CheckProxy PRO - исследование

Сейчас на форуме: Rio, YDS (+10 невидимых)

Посл.ответ	Сообщение
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 02:56 · Личное сообщение · #1 К сожалению, к этой программе нет ни одного нормального (не явл. вирусом) крэка, именно по этому я занялся исследованием её защиты. Собственно crack'ер из меня 0.000... (опыта маловато) Демка (http://checkproxy.com/downloads/d1/CheckpPro-HTTP-Demo-4.20-554.EXE) "ломается" за пять минут - UPX ripper + Restorator (RCData->TREGISTE...->delete OnNagScreen...) но вот с полной версией посложнее - там необходимо вводить логин и пароль, но файл по мимо UPX'а чем-то пошифрован, и IDA работает криво и косо (прим. у меня версия этого CheckProxy - 4.0.0.500)

kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 03:10 · Личное сообщение · #2 содержимое WinMain (которую IDA распознал) состоит из множества вызовов какой-то ф-ции, которая выполняет что-то в стеке, и все это перемешано данными, которые понятно откуда взялись в секции кода.
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 03:32 · Личное сообщение · #3 Т.К. Не у всех есть возможность скачать полную версию, см. архив с распакованным учу и его длл (долго я держать этот файл не могу по понятным причинам) kkc-os.ru/private/checkproxypro._rar
FockuS Ранг: 18.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 03:38 · Личное сообщение · #4 kkcos А скоко весит полная ?
FockuS Ранг: 18.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 06:47 · Личное сообщение · #5 Испытай Только для распакованого exe 215f_29.04.2006_CRACKLAB.rU.tgz - Patch_unpack.rar
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 14:27 · Личное сообщение · #6 спасибо, конечно, но интересно, чем пошифрована программа (если вообще пошифрована) а всякие патчи я стараюсь сразу не запускать (т.к. там часто вири всякие пишут) в распакованном виде прислать можешь? Полная версия - 3,58 Мб
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 14:34 · Личное сообщение · #7 Теперь выдаёт "Нелегальное использование" что типа мой IP у них и нужно купить полную версию во избежание последствий ... Хотя в журнале оутпоста нет записи о подключении к их серверу, а сообщение выдается даже при отключенном инете, так что всё это фигня
GAMe ovER Ранг: 45.5 (посетитель) Активность: 0.05↘0 Статус: Участник	Создано: 29 апреля 2006 14:54 · Личное сообщение · #8 kkcos пишет: Теперь выдаёт "Нелегальное использование" А ты попробуй найди эту строчку и поменяй переходы.
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 15:04 · Личное сообщение · #9 GAMe ovER какж её найти если она в форме TFrmIllegalCopy как отследить показ формы на экране?
di-2 Ранг: 230.5 (наставник) Активность: 0.18↘0 Статус: Участник Norg	Создано: 29 апреля 2006 15:10 · Личное сообщение · #10 kkcos тебе в запросы на взлом надо тогда раз kkcos пишет: Собственно crack'ер из меня 0.000 а под прикрытием "ИССЛЕДОВАНИЯ" не прокатит =) ----- M&#225 enginn renna undan &#254v&#237 sem honum er skapa&#240
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 16:00 · Личное сообщение · #11 0.000 да и 0,0001 интересно самому сломать. но нужна помощь интересно просто - это IDA чтоли глючит, что посреди ф-ций db напичканы массово или это защита такая Кстати, как избавиться от зависания IDA при загрузке файла (у меня в 1% случаев не зависает - при "ручной" загрузке и со всеми откл. опциями)
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 16:12 · Личное сообщение · #12 WinMain: ...... куча call sub_805C34 ..... .text:004028EF call sub_805C34 .text:004028F4 mov eax, off_890784 .text:004028F9 mov eax, [eax] .text:004028FB mov ecx, off_88F244 .text:00402901 mov edx, off_884C8C .text:00402907 call sub_805C34 .text:0040290C mov eax, off_890784 .text:00402911 mov eax, [eax] .text:00402913 mov ecx, off_88F214 .text:00402919 mov edx, off_87D350 .text:0040291F call sub_805C34 .text:00402924 mov eax, off_890784 .text:00402929 mov eax, [eax] .text:0040292B mov ecx, off_88F210 .text:00402931 mov edx, off_879938 .text:00402937 call sub_805C34 .text:0040293C mov eax, off_890784 .text:00402941 mov eax, [eax] .text:00402943 call loc_805CB4 .text:00402948 mov word ptr [ebp-24h], 0 .text:0040294E jmp loc_4029D8 .text:0040294E ; ---------------------------------------------------------------------- ----- .text:00402953 db 0EBh ; û .text:00402954 db 78h ; x .text:00402955 db 8Bh ; Ë .... дальше db
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 16:14 · Личное сообщение · #13 .text:00805C34 sub_805C34 proc near ; CODE XREF: WinMain+6Fp .text:00805C34 ; WinMain+87p ... .text:00805C34 push ebp .text:00805C35 mov ebp, esp .text:00805C37 push ecx .text:00805C38 push ebx .text:00805C39 push esi .text:00805C3A push edi .text:00805C3B mov [ebp-4], ecx .text:00805C3E mov ebx, edx .text:00805C40 mov esi, eax .text:00805C42 mov eax, ebx .text:00805C44 call dword ptr [eax-0Ch] .text:00805C47 mov ebx, eax .text:00805C49 mov eax, [ebp-4] .text:00805C4C mov [eax], ebx .text:00805C4E xor eax, eax .text:00805C50 push ebp .text:00805C51 push offset unk_805C72 .text:00805C56 push dword ptr fs:[eax] .text:00805C59 mov fs:[eax], esp .text:00805C5C mov ecx, esi .text:00805C5E or edx, 0FFFFFFFFh .text:00805C61 mov eax, ebx .text:00805C63 mov edi, [eax] .text:00805C65 call dword ptr [edi+2Ch] .text:00805C68 xor eax, eax .text:00805C6A pop edx .text:00805C6B pop ecx .text:00805C6C pop ecx .text:00805C6D mov fs:[eax], edx .text:00805C70 jmp short loc_805C88 .text:00805C70 ; ---------------------------------------------------------------------- ----- .text:00805C72 unk_805C72 db 0E9h ; ù ; DATA XREF: sub_805C34+1Do .text:00805C73 db 0E1h ; ñ
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 29 апреля 2006 17:39 · Личное сообщение · #14 help Так как отследить вывод формы на экран????
stahh Ранг: 127.3 (ветеран) Активность: 0.07↘0 Статус: Участник	Создано: 30 апреля 2006 03:15 · Личное сообщение · #15 Ну на форме есть текст. Загоняй в поиск и ищи в иде. Не найдешь-жми Ф4, и снова ищи. Или ставь бряки на все, что может относиться к окну: текст, икона, кисть, само окно и т.д. Хотя можно так извратиться, что окно будет вызываться через кучу длл-ок, но это редкость. А лучше - забей. Судя по сайту производителя - прога ну очень нуждается в рекламе. Юэай ассесдайвер www.accessdiver.com/. Хакер,блин, начинающий.
kkcos Ранг: 21.2 (новичок) Активность: 0.01↘0 Статус: Участник	Создано: 30 апреля 2006 04:16 · Личное сообщение · #16 тема закрыта за отсутствием толковых советов P.S. ..."отслеживание появления формы на экране"... нет, слишком длинно для темы надо поискать в статьях...

Для печати