Verhexung einer * .exe - wird auch ein Zeitstempel geändert?

Normalerweise ist der Datumszeitstempel einer ausführbaren Datei ohne Bedeutung, da der Zeitstempel nicht die ursprüngliche Kompilierzeit ist, sondern die Installationszeit. Die ausführbare Datei kann auf keinen Fall von einem externen Zeitstempel abhängen, um zu überprüfen, ob sie intakt ist.

Einige ausführbare Dateien sind digital signiert. Dies bedeutet, dass eine kryptografische Funktion mit dem Schlüssel des Herausgebers auf die Datei angewendet und an die ausführbare Datei angehängt wird. Diese Signatur kann vom Betriebssystem (z. B. Windows) oder von der ausführbaren Datei selbst überprüft werden.

Alle Änderungen an der Binärstruktur der ausführbaren Datei werden bemerkt, da die Signatur nicht mit dem berechneten Wert übereinstimmt. Normalerweise gibt es keine Möglichkeit, die richtige Signatur ohne den Originalschlüssel zu generieren. Dies ist eine Sicherheitsfunktion, die Manipulationen verhindert (z. B. um Software zu knacken oder eine Virusinfektion).

Darüber hinaus kann es auch CRC (z. B. CRC-32) geben, mit dem einfach Änderungen an der ausführbaren Datei erkannt werden können. In diesem Fall prüft die ausführbare Datei möglicherweise die Überprüfung intern, was Sie möglicherweise umgehen können, indem Sie den ausführbaren Code durchlaufen, bis Sie die Prüfroutine und no-op (0x90) aus dem Funktionsaufruf an die Überprüfungsfunktion finden.

Es scheint, dass das Exe eine Selbstschutzlogik hat, was heutzutage normal ist. Die Möglichkeiten, diesen Schutz zu erreichen, sind jedoch nicht gleich. Einige verwenden digitale Signaturen, andere verwenden CRC-Prüfungen, andere verwenden Modulschutzwerkzeuge von Drittanbietern und so weiter. Ich glaube jedoch, dass der Drittanbieter nicht Ihr Fall ist, da die von diesen Tools generierten Module normalerweise komprimiert und / oder verschlüsselt sind, sodass Sie die Informationen nicht direkt finden konnten.

Obwohl es möglich ist, diese Zeitstempelinformation zum Erkennen von Modifikationen zu verwenden, sollte es jedoch sehr selten sein, den Zeitstempel nur zum Schutz zu verwenden, da jeder ihn mit Hilfe dieser Art von Werkzeugen ändern kann . Sie können die Attribute zurücksetzen, wenn Sie das Original haben, da es nicht beschädigt wird. Wahrscheinlich funktioniert es jedoch nicht.

Was ist der nächste Schritt? Um das Problem zu überwinden, müssen wir wissen, welche Art von Überprüfung für die Modifizierung durchgeführt wird, wobei das Erkennen wesentlich komplizierter ist als das Hexen eines Moduls. Danach können wir einige fortgeschrittene Ansätze anwenden, wie z. B. In-Process-Memory-Modifikationen, das Aufbrechen der Erkennungsroutine oder das Anhängen von Windows-API-Aufrufen, um das Ziel des Ersetzens von Schriftarten zu erreichen. Keiner von ihnen kann jedoch nur durch Hexing erreicht werden. Sie müssen zumindest lernen, wie man Debugger verwendet. Vielleicht hat jemand die Datei bereits zu verschiedenen Zwecken geknackt, z. B. als NO-CD-Patch, und dann können Sie sie für das Hexing verwenden, und wahrscheinlich funktioniert sie, da die Logik bereits deaktiviert ist. Bedenken Sie jedoch immer die Legalität, bevor Sie Maßnahmen ergreifen.

Sie versuchen jedoch, nur die verwendete Schriftart zu ändern. Das sieht für mich ziemlich legitim aus - warum bitten Sie den Hersteller der Anwendung nicht, eine Option zum Ändern der Schriftarten zu wählen?