| Сейчас на форуме: ==DJ==[ZLO], Magister Yoda, Rio (+6 невидимых) |
 |
eXeL@B —› Основной форум —› Ручная распаковка.... |
| . 1 . 2 . >> |
| Посл.ответ | Сообщение |
|
|
Создано: 08 февраля 2005 19:29 · Личное сообщение · #1 Тормознулся на badcopy99, кто читал тот помнит мою проблему. Начал я разбираться с ручной распаковкой. Взял статью с примером calc.exe. Нашёл начало -> 01020C70 > $ 60 PUSHAD 01020C71 . BE 00A00101 MOV ESI, calc.0101A000 01020C76 . 8DBE 0070FEFF LEA EDI, [DWORD DS:ESI+FFFE7000] ...... конец -> 01020DC7 . 83C3 04 ADD EBX, 4 01020DCA .^EB E1 JMP SHORT calc.01020DAD 01020DCC > FF96 8C680200 CALL [DWORD DS:ESI+2688C] 01020DD2 > 61 POPAD 01020DD3 .-E9 9D16FFFF JMP calc.01012475; (точка OEP) 01020DD8 00 DB 00 ...... снял дамп-> стал импортировать в поле ОЕР заполнил значением :12475h Только я импорт прогоняю, запускаю -> даёт ошибку. Значение ОЕР брать с строки джампа или следующего адреса (01012475) В чём беда?  |
|
|
Создано: 08 февраля 2005 19:50 · Личное сообщение · #2 dragon-gor пишет: JMP calc.01012475 Это и есть твой ОЕР Перед дампом , если в сайсе, остановись на 01020DD3 .-E9 9D16FFFF JMP calc.01012475 Жми А -> Enter -> jmp eip -> Enter -> Enter A + Enter -> вход в режим ассемблера jmp eip + Enter -> зацикливаешь прогу Enter -> выход из режима ассемблера Все, теперь F5 и снимай дамп. Только не забудь убрать брейкпоинты. ----- TBR |
|
|
Создано: 08 февраля 2005 20:11 · Личное сообщение · #3 dragon-gor пишет: Только я импорт прогоняю, запускаю -> даёт ошибку. Фраза непонятная, мож ты Fix dump забыл сделать? А так вроде все верно. |
|
|
Создано: 08 февраля 2005 21:30 · Личное сообщение · #4 Full Damp. Вот и я удивляюсь. |
|
|
Создано: 08 февраля 2005 21:34 · Личное сообщение · #5 01020DD3 .-E9 9D16FFFF JMP calc.01012475 Жми А -> Enter -> jmp eip -> Enter -> Enter Это я делал. Правдо не понял для чего цикл. Распаковывал на олли |
|
|
Создано: 08 февраля 2005 21:38 · Личное сообщение · #6 dragon-gor Зацикливать необходимо только если юзаешь айс, иначе тебе не сдампить прогу на ОЕП. Вроде можноюзать IceExt, он у меня не работал никогда. В Оле этого не делать не надо (хотя все равно дамп работать будет), достаточно просто сдампить на ОЕП. |
|
|
Создано: 08 февраля 2005 22:14 · Личное сообщение · #7 Запускаешь пакованную прогу, импрек. В списке процессов выбираешь прогу (в твоем случае calc.exe) В поле ОЕР пишешь тот ОЕР что ты нашел - (минус) смещение (Image Base - найдешь в LordPe). У тебя оно более вероятно 01000000, значит записываешь 00012475 Жмешь IAT AutoSearch -> Get Import. Потом жмешь Fix Dump и выбираешь свой дамп. Тыснешь Ок. Ну и все. ЗЫ: Потом ребут и форматС: 
----- TBR |
|
|
Создано: 08 февраля 2005 23:33 · Личное сообщение · #8 А у тебя среди неопределившихся функций DialogboxparamA не попадалась? Есл ипопадалась попробуй заменить на DialogboxparamW - может поможет. |
|
|
Создано: 08 февраля 2005 23:37 · Личное сообщение · #9 Halt пишет: А у тебя среди неопределившихся функций DialogboxparamA не попадалась? Бред... Если функция неопределилась, то она не будет отображена как DialogBoxParamA... Она ж неопределилась =))) |
|
|
Создано: 08 февраля 2005 23:42 · Личное сообщение · #10 Dragon-gor В ImpRec-e в поле ОЕР оставь 12475, в поле Size оставь 1000, а в поле RVA напиши 1020, и сразу жми Get Imports. |
|
|
Создано: 09 февраля 2005 00:33 · Поправил: DrFits · Личное сообщение · #11 dragon-gor: Так ты сделай после восстановления импорта Rebild PE-должно помочь 
----- Само плывет в pуки только то, что не тонет. |
|
|
Создано: 09 февраля 2005 00:35 · Личное сообщение · #12 DrFits пишет: так енто калькулятор или что? ага, лонгхорн решили упаковать, чтоб поменьше был
----- TBR |
|
|
Создано: 09 февраля 2005 00:40 · Поправил: Halt · Личное сообщение · #13 Ara Зря ты так, уменя прога падала по непонятной причине при запуске именно при появлении окна, опытным путем поменял и все ок, название проги правда не помню. не знаю как это повлияло, но видимо както, сам был в немонятках, но факт вещь упрямая 
ну всмысле выглядит она как Dialogbox..... переходники (эмуляторы) во всех статьях по аспру есть |
|
|
Создано: 09 февраля 2005 17:04 · Личное сообщение · #14 dragon-gor пишет: В чём беда? Мне кажется я знаю твою проблему. У меня раньше такое же было, по причине полной неопытности. Ты когда дампил стоял скорее всего не на самой OEP а на переходе к ней (т.е. на JMP calc.01012475;) Надо чтоб этот джамп сработал. Чтобы когда ты нажал в Олли на "*" отладчик находился по адресу 01012475. А когда уже СТОИШЬ на OEP - запускай PE TOOLS, выбирай свою прогу из памяти и в нижнем окошке делай ей FULL DUMP ! Просто многие в статьях про распаковку этот момент пролетают, или упоминают о нём вскользь, не особо акцентируя на нём внимание, а это такая мелочь, из-за которой можно потом неделю голову ломать в попытке понять - "Что же я не так делаю?" |
|
|
Создано: 09 февраля 2005 17:50 · Личное сообщение · #15 Hyper бред полный, этот джамп ничего не меняет =) ----- once you have tried it, you will never want anything else |
|
|
Создано: 09 февраля 2005 18:52 · Поправил: Ara · Личное сообщение · #16 Halt Hyper DrFits buddy Что вы человека путаете? Лучше не писать ваще ничего... Какие неопределившиеся функции и ручное выставление таблицы импорта? Какие переходники - эмуляторы? Не морочте людям голову, он распаковывает простой пакер (похоже УПХ)!!! |
|
|
Создано: 09 февраля 2005 19:50 · Личное сообщение · #17 gloom пишет: бред полный а вот и не полный !!! 8-) Я когда Аспак распаковывал, у меня почти все дампы не запускались. После того как поставил Олли на OEP и дампил там - всё ОК. Ara пишет: он распаковывает простой пакер (похоже УПХ)!!! Ага, по коду похоже на него. Только не думаю что с УПКСОМ такие запарки могут быть............................ |
|
|
Создано: 09 февраля 2005 20:09 · Личное сообщение · #18 Hyper пишет: Я когда Аспак распаковывал, у меня почти все дампы не запускались. После того как поставил Олли на OEP и дампил там - всё ОК дык в аспаке и переход к оеп не прямой jmp, а ret =) |
|
|
Создано: 09 февраля 2005 20:11 · Личное сообщение · #19 не знал, не знал......... 8-) |
|
|
Создано: 09 февраля 2005 20:19 · Личное сообщение · #20 Пакер UPX Интересно что PeEditor импортирует без ошибок, но файл - бракованный. А в ImpRec-e запускаю IAT AutoSearch -> Could not find anything good at this OEP! Честно сказать у меня от этой распаковки голова расскалывается. |
|
|
Создано: 09 февраля 2005 20:21 · Личное сообщение · #21 По идеи после IAT AutoSearch RVA и Size должен сам найти? Если нет то как их вычислить? |
|
|
Создано: 09 февраля 2005 20:51 · Личное сообщение · #22 dragon-gor Что за прогу распаковываешь дай глянуть,UPX вообще снимается с ключём -D. |
|
|
Создано: 09 февраля 2005 20:56 · Личное сообщение · #23 Ruller Ну писал же человек - calc.exe... dragon-gor Ты ОЕР неверно указываешь в ИмпРеке значит |
|
|
Создано: 09 февраля 2005 21:28 · Поправил: Grey · Личное сообщение · #24 Ara пишет: Ты ОЕР неверно указываешь в ИмпРеке значит Имхо дело не в этом. Была у меня давненько такая-же оказия. И пейдом ОЕР определял и в сайсе, а вот импрек ругался на него и смайлик в конце такой гнусный выводил. Беда - не помню как выкрутился я из этого. dragon-gor пишет: Честно сказать у меня от этой распаковки голова расскалывается. И у нас, как видишь. Давай-ка не спеша, ничего не упуская раскажи по порядку как все делаешь. ЗЫ: Погодь! А че за статья? Калькулятор, УПХ? MozgC? Если да, то почему у тебя джамп на ОЕР не в ту сторону??? ----- TBR |
|
|
Создано: 09 февраля 2005 21:50 · Личное сообщение · #25 Ara dragon-gor Запаковал я недавно calc.exe UPX-ом, а распаковать долго не мог. В ImpRec-e IAT AutoSearch ничего не находил. Пришлось открывать дапм WinHex-ом, находить адрес GetModuleHandleA, например, далее открывать дамп в PEditor-e, жать FLC, в поле Offset - втыкать то, что нашёл в WinHex-e и радостно жать DO. Вот после всего этого в поле RVA было то, благодаря чему смог распаковать! Об этом способе прочитал в знаменитой статье товарища Mozg-a про распаковку. Может это и не самый лучший способ, но традиционный, через AutoSearch не катил ... |
|
|
Создано: 09 февраля 2005 21:56 · Личное сообщение · #26 а посмотреть вызовы импорта несудьба ? =) типа там call [iat] или jmp [iat] |
|
|
Создано: 09 февраля 2005 22:02 · Личное сообщение · #27 buddy пишет: Запаковал я недавно calc.exe UPX-ом, а распаковать долго не мог LOL. Grey пишет: почему у тебя джамп на ОЕР не в ту сторону??? LOL Запаковал я пару минут назад calc.exe UPX-ом и распаковал тут же. Все как всегда, ничего там нет необычного... |
|
|
Создано: 09 февраля 2005 22:11 · Личное сообщение · #28 Ara Распоковал тоже UPX-oм или с Олей? Уже кто-то поднимал вопрос, что на разных тачках есть свой нюансы |
|
|
Создано: 09 февраля 2005 22:28 · Личное сообщение · #29 buddy пишет: Распоковал тоже UPX-oм или с Олей? LOOOL. Прикольный топик... |
|
|
Создано: 09 февраля 2005 22:30 · Личное сообщение · #30 Я понимаю ч то калькулятор человек распаковывает,знаю даже,что калькулятор от XP просто посмотреть хочу почему он у него не распаковыается. |
| . 1 . 2 . >> |
|
eXeL@B —› Основной форум —› Ручная распаковка.... |
| Эта тема закрыта. Ответы больше не принимаются. |
Для печати