TuT Reversing

Hallo ich habe mir vorgenommen Reversing zu lernen. Ich habe auch schon mehrere Tutorials dazu gelesen aber zu dem Programm was ich mir ausgesucht habe scheint es eine Ausnahme zur "normalen" Vorgehensweise zu geben.

Und zwar wird ja ein Programm was man bearbeiten will nach dem entsprechenden String durchsucht wo die Fehlermeldung der Produktaktivierung angezeigt wird. Halt " Key ungültig. Bitte üpberprüfen Sie ihre Eingabe." Nur in dem Programm was ich mir ausgesucht habe als Testobjekt wird dieser String nicht gelistet. Ich bin der Meinung das der String in einer anderen Datei gespeichert ist und das Hauptprogramm bei der Keyabfrage diese Datei mit der Funktion aufruft.

Also jetzt zu meiner eigendlichen Frage.

Wie kann ich herausfinden in welcher Datei genau dieser String steht? Ich habe auch alle DLL-Dateien in dem Programmordner durchsucht es ist aber nicht zu finden.

Hätte also vielleicht jemand eine Idee wie ich diese Problematik bewältigen kann?

Es gibt komplett unterschiedliche Vorgehensweisen, und 2,3 Tutorial lesen hilft da wirklich gar nichts.

Reverse Engineering und Assembler - Free-Hack.com
Stickies betrachten.

Hey,
als erstes würde ich dir raten dich mal auf gRn-project.ath.cx • Portal zu registrieren. Das ist das einzige noch halbwegs aktive deutsche Reversing Forum. Da findest du viele deutsche Tutorials und auch Anfängerfragen sind gerne gesehen.
Auf FH wirst du (bis auf vielleicht 5-6 Leute) niemanden finden, der diese Frage sinvoll beantworten kann, da den meisten RE viel zu viel Aufwand ist.

Zu deiner Frage:
Es gibt immer mehrere Wege zum Ziel. Die Methode mit der Stringsuche ist die, die in vielen Anfängertuts beschrieben wird. Doch wie du ja gesehen hast, führt diese Methode oftmals bei etwas schwierigeren Targets nicht zum Ziel. Das kann z.B. daran liegen, dass dieser String erst zur Laufzeit generiert wird und nicht von Anfang an schon hartkodiert wird.
Wenn du auch schon die anderen DLLs durchsucht hast, wird es wahrscheinlich daran liegen. Außer das Target ist gepackt oder protected. Hast du das schon überprüft?
Sonst würde ich versuchen per WinAPI an die Stelle der BadBoy zu kommen.
Welche API man da beachten muss hat natürlich immer damit zu tun, wie die Nachricht dann tatsächlich auf dem Bildschirm erscheint. Am einfachsten ist der Fall einer standart MessageBox. Da musst du dann einfach einen BP auf MessageBoxA/MessageBoxW setzen.
Es kann natürlich auch sein, dass es in einem neuen Fenster angezeigt wird. Da gibt es dann auch wieder mehrere APIs die helfen könnten. Schau die dazu am besten einfach mal die entsprechende Sektion in der MSDN Hilfe an.

Ich könnte dir jetzt noch diverse andere Wege nennen, das hilft aber nichts, da ich noch zu wenig über das Target weiß.
Poste doch mal den Link dazu, dann kann ich mehr sagen.
Ansonsten kann ich dir wirklich nur empfehlen mal auf gRn zu fragen, da wird dir sicherlich auch geholfen.

MfG DizzY_D

Das Programm läuft unter .Net-Framwork 3.5
Außerdem wird mir bei der Registrierung eine Hardware-ID angegeben und sonst
nur

Registriername
Softwarecode
Softwarekey

Ich habe das Programm mit Ollydbg durchsucht dabei wurde mir nicht angezeigt womit es gepackt ist. Außerdem habe ich auch mit dem .Net Reflektor das Programm nach einer Funktion durchsucht die einen Schlüssel aus der Hardware-id vlt generiert habe aber auch da nichts gefunden.

Wenn du ein .Net Target in OllyDbg öffnen kannst ist höchstwahrscheinlich ein Protector davor, da OllyDbg kein .Net lesen kann.
Eine andere Möglichkeit warum der String nicht zu finden ist, ist der dass der String verschlüsselt ist.
Ich würde mich hier an Dizzy halten und den Breakpoint verwenden.

Bin aber kein Reverser (mich interessiert das Gebiet aber).

Wäre übrigens dafür dass das Thema hier gelöst wird, da mich die Lösung interessiert.

Soweit mein Senf.

Also .NET Targets sind wieder eine ganz andere Schublade als normale native Targets. Mit einem normalen OllyDbg sollte es, wie der Vorposter schon sagte, garnicht möglich sein .NET Executables zu untersuchen. Es gibt zwar einige Plugins dafür aber da ich mich generell garnicht mit .NET-Reversing beschäftige, kann ich dir leider auch nicht mehr wirklich weiterhelfen.
Der Ansatz mal mit .NET Reactor drüber zu schaun wäre auch das gewesen, was ich getan hätte. Wenn du dort lesbaren Text vorfindest, kannst du auch davon ausgehen, dass es nicht protected ist.

Zitat:

---

Wenn du ein .Net Target in OllyDbg öffnen kannst ist höchstwahrscheinlich ein Protector davor, da OllyDbg kein .Net lesen kann.

---

Das würde ja bedeuten, dass der protector die .NET Executable wieder ins Native konvertiert hat und ich glaube (weiß es aber nicht), dass sowas nicht ohne Weiteres möglich ist.

Im .Net Reactor kann ich alles im Klartext lesen. Besonders wenn ich die Anzeigeoption auf VB stelle ist das lesen sehr angenehm ^^

Das Problem ist nur, anscheinend wird der Key aus der Hardware-ID generiert.
Nur bis jetzt hab ich noch nicht eine Zeile in dem Programm gefunden aus der sich ersehen lässt wie aus der Hardwardware-ID der Softwarekey generiert wird.

Wenn jmd eine Idee hat kann er sie mir gerne mitteilen ^^

Falls noch Interesse an der Lösung besteht habe ich noch weitere Informationen da man mir auf dem von DizzY_D empfohlenen Board bis jetzt auch noch nicht so recht weiter helfen konnte.

Bis jetzt ist klar das die Exe mit dotFuscator behandelt wurde.
Das einzige Problem das ich jetzt noch an der Datei habe ist das es keinen richtigen Decrypter gibt. Immer wenn ich einen Decrypter drüber laufen lasse wird ein Fehler ausgegeben.

.Net Generic Unpacker -> No unpacked Files
DeDot -> Nicht negative Zahl erforderlich

Kennt jmd vlt einen Decrypter der funktioniert oder hat jmd eine andere Idee dafür?