Проверка лицензии накрыта EXECryptor-ом, как разобрать подобный код ? ...

Сейчас на форуме: _MBK_ (+7 невидимых)

Посл.ответ	Сообщение
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 06 июля 2007 00:03 · Личное сообщение · #1 Программа накрыта EXECryptor-ом, проверка лицензии живёт в подобной процедуре... По всей видимости она не маленькая. Вопрос, как умные люди с этим разбираются ? Этот код можно привести к нормальному виду при помощи готовых скриптов или ещё чего ни будь... ? В общих чертах прошу объяснить, как с этим быть. Так же сразу прошу прощения, если вопрос покажется глупым... .text:004AFFE4 sub_4AFFE4 proc far ; CODE XREF: sub_430C40+2D9 p .text:004AFFE4 .text:004AFFE4 var_14 = dword ptr -14h .text:004AFFE4 var_4 = dword ptr -4 .text:004AFFE4 .text:004AFFE4 ; FUNCTION CHUNK AT _4edf.7on:0060C8BB SIZE 00000005 BYTES .text:004AFFE4 ; FUNCTION CHUNK AT _4edf.7on:0060C8C5 SIZE 00000023 BYTES .text:004AFFE4 ; FUNCTION CHUNK AT _9ufz562j:00677461 SIZE 00000016 BYTES .text:004AFFE4 ; FUNCTION CHUNK AT _9ufz562j:00695B80 SIZE 00000005 BYTES .text:004AFFE4 .text:004AFFE4 push ebp .text:004AFFE5 mov ebp, esp .text:004AFFE7 add esp, 0FFFFFFF0h .text:004AFFEA jmp loc_60C8BB .text:004AFFEA sub_4AFFE4 endp .text:004AFFEA .text:004AFFEA ; ---------------------------------------------------------------------- ----- .text:004AFFEF byte_4AFFEF db 0BBh ; DATA XREF: sub_7F757A+9 o .text:004AFFF0 dd 0B00h, 0FF000000h, 2BFFFFFFh, 0A3000B00h, 0F7000B00h .text:004AFFF0 dd 0B00h, 0FF000000h, 0D7FFFFFFh, 0F3000B00h, 0B00h, 4 dup(0) .text:004B0028 dd 6B000000h, 656E7265h, 2E32336Ch, 6C6C64h, 0 .text:004B003C dd 74654700h, 75646F4Dh, 6148656Ch, 656C646Eh, 41h, 616F4C00h .text:004B003C dd 62694C64h, 79726172h, 41h, 74654700h, 636F7250h, 72646441h .text:004B003C dd 737365h, 0 .text:004B0074 dd 69784500h, 6F725074h, 73736563h, 0 .text:004B0084 dd 72695600h, 6C617574h, 6F6C6C41h, 63h, 72695600h, 6C617574h .text:004B0084 dd 65657246h, 0A1000000h, 777C80B6h, 0A07C801Dh, 1A7C80ADh .text:004B0084 dd 517C81CAh, 0E47C809Ah, 3B7C809Ah, 4F000B00h, 5F000B00h .text:004B0084 dd 73000B00h, 83000B00h, 93000B00h, 0B00h, 75000000h, 33726573h .text:004B0084 dd 6C642E32h, 6Ch, 73654D00h, 65676173h, 41786F42h, 0F2000000h .text:004B0084 dd 0E377D704h, 0B00h .text:004B00FC db 3 dup(0) .text:004B00FF ; ---------------------------------------------------------------------- ----- .text:004B00FF ; START OF FUNCTION CHUNK FOR sub_4AFFD5 .text:004B00FF .text:004B00FF loc_4B00FF: ; CODE XREF: sub_4AFFD5+3 j .text:004B00FF pop edx .text:004B0100 xor [ebp-54h], eax .text:004B0103 mov eax, [ebp-20h] .text:004B0106 jmp near ptr loc_69D22A+1 .text:004B0106 ; END OF FUNCTION CHUNK FOR sub_4AFFD5 .text:004B010B ; ---------------------------------------------------------------------- ----- .text:004B010B ; START OF FUNCTION CHUNK FOR sub_66B18D .text:004B010B .text:004B010B loc_4B010B: ; CODE XREF: sub_66B18D+E121 j .text:004B010B jnz loc_659E49 .text:004B0111 adc edx, ecx .text:004B0113 mov edi, eax .text:004B0115 jmp loc_659E49 .text:004B0115 ; END OF FUNCTION CHUNK FOR sub_66B18D .text:004B011A .text:004B011A ; --------------- S U B R O U T I N E --------------------------------------- .text:004B011A .text:004B011A .text:004B011A sub_4B011A proc near ; DATA XREF: _9ufz562j:00677DD6 o .text:004B011A .text:004B011A ; FUNCTION CHUNK AT _9ufz562j:006BF0E2 SIZE 00000005 BYTES .text:004B011A .text:004B011A push 0D3728E93h .text:004B011F pop esi .text:004B0120 and esi, 0F6465AB8h .text:004B0126 add esi, 2E29FBA4h .text:004B012C push offset loc_67E274 .text:004B0131 jmp loc_6BF0E2 .text:004B0131 sub_4B011A endp .text:004B0131 .text:004B0136 ; ---------------------------------------------------------------------- ----- .text:004B0136 .text:004B0136 loc_4B0136: ; CODE XREF: _9ufz562j:loc_65A6F1 j .text:004B0136 or ebx, 55C1F932h .text:004B013C jmp loc_4B015B .text:004B013C ; ---------------------------------------------------------------------- ----- .text:004B0141 db 1Bh, 0DFh, 93h .text:004B0144 dd 7A4D3C34h, 0E58B1A6Eh, 9090C35Dh .text:004B0150 ; ---------------------------------------------------------------------- ----- .text:004B0150 push ebp .text:004B0151 mov ebp, esp .text:004B0153 add esp, 0FFFFFFECh .text:004B0156 jmp loc_68D4D6 .text:004B015B ; ---------------------------------------------------------------------- ----- .text:004B015B .text:004B015B loc_4B015B: ; CODE XREF: .text:004B013C j .text:004B015B xor ebx, 0FA44BA1Dh .text:004B0161 sub ebx, 7A5B7F11h .text:004B0167 add ebx, 4D1AD83Fh .text:004B016D mov [ebx], eax .text:004B016F jmp loc_640254 .text:004B0174 ; [00000001 BYTES: COLLAPSED FUNCTION nullsub_92. PRESS KEYPAD "+" TO EXPAND] .text:004B0175 ; ---------------------------------------------------------------------- ----- .text:004B0175 ; START OF FUNCTION CHUNK FOR sub_69C473 .text:004B0175 .text:004B0175 loc_4B0175: ; CODE XREF: sub_69C473-3369C j .text:004B0175 jmp loc_63A27B .text:004B0175 ; END OF FUNCTION CHUNK FOR sub_69C473 .text:004B017A ; ---------------------------------------------------------------------- ----- .text:004B017A ; START OF FUNCTION CHUNK FOR sub_66BD42 .text:004B017A .text:004B017A loc_4B017A: ; CODE XREF: sub_66BD42:loc_69D7EB j .text:004B017A jz loc_63D648 .text:004B0180 jmp loc_659929 .text:004B0180 ; END OF FUNCTION CHUNK FOR sub_66BD42 .text:004B0180 ; ---------------------------------------------------------------------- ----- .text:004B0185 db 0E8h, 0F3h, 0A2h .text:004B0188 dd 743F001Bh, 1C87A6BBh, 0E8C38B24h, 1F44EAh, 3A6DBC71h .text:004B0188 dd 0F108E99Ch .text:004B01A0 ; ---------------------------------------------------------------------- ----- .text:004B01A0 sbb [eax], eax .text:004B01A2 ; START OF FUNCTION CHUNK FOR sub_666D3B .text:004B01A2 .text:004B01A2 loc_4B01A2: ; CODE XREF: sub_666D3B+9 j .text:004B01A2 call sub_676C7E .text:004B01A7 .text:004B01A7 loc_4B01A7: ; CODE XREF: sub_6B02E4 j .text:004B01A7 pop edx .text:004B01A8 mov eax, [esp-4+arg_0] .text:004B01AB push ebx .text:004B01AC mov ebx, edx .text:004B01AE xchg ebx, [esp+0] .text:004B01B1 call sub_6A743B .text:004B01B6 jmp loc_6C3EFF .text:004B01B6 ; END OF FUNCTION CHUNK FOR sub_666D3B .text:004B01B6 ; ---------------------------------------------------------------------- ----- .text:004B01BB db 67h .text:004B01BC dword_4B01BC dd 68F64h, 34C3E800h, 0BB8B0021h, 0A4E86866h, 0F100213Fh .text:004B01BC dd 0E8115B52h, 1CFB94h, 7C2570D3h, 0C931065Eh, 1C920CE8h .text:004B01BC dd 276E2700h, 1E68569Fh, 0E9448651h, 18980Eh, 1EC757E8h .text:004B01BC dd 26B4C900h, 0C74EE842h, 8E90001Eh, 69DA27Dh, 82E8A710h .text:004B01BC dd 1001C98h, 727C88C4h, 83921006h, 0E802087Dh, 213F53h .text:004B01BC dd 8CEF7F45h, 0A6F006A8h, 311CE9h, 242C8700h, 875DCD8Bh .text:004B01BC dd 5D53241Ch, 0EB20E95Bh .text:004B023C db 1Fh, 0

sotona Ранг: 51.0 (постоянный) Активность: 0.03↘0 Статус: Участник	Создано: 06 июля 2007 00:30 · Личное сообщение · #2 можно на шару отловить нужный jcc и запатчить. или анализатор для всего этого писать...
Smon Ранг: 500.5 (!), 8thx Активность: 0.23↘0 Статус: Участник	Создано: 06 июля 2007 08:53 · Личное сообщение · #3 ToBad пишет: Этот код можно привести к нормальному виду при помощи готовых скриптов или ещё чего ни будь... Слышал, что кто то имеет декомпиль\деморфер, но в любом случае его не дадут, ибо превад... sotona пишет: можно на шару отловить нужный jcc и запатчить. да, если удастся отловить 1 jcc из тысячи подобных, к тому же процедура crypt не только морфит, а еще и часть кода вроде как в вм переводит, так что Как вариант - качать более раннюю версию если она под другой защитой, анализировать алго регистрации и ловить заморфенную на доступе к определенным участкам памяти\файла\апи ----- "Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels

Для печати