1 بواسطة W32DSM لإظهار التوابع المستوردة كما في الصورة التالية :






نلاحظ وجود عشر توابع من بينها :
GetVolumeInformationA: تحصيل معلومات عن القرص الحالي.
lstrcatA : إضافة سلسلة المحارف التالية بعد السلسلة الأولى.
lstrcmpiA : المقارنة بين سلسلتس محارف ، في حالة المساواة نعطي القيمة 0 للتسجيل EAX وإلا فإنه يأخذ القيمة 1 .
GetDlgItem********************************A : تحصيل المعلومات من نافذة رسالة .
من الواضح أن التابع الأخير هو المسؤول عن تحصيل الرقم التسلسلي من المستخدم ، لذلك ننقر نقرا مزدوجا على اسمه فينتقل استعراض الترميز
إلى مكان استدعاء هذا التابع سنعرض بعض أسطر هذه الكتلة من الترميز مع اعطاء الشرح الموافق (تم اختصار بعض الأسطر ):






وهكذا نكون قد حصلنا على سلسلة محارف في 0040225C مكونة من جزئين :
* اسم القرص الصلب المحلي في حال وجوده .
* سلسلة المحارف الثابته 4562-ABEX .
فإذا كان القرص المحلي التسمية data مثلا ، سنحصل على سلسلة المحارف data 4562-ABEX
نتابع دراسة الترميز :






نتابع التحليل

يسمح هذا العداد بزيادة قيمة أول اربعة بايت من محتويات 0040225C وتتكرر هذه الزيادة مرتين كما هو واضح في اسطر الترميز التالية :







إذا بعد انتهاء هذه الكتلة نكون قد اضفنا 2 لأول اربعة بايت أما في حالة عدم امتلاك القرص لأية تسمية ، أي يكون سلسلة المحارف مساوية لـ4562-ABEX فسنحصل على السلسلة 6784- ABEX نتيجة
للحلقة السابقة . نتابع فيما يلي دراسة الترميز





بعد ذلك يتم وصل هاتين السلسلتين ووضع النتيجة 00402000
نتابع الترميز :







وهكذا وصلنا بشكل منطقي وواضح إلى مكان اطلاق رسالة الخطأ . نستطيع هنا تعديل البرنامج عبر استبدال شرط القفز je بالشرط jne أو نكتب الرقم التسلسلي الناتج عن الخوارزمية السابقة
أي L2C-5781fcvc4562-ABEX من اجل قرص محلي يحمل مسمى data أو L2C-57816784-ABEX من أجل قرص محلي لايحمل اي تسمية بعد ذلك نستخدم هذا الرقم للتسجيل كما في الصورة من تسجيل البرنامج في OllyDbg







صورة ماخوذة للقرص المحلي بعد التسمية بـ data ظهور الرقم التسلسلي





صورة للقرص المحلي من غير تسمية ظهور الرقم التسلسلي المطابق له




وكما في الشكل:
هنا يظهر لك
1 - القرص المحلي بتسمية والرقم التسلسلي له :L2C-5781fcvc4562-ABEX
2 - القرص المحلي بغير تسمية له رقم التسجيل : L2C-57816784-ABEX