Phần mềm đóng băng

--------------------------------------------------------------------------------
I. LỜI KHUYẾN CÁO
Xin thưa với các bạn !
Hiện nay, trên giang hồ xuất hiện phần mềm UnDeep Freeze, đây là 1 phần mềm – theo tôi – có
sức “tàn phá” kinh khủng …khiếp. Nó chẳng những làm hư Deep Freeze mà còn làm hư luôn hệ
thống (system) của Windows.
Sau nhiều đêm mày mò, “ngâm kíu” các tài liệu. Cuối cùng tôi cũng tìm được cách phá Deep
Freeze. Cách này đơn thuần chỉ là “cướp lấy” password để đăng nhập vào menu của Deep
Freeze chứ không làm hư Deep Freeze và hệ thống windows. Nay mạn phép viết bài này để
hướng dẫn.
Mục đích của tôi khi viết bài hướng dẫn này là chỉ muốn chia sẽ kinh nghệm mà mình đã học hỏi
được. Vậy kính mong các bạn đừng áp dụng bài viết này với mục đích xấu, cài keylog, trojan…
nhất là những người đang kinh doanh hàng net, họ thường hay sử dụng Deep Freeze để giảm
thiểu tối đa khả năng bị hư máy và bị virus tấn công… Họ cũng có nỗi khổ riêng của họ.
Bạn chỉ nên sử dụng bài viết này với mục đích học hỏi, tốt nhất chỉ áp dụng cho máy nhà khi bạn
lỡ quên password của Deep Freeze.
II. MỘT SỐ LƯU Ý TRƯỚC KHI TIẾN HÀNH PHÁ DEEP FREEZE
1. OllyDebug
Đầu tiên, bạn phải có công cụ OllyDebug. Đây là công cụ để dịch ngược file *.exe, *.dll về ngôn
ngữ ASM. Nhưng tôi chọn và dùng nó để phá Deep Freeze mặc dù không dính dáng gì đến ngôn
ngữ ASM.
OllyDebug hiện nay trên giang hồ là rất hiếm gặp. Nếu có gặp đi nữa thì nguyên bản này lại
không có phần Plugins (chứa phần OllyScript, là phần chính để phá Deep Freeze, và phần
Plugins lại càng hiếm gặp hơn cái OllyDebug đó nữa). Tôi phải bỏ ra thời gian hơn 1 tuần để tìm
kiếm, nhưng chỉ tìm được phần mã nguồn của Plugins này, tôi phải nhờ 1 bạn trong diễn đàn
(diendantinhoc.com) dịch hộ thành file thư viện.
Nhưng bạn đừng lo, nếu tôi đã viết bài hướng dẫn rồi thì cũng phải cung cấp công cụ chứ ?
Bạn có thể download OllyDebug tại địa chỉ dưới đây (nếu không tải được, bạn hãy liên hệ với tôi
qua nick yahoohoo hoặc qua email):
===== >Click to download OllyDebug < =====
===== >Click to download Tutorial Huongdan < ===== (đây là ebooks hướng dẫn đầy đủ chi

tiết hơn trên diễn đàn).
Sau khi bạn tải OllyDebug về, tiến hành giải nén và chạy file OllyDBG.exe để vào giao diện
chính của OllyDebug. Bạn sẽ được giao diện như hình trên.
2. Vị trí biểu tượng của Deep Freeze trên thanh taskbar:
Bạn phải để ý vị trí của biểu tượng này, vì khi tiến hành phá Deep Freeze, sẽ có 1 biểu tượng
Deep Freeze khác xuất hiện nằm kế bên. Bạn để ý nó để phân biệt đâu là biểu tượng cũ, và đâu
là biểu tượng mới (xem hình)
Ảnh dưới đây đã được chỉnh sửa kích cỡ. Hãy click vào đây để xem toàn bộ ảnh. Ảnh gốc
có kích thước 607x37 và độ lớn là 7KB
3. Xem phiên bản của Deep Freeze mà máy đang dùng:
Để xem được phiên bản của Deep Freeze mà máy đang dùng, bạn hãy ấn phím tổ hợp CTRL +
ALT + SHIFT + F6. Khi đó, menu nhập password của Deep Freeze sẽ hiển thị lên. Bạn nhìn vào
góc trái, trên của menu này thì sẽ thấy phiên bản của nó.
Bạn hãy ghi nhớ số phiên bản này, đây là cơ sở để tìm offset phá Deep Freeze.
4. Tìm đường dẫn, thư mục cài đặt tệp FrzState2k.exe của Deep Freeze:
Thông thường, Deep Freeze được cài mặc định tại thư mục “ C:\Program Files\Faronics\Deep
Freeze\Install C-0"
Trong thư mục này lại có chứa 1 tệp (DF5Serv.exe ) và 1 thư mục con ( _$Df ). Trong thư mục
con lại chứa tệp FrzState2k.exe. Đây là tệp chính thức dùng để phá.
Túm lại, nó có đường dẫn đầy đủ như sau:
C:\Program Files\Faronics\Deep Freeze\Install C-0\_$Df\FrzState2k.exe
Lưu ý: trên đây chỉ là 1 ví dụ về đường dẫn của tệp FrzState2k.exe. Nó có thể thay đổi tùy theo
sự cài đặt của chủ máy.
Chú ý: bạn có thể dùng phần mềm ProcessExplorer để tìm đường dẫn cài đặt Deep Freeze và
điểm Argument của nó.
===> Download ProcessExplorer tại đây <====
Giao diện của ProcessExplorer
Command Line và Arguments của Deep Freeze
III. TIẾN HÀNH PHÁ DEEP FREEZE
1. Dùng OllyDebug, mở tệp FrzState2k.exe:

Bạn hãy chạy tệp OllyDBG.exe để vào giao diện của OllyDebug. Sau đó bấm vào biểu tượng
open trên thanh menu (hoặc bấm phím tắt F3, hoặc vào menu File\Open).
Trong hộp thọai Open này, bạn lần theo đường dẫn của tệp FrzState2k.exe (vừa tìm được trên
mục II.4). Hãy nhập vào các mục của hộp thọai Open như sau (xem hình):
- File name: FrzState2k.exe
- Arguments: 1 106917 0 (lưu ý, có khoảng trắng)
Sau đó bấm open. OllyDebug sẽ hiển thị 1 hộp thọai thông báo khác, nội dung như sau:
---------------------------
Entry Point Alert
---------------------------
Module 'FrzState' has entry point outside the code (as specified in the PE header). Maybe this file
is Self-extracting or self-modifying. Please keep it in mind when setting breakpoints!
---------------------------
Bạn cứ bấm OK.
Trong quá trình OllyDebug tiến hành dịch mã, có thể sẽ có lỗi xảy ra về modul như sau:
---------------------------
Compressed code?
---------------------------
Quick statistical test of module 'FrzState' reports that its code section is either compressed,
encrypted, or contains large amount of embedded data. Results of code analysis can be very
unreliable or simply wrong. Do you want to continue analysis?
---------------------------
Yes No
---------------------------
Trường hợp này bạn bấm YES. Hoặc:
---------------------------
Error