Transformation du Notepad2 en version de démonstration

• Objectifs :
  on va bloquer l'enregistrement de fichiers et afficher un NAG affin de bien faire chier les utilisateurs...

• Pré-Requis :
  - un éditeur Hexa
  -le notepad : téléchargeable ici ou sur le site officiel : http://www.flos-freeware.ch/notepad2.html
  -OllyDbg
  -ResHacker (pour éditer le menu) (facultatif)
  -Un éditeur de PE Header pour changer l'Entry Point (ProcDump par exemple)
  -savoir utiliser ces logiciels
  -avoir des bases en Assembleur
  -Une bierre (indispensable)

Pour commencer on matte (avec OllyDbg) que le Padding de ce fichier est à partir de l'offset : 000506F0

Le Padding, est un zonne de donnée qui est vide de données utiles

elle est généralement à la fin des sections de notre executable et nous permet d'écrire du code...
Si jamais il n'y pas aucun espace de libre, on peut rajouter une section ou rajouter X Offset dans une section et adapter le PE-Header en fonctions (mais on vera sa plus tard)

On met nos strings avec notre éditeur hexa préféré...

on peut rajouter notre code à la suite : une fonction qui va afficher le Nag :

qui donne :

on va maintenant mettre le code qui au démarage va afficher la message box et continuer après sa le code normal

pour sa on va donc rediriger l'EP (Entry Point) vers notre nouveau code

avec ProcDump (par exemple)

Notre nouveau EntryPoint est 00050724

On affiche la message box, et on met un JUMP vers notre ancien EP :

cela donne (sous OllyDbg)

on le change l'EP et on test...

On peut voir le résultat actuel dans Notepad_Nag.exe

Maintenant on va éditer le menu avec ResHacker (on rajoute GRAYED à chaque menu de sauvegarde)
sa nous permet de désactiver le menu d'enregistrement...

Le résultat est dans Nag+Grayed.exe

On lance notre soft, tout se passe bien on a un joli Nag, on ne peux pas sauvegarder, seulement au moment de quitter une fenêtre nous demande si on ne veux pas sauvegarder notre travail quelque part...

Il va falloir trouver et supprimer cette confirmation...

Avec OllyDbg, on recherche le label : DestroyWindow

Après avoir recherché les Imports dans le code on matte 3 références...

Pour faire un choix on peux déjà un peu regarder le code,
sinon pour être sur, on pose un BreakPoint dans ces 3 cas et on regarde lequel stop notre soft dans le cas ou apparaît notre fenêtre, on lance donc notre debugger (OllyDbg)
et on écris un texte bidon dans la fenêtre qui apparaît, pour ensuite la fermer et regarder ou on à attérit...

Voilà donc notre référence, il va falloir maintenant trouver le code qui avant de quitter demande confirmation de quitter...

Ici, on matte le code suivant :

On peut teste de mettre un BP sur le Call du haut, et on verra que celui-ci appel l'affichage de la demande de confirmation, on peut donc la Nopé (NOP= No Operation = 90)

Dans notre éditeur hexa, on vire donc les Push, le Call, le ADD, le TEST et le JE
car c'est le JE qui redirige vers la sauvegarde...

(les push servent au Call, on ne va donc pas les empilés)
Ne pas suprimer le ADD peux engendrer une modification anormale de ESP, pour être totalement sur, on le vire...

On a le résultat dans : Nag+Grayed+Quit.exe

Pour finir, on aimerais vraiment faire c**** l'utilisateur en mettant un Nag avant de quitter aussi...
Pour sa, on à la place de rajouter du code, dans ce que l'on vien de Nopé, qui effectue tout sa avant de quitter, c'est donc assez simple :

le nouveau code est :

Le résultat est dans le fichier : NOTEPADDemo.exe

Voilà on à fini notre démo ;)