Dunque eccoci quà , come primo programma da analizzare prendiamo Fireworks 3 lo installiamo e vediamo che nella cartella Macromedia\Fireworks3 ci sono ,oltre ad altri file, alcuni file che ci interessano particolarmente ovvero :

    Fireworks 3.exe     200 Kb
    Fireworks 3.tty    7363 Kb 
    Firewpop.tty        172 Kb

questi sono i files che ci interessano infatti ogni volta che troviamo un .tty sappiamo di avere a che fare con SalesAgent, ma partiamo da principio domandandoci come funzioni SalesAgent :
Vedete quel Fireworks 3.exe , bene quando noi facciamo partire questo file , esso funziona da loader e fà in realtà partire il fireworks 3.tty che come si può vedere è molto più "ingombrante" , già ma ..che centra il Firewpop.tty? bene, quando noi facciamo partire Fireworks, il programma controlla se è registrato verificando la correttezza o l'esistenza del serial ( da voi precedentemente immesso ) che si trova in una chiave di registro che potete facilmente riconoscere usando il RegMon, ovvero monitorando gli accessi che il programma fà al registro di Windows, cmq, se il seriale è esatto, il SalesAgent chiama in causa il firewpop.tty usandolo per "farsi togliere di mezzo" ( alla fine vedrete cosa intendo ), infatti dentro firewpop.tty c'è la routine con il decryption code per rimuovere la protezione.
Già ma...allora nn sarebbe più facile rinominare il firewpop.tty in .exe e lanciarlo in modo da eliminare la protezione e finirla lì? (credo che vi stiate domandando questo, o almeno io l'ho fatto ) ma.. ennò perchè vabbè che scopriremo che il SalesAgent è una protezione non troppo difficle, ma mica proprio scema =) e quindi se proviamo a far partire il nostro firewpop.exe ci viene rimproverato di nn avere i diritti per far partire questo programma mmmm.. e allora?
BHè allora da bravi crackers ( eggià in questo caso nn siamo reversers , se avessimo voluto esserlo avremmo dovuto trovarci il serial esatto =) che usano lo zen ci viene in mente una idea ovvero usare la routine di eliminazione del SalesAgent senza aver introdotto codici et similia da nessuna parte, vediamo come fare :
Dunque innanzitutto rinominiamo il firewpop.tty in firewpop.exe , e prima di lanciarlo entriamo in SoftIce Ctrl+D e settiamo il seguente breakpoint : bpx SleepEx, che effettivamente non è un breakpoint che si usa troppo spesso, ma che in questo frangente ci tornerà mooolto utile ( leggete dopo le note finali per magggiori chiarimenti =), comunque per chi non sapesse quello che a grandi linee fà la funzione SleepEx, ecco subito quì la sua sintassi e la sua funzione direttamente dall'Api reference Manual :

  
   The SleepEx function causes the current thread to enter a wait state until one of the following occurs: 

·	An I/O completion callback function is called
·	An asynchronous procedure call (APC) is queued to the thread.
·	The time-out interval elapses


DWORD SleepEx(

    DWORD dwMilliseconds,	// time-out interval in milliseconds  
    BOOL bAlertable 	// early completion flag 
   );

Dunque una volta settata la nostra trappola ( il bpx ) usciamo da SoftICe e avviamo il firewpop.exe apparirà una finestra in cui dirà di "star aggiornando il programma" e in quel mentre apparirà anche SoftIce , premiamo una volta F12 e arriviamo al punto di ritorno dalla chiamata a SleepEx ,precisamente quà :

:00401921             call 004017A0
:00401926             push 00000000
:00401928             push 00000000
:0040192A             push 004022E0
:0040192F             call 00419ACE
:00401934             add esp, 0000000C
:00401937             push 00000000
:00401939             push 000007D0

* Reference To: KERNEL32.SleepEx, Ord:0297h
                                  |
:0040193E            Call dword ptr [00423148]
:00401944            call 004017A0  <-- Noi arriviamo quà 
:00401949            call 00401100  
:0040194E            mov esi, eax  
:00401950            cmp esi, FFFFFFFF
:00401953            jne 0040196B <-- Questo salto salta normalmente facendoci
:00401955            push 00000000  | saltare il ret a 401968

* Reference To: USER32.PostQuitMessage, Ord:01E0h
                                  |
:00401957            Call dword ptr [004231DC]
:0040195D            pop edi
:0040195E            pop esi
:0040195F            xor eax, eax
:00401961            pop ebx
:00401962            add esp, 00001540
:00401968            ret 0010



* Referenced by a (C)onditional Jump at Address: 00401953(C)
|

* Reference To: USER32.PostQuitMessage, Ord:01E0h
                                  |
:0040196B          mov ebx, dword ptr [004231DC]   <-- bhè arriviamo quà dopo il jnz

* Reference To: USER32.MessageBoxA, Ord:01BEh
                                  |
:00401971          mov edi, dword ptr [004231E4]
:00401977          test esi, esi
:00401979          jne 004019BF <-- questo salto non salta ma 
:0040197B          lea eax, dword ptr [esp+0000054C] | sarebbe bene lo facesse infatti
:00401982          push 00000FFF | si arriva alla msg box poco sotto
:00401987          push eax
:00401988          push 00000184
:0040198D          call 004023D0
:00401992          push 00000185
:00401997          call 004023F0
:0040199C          mov edx, dword ptr [esp+00001560]
:004019A3          add esp, 00000010
:004019A6          lea ecx, dword ptr [esp+0000054C]
:004019AD          push 00010030
:004019B2          push 00433BF8  <-- pushato "Warning" il titolo della msg box
:004019B7          push ecx <-- pushato l'argomento della msg box
:004019B8          push edx
:004019B9          call edi <-- questa è la chiamata a MessageBox
:004019BB          push 00000000
:004019BD          call ebx

Il resto di codice per noi interessante lo vedremo dopo, soffermiamoci su una curiosità: quando subito dopo la call SleepEx ci troviamo su quella call 4017A0 , premiamo F8 ed entriamoci, continuando a steppare arriveremo alla chiamata di un API dal nome perlomeno sospetta, e se ci passiamo sopra con F10 ecco che apparirà la msg box di errore, eggià la api di cui stà parlando è la DebugBreak ; quindi una volta che c siamo sopra digitiamo "a eip" e mettiamo 6 nop ( 909090909090 ) al posto dell'opcode della chiamata, vedremo così che all'uscita da quella call il valore di eax con cui si entra nella call 401100 sarà 1 e non 0 ma qusto non è molto importante infatti all'inzio dell'altra call si ha subito uno xor eax, eax =) , è da precisare che i lfatto che ora eax valga 1 e non 0 non è dovuto alla chiamata in se, visto che DebugBreak non ritorna nessun valore, quanto al fatto che ora la call 4017A0 va vanti per la sua strada =).
Visto che so che siete curiosi di sapere meglio come funziona la API DebugBreak e visto che so pure che siete pigri per andare a vedere nel API reference guide, ecco a voi sintassi e spiegazione :

The DebugBreak function causes a breakpoint exception to occur in the current process so 
that the calling thread can signal the debugger and force it to take some action. If the 
process is being debugged, the search logic of a standard exception handler is used. In 
most cases,this causes the calling process to terminate because of an unhandled 
breakpoint exception. 

VOID DebugBreak(VOID)

Parameters

This function has no parameters. 

Dopo questo particolare, parliamo di ciò che ci interessa, ovvero la call 401100, molto dipende infatti dal valore di eax che questa call che restituisce al suo ritorno, in quanto dopo di essa si ha quel mov esi, eax e chi viene confrontato dopo è proprio esi, il jnz all'offset 00401953 non deve saltare altrimenti si ritorna alla fine di una call che ci porta poi nel Kernel, quindi esi deve essere diverso da -1 , e ancora dopo all'indirizzo 401971 viene testato esi, ed è moolto importante che il jne 4019BF salti, altrimenti si finisce nel codice che ci fà apparire la msg box. Ora, ci sono 2 cose che possiamo fare, o andiamo a vedere dentro la call per stabilire in che modo NON far avere ad eax il valore di 0 quando si esce appunto dalla call ( il valore 0 per eax c andrebbe bene per far saltare il salto jne 40196B ma non per il salto jne 40196B ) oppure visto che stiamo operando a runtime e siamo sempre in Sice quando siamo sul salto ci battiamo un bel "r fl z" in modo da invertire il flag Z e far saltare il jnz, dunque facciamolo, saltiamo la msg box e arriviamo quà :

:004019BF            call 004017A0
:004019C4            cmp esi, 00000001 <-- molto interessante
:004019C7            jne 00401ABE
:004019CD            mov eax, dword ptr [0042BCB4]
:004019D2            push 004328C4
:004019D7            add eax, 00000032
:004019DA            lea ecx, dword ptr [esp+10]
:004019DE            push eax

* Possible StringData Ref from Data Obj ->"Turnkexe%s%s"
                                   |
:004019DF            push 00425258
:004019E4            push ecx
:004019E5            call 004196A7
:004019EA            add esp, 00000010
:004019ED            lea edx, dword ptr [esp+0C]
:004019F1            push 00000000
:004019F3            push edx
:004019F4            push 00000000
:004019F6            push 00000000

* Reference To: USER32.FindWindowExA, Ord:00D6h
                                  |
:004019F8            Call dword ptr [00423224]
:004019FE            test eax, eax
:00401A00            je 00401A4B

:00401A02           push 00000186
:00401A07           call 004023F0

:004023F0       mov eax, dword ptr [esp+04]
:004023F4       mov ecx, dword ptr [00427C08]
:004023FA       push 00000FFF
:004023FF       push 00433BF8
:00402404       push eax
:00402405       push ecx

* Reference To: USER32.LoadStringA, Ord:01ABh
                                  |
:00402406           Call dword ptr [00423214]
:0040240C           ret

*Referenced by a  (C)onditional Jump at Address :00401A00(C)

:00401A4B          call 004017A0
:00401A50          call 00401AD0
:00401A55          push 00437154
:00401A5A          push 00427888
:00401A5F          lea eax, dword ptr [esp+00000354]

* Possible StringData Ref from Data Obj ->"%s\%s"
                                  |
:00401A66          push 00425250
:00401A6B          push eax
:00401A6C          call 004196A7 
.... 

* Reference To: KERNEL32.SleepEx, Ord:0297h
                                  |
:0040193E         Call dword ptr [00423148]
:00401944         call 004017A0
:00401949         call 00401100
:0040194E         mov esi, eax
:00401950         cmp esi, FFFFFFFF
:00401953         jne 0040196B
:00401955         push 00000000