Сейчас на форуме: rtsgreg1989, zds, _MBK_ (+5 невидимых) |
![]() |
eXeL@B —› Основной форум —› RLPack 1.19 [NT only] unpacking challenge |
. 1 . 2 . >> |
Посл.ответ | Сообщение |
|
Создано: 24 августа 2007 11:28 · Личное сообщение · #1 Your objective is to unpack the file deASPack.exe. To achieve this you can do anything you can think of. There is only one rule. Your unpacked file must unpack crackme.aspacked.exe file in such manner that file verify.exe says that the file unpacked.exe is valid. You can only modify/unpack the file deASPack.exe and any of your patches to it must not use the information obtained from the original unpacked.exe produced by the packed deASPack.exe. This means that your unpacked deASPack.exe file must create the valid unpacked.exe without patching it to write original data by force to unpacked.exe. To verify that everything works fine run deASPack.exe and unpack the file crackme.aspacked.exe with it. Then run verify.exe which should tell you that the file unpacked.exe is valid. If you solve this challenge please tell me your observations about the protection itself. Also note that this is not the original 1.19 version. This version has been modified so that the security of the Full Edition users is not threatened by potential plugins/scripts/unpackers. The best will be reworded! ap0x.jezgra.net/RLPack_1.19_officialUnpackme.rar Good luck, ap0x В общем особо по сравнению с предыдущей версие измений не много VM Практический та же восстановить стаб дело пяти минут т.к кэлы открытым текстом данный в регистрах VM 004B1791 60 PUSHAD 004B1792 33C9 XOR ECX,ECX 004B1794 E8 00000000 CALL deASPack.004B1799 004B1799 5B POP EBX 004B179A 43 INC EBX 004B179B 89AB 87000000 MOV DWORD PTR DS:[EBX+87],EBP 004B17A1 89AB 0B010000 MOV DWORD PTR DS:[EBX+10B],EBP 004B17A7 89A3 C7000000 MOV DWORD PTR DS:[EBX+C7],ESP 004B17AD 89BB D8000000 MOV DWORD PTR DS:[EBX+D8],EDI 004B17B3 89B3 02010000 MOV DWORD PTR DS:[EBX+102],ESI 004B17B9 8D8B 81000000 LEA ECX,DWORD PTR DS:[EBX+81] 004B17BF 8B46 04 MOV EAX,DWORD PTR DS:[ESI+4] 004B17C2 2BC1 SUB EAX,ECX 004B17C4 83E8 04 SUB EAX,4 004B17C7 8983 81000000 MOV DWORD PTR DS:[EBX+81],EAX 004B17CD 8BA5 455C0000 MOV ESP,DWORD PTR SS:[EBP+5C45] 004B17D3 8BB5 215C0000 MOV ESI,DWORD PTR SS:[EBP+5C21] 004B17D9 EB 05 JMP SHORT deASPack.004B17E0 004B17DB FF36 PUSH DWORD PTR DS:[ESI] 004B17DD 83C6 04 ADD ESI,4 004B17E0 3BF7 CMP ESI,EDI 004B17E2 ^ 72 F7 JB SHORT deASPack.004B17DB 004B17E4 8B85 255C0000 MOV EAX,DWORD PTR SS:[EBP+5C25] 004B17EA 8B9D 295C0000 MOV EBX,DWORD PTR SS:[EBP+5C29] 004B17F0 8B8D 2D5C0000 MOV ECX,DWORD PTR SS:[EBP+5C2D] 004B17F6 8B95 315C0000 MOV EDX,DWORD PTR SS:[EBP+5C31] 004B17FC 8BB5 355C0000 MOV ESI,DWORD PTR SS:[EBP+5C35] 004B1802 8BBD 395C0000 MOV EDI,DWORD PTR SS:[EBP+5C39] 004B1808 8BA5 415C0000 MOV ESP,DWORD PTR SS:[EBP+5C41] 004B180E 89A5 495C0000 MOV DWORD PTR SS:[EBP+5C49],ESP 004B1814 8BAD 3D5C0000 MOV EBP,DWORD PTR SS:[EBP+5C3D] 004B181A E8 4144F5FF CALL deASPack.00405C60 <------------------ динамический 004B181F 55 PUSH EBP 004B1820 BD C7004B00 MOV EBP,deASPack.004B00C7 004B1825 8985 255C0000 MOV DWORD PTR SS:[EBP+5C25],EAX 004B182B 899D 295C0000 MOV DWORD PTR SS:[EBP+5C29],EBX 004B1831 898D 2D5C0000 MOV DWORD PTR SS:[EBP+5C2D],ECX 004B1837 8995 315C0000 MOV DWORD PTR SS:[EBP+5C31],EDX 004B183D 89B5 355C0000 MOV DWORD PTR SS:[EBP+5C35],ESI 004B1843 89BD 395C0000 MOV DWORD PTR SS:[EBP+5C39],EDI 004B1849 83C4 04 ADD ESP,4 004B184C 89A5 415C0000 MOV DWORD PTR SS:[EBP+5C41],ESP 004B1852 83EC 04 SUB ESP,4 004B1855 8BC5 MOV EAX,EBP 004B1857 5D POP EBP 004B1858 89A8 3D5C0000 MOV DWORD PTR DS:[EAX+5C3D],EBP 004B185E 8BE8 MOV EBP,EAX 004B1860 BC A4FF1200 MOV ESP,12FFA4 004B1865 8B85 495C0000 MOV EAX,DWORD PTR SS:[EBP+5C49] 004B186B 2B85 415C0000 SUB EAX,DWORD PTR SS:[EBP+5C41] 004B1871 BF 14001102 MOV EDI,2110014 004B1876 03F8 ADD EDI,EAX 004B1878 8B8D 215C0000 MOV ECX,DWORD PTR SS:[EBP+5C21] 004B187E 8B85 455C0000 MOV EAX,DWORD PTR SS:[EBP+5C45] 004B1884 83E8 04 SUB EAX,4 -------------------------------------------------------------- востановленый стаб 0045D5C0 55 PUSH EBP 0045D5C1 8BEC MOV EBP,ESP 0045D5C3 83C4 F0 ADD ESP,-10 0045D5C6 B8 D0D34500 MOV EAX,deASPack.0045D3D0 0045D5CB E8 9086FAFF CALL deASPack.00405C60 0045D5D0 A1 68194500 MOV EAX,DWORD PTR DS:[451968] 0045D5D5 8B00 MOV EAX,DWORD PTR DS:[EAX] 0045D5D7 E8 B8D5FFFF CALL deASPack.0045AB94 0045D5DC A1 68194500 MOV EAX,DWORD PTR DS:[451968] 0045D5E1 8B00 MOV EAX,DWORD PTR DS:[EAX] 0045D5E3 BA 20D64500 MOV EDX,deASPack.0045D620 ; ASCII "unASPack" 0045D5E8 E8 B7D1FFFF CALL deASPack.0045A7A4 0045D5ED 8B0D 74F24500 MOV ECX,DWORD PTR DS:[45F274] ; deASPack.00460C04 0045D5F3 A1 68194500 MOV EAX,DWORD PTR DS:[451968] 0045D5F8 8B00 MOV EAX,DWORD PTR DS:[EAX] 0045D5FA 8B15 34C54500 MOV EDX,DWORD PTR DS:[45C534] ; deASPack.0045C324 0045D600 E8 A7D5FFFF CALL deASPack.0045ABAC 0045D605 A1 68194500 MOV EAX,DWORD PTR DS:[451968] 0045D60A 8B00 MOV EAX,DWORD PTR DS:[EAX] 0045D60C E8 1BD6FFFF CALL deASPack.0045AC2C 0045D611 E8 4667FAFF CALL deASPack.00403D5C Довольно значительно поменялся только импорт да добавилась динамическая антиотладка , так не особо сложная . ![]() |
|
Создано: 24 августа 2007 12:54 · Личное сообщение · #2 pavka пишет: антиотладка , так не особо сложная Дык..антидебаг сводиться к тому ,чтобы тупо пропатчить заголовок окна в Ольге. CPU ->на что угодно,хоть на ->cpu.Антидамп вроде есть,но тоже фигня. А вообще прот шустрый получился. Респект убивце протов!!!! ![]() ----- Чтобы юзер в нэте не делал,его всё равно жалко.. ![]() |
|
Создано: 24 августа 2007 13:29 · Личное сообщение · #3 |
|
Создано: 24 августа 2007 14:34 · Личное сообщение · #4 |
|
Создано: 24 августа 2007 16:10 · Поправил: SLV · Личное сообщение · #5 |
|
Создано: 24 августа 2007 16:22 · Личное сообщение · #6 |
|
Создано: 24 августа 2007 16:32 · Личное сообщение · #7 |
|
Создано: 24 августа 2007 16:32 · Личное сообщение · #8 Импорт я накидал черновой скрипт для самого экзешника примерно так: var pnt2t var fnc var oep var iat_st var jmpf var pax var chk_eax mov pax,004B4984 mov iat_st,00461000 // <------ оригинальная иат mov pntf,004B499A mov pnt1t,004b4971 mov pnt2t,004b4964 mov oep,004b17e4 BPHWS 4b02c1,"x" erun BPHWC 4b02c1 sti repl eip, #750F#, #EB0F#,BC repl eip, #7410#, #EB10#,BC BPHWS pntf,"x" BPHWS pnt1t,"x" BPHWS pnt2t,"x" BPHWS oep,"x" erun loop: cmp eip,oep je quit erun cmp eip,pntf jne loop mov chk_eax,eax and chk_eax,FF000000 cmp chk_eax,0 je loop mov [iat_st],eax mov fnc,iat_st add iat_st,4 erun mov jmpf,ebx-2 bp pax erun bc pax mov [jmpf],#FF25# add jmpf,2 mov [jmpf],fnc jmp loop quit: ret ![]() |
|
Создано: 24 августа 2007 16:53 · Поправил: FrenFolio · Личное сообщение · #9 overwriter пишет: Тупой вопрос : что такое stub/стаб? В общем случае применительно для пакеров - это непосредственно код распаковщика, предваряющий код сжимаемой программы. Имеет отличительные особенности для каждого пакера... pavka пишет: Импорт я накидал черновой скрипт для самого экзешника примерно так: Спасибо за скрипт! ----- Программист SkyNet ![]() |
|
Создано: 25 августа 2007 18:03 · Личное сообщение · #10 |
|
Создано: 26 августа 2007 05:20 · Поправил: pavka · Личное сообщение · #11 Вот скрипт для экстракта dll var pnd var img_dll var size_dll var name var oep mov oep,004b17e4 mov pnd,004b2e1d bphws pnd,"x" bphws oep,"x" loop: erun cmp eip,oep je quit mov img_dll,esi find img_dll,#5045# mov size_dll,$RESULT add size_dll,50 mov size_dll,[size_dll] ask "Enter name dll" mov name,$RESULT dm img_dll, size_dll, name jmp loop quit: msg "Все больше нет ![]() ret Нужно будет поправить хидер Можно было и в скрипте сразу сделать ;) имхо кому нужно сам раберется В скрипте для импорта можно сделать проверку в esi на библы и иат будет посимпатичней с разделителями и заныканые библы можно посмотреть ![]() ![]() |
|
Создано: 04 сентября 2007 22:13 · Личное сообщение · #12 Парни, кто может обяснить, что я не так делаю. Прога запакована RLPack 1.17-1.19. До OEP дохожу стандартно по HR ESP-4: 007262C8 55 PUSH EBP - OEP 007262C9 8BEC MOV EBP,ESP 007262CB B9 1F000000 MOV ECX,1F 007262D0 6A 00 PUSH 0 007262D2 6A 00 PUSH 0 Делаю дамп. Открываю импрек. Импрек выдает много корявого импорта. Если вручную искать IAT, то в принципе он намного не отличается от того, что выдает импрек: 004078F4 - FF25 88437900 JMP DWORD PTR DS:[794388] - Переходник 004078FA 8BC0 MOV EAX,EAX 004078FC - FF25 84437900 JMP DWORD PTR DS:[794384] 00407902 8BC0 MOV EAX,EAX 00407904 - FF25 80437900 JMP DWORD PTR DS:[794380] 0040790A 8BC0 MOV EAX,EAX 0040790C - FF25 7C437900 JMP DWORD PTR DS:[79437C] Начало IAT - 0039426C Размер IAT - BB0 Конечно может я и неправильно нашел IAT.... Один хрен файл не рабочий получается. Может я чего то не знаю про RLPack... Почитал этот топик, попробовал скрипты, которые pavka выложил - все равно не выходит у меня ничего. Вот файл кому интересно: СКАЧАТЬ http://webfile.ru/1517487 ![]() |
|
Создано: 05 сентября 2007 02:02 · Поправил: Mavlyudov · Личное сообщение · #13 |
|
Создано: 05 сентября 2007 03:20 · Личное сообщение · #14 |
|
Создано: 05 сентября 2007 04:07 · Личное сообщение · #15 pavka пишет: Оеп похоже не правильно нашел Да вроде правильно,с табличкой там тоже не сложно //в аттаче простенький скрипт и tree Там надо потрейсить,что-то с регистрацией связано. Registry Trash.3.7.4 детектит какой-то ключ ice license protection v.2.0+ ![]() ----- Чтобы юзер в нэте не делал,его всё равно жалко.. ![]() |
|
Создано: 05 сентября 2007 10:23 · Личное сообщение · #16 |
|
Создано: 05 сентября 2007 10:23 · Личное сообщение · #17 |
|
Создано: 05 сентября 2007 10:30 · Личное сообщение · #18 |
|
Создано: 05 сентября 2007 10:41 · Личное сообщение · #19 Bronco пишет: А как у прота с интеграцией по коду? Нет у него в паблике вообще все просто ![]() Bronco пишет: Вообщем трейсить в дампе некомфортно!!!! если ice license protection v.2.0+ до действительно не комфортно там криптуха по ключу! Если есть сама ice license protection можно сгенерить липовый ключ если нет можно патчить будет в эбауте всякий мусор выводить что впрочем не проблема так как можно вывести все что угодно ![]() ![]() |
|
Создано: 05 сентября 2007 16:15 · Личное сообщение · #20 |
|
Создано: 05 сентября 2007 22:33 · Личное сообщение · #21 deepred пишет: файл все равно не рабочий В архиве лежит stxp.key,пакованная прога с ним нормально работает. А вот после унпака,файл лицензии уже не замечает. deepred пишет: не судьба мне справиться с этим файлом Разобраться с лицензией,и будет дамп стартовать главным окном. Я утром немного потрейсил, пока только стартует мессага,потом окно регистраци и окно идентификатора для лицензии.Потом в аут... Раз Павыч говорит,что можно патчить ![]() ![]() ----- Чтобы юзер в нэте не делал,его всё равно жалко.. ![]() |
|
Создано: 05 сентября 2007 23:33 · Личное сообщение · #22 |
|
Создано: 05 сентября 2007 23:41 · Личное сообщение · #23 deepred Немного по тупому конечно,дальше на функционал не проверял,но дамп стартует нормально. Пропатчь в двух местах: 004028E0 5A POP EDX 004028E1 58 POP EAX 004028E2 75 01 JNZ SHORT Dumped_.004028E5<-занопь переход 004028E4 C3 RETN 004028E5 31C0 XOR EAX,EAX 004028E7 ^ E9 A0FFFFFF JMP Dumped_.0040288C 004028EC C3 RETN 004028ED 8D40 00 LEA EAX,DWORD PTR DS:[EAX] ============ 00413C3C 53 PUSH EBX 00413C3D E8 223DFFFF CALL Dumped_.00407964 00413C42 83B8 10000000 00 CMP DWORD PTR DS:[EAX+10],0 00413C49 75 19 JNZ SHORT Dumped_.00413C64<-занопь переход 00413C4B B2 01 MOV DL,1 00413C4D A1 80234100 MOV EAX,DWORD PTR DS:[412380] 00413C52 E8 85F6FEFF CALL Dumped_.004032DC 00413C57 8BD8 MOV EBX,EAX 00413C59 E8 063DFFFF CALL Dumped_.00407964 00413C5E 8998 10000000 MOV DWORD PTR DS:[EAX+10],EBX 00413C64 E8 FB3CFFFF CALL Dumped_.00407964 00413C69 8B80 0C000000 MOV EAX,DWORD PTR DS:[EAX+C]<-выправь на [eax] 00413C6F 50 PUSH EAX deepred пишет: Я еще до этого не дорос Да это дело наживное и поправимое ![]() ----- Чтобы юзер в нэте не делал,его всё равно жалко.. ![]() |
|
Создано: 05 сентября 2007 23:46 · Личное сообщение · #24 |
|
Создано: 06 сентября 2007 01:36 · Личное сообщение · #25 Bronco Спасибо, все получилось. ![]() Bronco пишет: то ресурсы надо вручную перестравивать. Кстати, сколько раз пытался вручную сделать ничего не получается, перечитал несколько статей по восстановлению ресурсов вручную, но почему то даже после UPX'а не получается ресурсы восстановить. Может авторы этих статей о чем то забывают рассказать, раз ничего не получается? ![]() |
|
Создано: 06 сентября 2007 13:35 · Личное сообщение · #26 deepred Если для локализации,чтоб не мучаться,эаюзай QUnpack. Пройдись к ОЕР плагом Usar. Активируй опции: [+]-Use force unpacking [+]-Cut last sections && rebuild resources Для импорта юзай tree.txt из архива аттача. Для старта дампа даже патчить не нужно ![]() ----- Чтобы юзер в нэте не делал,его всё равно жалко.. ![]() |
|
Создано: 06 сентября 2007 20:07 · Личное сообщение · #27 |
|
Создано: 06 сентября 2007 21:28 · Личное сообщение · #28 |
|
Создано: 06 сентября 2007 21:34 · Личное сообщение · #29 |
|
Создано: 06 сентября 2007 23:17 · Поправил: deepred · Личное сообщение · #30 Bronco пишет: Если у тя последний паблик-релиз QU,с такими зависами. Именно он. Bronco пишет: Если горит,могу залить своё файло унпакнутое. Будь так добр. ![]() Archer пишет: Может, просто подождать подольше надо, ибо там реально не шустро? Пол часа ждал, больше терпения не хватило. Правда OEP вбил вручную, т.к. OEP Finder от Usar почему то зависает, после первого Next. А QU зависает на этом: 21:47:54 - Unhandled break alt detected at 004ABB1F 21:47:54 - Unhandled break alt detected at 004ABA7E 21:47:55 - Unhandled break detected at 004ABAD3 21:47:55 - Unhandled break alt detected at 004ABB1F 21:47:55 - Unhandled break alt detected at 004ABA7E 21:47:55 - Unhandled break detected at 004ABAD3 21:47:55 - Unhandled break alt detected at 004ABB1F 21:47:55 - Unhandled break alt detected at 004ABA7E 21:47:55 - Unhandled break detected at 004ABAD3 21:47:56 - Unhandled break alt detected at 004ABB1F 21:47:56 - Unhandled break alt detected at 004ABA7E 21:47:56 - Unhandled break detected at 004ABAD3 21:47:56 - Unhandled break alt detected at 004ABB1F 21:47:56 - Unhandled break alt detected at 004ABA7E 21:47:56 - Unhandled break detected at 004ABAD3 Итак полчаса эти строки идут, идут и не кончаются. Начал в 21:20:06 закончил в 21:50:07 ![]() |
. 1 . 2 . >> |
![]() |
eXeL@B —› Основной форум —› RLPack 1.19 [NT only] unpacking challenge |