Исследование Radmin 2.2

Сейчас на форуме: YDS, _MBK_, user99 (+8 невидимых)

<< . 1 . 2 .

Посл.ответ	Сообщение
fastlock Ранг: 14.1 (новичок) Активность: 0=0 Статус: Участник	Создано: 06 декабря 2005 05:15 · Личное сообщение · #1 Решил я посмотреть, что это за зверь такой radmin. Скачал отсюда: www.radmin.com/download/radmin22.zip Прога явно запакована, однако peid пакеров не определил, если ставить бряки на CreateWindow, то вызов идет из кода, который находится в отдельной области памяти. OEP лежит на виду, антиотладки вроде нет никакой. Пытаюсь получить работоспособный дамп - пока не выходит Кто знает что это за пакер такой ? И чем он снимается ?

ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 14 декабря 2005 09:33 · Личное сообщение · #2 Z0oMiK Е мое, зачем было выкладывать дистриб (хоть он и с ключом). Не мог подробнее написать, что это. Здесь исследуют распаковку данной проги, а не занимаются поиском ключа... По крайней мере - пока... ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
[HEX] Ранг: 467.7 (мудрец), 5thx Активность: 0.27↘0 Статус: Участник Иной :)	Создано: 14 декабря 2005 14:15 · Личное сообщение · #3 ValdiS Ну кто топик создавал был готов получить уже ломаную версию... Вот Зумик и выложил... Я то тоже не против разобраться с ихним упаковщиком... ----- Computer Security Laboratory
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 14 декабря 2005 14:59 · Личное сообщение · #4 [HEX] Я и разбираюсь. Интересная защита. А как у тебя дела с распаковкой? Импорт восстановил? Z0oMiK Извини, действительно пост про "вылеченный" radmin не увидел. Но все старайся описывать то, что постишь. Чтобы не сливать 2-ды одно и тоже. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
[HEX] Ранг: 467.7 (мудрец), 5thx Активность: 0.27↘0 Статус: Участник Иной :)	Создано: 14 декабря 2005 15:41 · Поправил: [HEX] · Личное сообщение · #5 ValdiS Эммм... а че импорт разве искарежен? Вроде целиком находиться... яж писал раньше об этом?! http://exelab.ru/f/action=vthread&forum=1&topic=3407&page= 0#9 ----- Computer Security Laboratory
Z0oMiK Ранг: 299.6 (наставник) Активность: 0.3↘0 Статус: Участник Armadillo Killer	Создано: 14 декабря 2005 15:42 · Личное сообщение · #6 ValdiS Сами просили выложить я и выложил
fastlock Ранг: 14.1 (новичок) Активность: 0=0 Статус: Участник	Создано: 14 декабря 2005 15:46 · Личное сообщение · #7 Z0oMiK [HEX] Ключ у меня и так есть, я спрашивал именно про крек Radmin 2.2: [HEX] пишет: Поломаная же версия и так в нете есть. fastlock пишет: Попытался найти - все везде только ключи попертые лежат. Не мог бы ты дать ссылочку или название крека, очень любопытно посмотреть, как все таки это поломали.
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 14 декабря 2005 15:50 · Личное сообщение · #8 [HEX] Ну, если проблем нет, то выложи выгрузку из импрека, плз. На самом деле импрек нормально восстанавливает только функции из кернела. А там еще есть другие Dll. ЗЫ Эта работа уже в печенке, не могу сесть нормально поковырять прогу, все получается урывками... ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
[HEX] Ранг: 467.7 (мудрец), 5thx Активность: 0.27↘0 Статус: Участник Иной :)	Создано: 14 декабря 2005 19:49 · Поправил: [HEX] · Личное сообщение · #9 ValdiS Дёрнуть импреком у меня у самого не получается Так как это вне области процесса Что делать в таком случае я сам ХЗ, так как опыта у меня не очень то много в распаковке да и к тому же распаковка неизвестного упаковщика Но увидеть сам импорт можно в олле: 00A5D000 77DED5BB ADVAPI32.RegCreateKeyA .... .... 00A5D43C 76397CD8 comdlg32.GetSaveFileNameA IAT размером 440 байт ----- Computer Security Laboratory
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 15 декабря 2005 08:52 · Личное сообщение · #10 [HEX] пишет: IAT размером 440 байт Я знаю, это уже выцепил. А размер - 444 байта. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
[HEX] Ранг: 467.7 (мудрец), 5thx Активность: 0.27↘0 Статус: Участник Иной :)	Создано: 16 декабря 2005 12:32 · Личное сообщение · #11 ValdiS ну ошибся я 4 байтами Кому надо тот сам посчитает... Только вот толку то?! Че дальше? Вроде всё есть, только вот заголовок у дампа какой то хреновый =\ В общем дальше пои познания и опыт заканчиваются... жду дельных предложений Только пока что то их нет ----- Computer Security Laboratory
fastlock Ранг: 14.1 (новичок) Активность: 0=0 Статус: Участник	Создано: 18 декабря 2005 20:47 · Личное сообщение · #12 Прямо магия какая-то с этой программой. С одной стороны, кажется, что все просто, с другой, все во что-то утыкаются и не говорят, в чем подводные камни. Я лично уперся в необходимость ручной распаковки, с этим проблемы - дамп ни в какую не хочет запускаться. Давайте делиться опытом, вместе, я думаю мы Radmin одолеем. Может кто из мудрецов что скажет ?
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 19 декабря 2005 09:39 · Личное сообщение · #13 fastlock пишет: Я лично уперся в необходимость ручной распаковки, с этим проблемы - дамп ни в какую не хочет запускаться. Сняв дамп, ты получаешь ехе-шник (читай выше). Но он не запускается, т.к. заголовок файла поврежден. Заголовок восстанавливается на основе запакованного файла, а размер секций и смещения - по значениям VirtualAlloc, плюс проблема с восстановлением импорта, пока только ручками. Кстати, все call (связанных с импортом) абсолютные, т.е. в дампе они указывают на другие адреса. Короче, работы вагон... Времени не хватает катастрофически, поэтому дела продвигаются медленно. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
NIKOLA Ранг: 500.6 (!), 7thx Активность: 0.26↘0 Статус: Участник	Создано: 19 декабря 2005 20:35 · Личное сообщение · #14 ValdiS пишет: дампе они указывают на другие адреса Что ты имееш ввиду?
Mario555 Ранг: 332.0 (мудрец) Активность: 0.18↘0 Статус: Участник •Pr0tEcToRs KiLLeR•	Создано: 19 декабря 2005 23:34 · Личное сообщение · #15 ну распаковка тут проблем не вызывает... основной exe просто грузят в память, настраивая его на соответствующую базу, эмулят одну апи (GetModuleFileNameA) и соответственно ресурсы читают из файла загрузчика, поэтому ресурсы надо ребилдить и цеплять к полученному дампу. Но после этого полученный файл ругаеццо "Executable file is corrupted", тоесть там есть какие-то проверки целостности и вообще... странные там вызовы есть... возможно VM (Vmprotect ?), хотя может и не VM =) короче к распаковке это уже не относится.
[HEX] Ранг: 467.7 (мудрец), 5thx Активность: 0.27↘0 Статус: Участник Иной :)	Создано: 20 декабря 2005 00:18 · Личное сообщение · #16 Mario555 VM этот можно каким то образом снять? Чтоб не мешался он... ----- Computer Security Laboratory
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 20 декабря 2005 09:09 · Личное сообщение · #17 NIKOLA пишет: Что ты имееш ввиду? Это кусок от ОЕР в исходнике 00A52EBC 55 PUSH EBP 00A52EBD 8BEC MOV EBP,ESP 00A52EBF 6A FF PUSH -1 00A52EC1 68 8073A600 PUSH 0A67380 00A52EC6 68 E42DA500 PUSH 0A52DE4 00A52ECB 64:A1 00000000 MOV EAX,DWORD PTR FS:[0] 00A52ED1 50 PUSH EAX 00A52ED2 64:8925 00000000 MOV DWORD PTR FS:[0],ESP 00A52ED9 83EC 58 SUB ESP,58 00A52EDC 53 PUSH EBX 00A52EDD 56 PUSH ESI 00A52EDE 57 PUSH EDI 00A52EDF 8965 E8 MOV DWORD PTR SS:[EBP-18],ESP 00A52EE2 FF15 E4D1A500 CALL DWORD PTR DS:[A5D1E4] ; Call FF15_A5 00A52EE8 33D2 XOR EDX,EDX 00A52EEA 8AD4 MOV DL,AH А это в дампе `00442EBC 55 PUSH EBP 00442EBD 8BEC MOV EBP,ESP 00442EBF 6A FF PUSH -1 00442EC1 68 8073A600 PUSH 0A67380 00442EC6 68 E42DA500 PUSH 0A52DE4 00442ECB 64:A1 00000000 MOV EAX,DWORD PTR FS:[0] 00442ED1 50 PUSH EAX 00442ED2 64:8925 00000000 MOV DWORD PTR FS:[0],ESP 00442ED9 83EC 58 SUB ESP,58 00442EDC 53 PUSH EBX 00442EDD 56 PUSH ESI 00442EDE 57 PUSH EDI 00442EDF 8965 E8 MOV DWORD PTR SS:[EBP-18],ESP 00442EE2 FF15 E4D14400 CALL DWORD PTR DS:[A5D1E4] 00442EE8 33D2 XOR EDX,EDX 00442EEA 8AD4 MOV DL,AH` Пришлось наваять скрипт, чтобы подправить адреса. Mario555 А как у тебя с импортом? ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
Mario555 Ранг: 332.0 (мудрец) Активность: 0.18↘0 Статус: Участник •Pr0tEcToRs KiLLeR•	Создано: 20 декабря 2005 11:59 · Личное сообщение · #18 ValdiS пишет: Пришлось наваять скрипт, чтобы подправить адреса. это как ? интересно посмотреть на скрипт который перебазирует exe не используя таблицу релоков =) ведь править придётся не только обращения к иат, но и к данным и т.п. (например 00A52EC1 PUSH 0A67380). Вообще я просто поменил в дампе ImageBase на 00A10000, это решило проблему с адресами (можно было наверно и сдампить до того как пакер перенастроит exe на новую ImageBase, и тогда не менять ёё). ValdiS пишет: А как у тебя с импортом? тоесть ? нормально всё с импортом, перекинул иат в адреса основного модуля и оттуда прочитал её импреком, потом сохранил полученное дерево и автозаменой переправил смещения на те которые нужны в дампе (у меня на 0004Dxxx), ну и соответственно загрузил подправленное дерево в импрек и им прицепил его к дампу. Распакованный, но не сломанный: mario.h15.ru/files//radmin_unp.rar
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 20 декабря 2005 13:01 · Личное сообщение · #19 Mario555 пишет: тоесть ? нормально всё с импортом, перекинул иат в адреса основного модуля и оттуда прочитал её импреком... Да-а, опыт не пропьешь. Спасибо, будет наукой. Mario555 пишет: Вообще я просто поменил в дампе ImageBase на 00A10000 Пробовал, но что-то не получилось. Еще посмотрю... Mario555 пишет: можно было наверно и сдампить до того как пакер перенастроит exe на новую ImageBase, и тогда не менять ёё) Думаю, что нет, т.к. образ файла собирается по кускам в 5 подходов. И заголовок файла почти весь "занулен". Хотя... ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
fastlock Ранг: 14.1 (новичок) Активность: 0=0 Статус: Участник	Создано: 20 декабря 2005 15:54 · Личное сообщение · #20 Mario555 Да... Мы тут копаемся, копаемся, а ты раз, два - и готовый дамп. Круто. Сразу видно мастера.
NIKOLA Ранг: 500.6 (!), 7thx Активность: 0.26↘0 Статус: Участник	Создано: 20 декабря 2005 20:26 · Личное сообщение · #21 Mario555 пишет: Вообще я просто поменил в дампе ImageBase на 00A10000 ValdiS Марио опередил, это же хотел сказать. ValdiS пишет: Пробовал, но что-то не получилось. Еще посмотрю... На первом виртуал алоке ( там заместо адреса ложится 0, т.е. PUSH 0 ), ну а ты можеш заместо 0 положить тот адрес, который тибе нравится ( я ложил 10000000).
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 21 декабря 2005 08:39 · Личное сообщение · #22 NIKOLA пишет: На первом виртуал алоке ( там заместо адреса ложится 0, т.е. PUSH 0 ), ну а ты можеш заместо 0 положить тот адрес, который тибе нравится ( я ложил 10000000). Спасибо, попробую. А способ Mario555 работает (изменение ImageBase на 00A10000), у меня не сработало до этого, т.к. с дампом проблемы были (одна из первых попыток). Но все таки, как заставить дамп работать? Вариант дампа от Mario555 не рабочий, к сожалению. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
Mario555 Ранг: 332.0 (мудрец) Активность: 0.18↘0 Статус: Участник •Pr0tEcToRs KiLLeR•	Создано: 22 декабря 2005 00:03 · Личное сообщение · #23 ValdiS пишет: Вариант дампа от Mario555 не рабочий, к сожалению. в каком смысле ? у меня он вполне рабочий вроде, тоесть никаких ошибок при загрузке нету, выдаётся окно о некорректности exe, но это уже не системное сообщение, а внутренняя проверка и она к работоспособности дампа отношения не имеет. PS хотя конечно что называть рабоспособным дампом... имхо защита предоставленная не протетором (тоесть которая была и до его навешивания) не относится к распаковке и соответственно к "работоспособности" дампа. А вот если брать с точки зрения выполнения прогой своих функци то это уже другое дело...
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 22 декабря 2005 08:58 · Личное сообщение · #24 Mario555 Просто хочется оживить распакованный вариант. Все же попробую, надеюсь, что получится. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
fastlock Ранг: 14.1 (новичок) Активность: 0=0 Статус: Участник	Создано: 26 декабря 2005 00:12 · Личное сообщение · #25 Mario555 Не получается твой дамп оживить Прога постоянно падает. Народ, подскажите что с этим дампом дальше делать ?
Saniych Ранг: 6.6 (гость) Активность: 0=0 Статус: Участник	Создано: 10 января 2006 14:40 · Личное сообщение · #26 fastlock У меня на какойто проге фигня была такая что она не могла запуститься на др. компе хотя на компе на котором ломал все работает
[HEX] Ранг: 467.7 (мудрец), 5thx Активность: 0.27↘0 Статус: Участник Иной :)	Создано: 10 января 2006 17:51 · Личное сообщение · #27 Saniych релоки? ----- Computer Security Laboratory

<< . 1 . 2 .

Для печати