Starforce. Бряк в айсе на EP.

Сейчас на форуме: ==DJ==[ZLO], Dart Raiden, Alf (+6 невидимых)

Посл.ответ	Сообщение
Paul Ранг: 0.0 (гость) Активность: 0=0 Статус: Участник	Создано: 19 августа 2004 07:59 · Поправил: Модератор · Личное сообщение · #1 Уважаемые эксперты и просто знатоки. Прошу, помогите разобраться вот с какой проблемой. Хотел в айсе брякнуться на самое начало exe-файла (win32 gui). Вот что для этого делал в айсе (под Win2К/XP): bpx CreateProcessW x запускаю свое приложение и попадаю в айс. Затем: p ret addr <необходимый_мне_процесс> bpx <точка_входа_полученная_с_помощью_PETools> x и айс спокойно пропускал этот бряк. Точка входа у меня равна 8B2000 = Image Base + Entry Point. Что я не так делал? Заранее спасибо за ответы. P.S Сразу хочу извениться за столь глупый для вас вопрос.

nice Ранг: 384.1 (мудрец) Активность: 0.25↘0 Статус: Участник www.int3.net	Создано: 19 августа 2004 08:26 · Личное сообщение · #2 Paul Делай так(Взято из фака:MozgC и FEUERRADER'a): Q: А как прерваться на EP? A: Я обычно это делаю одним из двух способов: 1) Запускаю программу. В отладчике пишу "addr NAME", где name - имя исследуемой программы (процесса), после этого пишу "bpm 12345678 x", где вместо 12345678 подставляем значение EP (вместе с Image Base) и перезапускаем программу. Произойдет остановка на EP. 2) Запускаю PE Tools. В меню Tools выбираю Break & Enter и выбираю нужную программу. После этого появится сообщение о том, что необходимо поставить брейкпоинт "bpint 3" и, после его срабатывания, написать "e eip 0xYY". После срабатывания брейкпоинта в СофтАйсе надо будет написать не "e eip 0xYY" (YY - это какой-то байт, который был заменен на вызов третьего прерывания). После этого флаг вам руки, делайте дальше что нужно. ----- Подписи - ЗЛО! Нужно убирать!
ALEX Ранг: 0.0 (гость) Активность: 0.25↘0 Статус: Участник	Создано: 19 августа 2004 09:02 · Личное сообщение · #3 и еще один способ (с) -= ALEX =- Качаем Loader by Syd. поставляется вместе с Stripper by Syd. Открываем сайс, пишем такую незамысловатую команду I3HERE ON. закрываем сайс. Открываем Loader. Выбираем подопытную прогу, и жмем Break On OEP. Усе откроется окно сайса чисто на EP от вас больше ничего не требуется...
Paul Ранг: 0.0 (гость) Активность: 0=0 Статус: Участник	Создано: 19 августа 2004 23:26 · Личное сообщение · #4 Спасибо всем за ответы. К сожалению, ни один из предложенных способов не работает . Программа упорно не брякается на EP (если это имеет значение - прога защищена StarForce 3 Pro). Сразу после запуска выводится сообщение о невозможности дальнейшей работы при запущенном отладчике.
nice Ранг: 384.1 (мудрец) Активность: 0.25↘0 Статус: Участник www.int3.net	Создано: 20 августа 2004 00:20 · Личное сообщение · #5 Paul шутник Старфорса 3 душит айс всеми возможными методами, там ещё драйвер загружен по мимо основной программы. Вроде на реверсе читал, автор знает способ обхода этой проблемы. По теме: www.wasm.ru/forum/action=vthread&forum=5&topic=5457 www.wasm.ru/forum/action=vthread&forum=5&topic=1907 ----- Подписи - ЗЛО! Нужно убирать!
Paul Ранг: 0.0 (гость) Активность: 0=0 Статус: Участник	Создано: 20 августа 2004 00:56 · Личное сообщение · #6 Никак не пойму, чё такого SF3 изменяет в PE-заголовке, что EP теряется?
Spiteful Ранг: 18.1 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 20 августа 2004 01:37 · Личное сообщение · #7 Paul Насколько я помню, то для exe неважно какой указан EP, можно практически любой вписать и все равно будет работать, так как переход на OEP делается из protect.dll.
Paul Ранг: 0.0 (гость) Активность: 0=0 Статус: Участник	Создано: 20 августа 2004 02:02 · Личное сообщение · #8 Spiteful Спасибо за посказку. Теперь все понял - при запуске exe-файла загрузчик ОС при инициализации необходимых dll'ек передает им управление в их start-функции. Т.о. бряк не срабатывал, из-за того, что управление получала сперва PROTECT.DLL.

Для печати