Сейчас на форуме: _MBK_, Magister Yoda (+5 невидимых)

 eXeL@B —› Основной форум —› Новый баг для OllyDbg 1.10
. 1 . 2 . >>
Посл.ответ Сообщение


Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 00:45 · Поправил: Sunzer
· Личное сообщение · #1

При анализе кода (Ctrl + A) оля намертво зависает.
Багу нашли мы с Flint еще полгода назад.
Т.к. она гниет у меня на харде решил выложить ее.

Code:
  1.  
  2. OLLY_BUG:array[1..21]of byte =
  3.  ($EB,$13,$E2,$07,$C9,$53,$C2,$00,
  4.   $00,$82,$6D,$F1,$77,$FE,$C5,$6B,
  5.   $E3,$70,$F6,$00,$00);


В атаче пример с багой.

profit

3df6_12.01.2010_CRACKLAB.rU.tgz - bug_.exe




Ранг: 450.3 (мудрец), 13thx
Активность: 0.2↘0
Статус: Участник

 Создано: 12 января 2010 00:52
· Личное сообщение · #2

Прикольно. Спасибо!

Sunzer пишет:
Новый баг для OllyDbg 1.10

А где посмотреть старые?




Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 00:55 · Поправил: Sunzer
· Личное сообщение · #3

ToBad пишет:
А где посмотреть старые?

Code:
  1. 00401615   /EB 10           JMP SHORT 00401627
  2. 00401617   |DB2D 1D164000   FLD TBYTE PTR DS:[40161D]
  3. 0040161D   |FFFF            ???                                      ; Unknown command
  4. 0040161F   |FFFF            ???                                      ; Unknown command
  5. 00401621   |FFFF            ???
  6. 00401622   |FFFF            ???                                      ; Unknown command
  7. 00401624   |FF3D            ???                                      ; Unknown command


К примеру, всем извесный баг. Его некоторые плагины для оли фиксят.



Ранг: 60.6 (постоянный), 20thx
Активность: 0.07↘0
Статус: Участник

 Создано: 12 января 2010 01:08 · Поправил: s0l
· Личное сообщение · #4

грац, только у меня оля не зависает




Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 01:23
· Личное сообщение · #5

Ctrl + A нажми в программе из атача из первого поста. Версия оли какая?



Ранг: 25.8 (посетитель), 4thx
Активность: 0.03↘0
Статус: Участник

 Создано: 12 января 2010 01:29
· Личное сообщение · #6

Sunzer пишет:
Ctrl + A нажми в программе из атача из первого поста. Версия оли какая?
У меня тоже Оля не зависает, когда жму Ctrl + A (Анализ кода) проверял, Оля v1.10 сборка от Валентина



Ранг: 271.5 (наставник), 12thx
Активность: 0.15↘0
Статус: Участник
Packer Reseacher

 Создано: 12 января 2010 01:33
· Личное сообщение · #7

Три жены встретились как-то и разговаривают меж собой о том, о сём, о подругах, о трусах, о лаке для ногтей и т. п. Между делом одна говорит:
- Бабы, мне ночью такой ужасный кошмар приснился. Будто у мужа яйца холодные. Просыпаюсь я вся в холодном поту, трогаю - тёплые. Ну, бабы, не представляете, от сердца отлегло.
На следующий день опять встречаются. Вторая говорит первой:
- Вот рассказала ты вчера фигню какую-то, мне тоже такой же кошмар приснился, будто у моего мужа яйца холодные. Просыпаюсь, трогаю - тёплые. От сердца отлегло.
Встречаются на третий день. Первые две нормальные, а третья вся побитая, в синяках, рука загипсована. Первые две:
- Что случилось с тобой?
- Да, $ля, бабы, рассказываете %уйню всякую. Мне тоже кошмар приснился, что у моего мужа яйца холодные. Просыпаюсь, трогаю - и вправду холодные. Я аж обмерла. Тут просыпается Вася и спрашивает: "Жена, ты чё?" А я его спрашиваю: "Вася, а почему у всех мужиков яйца тёплые, а у тебя - холодные?".

-----
My love is very cool girl.

Ранг: 60.6 (постоянный), 20thx
Активность: 0.07↘0
Статус: Участник

 Создано: 12 января 2010 01:37
· Личное сообщение · #8

У меня не сборка. оля 1.10 + advanced olly + ручные фиксы(но на такой баг я вроде ничего не делал...)




Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 01:39 · Поправил: Sunzer
· Личное сообщение · #9

Значит на некоторых сборах\при каких то других настройках может и не работать, я и не обещал что везде будет работать, не у меня одного от этой последовательности байт оля виснит.

PS я багу тестил, работало у некоторых людей но не везде. Так что это не удивительно, что она оказывается не везде может работать.




Ранг: 681.5 (! !), 405thx
Активность: 0.42↘0.21
Статус: Участник
ALIEN Hack Team

 Создано: 12 января 2010 02:59
· Личное сообщение · #10

+1, не работает.

-----
Stuck to the plan, always think that we would stand up, never ran.

Ранг: 133.4 (ветеран), 57thx
Активность: 0.11↘0
Статус: Участник

 Создано: 12 января 2010 08:42
· Личное сообщение · #11

А что то я не нашел такой последовательности в аттаче.




Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 13:00
· Личное сообщение · #12

Вот, это точно должно работать.
Проверено на чистой оле с офф. сайта.



3df6_12.01.2010_CRACKLAB.rU.tgz - bug_.exe



Ранг: 281.8 (наставник), 272thx
Активность: 0.25↘0.01
Статус: Участник
Destroyer of protectors

 Создано: 12 января 2010 14:49
· Личное сообщение · #13

Первый вариант не пробовал, а вот второй работает, проверял не на чистой ольке, на анализе намертво виснет. Надо где-нить заюзать эту багу



Ранг: 133.4 (ветеран), 57thx
Активность: 0.11↘0
Статус: Участник

 Создано: 12 января 2010 14:52
· Личное сообщение · #14

Эт другое дело, виснет из-за кривого цикла. 2я Оля там просто данные ставит.




Ранг: 450.3 (мудрец), 13thx
Активность: 0.2↘0
Статус: Участник

 Создано: 12 января 2010 16:15
· Личное сообщение · #15

Первый баг подвешивает портейбл Олю от SND, на других не тестил...




Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 16:32
· Личное сообщение · #16

SVLab пишет:
Эт другое дело, виснет из-за кривого цикла. 2я Оля там просто данные ставит.

У меня для второй оли примерно такой же баг был, только я не изучив семпл потерял бинарик



Ранг: 65.4 (постоянный), 10thx
Активность: 0.02↘0
Статус: Участник

 Создано: 12 января 2010 16:38
· Личное сообщение · #17

Первый работает и на чистой и с плагинами, лично я анализом не пользуюсь привык как бы и без анализа все понимать =) У второй Ольки проблем с анализом нету:
Code:
  1. Address   Hex dump             Command                                          Comments
  2. 00401000   . /EB 13            jmp     short 00401015
  3. 00401002     |E2               db      E2
  4. 00401003     |07               db      07
  5. 00401004  /. |C9               leave
  6. 00401005  |. |53               push    ebx
  7. 00401006  \. |C2 0000          ret     0
  8. 00401009  /. |826D F1 77       sub     byte ptr ss:[ebp-0F], 77
  9. 0040100D  |. |FEC5             inc     ch
  10. 0040100F  |. |6BE3 70          imul    esp, ebx, 70
  11. 00401012  |. |F600 00          test    byte ptr ds:[eax], 00
  12. 00401015  |> \6A 40            push    40                                       ; /Type = MB_OK|MB_ICONASTERISK|MB_DEFBUTTON1|MB_APPLMODAL
  13. 00401017  |.  68 00304000      push    offset bug_.00403000                     ; |Caption = "BUG TEST"
  14. 0040101C  |.  68 00304000      push    offset bug_.00403000                     ; |Text = "BUG TEST"
  15. 00401021  |.  6A 00            push    0                                        ; |hOwner = NULL
  16. 00401023  |.  E8 0E000000      call    <jmp.&user32.MessageBoxA>                ; \USER32.MessageBoxA
  17. 00401028  |.  6A 00            push    0                                        ; /ExitCode = 0
  18. 0040102A  |.  E8 01000000      call    <jmp.&kernel32.ExitProcess>              ; \KERNEL32.ExitProcess
  19. 0040102F  |.  CC               int3
  20. 00401030  \$- FF25 00204000    jmp     dword ptr ds:[<&kernel32.ExitProcess>]
  21. 00401036   $- FF25 08204000    jmp     dword ptr ds:[<&user32.MessageBoxA>]


Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 16:42
· Личное сообщение · #18

Я про вторую и не говорил ничего, баг для 1.10. Да можно и без анализа, но с анализом удобнее, хоть он и не всегда верный.



Ранг: 516.1 (!), 39thx
Активность: 0.28↘0
Статус: Участник

 Создано: 12 января 2010 18:37
· Личное сообщение · #19

может мне кажется, но этот баг уже здесь проплывал




Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 18:49 · Поправил: Sunzer
· Личное сообщение · #20

Av0id пишет:
может мне кажется, но этот баг уже здесь проплывал

Не, этому багу уже даже больше года.



Ранг: 49.6 (посетитель), 9thx
Активность: 0.03↘0
Статус: Участник

 Создано: 12 января 2010 18:50
· Личное сообщение · #21

чёрт, и правда виснет



Ранг: 133.4 (ветеран), 57thx
Активность: 0.11↘0
Статус: Участник

 Создано: 12 января 2010 19:34
· Личное сообщение · #22

Sunzer пишет:
У меня для второй оли примерно такой же баг был, только я не изучив семпл потерял бинарик
Это жалко, можно было бы отправить Олегу

Так а что с первым файлом? просто не то залил?




Ранг: 67.4 (постоянный)
Активность: 0.04↘0
Статус: Участник

 Создано: 12 января 2010 19:36
· Личное сообщение · #23

SVLab пишет:
Так а что с первым файлом? просто не то залил?

Не правильно заюзал видимо.



Ранг: 255.8 (наставник), 19thx
Активность: 0.15↘0.01
Статус: Участник
vx

 Создано: 12 января 2010 19:51 · Поправил: Clerk
· Личное сообщение · #24

Ничего удивительного. Это проблемы в парсере, том что граф создаёт. Условно каждый элемент графа описывает одну инструкцию в таблице. Когда обнаруживается ветвление на адрес гдето внутри инструкции(инструкция по этому адресу является новой) определённой в графе это является критической ситуацией. С этим нормально справляется динамика, статичесий анализ вероятно приведёт к ошибке. Может выполняться скан графа бесконечно или всякие иные ситуации.



Ранг: 255.8 (наставник), 19thx
Активность: 0.15↘0.01
Статус: Участник
vx

 Создано: 12 января 2010 20:02
· Личное сообщение · #25

SVLab
> Это жалко, можно было бы отправить Олегу
Единственное решение - прекращать парсинг ветви, если обнаружится ветвление не на начало инструкции уже определённой в графе.



Ранг: 61.4 (постоянный), 1thx
Активность: 0.02↘0
Статус: Участник

 Создано: 12 января 2010 20:38
· Личное сообщение · #26

> Единственное решение - прекращать парсинг ветви, если обнаружится ветвление не на начало инструкции уже определённой в графе.
прыжки вперед полностью игнорить?
Идём, строим граф, обнаружили ветвление вперед, в графе нет инфы об инструкции, прекращать парсинг?




Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.34↘0.25
Статус: Модератор
retired

 Создано: 12 января 2010 22:02
· Личное сообщение · #27

Продолжать по 2 ветвям. Какая первая налетела не коллизию с уже пройденным кодом-делать откат.
А вообще тема в оффтоп пошла, заканчивайте.



Ранг: 255.8 (наставник), 19thx
Активность: 0.15↘0.01
Статус: Участник
vx

 Создано: 12 января 2010 22:39
· Личное сообщение · #28

n0name
.. уже определённой в графе.




Ранг: 450.3 (мудрец), 13thx
Активность: 0.2↘0
Статус: Участник

 Создано: 13 января 2010 19:17
· Личное сообщение · #29

А как посмотреть на баг описанный Крисом тут?
Файл olly-bug-776.zip уже не доступен. Может кто-то расскажет, это по теме топика? А то с ингишем не гуд... Выложите файлик плиз...



Ранг: 114.8 (ветеран), 41thx
Активность: 0.1↘0
Статус: Участник

 Создано: 13 января 2010 20:17 · Поправил: _ruzmaz_
· Личное сообщение · #30

ToBad пишет:
А как посмотреть на баг описанный Крисом тут?
Возможно об этом баге Крис говорил в Хакере от 06.2008 (№114)
На диске есть исходники крякми, в которых он используется, я так понимаю // диска у мну нет, как и журнала)


. 1 . 2 . >>
 eXeL@B —› Основной форум —› Новый баг для OllyDbg 1.10
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати