| Сейчас на форуме: (+3 невидимых) |
 |
eXeL@B —› Дневники и блоги —› Demon666 blog: Trace Expand Plus (TEplus) |
| << . 1 . 2 . 3 . |
| Посл.ответ | Сообщение |
|
|
Создано: 17 августа 2008 21:18 · Личное сообщение · #1 Все побежали и я побежал© если время позволит это будет серия, надеюсь вам будет интересно! короче, в блогах тема пошла всякие сряки выкладывать, вот и мну сварганил и уровень ему 1-2 максимум(весь код чистенький как слеза девственницы) Если вы реальный чел и не из тех кто "вот если бы у меня была лопато, эх я бы..." Вы имеете желание не только юзать плагин, но и не хотите жадничать, а еще и помочь развитию проекта, добро пожаловать в этот блог Именно тут у нас будет Зал Славы – каждый, кто оставит свой код, который поспособствует расширению функционала плагина и будет добавлен нами именно вашего кода в плагин, имеет шанс получить более полную версию приватного плуга. попрошу сразу тех кто "я хочу и дайте мне" не засирать топик, вспомните одну из великих заповедей – "если каждому давать, поломается кровать"© у вас есть шанс показать себя на деле, а не просто на словах в этой версии только GUI и мы его будем тестировать.. о багах пишите здесь, как можете в About все инструкции(когда решите..) вы их увидите, они вам покажут истЕну, бу-го-га время пошло %))) ЗЫ: тестился плуг на Shadow и просто OllyDbg, остальные хз. их ведь дохеранах ЗЫЫ: не решишь, для мну ты в списке %)) demonteam.narod.ru/download/TEplus.rar (30kb) P. S. Интересно сколько продержиццо... ----- ЗЫ: истЕна где-то рядом, Welcome@Google.com  |
|
|
Создано: 22 сентября 2008 14:15 · Поправил: Ultras · Личное сообщение · #2 OKOB, спасибо! А то я уже начал писать подобный скрипт, только у меня без UncryptOpcode, я снял трассу и залил в ИДУ уже расшифрованные опкоды на их же места... P.S. как я понимаю, для каждой проги индексы исполнителей опкодов свои. ----- .[ rE! p0w4 ]. |
|
|
Создано: 22 сентября 2008 15:52 · Личное сообщение · #3 Ultras пишет: как я понимаю, для каждой проги индексы исполнителей опкодов свои Помимо разных индексов для исполнителей, существует два набора таких исполнителей. Например см. VMProtect v1.65 Demo таблицы по адресам CODE:004B4714 vm32_TableHandle dd offset vm32_Handle_00 и CODE:004B566E vm32_1_TableHandle dd offset vm32_1_Handle_00 Кроме этого выделение immediate data из pcode каждый раз по разному. ----- 127.0.0.1, sweet 127.0.0.1 |
|
|
Создано: 22 сентября 2008 16:22 · Поправил: Ultras · Личное сообщение · #4 OKOB, это видно появилось с какой-то версии 1.6x и явно связано с добавлением новых фич в протектор (к примеру, "Виртуальные Машины", версия 1.64) . У меня в исследуемой программе такой набор исполнителей один для всех виртуализированных участков... ----- .[ rE! p0w4 ]. |
|
|
Создано: 24 сентября 2008 16:28 · Личное сообщение · #5 OKOB ай какая прелесть, ИМХО - лучшее что для паблика можно придумать! Шаблон зачетный! Мобильный! ай какая жесть ща будет %))) – мну сейчас быстренько шаблончик чуть-чуть подредактировал Cимпотный выхлоп дает: (ИМХО – а вообще, тут как кому больше нравиццо!) 00514A37 | 37 | POPD VM_REG.R13 // dword[ebp+0] -> dword[memory[edi+34]]; ebp+4 00514A38 | 27 | POPD VM_REG.R09 // dword[ebp+0] -> dword[memory[edi+24]]; ebp+4 00514A39 | 2F | POPD VM_REG.R11 // dword[ebp+0] -> dword[memory[edi+2C]]; ebp+4 00514A3A | 3F | POPD VM_REG.R15 // dword[ebp+0] -> dword[memory[edi+3C]]; ebp+4 00514A3B | 1F | POPD VM_REG.R07 // dword[ebp+0] -> dword[memory[edi+1C]]; ebp+4 00514A3C | 07 | POPD VM_REG.R01 // dword[ebp+0] -> dword[memory[edi+04]]; ebp+4 00514A3D | 2B | POPD VM_REG.R10 // dword[ebp+0] -> dword[memory[edi+28]]; ebp+4 00514A3E | 13 | POPD VM_REG.R04 // dword[ebp+0] -> dword[memory[edi+10]]; ebp+4 00514A3F | 03 | POPD VM_REG.R00 // dword[ebp+0] -> dword[memory[edi+00]]; ebp+4 00514A40 | 3B | POPD VM_REG.R14 // dword[ebp+0] -> dword[memory[edi+38]]; ebp+4 00514A41 | 0B | POPD VM_REG.R02 // dword[ebp+0] -> dword[memory[edi+08]]; ebp+4 00514A42 | 33 | POPD VM_REG.R12 // dword[ebp+0] -> dword[memory[edi+30]]; ebp+4 00514A43 | 29 | PUSHD VM_REG.R10 // ebp-4; dword[memory[edi+28]] -> dword[ebp+0] 00514A44 | 12 | PUSHWZXB 0000 // ebp-2; 0000 -> word[ebp+0] 00514A46 | 35 | PUSHD VM_REG.R13 // ebp-4; dword[memory[edi+34]] -> dword[ebp+0] 00514A47 | 1E | PUSHD 004940B9 // ebp-4; 004940B9 -> dword[ebp+0] Теперь чешем вот сюда (аццкий баян!) www.openrce.org/blog/view/1241/Part_3:__Optimizing_and_Compiling и следим внимательно за "его" мыслей но еще лучше - сливаем по прядку и смотрим www.openrce.org/repositories/users/RolfRolles/Unoptimized.txt смотрим, его кодес будет похож на "наш" только с небольшой лишь разницей %)) www.openrce.org/repositories/users/RolfRolles/Unoptimized-vs-StackRemoved.txt и начинаем замечать, как кодес медленно превращается www.openrce.org/repositories/users/RolfRolles/StackRemoved-vs-TemporariesRemoved.txt превращается www.openrce.org/repositories/users/RolfRolles/TemporariesRemoved-vs-ScratchRemoved.txt Code:
ЗЫ: бгг, думаю все поняли что я прикололся %))) dermatolog пишет: Это что - приглашение к обсуждению? не-не, эт мы сами как-нибудь.. я про аттачи свеженькие.. ну и поглумиццо не забывай ;) dermatolog пишет: Разрыватели вмпрота отжигают ЗАчоД! Ultras пишет: Все вопросы сняты Ну вот видишь как все хорошо ;) Ultras пишет: Глянь ПМ. Да я уже везде, где только можно писал, в личку мне писать ничего не надо и почему писал! ЗЫ: Я ее больше уже НЕ ЧИТАЮ.. ====================================================================== ======= Варнинг - обнаружена несовместимость с плагином Olly More Menu 1.3b сегодня попался мне в руки, качнул чич-то посмотреть – все меню превращаются хуиз знает во что.. драйв с меню у него(по принципу) такой же, только мы оба обработчик повесили на все меню у оли есть правило, чей плагин она загрузила первым тот разделяет и властвует и "неизвестно" чей первый будет я пофиксил, но если загрузится его первым плуг, то пистец только аффтор Olly More Menu 1.3b сможет устранить траблу в принципе у него с меню неплохо сделано, чем-то может даже и лучше ----- ЗЫ: истЕна где-то рядом, Welcome@Google.com |
|
|
Создано: 24 сентября 2008 17:51 · Личное сообщение · #6 Demon666 пишет: Да я уже везде, где только можно писал, в личку мне писать ничего не надо и почему писал! ЗЫ: Я ее больше уже НЕ ЧИТАЮ.. Это я уже понял ;) В любом случае c вмпротом для меня вопрос снят. Тебе спасибо за то что не читал ПМ, это подстегнуло меня самостоятельно разобраться и довести всё до конца 
P.S. Всем кто начинает разбирать вмпрот рекомендую скачать и вникнуть в презентахи и туторы по ссылкам указанным в топике: http://exelab.ru/f/action=vthread&topic=8643&forum=1&page= -1 Там даже есть скрипты для IDA, облегчающие разбор
----- .[ rE! p0w4 ]. |
|
|
Создано: 26 сентября 2008 19:57 · Поправил: flamer · Личное сообщение · #7 Дело было вечером, делать было не чего. После очередной работки вспомнил про вторую часть кракмиса Свежий взгляд это хорошо. Базовый кейген готов. Хеш, как я уже говорил можно собирать по частям. Хеши частей 1-2-3-4 пароля можно вычислять поотдельности Code:
Но более интересно наблюдать за тем, как они накладываются друг на друга. После внимательного исследования зависимостей было установлено, что два бита из 32 заранее известны. Не хило? После оптимизации ускорения поиска в десяток раз получить четырехкратное сокращение диапазона. Но... если посмотреть дальше, то можно откусить еще 10 бит. и получить более, чем 4000 кратное ускорение. Весь диапазон просчитан. part1 - длинна первой части диапазона. GC - гигакомбинации part1*part2*part3[current]*part4; part1[6397]: zzym- Pushed: 565823.31 GC ( 972.209 GC/ps) time:581 sec как это бы ни было смешно, получилась круглая десятичная цифра - 8900 правильных вариантов "пароля". и того, среднеарифметическая скорость - 15 вариантов в секунду. макс пауза между вариантами - 127 сек. Убраны пустые области (сократил диапазон в три раза): part1[1698]: zzym- Pushed: 150518.31 GC ( 1012.376 GC/ps) time:140 sec средняя арифмитическая скорость - 63 правильных варианта в секунду, макс пауза мненее секунды.  6152_26.09.2008_CRACKLAB.rU.tgz - CrackMe2Keygen21.zip
+++ Добавил проверку забытого 0x13 бита, Немного порезал еще. Получилось сокращение затраченного времени почти в три раза: part1[1693]: zzua- Pushed: 88462.40 GC ( 1349,829 GC/ps) time:64 sec средняя арифмитическая скорость - 139 правильных вариантов в секунду, макс пауза мненее секунды. Дальше имеет смысл только оптимизация тест-алгоритмов, ибо диапазон сужен до нихочу и попытки его уменьшить приведут либо к росту объема кода, либо к существенным затратам на тестирование "неправильных" областей. |
|
|
Создано: 30 сентября 2008 11:47 · Личное сообщение · #8 Эх, зацепило )) Demon666 пишет: ZZyU-UZpa-ZY6Y-p59z где ты видишь чтобы твой "валидный кей" соответствовал маске - это раз! Хоть я и был прав, но без доказательств молчал. А так? Кей валидный? bmyU-gmOW-ax04-s43r |
|
|
Создано: 03 октября 2008 04:06 · Личное сообщение · #9 flamer пишет: bmyU-gmOW-ax04-s43r а что тебя так удивляет.. это и было второе задание - сталобыть доказать, что такое может быть не теоретически, а на практике - что ты почетно и сделал(и даже больше)! flamer А вообще если честно, то сильно однако!.. тебе с такими знаниями VMProtect как двумя пальцами порвать, а это сейчас модно ;)) ЗЫ: Там и первый с GUI не подеццки отжигает ;) но это уже в прошлом.. ЗЫы: Сегодня покодил чуть, наконец-то..(где-то половину сделал) Как-то сейчас модно стало называть такие весчи "теорией", ну..что..же – есть шанс с ней познакомиццо теоретически %)) Я в архивчег положил тест-файлег с примитивным(уровень 0) пермутатором %)) (ЗЫ: естественно все только свое) и хеш64 ;) Такой засранчик маленький для тренировки("решать" ничего не надо, просто чисто в ознакомительных целях) перед аццким зверем В архиве лежит выхлоп от плагина и.. и можно примерно будет понять, что будет в следующей версии за уровень четыре, к чему готовится постараюсь сделать так, чтобы было похоже на настоящий взлом проги, так сказать для остроты желания завалить четвертый уровень тфу, мля.. чуть не забыл написать, что там скрин будущей версии... demonteam.narod.ru/download/test.rar (30kb) P. S. Че-то Отца Дерматолога не видать Хм.. а-о!, наверно он просто забыл постскриптум оставить "ушел работать..." %)) ----- ЗЫ: истЕна где-то рядом, Welcome@Google.com |
|
|
Создано: 03 октября 2008 05:07 · Личное сообщение · #10 Demon666 пишет: А вообще если честно, то сильно однако!.. тебе с такими знаниями VMProtect как двумя пальцами порвать, а это сейчас модно ;)) Бугога. В порванном состоянии сейчас находится только жоп@ Demon666 (последний невзломанный крякмикс в теме про VMProtect тому доказательство). Так шта пилите, Шура, пилите.... |
|
|
Создано: 03 октября 2008 08:17 · Поправил: Ultras · Личное сообщение · #11 Demon666: .0040113E: 2BC1 поменять на 29C9 Ну и соотв-но в командной строке указываем любой пар-р, например: test.exe 12345 Просто в ознакомительных целях поглядел на пермутатор =) ЗЫ Я уж грешным делом подумал что приложив трассу ты оставил верный параметр, ан нет, заменил на "command string" :-D и трасса пошла по пути ";(" ----- .[ rE! p0w4 ]. |
|
|
Создано: 03 октября 2008 10:33 · Поправил: Hellspawn · Личное сообщение · #12 dermatolog пишет: Бугога. В порванном состоянии сейчас находится только жоп@ Demon666 (последний невзломанный крякмикс в теме про VMProtect тому доказательство). Так шта пилите, Шура, пилите.... а по-моему, за оскробления других участников форума, нада наказывать, тем более доктор тут не прав... ----- [nice coder and reverser] |
|
|
Создано: 03 октября 2008 11:44 · Личное сообщение · #13 Верно глаголишь, неправ добрый дохтур. Отдыхает 3 дня. |
|
|
Создано: 03 октября 2008 16:09 · Личное сообщение · #14 dermatolog %))) Лол, чет я не подумавши ляпнул – хотелось мнение flamer услышать о VMProtect (или ты сомневаешься что он ее асилит??) Да и вообще, хуля ты свистишь как пустой чайнег - иди лучше работай %)) Пссс И че ты так ссышь, никто на твой прот дезу не пускает(просто неудачно выразился(никто же не знал что ты такой ревнивый мужчинкО_о)), наоборот пусть жиды ее чаще вешают, нам же только больше денег достанеццо %))) Ultras А-нед!, пермутатор там не для того чтобы затруднить отлом, а чтобы сравнить "трейс-техник" с "динамик или статик анализом"("эмули" не обсуждаюцца, ибо в не конкуренции(ну и "скрипт-движки, препроцессоры, оптимизаторы итд." туда-же-до-кучи)) ----- ЗЫ: истЕна где-то рядом, Welcome@Google.com |
|
|
Создано: 03 октября 2008 21:09 · Поправил: flamer · Личное сообщение · #15 А вообще если честно, то сильно однако!.. тебе с такими знаниями VMProtect как двумя пальцами порвать, а это сейчас модно ;)) Сижу и думаю при чем здесь VMProtect ? Я в архивчег положил тест-файлег с примитивным(уровень 0) пермутатором %)) (ЗЫ: естественно все только свое) и хеш64 ;) И алгоритм хеширования тот же... Demon666 пишет: хотелось мнение flamer услышать о VMProtect Эх, если бы не обсфукация с загажииванием, то в вм-протекте вообще не было бы смысла. Так основная задачка упирается на определение исполнителей. В довесок приведу огромные минусы защиты (которые нам-то наоборот приятны), выдвигаемые аффтором в качестве плюсов: 1 ) Как Вы уже поняли, придётся разрабатывать совершенно специфические инструменты для анализа и декомпиляции байткода, что займёт очень много времени. И что? А с нормальными протекторами как-то по-другому? 2) в ВМ нет команд, отвечающих за сравнение двух операндов, нет условных и безусловных переходов и т.д Ай, какая прелесть! И, честно гря работая с ним удивляюсь -- за что платят деньги: Ладно еще халявную версию юзать. А так -- цена полной версии неоправданно завышена. Написать такой протектор - плёвое дело. А анализировать - на столько же неприятно, как обычный обсфуцированный код. Идея ВМ-протектора проста и стара как мир -- обыкновенный транслятор вшитый в исходную программу, к тому же, "чистый код" после распаковки можно воткнуть вместо байт-кода. |
|
|
Создано: 03 октября 2008 22:51 · Личное сообщение · #16 flamer пишет: Сижу и думаю при чем здесь VMProtect ? да вот именно что не причем! – VMProtect в написанной мной фразе так чисто как фон к восхищению твоими знаниями и умению описать, так как это происходит на стороне писавшего защиту! Я бы даже сказал: - почти один в один!!! Ну и скрытый намек о: Demon666 пишет: хотелось мнение flamer услышать о VMProtect а Отец Дерматолог увидел про "два пальца", посчитал что это антирекламко и задета его честь "даааавно порванной" ВМ`ки и вот он охотится за доказательствами чтобы понять где "дырки" чтобы в следующей версии их прикрыть я же специально ограничил там инфу, но он все равно успел исправить баги, ну там к примеру пошифровал указатели на байт-код в его табличке самому тяжко "дыры" увидеть, а тут халява какая новые решения итд. ну да ладно не будем пока, а то не честно получаеццо, он то ответить сейчас не может... ----- ЗЫ: истЕна где-то рядом, Welcome@Google.com |
|
|
Создано: 04 октября 2008 03:16 · Личное сообщение · #17 flamer пишет: если бы не обсфукация с загажииванием, то в вм-протекте вообще не было бы смысла Если бы у бабушки был х... она была бы дедушкой Да и по части инструментов У китайских школьников есть готовые решения у вас пока кроме огульного обсерания дерматолога нет...
flamer пишет: А с нормальными протекторами как-то по-другому? А какие по твоему протекторы нормальные? Demon666 пишет: а то не честно получаеццо, он то ответить сейчас не может... Так а чего ты его провоцируешь? Знаешь что результат будет именно таков |
|
|
Создано: 04 октября 2008 12:01 · Поправил: flamer · Личное сообщение · #18 pavka пишет: А какие по твоему протекторы нормальные? Из распространенных — в свое такими были время хасп, старфорс — то, что хоть как-то привязано к железу. Сейчас — нормально составленные донглы, из хоть как-то сопоставимых с вм-протом, к примеру, Themida создает неудобства. А вмпрот - это "ненормальный" (в смысле сумасшедсший) прот. Опять же его неоспоримый плюс в загаживании оригинала. А неоспоримый минус (для покупателя) - в элементарщине. Цена создания аналога - мизерная. И действительно возникает вопрос - стоит ли платить, или проще напряч своих программеров на написание подобного хламогенератора. Или может быть припомнить полиморфные вирусы? Каждый пятый кодер 90 писал их. При том, что анализировать чужие мало кто хотел -- идея понятна, а конкретные реализации мало чем отличались на уровне алгоритма. Я принижаю не простоту вскрытия вмпрота, а дешевизну создания защиты и бессмысленность ее покупки. pavka пишет: у вас пока кроме огульного обсерания дерматолога нет... Двойное заблуждение. Если и есть обсерание, то не человека, а наипростейшего алгоритма продукта. Если в защите используется криптография (даже популярная - гостовская, поцелуй жопу полицай, BlowFish, DES и т.п.), то распаковка становится действительно проблемной — анализ упирается в наличие(отсутствие) ключа. Тем более, что подразумевается доступность исходников на стадии защиты. Второе достойное решение - гонения на уровне УК. Стоит ли говорить, что самый популярный бухгалтерский комплект имеет не идеальную программную защиту, но за использование пиратских копий отвечать приходится по полной катушке. В то же время простое "засерание" кода поддается анализу. Единственная правильная цель этой операции — вызвать рвотный рефлекс у исследователя. И не стоит делать поспешные выводы о том, что я писал, а что нет. pavka пишет: Если бы у бабушки был х... она была бы дедушкой Отож. А если бы у дедушки его оторвало в детстве, он не смог бы стать дедушкой, при этом бабушкой бы тоже не стал. |
|
|
Создано: 04 октября 2008 14:25 · Личное сообщение · #19 flamer Как в том анекдоте прочитал но так и не понял зачем герасим бросил муму под поезд ? Слов море а результат тот же flamer пишет: а дешевизну создания защиты и бессмысленность ее покупки. А чего вдруг тебя это занимает? Кто собрался здесь его покупать? flamer пишет: . В то же время простое "засерание" кода поддается анализу Все поддаеться анализу все ломаеться только смысл какой постоянно об этом талдычить ..проосто не просто, выложите распакованый прот китайские школьники не разводят демагогию а выкладывют распакованый прот, анализ ВМ ..и т.д
flamer пишет: как-то сопоставимых с вм-протом, к примеру, Themida А че ВМ единственый способ защиты ? Что нет интересных протов без нее , Чего в фиме интересного без кодереплейс и маркеров? |
|
|
Создано: 04 октября 2008 17:12 · Личное сообщение · #20 pavka заипал уже глумиццо над мемберами! pavka пишет: китайские школьники не разводят демагогию а выкладывют распакованый прот вот именно что выкладывают, а жиды эти проты на халяву юзают, тут уже процентов 20 их тусят, разуй глаза нах а потом тут эти мля попрошайки буржуйские форум засирают просьбами анпакнуть, тебя анпакающим там рядом и не видно(и это никого не удивляет)! pavka пишет: Так а чего ты его провоцируешь? его не из-за меня забанили, а за это: dermatolog пишет: +1. Возможности StrongOD впечатляют. Фантомке еще как до луны как по функционалу, так и по качеству до "недоделанной программы китайских школьников". Может ты просто тему с блогом попутал, аль ты официально прислан как шестеркО_о Отцом Дерматолом.. Реально хотел поскипать твои посты, ибо флей и ничего кроме!!!(да еще и не шаришь что тебе пишут) Тут отписываются те кто РЕАЛЬНО знания имеют(не вспоминая китайских школьников или буржуйчиков, только ты и что ты умеешь, а читать статейки и юзать чужие прожки, тут ума много не надо!!!) и могут/хотят ими поделиццо(а именно кодер-реверсер)! Нас твои скипты и прочая хуйня не интересует - все твои следующие мессаги будут удаляццо в независимости от пользы их содержимого, ибо признан почетным флеймером варнинг! – шавок это тоже косаеццо!!!( все мессаги будут удаляццо, ибо флейм) pavka пишет: Если бы у бабушки был х... она была бы дедушкой там где павкин скриптик не пройдет, павка китайских школьников на помощь завет %)) ипать ты даже не в состоянии фиксить баги в опенсорсном плагине, который юзаешь каждый день %))(все сидиЖ и ждешь когда они их пофиксят) конечно они у тебя(китайские школьники) в почете будут, Лоооол pavka пишет: У китайских школьников есть готовые решения у вас пока кроме и вообще, нах ты сюда этих китайских школьников привел(их здесь в блоге кто-то вспоминал, или плохо о них что-то сказал) так оффтоп прекращаем кто там может не может(я предупредил!) только по теме и !!!информативно!!! ----- ЗЫ: истЕна где-то рядом, Welcome@Google.com |
|
|
Создано: 04 октября 2008 17:33 · Поправил: pavka · Личное сообщение · #21 Demon666 пишет: его не из-за меня забанили, а за это: его забанили с твоей подачи Так как забанить залетного графомана наплодившего тем это одно а забанить дерматолога это другое ) Так же как и я получу бан ..
А че ты ты чужие умы то меришь? Много надо не много ? по понтам ты понтами просто мега кодер Заделали из форума срач Demon666 пишет: заипал уже глумиццо над мемберами! Это ты в смысле Арчера зовешь что ли ? Че с тобой говорить Баклан такой же как джек Demon666 пишет: тебя анпакающим там рядом и не видно(и это никого не удивляет)! Лол ты до хера на апакал Не забудь посты поскипать реверсер кодер ))
|
|
|
Создано: 04 октября 2008 17:47 · Личное сообщение · #22 что то все стали часто ссорится. И все из за того что кто то новый подбил на ссору или спровоцировал. Забейте на все это , взломал не взломал , пофиг  еще всем работы хватит. Поперебанили друг друга , делать нечего совсем
----- RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube |
|
|
Создано: 04 октября 2008 18:57 · Личное сообщение · #23 pavka пишет: Заделали из форума срач Окей, закрыто. ----- ЗЫ: истЕна где-то рядом, Welcome@Google.com |
| << . 1 . 2 . 3 . |
|
eXeL@B —› Дневники и блоги —› Demon666 blog: Trace Expand Plus (TEplus) |
| Эта тема закрыта. Ответы больше не принимаются. |
Для печати