Сейчас на форуме: Dart Raiden, Alf (+6 невидимых) |
![]() |
eXeL@B —› Основной форум —› Некоторые фишки новой Armadillo |
Посл.ответ | Сообщение |
|
Создано: 24 августа 2004 07:02 · Личное сообщение · #1 Продолжил я вчера раскапывать арму. Сказали мне что есть прога с новой армой, скачал тут www.thegrideon.com/download/aspsetup.exe. Туторов начитался, копался в ней долго, вот чего выяснил. Версия армы там 3.75d. У меня винда при загруженном айсе падает в BSOD. Если находит в реестре iceext, то прога говорит General Extraction Error. При установке бряка на WriteProcessMemory винда падает туда же, поэтому я ставил bpx WriteProcessMemory+8. Плюс в память какой-то байт влезает непонятно откуда примерно таким образом: mov ecx, dword ptr [eax] shr ecx, 5 and cl, bl mov byte ptr [esi+3D2F], cl ; CL = 1 Арма его проверяет, если он 1, то она ксорит нафиг всю секцию кода child процесса и на ОЕР получаем мусор. Ладно, и это я обошел. Сейчас наловчился, за минуту добираюсь до ОЕР, только одно но... Стою на ОЕР. Запускаю импрек, ввожу RVA OEP, нажимаю IAT AutoSearch - большой облом. Говорит, Couldnt find anything good at this OEP. Заколебался, но импорт так и не восстановил. Потом подумал, что дело в том, что эта прога на VB. Взял саму арму 3.76 и разобрал ее. Тоже самое. Вот если б добрые люди помогли бы импорт восстановить, я б тутор по этой арме написал бы... =) ![]() |
|
Создано: 24 августа 2004 09:16 · Личное сообщение · #2 |
|
Создано: 24 августа 2004 10:36 · Личное сообщение · #3 |
|
Создано: 24 августа 2004 11:01 · Личное сообщение · #4 |
|
Создано: 24 августа 2004 11:45 · Личное сообщение · #5 |
|
Создано: 24 августа 2004 12:19 · Личное сообщение · #6 MC707 пишет: Запускаю импрек, ввожу RVA OEP, нажимаю IAT AutoSearch наивный... =) в арме 3.75 есть так называемое iat Elimination - перенаправление iat за пределы exe и перемешивание функций из разных либ между собой. Там просто импреком не отделаешься... Сейчас вообще большинство протекторов что-нить да делает с иат (ACProtect - перестроеная иат вызовы к которой идут через одну функцию, а не напрямую jmp [], Obsidium - определение адреса апи непосредственено перед вызовом, ASPR - ну сами знаете =), и т.д.) ![]() |
|
Создано: 24 августа 2004 23:40 · Личное сообщение · #7 |
|
Создано: 25 августа 2004 03:02 · Личное сообщение · #8 |
|
Создано: 25 августа 2004 05:39 · Личное сообщение · #9 |
|
Создано: 25 августа 2004 10:03 · Поправил: Mario555 · Личное сообщение · #10 |
|
Создано: 25 августа 2004 10:34 · Личное сообщение · #11 |
|
Создано: 26 августа 2004 00:00 · Поправил: MC707 · Личное сообщение · #12 |
|
Создано: 26 августа 2004 12:46 · Поправил: Mario555 · Личное сообщение · #13 |
|
Создано: 27 августа 2004 01:30 · Личное сообщение · #14 |
|
Создано: 27 августа 2004 01:30 · Личное сообщение · #15 |
|
Создано: 27 августа 2004 01:38 · Личное сообщение · #16 |
|
Создано: 27 августа 2004 09:05 · Личное сообщение · #17 Посмотрите плз что я тут наляпал, стыдно показывать пока, но... www.mc707.nm.ru/Arma_OEP_and_Import.rar Просьба сильно не пинать. Размер архива 1.4М. Видеотутор. И еще вопрос... почему вся ИАТ в этой проге по алфавиту? В первый раз такое вижу... Или я импорт неправильно восстанавливаю? Ладно, пока дома покопаю, буду во вторник, может чего накопаю... ![]() |
|
Создано: 27 августа 2004 14:57 · Поправил: Mario555 · Личное сообщение · #18 |
|
Создано: 29 августа 2004 04:32 · Личное сообщение · #19 |
|
Создано: 29 августа 2004 14:37 · Личное сообщение · #20 |
|
Создано: 30 августа 2004 00:27 · Личное сообщение · #21 |
|
Создано: 30 августа 2004 10:22 · Личное сообщение · #22 с этим всё просто - в некоторый момент арма выделяет страницу памяти (VirtualAlloc) сохраняет указатель на неё в переменную и потом уже заполняет эту страницу спёртым кодом и формирует jmp'ы на него... так что нужно всего лишь подменить адрес выделенной страницы памяти на какой-нить адрес из неиспользуемого места в exe, дальше арма сама всё сделает =) ![]() |
|
Создано: 03 сентября 2004 15:03 · Личное сообщение · #23 |
![]() |
eXeL@B —› Основной форум —› Некоторые фишки новой Armadillo |