| Сейчас на форуме: (+5 невидимых) |
 |
eXeL@B —› Протекторы —› Анализ ASProtect |
| << 1 ... 27 . 28 . 29 . 30 . 31 . 32 . 33 . 34 . 35 . 36 . 37 ... 38 . 39 . >> |
| Посл.ответ | Сообщение |
|
|
Создано: 28 марта 2008 15:30 · Поправил: vnekrilov · Личное сообщение · #1 Я выложил свой первый туториал по анализу ASProtect v2.4 build 12.20 (Анализ подпрограммы эмуляции инструкций.rar http://dump.ru/files/o/o489862518/ ). В этом туториале я подробно описал процесс восстановления эмулированных инструкций типа: Code:
Полный цикл статей по распаковке ASProtect (Актуальная версия 25 декабря 2009): ASProtect_Unpacking_Tutorial_2009-12-25.rar http://rapidshare.com/files/325720799/ASProtect_Unpacking_Tutorial_2009-12-25.rar 7,9 МБ Программы, рассматриваемые в статьях: ASProtect_Unpacking_Apps_2009-12-25.rar http://rapidshare.com/files/325718084/ASProtect_Unpacking_Apps_2009-12-25.rar 22,2 МБ Буду благодарен за критику, замечания, пожелания и отзывы. Скрипты: Текущая рекомендуемая версия ODBGScript [1.78.3]:  ecf1_03.06.2010_CRACKLAB.rU.tgz - ODbgScript.dllПоследний текущий комплект скриптов [от 19 февраля 2011]: 69ca_18.02.2011_CRACKLAB.rU.tgz - Скрипты для распаковки Asprotect от 19 февраля 2011.rarСтатьи по частям: Актуальная версия статей [Последняя - 25.11.2010]: Выпуск 2 0754_29.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 1 2844_29.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 2 8e06_30.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 3 50a0_03.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 4 1b51_05.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 5 0ff8_05.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 5 (продолжение) a182_06.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 6 82b8_15.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 7 74e4_16.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 8 b2e1_17.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 9 532c_18.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 10 76af_20.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 11 fe67_22.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 12 079c_20.01.2010_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 13 8415_03.06.2010_CRACKLAB.rU.tgz - Распаковка Asprotect - Часть 14 0a66_18.02.2011_CRACKLAB.rU.tgz - Распаковка Asprotect - Части 15 и 16DriEm конвертировал мой цикл статей в формате PDF, который можно скачать по ссылке  |
|
|
Создано: 04 июня 2010 08:53 · Личное сообщение · #2 На протяжении нескольких месяцев, с момента публикации серии статей по распаковке программ, упакованных Asprotect, ко мне поступили предложения описать процесс распаковки DLLs, упакованных этим протектором. Поскольку при распаковке DLLs имеются некоторые нюансы, я решил написать небольшой туториал, в котором описал процесс распаковки реальной DLL, упакованной данным протектором. Буду очень признателен за замечания, критику и пожелания. 8415_03.06.2010_CRACKLAB.rU.tgz - Распаковка Asprotect (часть 14, выпуск 2).chm
|
|
|
Создано: 04 июня 2010 08:56 · Личное сообщение · #3 В связи с тем, что мной была выложена статья по распаковке DLLs, упакованных Asprotect, мной был доработан комплект скриптов, который теперь может выполнять распаковку DLL. Весь комплект скриптов помечен датой выпуска - 03 июня 2010 года. В аттаче приложены обновленные скрипты для распаковки Asprotect от 03 июня 2010 года. 4024_03.06.2010_CRACKLAB.rU.tgz - Скрипты от 03 июня 2010.rar
|
|
|
Создано: 04 июня 2010 09:20 · Личное сообщение · #4 |
|
|
Создано: 10 июня 2010 19:16 · Личное сообщение · #5 Сегодня ко мне поступил интересный вопрос по распаковке одной программы. В ней автор вопроса секцию импорта восстанавливал с помощью ImpRec, но, после применения скрипта "Перенос данных из секции mackt, созданной ImpRec, в родную секцию импорта файла.osc ", дамп этой программы не загружается в отладчик. Причина ошибки автора вопроса заключается в том, что при запуске утилиты ImpRec, он не удалил флажки из опций New Imports, на вкладке Options. Когда во всех чекбоксах этой опции стоят флажки, то утилита ImpRec полностью записывает всю секцию импорта в секцию mackt. ImpRec создает секцию импорта в таком порядке: 1. Таблица IAT 2. Таблица импорта 3. Область имен DLLs и APIs. При распаковке Asprotect, я всегда оставляю таблицу IAT на ее родном месте, поскольку мне встречались программы, у которых был сперт код, и который был перенесен в другие области памяти. Когда ImpRec создает новую новую IAT, то он переписывает ссылки на вызовы APIs в секции кода программы на новые адреса таблицы IAT. Но он, естественно, ссылки ищет только в секции кода программы, и не ищет их в областях со Stolen Code. В итоге получается, что вызовы APIs в этих областях не переписываются на новые ссылки, и такую распакованную программу нельзя запустить на другом компьютере. По этой причине я всегда оставляю таблицу IAT на ее родном месте. Когда убраны все флажки в секции New Imports, то ImpRec сначала записывает таблицу импорта, а затем - область имен DLLs и APIs. И тогда скрипт "Перенос данных из секции mackt, созданной ImpRec, в родную секцию импорта файла.osc " корректно работает. Прошу всех читателей этого топика обратить на это свое внимание!!! |
|
|
Создано: 05 июля 2010 17:58 · Личное сообщение · #6 хм, а моя программа падает при старте/аттаче ollydbg (имя модуля с ошибкой - netapi32.dll). Phantom включен. |
|
|
Создано: 05 июля 2010 18:21 · Личное сообщение · #7 Dvlpr Вряд ли это аспр, если только кастомный, в общем пост бесполезен, пока нет самого файла. |
|
|
Создано: 05 июля 2010 23:41 · Личное сообщение · #8 хм. Бинарник тут: rapidshare.com/files/405165309/app.rar |
|
|
Создано: 06 июля 2010 01:57 · Поправил: Dvlpr · Личное сообщение · #9 EDIT: Оказывается, это из-за "Protect DRx" (phant0m). После того, как я снял эту галку, программа запустилась нормально. Теперь не работает скрипт на распаковку таблицы INIT (программа просто запускается, при нажатии на паузу скрипт сообщает, что программа не остановлена на Hardware Breakpoint). Хелп. |
|
|
Создано: 08 июля 2010 13:26 · Личное сообщение · #10 с твоей прогой все скрипты работают. В Phant0m все опции вкл., StrongOD всё выкл версия ODBGScript из шапки |
|
|
Создано: 20 июля 2010 18:52 · Личное сообщение · #11 Уважаемые читатели топика. SYNAPSiS в личном сообщении указал на баг в работе скрипта "Восстановление таблицы IAT и вызовов APIs.osc" при работе на одной из защищенных программ. Причина бага заключается в том, что эта программа содержит очень большое число вызовов эмулированных APIs, и последний адрес вызова эмулированной API находится далеко за пределами 6000h байтов, которые были заложены в этом скрипте. Этот баг устранен в скрипте от 20 июля 2010 года, который приложен в аттаче. Приношу искреннюю благодарность SYNAPSiS за указанный им баг. 1e6c_20.07.2010_CRACKLAB.rU.tgz - Восстановление таблицы IAT и вызовов APIs.osc
|
|
|
Создано: 21 июля 2010 11:04 · Личное сообщение · #12 vnekrilov Вижу, что Поправлено Code:
Но в Скрипте Ещё Есть Место Code:
В котором Ничего Не Изменено ! Это Не Повлияет На Работу скрипта ? |
|
|
Создано: 01 августа 2010 10:48 · Личное сообщение · #13 Приветствую. Имеется софтина которая защищена ASProtect и при запуске требует ввести PASSCODE который привязан к серийному номеру винчестера HW ID. Также есть 3 комплекта HWID, NAME, PASSCODE сгенерированных для других PC. Как можно подставить HWID другово PC чтоб запустить прогу? При загрузке сота в Olly софтинка сразу детектирует Debuger и предупреждает потом закрывается. |
|
|
Создано: 01 августа 2010 10:55 · Личное сообщение · #14 выкладывай, посмотрим 
----- SaNX |
|
|
Создано: 01 августа 2010 11:27 · Поправил: Модератор · Личное сообщение · #15 Вот софтина с 3-мя ключами. Мой HWID: 1C4C0A40-67B8 От модератора: кнопка Правка незаметна? Ну давай я за тебя 412d_01.08.2010_CRACKLAB.rU.tgz - InfraRed.rar
|
|
|
Создано: 01 августа 2010 20:40 · Поправил: SaNX · Личное сообщение · #16 дай всю прогу, а то не пускаеццо, говорит cannot run ir.has как-то так
----- SaNX |
|
|
Создано: 02 августа 2010 10:26 · Личное сообщение · #17 Вот полная версия софта. Защищены только файлы IR.EXE и DUMP.EXE |
|
|
Создано: 02 августа 2010 11:35 · Поправил: SaNX · Личное сообщение · #18 Держи распакованный, не надо ключей вообще. Какой-то говнософт странный, под 7-кой не пускаеццо, под хр - нормально. UPD: о бля пиздец. Файлы под аспром запускают файлы под темидой и в цикле ждут, когда в памяти появиццо какое-то значение и потом пишут нужное, походу из-за этого и не пускаеццо под семеркой. ----- SaNX |
|
|
Создано: 02 августа 2010 11:46 · Личное сообщение · #19 Спасибо... подключил интерфейс. Всё заработало... Если ни секрет... чем распаковывал? |
|
|
Создано: 02 августа 2010 11:48 · Личное сообщение · #20 стриппером хуле
----- SaNX |
|
|
Создано: 02 августа 2010 13:24 · Личное сообщение · #21 Кому интересно пройти всё вручную Image Base DLL ASPR==>00910000 /*93C92C*/ TEST EAX,EAX /*93C92E*/ JNZ SHORT 0093C934 /*93C930*/ XOR EAX,EAX /*93C932*/ JMP SHORT 0093C936 /*93C934*/ MOV AL,1 /*93C936*/ MOV [9526D4],AL============>al 1 проверка пороля прошла норм /*93C93B*/ CMP BYTE PTR [9526D4],0 /*93C942*/ JNZ SHORT 0093C95C /*93C944*/ PUSH 30 /*93C946*/ MOV EAX,[952A48] /*93C94B*/ ADD EAX,0B1 /*93C950*/ PUSH EAX /*93C951*/ PUSH 93C964 ; ASCII "Key is not valid, please try again!" /*93C956*/ PUSH EBX /*93C957*/ CALL 00916168 ; JMP to user32.MessageBoxA /*93C95C*/ MOV AL,[9526D4] /*93C961*/ POP EBX /*93C962*/ RETN IR.EXE Это лоадер с размером кода 102 байта
----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли. |
|
|
Создано: 30 августа 2010 16:09 · Поправил: gena-m · Личное сообщение · #22 Что то не могу ничего скачать из аттачей именно этого топика, в других топиках нормально качается. Да, теперь нормально скачалось... чудеса. ----- Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше |
|
|
Создано: 30 августа 2010 16:31 · Личное сообщение · #23 все что приатачено в шапке, нормально качается |
|
|
Создано: 23 сентября 2010 09:19 · Поправил: 0xy · Личное сообщение · #24 Народ, расскажите, что это за фитча (Аспра?) Aspr [2.56 build 03.17] Registered Причем регион, на который указывает выделенный джамп, при запуске проги без ключа отсутствует! |
|
|
Создано: 23 сентября 2010 09:30 · Личное сообщение · #25 0xy пишет: Причем регион, на который указывает выделенный джамп, при запуске проги без ключа отсутствует! Ну спёр аспр код чтоб нельзя было дамп снять встречал такое
----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли. |
|
|
Создано: 23 сентября 2010 09:43 · Личное сообщение · #26 ClockMan да такое есть почти во всех аспровых прогах. Код расшифровывается только если есть ключ, причем в 2.X аспре, да и сейчас почти во всех 1.X аспрах код расшифровывается не в секцию кода, а в выделеный кусок памяти. И там он не имеет оригинального вида, а заморфлен и имеет входы в ВМ. По этому мало восстановить и приляпать эту секцию к файлу, надо восстановить еще все ВМ инструкции. ----- StarForce и Themida ацтой! |
|
|
Создано: 23 сентября 2010 19:30 · Личное сообщение · #27 причем в 2.X аспре, да и сейчас почти во всех 1.X аспрах код расшифровывается не в секцию кода, а в выделеный кусок памяти. Н-да, отстал я от жизни  Тогда может подскажите, как найти проверку экспирации ключа? (самим Аспром) |
|
|
Создано: 24 сентября 2010 08:43 · Личное сообщение · #28 0xy немного не понятен вопрос из-за слово "экспирация". Тебе нужна дата действия ключа? ----- StarForce и Themida ацтой! |
|
|
Создано: 24 сентября 2010 09:27 · Личное сообщение · #29 Это от слова expire, проверка на истечение ключа. |
|
|
Создано: 24 сентября 2010 09:35 · Поправил: Maximus · Личное сообщение · #30 0xy проверка истечения находится в VM аспра. Самое простое решение, это переловить системную функцию получения даты и времени GetSystemTime и подменить значение. Это в случае инлайна, в случае распаковки, перед распаковкой просто переведи время на компе, и ключ снова заработает, и восстановит спертые байты. ----- StarForce и Themida ацтой! |
|
|
Создано: 24 сентября 2010 15:08 · Личное сообщение · #31 vnekrilov Как открыть журнал регистрации чтобы увидеть результат работы скрипта? По L я ничего не увидел. |
| << 1 ... 27 . 28 . 29 . 30 . 31 . 32 . 33 . 34 . 35 . 36 . 37 ... 38 . 39 . >> |
|
eXeL@B —› Протекторы —› Анализ ASProtect |
Для печати