Я прикладной программист, хотя душа всегда тяготела к системным вещам. Давно мечтал научиться анализировать софт. Несколько лет назад перед мной встал SoftIce как самый крутой отладчик. Я решил его изучать, но нормальной инфы найти не удалось, после чего я это дело забросил. Недавно я наткнулся на цикл интересных статей www.wasm.ru/series.php?sid=17 прочитал их, разобрался с примерами и OllyDebug стал моим отладчиком на веке. Давно было желание проанализировать программу Back2Life v2.1, и вот настал день, когда я захотел сделать это с помощью OllyDebug, начал выполнять по той же методике как это было в примерах www.wasm.ru/series.php?sid=17, но к сожалению ничего неполучается, поэтому я решил обратиться к ВАМ профессионалам, может кто-нибудь возмется со мной вместе пошагово разобраться в ее скрытии. Для ВАС это же пустяковое дело, а мне хочется научится.

P.S. Помагите пожалуйста. А то спать начами не смогу.

0350_12.12.2007_CRACKLAB.rU.tgz - Back2Lifev2.1.rar

| Сообщение посчитали полезным:

Delphist пишет:
Давно было желание проанализировать программу Back2Life v2.1
Что ты имеешь в виду под словом проанализировать?
Понять как работает та или иная функция, влзомать ее, добавить или изменить функционал?

-----
iNTERNATiONAL CoDE CReW

| Сообщение посчитали полезным:

Spirit пишет:
Что ты имеешь в виду под словом проанализировать?
Подобрать серийный номер

| Сообщение посчитали полезным:

Delphist
Что бы это не выглядело, как банальный запрос на взлом, приведите, до чего смогли докопаться, что именно не получается и т.д.

| Сообщение посчитали полезным:

Все гораздо проще, чем я думал.
Тогда, несмотря на твои разглагольствования тебе в Запросы на взлом.

-----
iNTERNATiONAL CoDE CReW

| Сообщение посчитали полезным:

Delphist пишет:
может кто-нибудь возмется со мной вместе пошагово разобраться в ее скрытии

Если ты имеешь в виду антиотладочные фичи, то можно прочитать этот топик-
http://www.exelab.ru/f/action=vthread&forum=1&topic=7529

Не ясно все-таки что такое анализировать в твоем понимании...

| Сообщение посчитали полезным:

Gerpes
Delphist пишет:
Подобрать серийный номер

-----
iNTERNATiONAL CoDE CReW

| Сообщение посчитали полезным:

Spirit пишет:
Подобрать серийный номер
Да, по-русски это взломать

| Сообщение посчитали полезным:

Жду помощи...

| Сообщение посчитали полезным:

Отчего же не помочь, поможем, только топик явно для раздела новичков.

-----
Всем привет, я вернулся

| Сообщение посчитали полезным:

Да вы правы

| Сообщение посчитали полезным:

Spirit пишет:
Тогда, несмотря на твои разглагольствования тебе в Запросы на взлом.
чуваг просит не поломать, а научить ломать на примере данной программы..

| Сообщение посчитали полезным:

sniperZ пишет:
чуваг просит не поломать, а научить ломать на примере данной программы..
Именно так.

| Сообщение посчитали полезным:

Приветствую всех!

я не против помощи, но кажется мне в этом есть нечто иное:
сложилось стойкое ощущение - Delphist пытается получить крипто-анализ результата собственного творчества.

За Соц.Инженеринг можно смело поставить "4"... может быть - с маленьким "-"..
Оценка за все остальное - (если она нужна :s6 несколько позже.

ps/ на оффсате есть более забавное - вращающаяся рыбка... гм.. сами себе ставить крест..
черный юмор... однако...

| Сообщение посчитали полезным:

DMD
+1

Delphist
Я не ошибся, в твоей (я думаю, что это так) проге сначала в реестр пихаются данные, а при рестарте чекаются?
Хотя дата релиза проги - 2002 год? )) своевременная проверка творения

-----
Харе курить веники и нюхать клей, к вам едет из Америки бог Шива, и он еврей.

| Сообщение посчитали полезным:

DMD пишет:
сложилось стойкое ощущение - Delphist пытается получить крипто-анализ результата собственного творчества.
forum.sources.ru мне посоветовали этот сайт в связи с тем, что здесь как раз-то и обсуждаются такие темы. Как таковой серийник мне не нужен, потому как в нете его дастать, наверное, не сложно. Для меня самое важно научиться правильно и грамотно строить взлом (хотя слово взлом слишком резкое, лучше анализ) программа. Вы скажите почему именно Back2Life - я отвечу принципиально просто она уже не один год мазолит у меня перед глазами, и изучение примемов анализ (взлома) именно на ней для меня было бы наиболее интересным

| Сообщение посчитали полезным:

Delphist пишет:
ы скажите почему именно Back2Life - я отвечу принципиально просто она уже не один год мазолит у меня перед глазами, и изучение примемов анализ (взлома) именно на ней для меня было бы наиболее интересным
Тогда почему бы не взять новую версию:
grandutils.com/RU/Back2Life/Back2Life.zip
Крякнуть её так же просто, как и ту что выше... С ключём правда всё сложнее, но главное ведь результат

-----
Всем привет, я вернулся

| Сообщение посчитали полезным:

Delphist

гм.. не совсем хочется начинать пустое.. но я готов ответить.
даже если все так как описано - выбор перой цели весьма неудачен. Применение в таргете крипто требует от анализирующего наличие неких знаний в математике. и как min - опыт в RE (ревер-инженеринг). Без оных - начинайте с чего-нибуть по-проще : crackme.. попробуйте повторить примеры из статей.. и учитесь задавать точные вопросы по сути (то что может быть интересно Вам может оказаться не интересно другим). С опытом - будете переходить к более сложным вещам.
Поэтому могу предложить следующее: топик, похоже, стоит закрыть, и если действительно есть интерес - есть ПМ. пишите.
какое-то разумное время готов потрать на этот таргет... хотя
Delphist пишет:
изучение примемов анализ (взлома)
есть целый цикл статей "Крекинг с 0", есть раздел статей "Для новичков.." информации на первый раз - заоблочно!

ps/ здесь очень редко встречаются аффторы софта для проведения анализа их творений - противоречие очевидно: аффторы зарабатывают, а сам платить за анализ почему-то не хотят ...
так что,
Delphist пишет:
мне посоветовали этот сайт в связи с тем, что здесь как раз-то и обсуждаются такие темы. не то посоветовали...

Думаю, все согласны: диспут можно заканчивать...

| Сообщение посчитали полезным:

DMD пишет:
неких знаний в математике. и как min - опыт в RE (ревер-инженеринг).
В математике опыт очень большой. Понимание взлома CrackMe и им подобные при изучении статей для меня не составляло труда.
DMD пишет:
ПМ. пишите
Что такое ПМ.
DMD пишет:
Думаю, все согласны: диспут можно заканчивать
Я очень быстро учусь меня нужно только направить в нужное русло. Поэтому большая просьба не закрывать диспут, а все таки помочь начинающему крэйкмекеру. Опыт в программировании у меня большой. И я думаю, что нужно дать мне шанс.

| Сообщение посчитали полезным:

Delphist пишет:
Что такое ПМ.
Private Message - Личное сообщение.

Если крякмисы шли легко, тогда что конкретно не выходит в данном случае?

-----
Всем привет, я вернулся

| Сообщение посчитали полезным:

Вообщем я немогу понять где именно происходит проверка. При нажатии кнопки ОК в окне регистрации эта хрень (Back2Life) создает в реестре UserName и RegKey, потом начинается какая-то кхеромантия, куча call'ов и в итоге я буксую...

| Сообщение посчитали полезным:

Delphist, здесь (как очень часто бывает) окошко регистрации всего лишь вносит ключ и юзера в реестр.
Проверку ключа на валидность можно ловить через bp RegOpenKeyExA на следующую загрузку жертвы.
Смотри параметры в стеке, делай выход из API-функции когда Subkey будет Software\Back2Life.
Попадаешь в промежуточную обёртку, а следующий выход самое оно. Там ниже по коду всё очевидно.

-----
Всем привет, я вернулся

| Сообщение посчитали полезным:

бгг, прога при запуске раскриптовывает процедуру восстановления файло.
Delphist
сделай поиск по строкам, выйди на эту процедуру, а там ищи проверку..

| Сообщение посчитали полезным:

sniperZ пишет:
сделай поиск по строкам, выйди на эту процедуру, а там ищи проверку
Что искать-то?

| Сообщение посчитали полезным:

Delphist пишет:
Что искать-то?
То, что прочие участники дискуссии уже давно нашли:

00407763 |. E8 8CF5FFFF CALL 00406CF4
00407768 |. 8D4C24 0C LEA ECX, DWORD PTR [ESP+C]
0040776C |. B8 28764000 MOV EAX, 00407628 ; Entry address
00407771 |. 8B5424 04 MOV EDX, DWORD PTR [ESP+4]
00407775 |. E8 56FBFFFF CALL 004072D0
0040777A |. 6A 0A PUSH 0A
0040777C |. 6A 00 PUSH 0
0040777E |. 8B4C24 0C MOV ECX, DWORD PTR [ESP+C]
00407782 |. BA A8774000 MOV EDX, 004077A8 ; ASCII "KEY-122-58"
00407787 |. 8B4424 08 MOV EAX, DWORD PTR [ESP+8]
0040778B |. E8 28700000 CALL 0040E7B8
00407790 |. 84C0 TEST AL, AL
00407792 |. 74 05 JE SHORT 00407799
00407794 |. E8 8FFEFFFF CALL 00407628
00407799 |> 83C4 1C ADD ESP, 1C
0040779C |. 5F POP EDI
0040779D |. 5E POP ESI
0040779E |. 5B POP EBX
0040779F \. C3 RETN

краткое описание происходящего:
- при регистрации UserName и RegKey пишутся в реестр.
- "ловить" проверку проще при следующем старте. (это парни верно говорят)
1) UserName - нужно только для иллюминации.
2) RegKey - строка до 20 символов
потом RegKey переводится в hex-вид и происходит раскрытие так называемого S-box (это я немного вперед забежал). его размер 0х80 байт.
с помощью модифицированного hex-представления RegKey и S-box происходит декрипто куска кода размером 0хВ3 байт.
Особо позабавила проверка валидности декриптовки - наличие в теле восстановленной процедуры ASCII стринга "KEY-122-58".
если все ок - выполним восстановленную процедуру, если все плохо - обойдем ее..

судя по размерности и посторению - имеем дело с RC2...

| Сообщение посчитали полезным:

Delphist
Тебе надо найти место, где в стек помещается значение ключа, потом это значение применяется в дальнейшей работе проги, т.к. при убивании этой проверки прога перестает корректно работать.
я только это смог, поскольку с крипто еще не сталкивался, но тема интересная...

PS попробуй бряк на память "KEY-122-58" поставить.. - он должен вывести на проверку валидности.

| Сообщение посчитали полезным:

Gerpes пишет:
при убивании этой проверки прога перестает корректно работать.

один сказал "проверка", остальные - подхватили...

в таргете нет "проверки" в смысле "ок - - bad".
здесь нельзя править переходы без понимания происходящего - это по меньшей мере глупо.

Gerpes пишет:
...с крипто еще не сталкивался, но тема интересная...

RC2 и его дженерики давно описаны и практически сданы в утиль. Но в смысле "поиграться", как видим, еще используются. Крипто-анализ этих алго - не составляет секрета. При желании поиск поможет...
при столь известных условиях построения + доп. условиях что-бы не обрабатывать весь крипто-блок на каждом прогоне полность - все равно все будет ограничено доступными вычислительными мощностями.
256^^10 всего делов-то...
ps/
переписать все на асм + оптимизировать процесс + оптимизация доп. и основных проверок... + время ...
и все это во имя чего?

| Сообщение посчитали полезным:

DMD пишет:
здесь нельзя править переходы без понимания происходящего

Попробовать зато можно (хотя бы 1 раз), я же не сразу увидал, куда и что идет.

DMD пишет:
и все это во имя чего? - только ради интереса, так-то прога 100р стоит...

PS - поправлюсь -бряк на память здесь нафиг не нужен, эта строка и так видна....

| Сообщение посчитали полезным:

Gerpes пишет:
только ради интереса

я почти все описал - успехов тебе!

| Сообщение посчитали полезным:

а ларчик-то с секретом..

в нем действительно есть крипто.. есть декрипто разных процедур...
только все, что было найдено - обманки.

dREAM TEAM, конечно, молодцы - закейгенили это чудо.
но если как Gerpes пишет: ради интереса , то с таргетом нужно разбираться.. серъезно разбираться.

ps/ а я еще думал: почему UserName не используется в найденных декрипто ?.... это против сути RCx... вот как значит дело обстоит... обманки...

| Сообщение посчитали полезным: