| Сейчас на форуме: Magister Yoda (+5 невидимых) |
 |
eXeL@B —› Основной форум —› Исследование софтины после снятия execryptor'а |
| Посл.ответ | Сообщение |
|
|
Создано: 21 марта 2009 21:45 · Личное сообщение · #1 Доброго времени суток! Безуспешно пытаюсь сломать софтину DipTrace 2.0.03 (кста, для предыдущей версии 1.5 лекарства рабочего в сети тоже не нашлось). А конкретно PCB Layout (Pcb.exe). Вобщем там EXECryptor 2.2.4 навешан, я его снял программой Unpacker Execryptor от RSI (за что ему большое спасибо =)) А вот дальше вобще - труба. Походу частично этот криптор после унпакера остается, т.к. код (мало того, что дельфи) превращен в сплошное мясо (по крайней мере в начале), в ольге нормально удалось запустить только с фантомом. Траблы следующие: Бряки на winapi поставить никак не получается, т.е. прога просто вылетает (Process terminated, exit code С0000005). Если в фантомке включить опции драйвера (load driver, hide OllyDbg windows и т.п.), то от подопытной проги получаю: Инструкция по адресу такому-то обратилась к памяти туда-то. Память не может быть "read". Как это вобще отлаживать? %) Далее. В софтине нужно отключить наг-окошко, прогой IDR, я нашел арес его метода FormShow. Его адрес: 4996D8, как ни странно, туда бряк ставится нормально %)) Так вот код этой функи следующий: Code:
как видите, выходим не через ret, прыжком, потому возникает вопрос, как узнать ОТКУДА мы прыгнули на эту функцию (неужели трейсить до посинения  )? Единственно, пока, что нарыл это референс отсюда:
Code:
Далее такой вопросик по поводу олли (я с ней мало работал, потому не пинайте сильно). Вот в иде есть такая вещь Search->Text, где можно найти любой текст в листинге (например, "004996D8"), а как это сделать в ольге? сайт софтины - www.diptrace.com весит (без библиотек около 11 метров) к сожалению, залить распакованный эксешник мне ооочень геморойно, т.к. сижу через жопорез
 |
|
|
Создано: 21 марта 2009 21:54 · Личное сообщение · #2 есть же забаненный ключ на ру-борде |
|
|
Создано: 21 марта 2009 22:14 · Поправил: alexey_k · Личное сообщение · #3 вобщем на руборде ключ с ограничениями... да и вопрос именно во взломе 
|
|
|
Создано: 21 марта 2009 22:40 · Личное сообщение · #4 После анпака остается, вроде, 2 секции криптора и от них весь дальнейший гимор, вместо софтвенных бряков юзай железячные. Да похоже, ты забыл еще про гавнотреды крипторовские, они тоже жизнь отравляют. |
|
|
Создано: 21 марта 2009 22:44 · Личное сообщение · #5 Valemox пишет: Да похоже, ты забыл еще про гавнотреды крипторовские, они тоже жизнь отравляют. можно по-подробнее, чем они могут напартачить? |
|
|
Создано: 21 марта 2009 23:39 · Личное сообщение · #6 alexey_k пишет: можно по-подробнее, чем они могут напартачить? Почитай статьи про execryptor и что на этом форуме писал kioresk про execryptor, мало распаковать программу, накрытую execryptor нужно отключить трейды execryptor'а чтобы срабатывали бряки если код выполняется в потоках криптора то бряки не срабатывают. |
|
|
Создано: 22 марта 2009 03:17 · Поправил: Valemox · Личное сообщение · #7 alexey_k пишет: можно по-подробнее, чем они могут напартачить? Я точно не вдавался в подробности, но сдается, чо они крутятся в постоянном цикле со всякими левыми своими проверками (наличие дебагера и т.д.) Глянул эту прогу, там нету гавнотредов. Держи анпак (ссыль умерла уже), в одном убрал наг реги (была здесь: 00522994), в другом и тебе его оставил для тренировки (марафет уж сам там наведеш). -=Hellsing=- пишет: если код выполняется в потоках криптора то бряки не срабатывают. Софтвенные бряки по-любасу не будут робить, пока весь гавнокодес не будет убран. |
|
|
Создано: 22 марта 2009 09:47 · Личное сообщение · #8 Valemox Спасибо, за помощь, но у меня взломанная софтина (U_Schemaic.exe) не запускается 
вот скрины: 
Из отчета: Code:
Где-то я читал, что при восстановлении импорта могут быть проблемы на разных версиях форточек, хотя могу ошибаться... 
У меня XP SP2 И еще, если не влом, опиши в двух словах, как ты нашел место проверки зареганности софтины и место, откуда вызывается показ нага? |
|
|
Создано: 22 марта 2009 10:55 · Личное сообщение · #9 alexey_k пишет: Где-то я читал, что при восстановлении импорта могут быть проблемы на разных версиях форточек Такое часто бывает, особенно на XP Sp2, XP SP3, если импорт не полностью востановлен... ----- minimaL_patсh на руборде |
|
|
Создано: 22 марта 2009 11:03 · Личное сообщение · #10 > место, откуда вызывается показ нага? RaiseException(). Кряк детектед 
|
|
|
Создано: 22 марта 2009 11:14 · Личное сообщение · #11 Clerk, это ты про вылет патченной программы? Вопрос был именно о нахождении адреса, где происходит проверка на регистрацию... |
|
|
Создано: 22 марта 2009 11:51 · Личное сообщение · #12 Странно, но запускал тож на XP SP2 и все робит, тоды попозжа выложу дерево импорта, прикрутиш сам. alexey_k пишет: как ты нашел место проверки зареганности софтины и место, откуда вызывается показ нага? DeDe кажет в евентах TForm30 CreateForm - вот сюда и обращается проверка проги на регу. |
|
|
Создано: 22 марта 2009 12:12 · Личное сообщение · #13 Ок. А насчет формы, я отлавливал FormShow, потому как FormCreate вроде как вызывается в самом начале проги, хотя может я чего-то туплю... |
|
|
Создано: 22 марта 2009 12:24 · Личное сообщение · #14 alexey_k пишет: Бряки на winapi поставить никак не получается, т.е. прога просто вылетает Прот читает первые байты API и сверяет их с CC байтом. Это легко обходится. Просто ставишь бряк на чтение на первые байты функции, запускаешь и трейсишь код. Там проверка кажется одна общая ----- Research For Food |
|
|
Создано: 22 марта 2009 12:50 · Личное сообщение · #15 Да импорт там даже не карёженный  и лежит на своём месте такчто можно обойтись и без империка
----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли. |
|
|
Создано: 22 марта 2009 13:03 · Личное сообщение · #16 И действительно, ведь Valemox распаковал обе программы, а не работает только патченная импорт тут не при шляпе.
Может там где-то проверка на изменение кода, вобщем вечером посмотрю еще... |
|
|
Создано: 22 марта 2009 13:57 · Личное сообщение · #17 попробуй вместо фантома strongod |
|
|
Создано: 22 марта 2009 19:48 · Поправил: Valemox · Личное сообщение · #18 На всякий выложу импорт (ссыль уже удалена) мож и сгодится Я х.з. чо он падает у тебя (там в анпаке для нага тока изменен 1 байт с 55 на С3). Мож, как вариант, попробовать и сплэш еще убрать по адресу 00632A5C таким же образом (хотя у мну итак се робит). Иль пробуй, сам дамп сними и импорт прикрути, а по поводу проверки на изменения кода, то такового там нет. |
|
|
Создано: 22 марта 2009 20:40 · Личное сообщение · #19 Valemox пишет: Иль пробуй, сам дамп сними и импорт прикрути, а по поводу проверки на изменения кода, то такового там нет. окэ. сейчас по тутору от vnekrilov попробую распаковать вручную, как что получится - отпишусь |
|
|
Создано: 22 марта 2009 20:54 · Личное сообщение · #20 alexey_k Обруби потоки, наг пропадёт ----- Research For Food |
|
|
Создано: 22 марта 2009 21:10 · Поправил: Valemox · Личное сообщение · #21 daFix пишет: Обруби потоки, наг пропадёт Там же их нету, я ж писал уже (ты не внимателен). Все чисто. |
|
|
Создано: 22 марта 2009 21:28 · Личное сообщение · #22 Valemox Вообще-то я руками всё снимал и проверял, так что не стоит мне говорить что там есть, а чего нету
----- Research For Food |
|
|
Создано: 22 марта 2009 21:49 · Личное сообщение · #23 daFix пишет: так что не стоит мне говорить что там есть, а чего нету Ну если так, тоды, значит, я тут все фуфло гоню и нет смысла слушать мой бред. Тоды помогай парню ты сам, а я уж тоды лесом иду. |
|
|
Создано: 22 марта 2009 21:59 · Поправил: daFix · Личное сообщение · #24 Valemox Да хватит тебе, ни на кого я не наезжаю, просто поправил... Не надо всё так бдизко к сердцу воспринимать, правда не имел ввиду ничего такого Ну чтобы отключить наг, достаточно поставить ret по адресу 00932988 ----- Research For Food |
|
|
Создано: 22 марта 2009 22:19 · Личное сообщение · #25 daFix пишет: Ну чтобы отключить наг, достаточно поставить ret по адресу 00932988 Угу, тока у меня дык это по адресу 00522994 |
|
eXeL@B —› Основной форум —› Исследование софтины после снятия execryptor'а |
Для печати