Прога запускается в Demo и ругается на отсутствие Hardlock (он может быть как LPT, так и USB; см. аттач)
Ехешник чем-то запакован. PEid 0.94 пишет: Guardant Stealth aka Novex Dongle *
Чё за зверь? На сколько у него серьезная защита: типа криптованые куски с ключем в HardLock, или просто if password=

Пакер этот вроде успешно снимается. Но непонятно, как прога узнает о наличии/отсутствии ключа, т.е. какое АПИ ей для этого предоставляет пакер?

PS
С прогой идут дрова для общения с ключом. Вот, к примеру:

File Version Information :
Company Name : Aktiv Co.
File Description : Guardant Stealth/Net I/II USB Dongle Device Driver for Windows 98/Me/2000/XP/2003
File Version : 4.85
Internal Name : nvkeyusb
Legal Copyright : Copyright (c) 2000-05 Aktiv Co.
Original Filename : nvkeyusb.sys


PPS [добавлено позднее]
Почитал я об этих ключах, но ситуацию это ни чуть не прояснило (хотя надежд на if password поубавилось )


4839_10.05.2006_CRACKLAB.rU.tgz - StalkerHL.gif"

| Сообщение посчитали полезным:

Это не пакер. О наличии ключа говорит функция nskFindFirst, nskCheck, nskInit, nnkInit, nnkCheck. Короче, качай сигны для Ida и ковыряй

-----
SaNX

| Сообщение посчитали полезным:

А где можно взять сигнатуры для Novex'a?

| Сообщение посчитали полезным:

Можешь сам сделать. А если ипользуются либы nnkey32.dll или nvskey32.dll то сигн не надо.

-----
SaNX

| Сообщение посчитали полезным:

А почему бы там не быть конверту Новекса?

| Сообщение посчитали полезным:

0xy
конверт гварданта снимается без ключа

Graviy пишет:
А где можно взять сигнатуры для Novex'a?
такое вряд ли возможно - в каждой версии все сильно меняется из-за jmp-ов
читай статью infern0 На xtin.km.ru про поиск api

| Сообщение посчитали полезным:

Но с ключем все-равно то приятней

| Сообщение посчитали полезным:

с ключем вообще делать нечего

| Сообщение посчитали полезным:

Кстати, известно что нить подробное по поводу этой новости на www.dongle.ru?

На сегодняшний день можно говорить о полном взломе ключа HASP HL. Рекламируемый алгоритм AES на самом деле реализован в драйвере hardlock.sys, и на сегодняшний день существуют методы аппаратной начитки ключа AES

| Сообщение посчитали полезным:

кажется мы совсем ушли от темы

| Сообщение посчитали полезным:

Ы... Как раз не ушли.... Название топика какое? ))

| Сообщение посчитали полезным:

ssx

такое вряд ли возможно - в каждой версии все сильно меняется из-за jmp-ов

в каждой версии программ или пакета? если пакета, то тогда на каждую версию - свои флирты..
всё же удобнее

| Сообщение посчитали полезным:

да по-моему проще все-таки или по статье infern0, или один раз сунуть .lib из sdk в IDA и заметить полезную особенность - десяток идущих подряд jmp на функции API

| Сообщение посчитали полезным:

2 All
Спасибо, не ожидал такой активности
Возвращаясь к сабжу: ехешник таки покриптован, и приводится "в чувства" посредством Novex32.dll (InitProtApp). Это и есть конверт Новекса? Или Гварданта?
Ладно, эта хрень легко снимается, но распакованая прога остается DEMO

В связи с этим вопрос: какая функция этого конверта? Является ли он единствено возможным информатором проги о наличии/отсутствии ключа? ПОЛНОСТЬЮ ли он снимается без ключа, или в проге остаются нераскриптованые куски? (версия конверта вроде 4.46)
Кстати, после распаковки (снятия конверта), прога больше не юзает Novex32.dll (она даже исключается из таблицы иморта!). Обращений в секцию пакера (.idata) также не замечено (ее можно даже отрезать)
Означает ли это, что прога не способна проверять ключ в процессе работы (по крайней мере, штатными средствами разработчика ключа?)

| Сообщение посчитали полезным:

0xy пишет:
она даже исключается из таблицы иморта!).
Если в импорте есть функция LoadLibrary и GetProcAddress, то возможна динамическая загрузка и вызов.
На самом деле в современных прогах обращение к ключу встроено в экзе и делается без DLL, т.к. с DLL легче ломать.

| Сообщение посчитали полезным:

0xy
0xy пишет:
ПОЛНОСТЬЮ ли он снимается без ключа
да
Кстати, после распаковки (снятия конверта), прога больше не юзает Novex32.dll (она даже исключается из таблицы иморта!). Обращений в секцию пакера (.idata) также не замечено (ее можно даже отрезать)
да, ее можно смело удалять.
Означает ли это, что прога не способна проверять ключ в процессе работы (по крайней мере, штатными средствами разработчика ключа?)
нет. после снятия конверта посмотри строчки типа NVKEYNT - признак наличия api

| Сообщение посчитали полезным:

ssx пишет:
после снятия конверта посмотри строчки типа NVKEYNT - признак наличия api

Н-да, присутствует ...

Прочел статью infern0 -- cитуация вроде прояснилась
Но нигде не нашел собстно инструкции Гварданта по API.
У кого есть сабж (Guardant API.chm) -- выложите, плииз!

| Сообщение посчитали полезным:

ssx.nm.ru/GuardantAPI.chm

| Сообщение посчитали полезным:

ssx
конверт гварданта снимается без ключа
брутом дескриптора 0-го алго?

| Сообщение посчитали полезным:

ssx
[q]конверт гварданта снимается без ключа[/q]
Ну я бы так не сказал.
Попробуй снять конверт Гварданта для стелс2/стелс3 версии 5.00 без ключа
или можно так навесить конверт Гварданта (версии выше 4.44), что ты за месяц брутфорса на одном компе
не снимешь его без ключа

| Сообщение посчитали полезным:

Мнения ученых разошлись?

Ну, я сняимал конверт v4.46 двумя способами:
1) воспользовался тем, что без ключа прога запускается (как DEMO), и снял дамп (на OEP)
2) заюзал тулзу infern0. Она сперва ругнулась на шибко новый конверт, а потом сказала, что он успешно снят (возможно, что и здесь помогло наличие у проги DEMO-режима)
Но результаты НЕ идентичны! Есть различия в начале секции .rdata (вторая секция в файле; довольно длинная секция, в которой, кроме прочего, лежит импорт).

В связи с этим повторяю вопрос: может конверт без ключа снимается не полностью (остаются нераскриптованые куски?)

| Сообщение посчитали полезным:

Кто-нибудь знает, чего это такое?
Лежит открытым текстом в конце АПИ:

0040EE7D $ 55 PUSH EBP ; {API ???}
0040EE7E . 8BEC MOV EBP,ESP
0040EE80 . 53 PUSH EBX
0040EE81 . 51 PUSH ECX
0040EE82 . 52 PUSH EDX
0040EE83 . 56 PUSH ESI
0040EE84 . 57 PUSH EDI
0040EE85 . 1E PUSH DS
0040EE86 . 06 PUSH ES
0040EE87 . 66:8CD8 MOV AX,DS
0040EE8A . 8EC0 MOV ES,AX ; Modification of segment register
0040EE8C . BB A8978300 MOV EBX,STALKER.008397A8
0040EE91 . FC CLD
0040EE92 . 8BFB MOV EDI,EBX
0040EE94 . B9 64000000 MOV ECX,64
0040EE99 . 33C0 XOR EAX,EAX
0040EE9B . F3:AA REP STOS BYTE PTR ES:[EDI]
0040EE9D . 8D7B 11 LEA EDI,DWORD PTR DS:[EBX+11]
0040EEA0 . 8B75 08 MOV ESI,DWORD PTR SS:[EBP+8]
0040EEA3 . B9 07000000 MOV ECX,7
0040EEA8 . F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
0040EEAA . 32C0 XOR AL,AL
0040EEAC . AA STOS BYTE PTR ES:[EDI]
0040EEAD . 8B75 0C MOV ESI,DWORD PTR SS:[EBP+C]
0040EEB0 . 66:8B06 MOV AX,WORD PTR DS:[ESI]
0040EEB3 . 8863 10 MOV BYTE PTR DS:[EBX+10],AH
0040EEB6 . 8AD0 MOV DL,AL
0040EEB8 . 80E2 01 AND DL,1
0040EEBB . 8AF0 MOV DH,AL
0040EEBD . 80E6 30 AND DH,30
0040EEC0 . 80FE 00 CMP DH,0 ; Switch (cases 0..30)
0040EEC3 . 75 1C JNZ SHORT STALKER.0040EEE1
0040EEC5 . 8B75 14 MOV ESI,DWORD PTR SS:[EBP+14] ; Case 0 of switch 0040EEC0
0040EEC8 . 66:8B06 MOV AX,WORD PTR DS:[ESI]
0040EECB . 66:8943 07 MOV WORD PTR DS:[EBX+7],AX
0040EECF . 8B75 18 MOV ESI,DWORD PTR SS:[EBP+18]
0040EED2 . 66:8B06 MOV AX,WORD PTR DS:[ESI]
0040EED5 . 66:8943 09 MOV WORD PTR DS:[EBX+9],AX
0040EED9 . B0 01 MOV AL,1
0040EEDB . 02C2 ADD AL,DL
0040EEDD . 8803 MOV BYTE PTR DS:[EBX],AL
0040EEDF . EB 2B JMP SHORT STALKER.0040EF0C
0040EEE1 > 80FE 20 CMP DH,20
0040EEE4 . 75 06 JNZ SHORT STALKER.0040EEEC
0040EEE6 . C643 02 01 MOV BYTE PTR DS:[EBX+2],1 ; Case 20 (' ') of switch 0040EEC0
0040EEEA . EB 0D JMP SHORT STALKER.0040EEF9
0040EEEC > 80FE 30 CMP DH,30
0040EEEF . 75 18 JNZ SHORT STALKER.0040EF09
0040EEF1 . 8B75 1C MOV ESI,DWORD PTR SS:[EBP+1C] ; Case 30 ('0') of switch 0040EEC0
0040EEF4 . 8A06 MOV AL,BYTE PTR DS:[ESI]
0040EEF6 . 8843 02 MOV BYTE PTR DS:[EBX+2],AL
0040EEF9 > 8B75 14 MOV ESI,DWORD PTR SS:[EBP+14]
0040EEFC . 8A06 MOV AL,BYTE PTR DS:[ESI]
0040EEFE . 8843 01 MOV BYTE PTR DS:[EBX+1],AL
0040EF01 . B0 05 MOV AL,5
0040EF03 . 02C2 ADD AL,DL
0040EF05 . 8803 MOV BYTE PTR DS:[EBX],AL
0040EF07 . EB 03 JMP SHORT STALKER.0040EF0C
0040EF09 > C603 FF MOV BYTE PTR DS:[EBX],0FF ; Default case of switch 0040EEC0
0040EF0C > 803B 06 CMP BYTE PTR DS:[EBX],6
0040EF0F . 75 10 JNZ SHORT STALKER.0040EF21
0040EF11 . 8B75 18 MOV ESI,DWORD PTR SS:[EBP+18]
0040EF14 . BF 0C988300 MOV EDI,STALKER.0083980C
0040EF19 . 33C9 XOR ECX,ECX
0040EF1B . 8A4B 02 MOV CL,BYTE PTR DS:[EBX+2]
0040EF1E . FC CLD
0040EF1F . F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
0040EF21 > 8A4B 02 MOV CL,BYTE PTR DS:[EBX+2]
0040EF24 . 880D 0C998300 MOV BYTE PTR DS:[83990C],CL
0040EF2A . 53 PUSH EBX
0040EF2B . E8 BCD6FFFF CALL STALKER.0040C5EC --> в глубины АПИ
0040EF30 . 5B POP EBX
0040EF31 . 8B75 10 MOV ESI,DWORD PTR SS:[EBP+10]
0040EF34 . 66:8906 MOV WORD PTR DS:[ESI],AX
0040EF37 . 803B 05 CMP BYTE PTR DS:[EBX],5
0040EF3A . 75 13 JNZ SHORT STALKER.0040EF4F
0040EF3C . 8B7D 18 MOV EDI,DWORD PTR SS:[EBP+18]
0040EF3F . BE 0C988300 MOV ESI,STALKER.0083980C
0040EF44 . 33C9 XOR ECX,ECX
0040EF46 . 8A0D 0C998300 MOV CL,BYTE PTR DS:[83990C]
0040EF4C . FC CLD
0040EF4D . F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
0040EF4F > 8B7D 08 MOV EDI,DWORD PTR SS:[EBP+8]
0040EF52 . 8D73 1C LEA ESI,DWORD PTR DS:[EBX+1C]
0040EF55 . B9 07000000 MOV ECX,7
0040EF5A . FC CLD
0040EF5B . F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
0040EF5D . 80FE 00 CMP DH,0
0040EF60 . 75 20 JNZ SHORT STALKER.0040EF82
0040EF62 . 66:8B43 07 MOV AX,WORD PTR DS:[EBX+7]
0040EF66 . 8B75 14 MOV ESI,DWORD PTR SS:[EBP+14]
0040EF69 . 66:8906 MOV WORD PTR DS:[ESI],AX
0040EF6C . 66:33C0 XOR AX,AX
0040EF6F . 8A43 09 MOV AL,BYTE PTR DS:[EBX+9]
0040EF72 . 8B75 18 MOV ESI,DWORD PTR SS:[EBP+18]
0040EF75 . 66:8906 MOV WORD PTR DS:[ESI],AX
0040EF78 . 66:8B43 0B MOV AX,WORD PTR DS:[EBX+B]
0040EF7C . 8B75 1C MOV ESI,DWORD PTR SS:[EBP+1C]
0040EF7F . 66:8906 MOV WORD PTR DS:[ESI],AX
0040EF82 > 66:8B43 0F MOV AX,WORD PTR DS:[EBX+F]
0040EF86 . 07 POP ES ; Modification of segment register
0040EF87 . 1F POP DS ; Modification of segment register
0040EF88 . 5F POP EDI
0040EF89 . 5E POP ESI
0040EF8A . 5A POP EDX
0040EF8B . 59 POP ECX
0040EF8C . 5B POP EBX
0040EF8D . 5D POP EBP
0040EF8E . C3 RET

Перед этим обычно вызывается Check.

А вообще, странная вещь: в коде проги заюзаны SetMOde, Check и вот эта хрень. Но после SetMode прога больше не вызывает АПИ, а уходит в DEMO! В чем тут дело? SetMode вроде не должна ни чего возвращать (хотя возвращает 0 в EAX)

В общем, выкладываю АПИ и все, что я по нему нарыл. Правда, не густо...

b7bb_18.05.2006_CRACKLAB.rU.tgz - Guardant API.7z

| Сообщение посчитали полезным:

А это случаем не за(рас)шифровка пакета? Хотя вроде обычно в драйвере такое происходит...

-----
SaNX

| Сообщение посчитали полезным:

0xy пишет:
0040EF19 . 33C9 XOR ECX,ECX
0040EF1B . 8A4B 02 MOV CL,BYTE PTR DS:[EBX+2]
0040EF1E . FC CLD
0040EF1F . F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[>
0040EF21 > 8A4B 02 MOV CL,BYTE PTR DS:[EBX+2]
0040EF24 . 880D 0C998300 MOV BYTE PTR DS:[83990C],CL
0040EF2A . 53 PUSH EBX
0040EF2B . E8 BCD6FFFF CALL STALKER.0040C5EC --> в глубины АПИ
0040EF30 . 5B POP EBX
Почти со всем разобрался.... Но смысл ЭТОГО????

| Сообщение посчитали полезным:

Вот пример вызова этой хрени:


004544FF . A1 B8FF8400 MOV EAX,DWORD PTR DS:[84FFB8]
00454504 . 05 83675608 ADD EAX,8566783
00454509 . 50 PUSH EAX
0045450A . E8 3766FBFF CALL STALKER.0040AB46 ; nskCheck
0045450F . 66:8985 8CFEFFFF MOV WORD PTR SS:[EBP-174],AX
00454516 . 66:8B85 8CFEFFFF MOV AX,WORD PTR SS:[EBP-174]
0045451D . 66:A3 6C1C8500 MOV WORD PTR DS:[851C6C],AX
00454523 . EB 09 JMP SHORT STALKER.0045452E
00454525 > 66:C785 8CFEFFFF 0300 MOV WORD PTR SS:[EBP-174],3
0045452E > C785 A0FEFFFF 0D020000 MOV DWORD PTR SS:[EBP-160],20D
00454538 . 0FBF85 8CFEFFFF MOVSX EAX,WORD PTR SS:[EBP-174]
0045453F . F7D8 NEG EAX
00454541 . 1BC0 SBB EAX,EAX
00454543 . 40 INC EAX
00454544 . A3 78A08300 MOV DWORD PTR DS:[83A078],EAX
00454549 > 833D 641C8500 00 CMP DWORD PTR DS:[851C64],0
00454550 . 74 0A JE SHORT STALKER.0045455C
00454552 . C705 78A08300 01000000 MOV DWORD PTR DS:[83A078],1
0045455C > 833D 78A08300 00 CMP DWORD PTR DS:[83A078],0
00454563 . 0F85 E4000000 JNZ STALKER.0045464D
00454569 . C685 9BFEFFFF 00 MOV BYTE PTR SS:[EBP-165],0
00454570 . 0FB605 58A08300 MOVZX EAX,BYTE PTR DS:[83A058]
00454577 . 85C0 TEST EAX,EAX
00454579 . 75 62 JNZ SHORT STALKER.004545DD
0045457B . 0FBF85 8CFEFFFF MOVSX EAX,WORD PTR SS:[EBP-174]
00454582 . 85C0 TEST EAX,EAX
00454584 . 74 57 JE SHORT STALKER.004545DD
00454586 . A1 681C8500 MOV EAX,DWORD PTR DS:[851C68]
0045458B . 3B05 7CA08300 CMP EAX,DWORD PTR DS:[83A07C]
00454591 . 7D 41 JGE SHORT STALKER.004545D4
00454593 . 8D85 84FEFFFF LEA EAX,DWORD PTR SS:[EBP-17C]
00454599 . 50 PUSH EAX
0045459A . 8D8D 80FEFFFF LEA ECX,DWORD PTR SS:[EBP-180]
004545A0 . 51 PUSH ECX
004545A1 . 8D95 88FEFFFF LEA EDX,DWORD PTR SS:[EBP-178]
004545A7 . 52 PUSH EDX
004545A8 . 8D85 8CFEFFFF LEA EAX,DWORD PTR SS:[EBP-174]
004545AE . 50 PUSH EAX
004545AF . 8D8D 90FEFFFF LEA ECX,DWORD PTR SS:[EBP-170]
004545B5 . 51 PUSH ECX
004545B6 . 8D95 94FEFFFF LEA EDX,DWORD PTR SS:[EBP-16C]
004545BC . 52 PUSH EDX
004545BD . E8 BBA8FBFF CALL STALKER.0040EE7D ; Собстно вызов
004545C2 . 83C4 18 ADD ESP,18
004545C5 . 66:8B85 8CFEFFFF MOV AX,WORD PTR SS:[EBP-174]
004545CC . 66:A3 6C1C8500 MOV WORD PTR DS:[851C6C],AX


| Сообщение посчитали полезным:

В аттаче -- второй пример вызова (с полным текстом вызывающей процедуры)

| Сообщение посчитали полезным:

Аттач не приклеился -- приклею позже...

Но, как я уже писал, главная проблема в том, что прога до этой процедуры не доходит!
Т.е. вызывается SetMode, и всё Не понятно, что проге может не понравиться в SetMode???

| Сообщение посчитали полезным:

Во прикол! Если пропатчить nskCheck, то эта хрень перестает вызываться!
Т.е. она вызывается только если Check не прошел. Тогда не понятно, на кой она вообще нужна?
Кто разобрался -- расскажите, плииз!

Прога при этом вроде вылечивается: включаются фитчи.
Но trial-reminder остается. Вообще-то, странный какой-то этот реминдер. Звучит он в таком стиле: "если у вас нет ключа, то буду работать в дэмо". При этом явно не говорится о том, есть ключ в данный момент, или нету. Так что, возможно, что это и не реминдер вовсе, хз. Во всяком случае, (как я уже неоднократно писал), выскакивает он сразу после запуска проги, до всяких проверок ключа.

PS
Да, чтоб прога обратилась к ключу, ее недостаточно просто запустить: нужно по всяким фитчам пробежаться.

PPS
А АПИ всегда лежит одним куском, или может быть разбросано по коду проги?



| Сообщение посчитали полезным:

Тишина...

SaNX пишет:
Короче, качай сигны для Ida и ковыряй
А где лежат то?
PS
Не обязательно для IDA. Можно в любом виде. А то те сигны, что в статье infern0 -- видать, устарели, ибо не все совпадают. А TransformEX там вообще нету

Народ! Кто не поленился скачать аттач -- гляньте, что за АПИ по адресу 0040C5EC ? По сигне и по вызову похоже на FindNext, но по смыслу -- маразм получается!

А вообще, написал бы кто-нить адреса всех процедур Если не в лом, конечно

| Сообщение посчитали полезным:

может кто поделиться сигнами для сабжа?
и ссылочкой на прогу с этим чудом, может плагин состряпую...

-----
[nice coder and reverser]

| Сообщение посчитали полезным: