Многие системные администраторы, принимая на поддержку новую инфраструктуру, сталкиваются с сомнительными лицензиями на серверное или клиентское ПО. Рассмотрим классическую ситуацию: со слов предыдущих сотрудников в офисе имеется аппаратный ключ на 5 пользователей, однако при запуске программа рапортует о получении клиентской лицензии на 50 пользователей (часто это Сетевой HASP4 ORGL8 50). Более того, даже если физически вытащить все USB-ключи из сервера, лицензия продолжает успешно выдаваться. Выясним причину такого поведения и разберем по шагам, как выявить нелегальную (взломанную) версию платформы 1С:Предприятие.
Проанализируем, почему платформа показывает именно 50 пользователей, если приобреталось всего 5. Лицензии серии ORGL8 (как правило, на 50, 100 или 500 клиентских подключений) — это стандартные ключи, которые по умолчанию генерируются подавляющим большинством популярных пиратских эмуляторов. Если физических флешек в сервере нет (или они извлечены), а 1С продолжает работать и монитор аппаратных ключей видит 50 клиентов, — это практически стопроцентный признак наличия программного эмулятора ключа HASP.
Посмотрим на практические методы обнаружения вредоносного ПО. Эмуляторы прописываются в систему как виртуальные устройства. Откройте Диспетчер устройств и посмотрите системные устройства. Обратите внимание на наличие виртуальных шин, таких как Virtual Usb Bus Enumerator.
Далее перейдем к анализу системного реестра Windows. Для проверки запустите стандартную утилиту regedit. Нам необходимо проверить наличие следующих подозрительных веток:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\NEWHASP
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\vusbbus
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\haspflt
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Emulator
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\NEWHASP\Services\Emulator\HASP\Dump
Важно: Эмулятор не обязательно установлен на сервере 1С. Он может располагаться на другой машине в локальной сети и раздаваться по сети. Если вы не нашли эти ветки на одном сервере, обязательно проверьте остальные серверные мощности вашей инфраструктуры.
Продолжим расследование и поищем файлы драйверов, которые устанавливают эмуляторы (например, HASPEMUL, VUsb, Sable и различные отученные репаки или MultiKey). Чаще всего они скрываются в системных директориях Windows.
Проверьте папки C:\Windows\System32\ и C:\Windows\System32\drivers\ на наличие следующих файлов:
VUsb.sysvusbbus.syshaspflt.sysНаличие хотя бы одного из этих файлов говорит о том, что система скомпрометирована пиратским ПО.
Посмотрим на альтернативный метод взлома, который не использует эмуляцию ключа, а модифицирует файлы самой платформы. При таком подходе злоумышленники подменяют оригинальные системные библиотеки (патчат DLL).
Самая часто модифицируемая библиотека — это backbas.dll, которая находится в папке bin с установленной платформой 1С. Верный способ выявить вмешательство — сравнить дату изменения файла backbas.dll с датами изменения остальных файлов в этой же директории. Если дата отличается от остальных, значит, библиотека была перезаписана (пропатчена) после установки платформы.
Разберем, чем грозит использование подобного софта сегодня. Начиная с версии платформы 8.3, фирма 1С внедрила жесткие скрытые механизмы проверки легальности. Теперь платформа самостоятельно сканирует системный реестр и проверяет контрольные суммы своих файлов (в том числе backbas.dll).
Если система найдет следы эмулятора или патча, пользователи начнут массово получать критические всплывающие окна с текстом «Обнаружено неправомерное использование данного программного продукта» или «Обнаружено нарушение целостности системы». Работать в базе при этом станет невозможно.
Перейдем к конструктивным действиям по восстановлению лицензионной чистоты, если следы взлома все-таки обнаружены. Прежде чем покупать новые лицензии, проведем внутреннее расследование.
Рассмотрим официальный путь восстановления. Если вы нашли регистрационные анкеты или хотя бы знаете точное юридическое лицо, на которое оформлялась покупка, напишите официальный запрос в Центр лицензирования.
Отправьте электронное письмо на адрес техподдержки лицензирования с указанием ИНН вашей организации, её точного названия и регистрационных номеров программ (если они известны). Специалисты проверят базу данных и сообщат, какие именно продукты были официально приобретены.
Если у компании были программные (софтовые) лицензии, которые активировались пин-кодами (файлы с расширением .lic), для переактивации потребуются точные данные владельца, которые вводились при первичной активации (обычно хранятся в файле LicData.txt). Если этот файл утерян, воспользуемся консольной утилитой RING (1C Enterprise License Tools). С её помощью можно проанализировать имеющийся на сервере файл лицензии и вытащить из него всю необходимую регистрационную информацию, чтобы затем официально запросить у поддержки переактивацию.
Аппаратные USB-ключи (HASP) восстановить практически невозможно, если они физически утеряны. Исключением являются только официально подтвержденные кражи (справка от МВД) или уничтожение при пожаре (справка от МЧС). В случае банальной потери аппаратного ключа, к сожалению, лицензию придется покупать заново.