Perfect Darkの解析

■0×01.) はじめに

Perfect Darkとは

Perfect darkはWindowsで動作する匿名ファイル共有ソフトである。会長と名乗る匿名の作者によって開発中であり、最終的にはWinnyやShareの後継となりうるものを目指している。PDと略されることも多い。 現在、公開テスト中である。

http://ja.wikipedia.org/wiki/Perfect_Darkから引用

　このソフトウェアにはファイル共有機能だけでなくフローやボードといった匿
名性に優れた簡易掲示板機能がある訳だが、たとえフローやボードを使う目的で
Perfect Darkを導入するにしても、Unity(キャッシュ)フォルダとして最低でもH
DDの空き容量が40GBは必要である。

　というわけで、実行ファイルの改変によってこの40GB制限を解除しようという
のが今回の解析の目的である。
　なお、パッチの違法目的での使用はご遠慮ください。

■0×02.) 準備

　今回の解析で使用するソフトウェアは以下の通りです。

・OllyDbg
・IDA Pro 4.9 Freeware
・うさみみハリケーン
・Perfect Dark 1.02（ターゲット）

■0×03.) 40GB制限を回避しよう

　それではテンポ良く解析していきましょう。

1：Unityサイズを保持している変数のアドレスを探そう。

　まずはOllyDbgでperfect dark.exeを開き、実行させます。　次にうさみみハリケーンを実行し、実行中のperfect dark.exeにアタッチします。Vistaの場合はどちらのソフトウェアも管理者権限で実行しないと正常な動作をしないので注意してください。

　そしてメニューバーの「検索」→「メモリ範囲を指定して検索」を押します。
通常検索という項目があるので「数値」の右にあるテキストボックスに今現在の
Unityのサイズを入力し、「通常検索実行」というボタンを押すと右上のリストボ
ックスに検索結果が表示されます。

　このままでは候補が多すぎるのでPerfect Darkを操作してUnityのサイズを変更
し、再びその値をテキストボックスに入力して検索、というのを繰り返して候補
が一つになるまで繰り返します。

　一つだけ残ったのが今現在のUnityの大きさを保持しているアドレスです。メモ
してください。　それではうさみみハリケーンを終了して、次にOllyDbgの方で作業を続けます。

2：Unityサイズを保持している変数にアクセスしている箇所を探そう。

　OllyDbgの左下のDump画面内で右クリック→「移動」→「アドレス移動」を押し
て先ほどメモしたアドレスを入力します。すると今現在のUnityサイズの値が16進
数で表示されているのが確認できると思います。

　次に、ここにアクセスしている箇所を探すためにブレークポイントをセットし
ます。値の上で右クリック→「ブレークポイント」→「HWブレークポイント書き
込み」→「byte」を押すとハードウェアブレークポイントがセットされます。

　そしてPerfect Darkの方で再びUnityサイズを変更し、Okを押すと以下の場所で
ブレークします。

0040DF5B . E8 90E4FFFF CALL perfect_.0040C3F0

　しかし、ハードウェアブレークポイントは一つ行き過ぎるという特徴があるの
で、実際には以下の命令が先ほどのアドレスにアクセスしています。

0040DF55 . 8981 78020000 MOV DWORD PTR DS:[ECX+278],EAX

　とりあえずハードウェアブレークポイントを解除して0×0040DF55にブレークポ
イントをセットしてもう一度さっきと同様にUnityサイズを変更すると0×0040DF55
でブレークします。このときのEAXの値が変更する値で、DS:[ECX+278]が変更前の値であるのが確認できると思います。つまり、このEAXをチェックしている箇所を
探すことで40GB制限を回避できるわけです。

　と言うわけで、その少し上のコードを見てみましょう。MessageBoxを呼び出し
ている箇所があるのかすぐに見つかると思います。これが設定した値が40GB未満
の場合にエラーとして表示されるものだと言うことは容易に想像がつくでしょう。
ということはこの処理より前の比較でチェックしているというのも分かります。
それが以下の命令です。

0040DEE6 . 3BC6 CMP EAX,ESI

　というわけで、その下の項目を以下のように変更します。

0040DEE8 . /EB 5E JMP SHORT perfect_.0040DF48

　ブレークポイントを外してから再開させて、Unityサイズを40GB以下にしてもエ
ラーが出ずに値が更新されているのが確認できるでしょう。

　最後に変更を実行ファイルに書き込み、解析終了です。お疲れ様でした。とい
いたいんですがね。

■0×04.) 改変チェックを回避しよう

　というわけで、変更した実行ファイルを実行してもすぐに終了します。つまり
改変チェックが存在するという事です。

　それではサクっと回避しちゃいましょう。　まずはIDA Proでperfect dark.exeを開きます。分析が終了するまで暫く待ちましょう。実行してもウインドウが表示されないので、そこらあたりから攻めていきます。Importウインドウの中のCreateWindowEXの項目をダブルクリックをする
と

idata:004CE3D8　…

　というところに移動します。CreateWindowEXのところで右クリック→「jump to
xref to operand」を押すと多くの項目が表示されますが、これの一番上をダブ
ルクリックします。周りのコードを見るとここがメインのウインドウを作成して
いる箇所であるのが確認できると思います。

　それでは次にメニューバー「View」→「graph」→「Flow chart」を押します。
すると今の箇所を含めたフローチャートが表示されます。ここからが面倒なので
すが、改変前と改変後の実行ファイルをこのフローチャートを見ながらデバッグ
していきます。

　そして、どこで違いが生じるかをチェックします。結果は以下の箇所で、改変
後の場合は、ジャンプしてしまいます。

text:0040A1B0 jnz loc_40A3FB

というわけで、試しにこれを飛ばないように変更して実行すると、なぜかソフ
トが落ちます。
　しょうがないのでその前の

.text:0040A1A6 call sub_40AA20

　この中もチェックすることにします。ここでもフローチャートを表示させてか
ら、改変前と改変後の実行ファイルの違いをチェックしていきます。結果は以下
の箇所で、改変後の場合は、ジャンプしません。

text:0040AB6A jz short loc_40ABCA

　というわけで、その前の

.text:0040AB63 call sub_4628B0

この中をさらに調べます。CreateFileWやReadFile関数などを使って改変チェック
をしているのが分かると思います。
　というわけで以下のように変更することで改変チェックを回避します。

.text:0040AB68 cmp eax, eax

　すると改変後の実行ファイルでも実行できるようになりました。
　お疲れ様でした。といいたいんですがね。

■0×05.)　起動時にUnityサイズを設定させる

　実行してもらったら分かるんですが、起動時のUnityサイズは40GBで変更すると
40GB以下になります。これはちょっと…って感じです。

　というわけで適当なところにUnityサイズを設定するコードを作成します。取り
敢えず、改変チェック後に入れてみました。まずは以下のように変更して、空い
てる場所までジャンプさせます。

0040AD6A . /E9 BC120C00 JMP perfect_.004CC02B

　そして、変更によってつぶれた命令とUnityサイズを設定するコードを書き加え
ます。取り敢えず、設定するサイズは7GBにしてみました。

004CC02B 64:890D 0000000>MOV DWORD PTR FS:[0],ECX
004CC032 BB 07000000 MOV EBX,7
004CC037 8B0D F8C25000 MOV ECX,DWORD PTR DS:[50C2F8]
004CC03D 8999 78020000 MOV DWORD PTR DS:[ECX+278],EBX
004CC043 ^ E9 29EDF3FF JMP perfect_.0040AD71

　実行させると確かにサイズが7GBになっているのが確認できるでしょう。後はこ
れを外部から変更するソフトを作れば終わりです。