| Сейчас на форуме: (+5 невидимых) |
 |
eXeL@B —› Протекторы —› Анализ ASProtect |
| << . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 38 . 39 . >> |
| Посл.ответ | Сообщение |
|
|
Создано: 28 марта 2008 15:30 · Поправил: vnekrilov · Личное сообщение · #1 Я выложил свой первый туториал по анализу ASProtect v2.4 build 12.20 (Анализ подпрограммы эмуляции инструкций.rar http://dump.ru/files/o/o489862518/ ). В этом туториале я подробно описал процесс восстановления эмулированных инструкций типа: Code:
Полный цикл статей по распаковке ASProtect (Актуальная версия 25 декабря 2009): ASProtect_Unpacking_Tutorial_2009-12-25.rar http://rapidshare.com/files/325720799/ASProtect_Unpacking_Tutorial_2009-12-25.rar 7,9 МБ Программы, рассматриваемые в статьях: ASProtect_Unpacking_Apps_2009-12-25.rar http://rapidshare.com/files/325718084/ASProtect_Unpacking_Apps_2009-12-25.rar 22,2 МБ Буду благодарен за критику, замечания, пожелания и отзывы. Скрипты: Текущая рекомендуемая версия ODBGScript [1.78.3]:  ecf1_03.06.2010_CRACKLAB.rU.tgz - ODbgScript.dllПоследний текущий комплект скриптов [от 19 февраля 2011]: 69ca_18.02.2011_CRACKLAB.rU.tgz - Скрипты для распаковки Asprotect от 19 февраля 2011.rarСтатьи по частям: Актуальная версия статей [Последняя - 25.11.2010]: Выпуск 2 0754_29.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 1 2844_29.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 2 8e06_30.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 3 50a0_03.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 4 1b51_05.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 5 0ff8_05.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 5 (продолжение) a182_06.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 6 82b8_15.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 7 74e4_16.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 8 b2e1_17.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 9 532c_18.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 10 76af_20.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 11 fe67_22.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 12 079c_20.01.2010_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 13 8415_03.06.2010_CRACKLAB.rU.tgz - Распаковка Asprotect - Часть 14 0a66_18.02.2011_CRACKLAB.rU.tgz - Распаковка Asprotect - Части 15 и 16DriEm конвертировал мой цикл статей в формате PDF, который можно скачать по ссылке  |
|
|
Создано: 20 мая 2008 16:01 · Личное сообщение · #2 vnekrilov пишет: Подсчет CRC проводится с помощью подпрограммы, которая имеет указанный мной вид в заголовке топика Т.е. вм используется в т.ч. для расчёта crc, это что то новое, давай разбор, интересно 
vnekrilov пишет: А нельзя ли им поделиться? можно, залью как домой вернусь с работы. ----- "Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels |
|
|
Создано: 20 мая 2008 17:50 · Личное сообщение · #3 ASProtect 1.41 build 02.26 Beta ========================================= - Fixed crash during inital registration keys generation on DEP-enabled systems * Legacy Hardware Ids are no longer accepted hxxp://rapidshare.com/files/116289212/setup.rar.html ----- "Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels |
|
|
Создано: 21 мая 2008 01:07 · Личное сообщение · #4 vnekrilov пишет: где с помощью CRC вычисляется offset в AsProtect.dll, который указывает, откуда должно быть продолжено выполнение программы. Хз.может rdtsc заюзали, ща это модно 
//Ваща молодец, настойчиво долбишь...
----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 21 мая 2008 02:01 · Поправил: 0xy · Личное сообщение · #5 Smon пишет: ASProtect 1.41 build 02.26 Beta Product Version : 1.4 build 02.26 Beta 4t Выложи, плииз ASProtect 1.4.build 11.20 Release |
|
|
Создано: 21 мая 2008 05:20 · Личное сообщение · #6 Gideon Vi пишет: Насколько я вижу, в эбауте версия v2.4 build 02.26, да и утиль для определения вресии выдаёт этот билд. Угу они уже давно забили на обновление эбаута и других подобных вещей, версию можно узнать только на форуме. vnekrilov пишет: Но имеется еще две очень интересные проверки, где с помощью CRC вычисляется offset в AsProtect.dll, который указывает, откуда должно быть продолжено выполнение программы. Эта проверка давно уже в аспре, когда она появилась виртуальной машины еще не было, сейчас просто она более качественная. Кто часто инлайнит разные версии аспра, тот знает про нее. Еще алекс писал что нужно восстанавливать хуки при инлайне, это как раз чтобы эта проверка не сработала. Bronco пишет: Хз.может rdtsc заюзали, ща это модно Применяли в 2х билдах беток, потом убрали. В аспре только самые надежные методы. ----- Yann Tiersen best and do not fuck |
|
|
Создано: 21 мая 2008 07:13 · Личное сообщение · #7 0xy Держи, версия отломана и накрыта темидой. rapidshare.com/files/116411187/ASProtect.v1.4.build.11.20.7z |
|
|
Создано: 21 мая 2008 13:19 · Поправил: arnix · Личное сообщение · #8 Spirit пишет: Если не тяжко, залей плиз все. 4t пишет: Если не тяжко, и вправду залей все. [см. след. пост (thanx tempread)] [86 MB] UGFzc3dvcmQ6IHN5bjlvMzI3biYoXk5EZGY5Nw== |
|
|
Создано: 21 мая 2008 13:58 · Личное сообщение · #9 arnix пишет: кто-нибудь добрый и с хорошим каналом, скачайте и залейте на обменник UGFzc3dvcmQ6IHN5bjlvMzI3biYoXk5EZGY5Nw== http://upload.com.ua/link/900250883 |
|
|
Создано: 21 мая 2008 19:33 · Личное сообщение · #10 4t а пасс какой? ----- Ламер - не профессия :)) |
|
|
Создано: 21 мая 2008 23:35 · Личное сообщение · #11 aspirin ты недостоен распаковать архив, если незнаешь пароль 
----- iNTERNATiONAL CoDE CReW |
|
|
Создано: 21 мая 2008 23:49 · Личное сообщение · #12 а есть без версия без темиды? а то он очень уж долго запускается... =/ иногда ваще в бсод улетате... =( ----- Do Not Get Mad Get Money! ;) |
|
|
Создано: 22 мая 2008 00:35 · Личное сообщение · #13 arnix Спасиб. Spirit 
Talula Ты про версию 1.4.build.11.20? У меня нету. Шутники блин, отломают прот, прилепят своё имя, чем-нибудь жестким накроют, потом кто-нибудь веселый уже эту бодягу отломает ... и так по кругу, весело
|
|
|
Создано: 22 мая 2008 00:37 · Личное сообщение · #14 и про 1.4 и про 2.4... оба сцуко тяжёлые для загрузки... =( ----- Do Not Get Mad Get Money! ;) |
|
|
Создано: 22 мая 2008 16:01 · Поправил: 4t · Личное сообщение · #15 Del |
|
|
Создано: 27 мая 2008 06:37 · Поправил: vnekrilov · Личное сообщение · #16 Сегодня, на http://www.sendspace.com/file/fv551r http://www.sendspace.com/file/fv551r я выложил небольшую статью, в которой я описал антиотладку, восстановление эмулированных подпрограмм и прохождение на SBOEP для программы Asprotect v2.41 build 02.26. К этой статье приложены два скрипта, для прохождения на SBOEP и восстановления эмулированных подпрограмм. Если будет интересным восстановление таблиц INIT и IAT, Stolen Bytes, закриптованных участков кода, то я могу продолжить подготовку таких статей. Буду признателен за критику, замечания и пожелания. |
|
|
Создано: 27 мая 2008 08:13 · Личное сообщение · #17 vnekrilov пишет: "Как обычно, загружаем программу в отладчик, и нажимаем клавишу F9, чтобы запустить программу. Программа, с этими настройками нормально запускается в отладчике. Однако, при установке опции “Protect DRx”, получаем следующее сообщение:" Скорее всего анализировался взломанный аспр, попробуй проанализировать оригинальный, там этого нет, потому как патч использует DR0 регистр. PS: Для точного определения версии лучше всего использовать не peid'ы и не RDG Packer Detector'ы, а программку ASPRInf от nik0g0r'а. ----- "Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels |
|
|
Создано: 27 мая 2008 08:36 · Личное сообщение · #18 Smon пишет: Скорее всего анализировался взломанный аспр, попробуй проанализировать оригинальный, там этого нет, потому как патч использует DR0 регистр. Я именно анализировал оригинальный аспр. Причина заключается в том, то Phantom патчит API KiUserExceptionDispatcher. При патчировании этой API, не генерируется второе исключение, и не срабатывает второй обработчик исключений, который патчит инструкции в Asprotect.dll. Поэтому программа не проходит проверку CRC, и показывает мессагу о повреждении файла. |
|
|
Создано: 27 мая 2008 09:52 · Личное сообщение · #19 vnekrilov пишет: Я именно анализировал оригинальный аспр. если ты про релиз REVENGE, то там в дистрибе НЕ оригинальный аспр, а патченный если же у тя есть оригинальный немодифицировнный ASProtect v2.41 build 02.26, то выложи его плз ----- EnJoy! |
|
|
Создано: 06 июня 2008 10:28 · Личное сообщение · #20 Люди сделайте доброе дело. Запакуйте плз последней версией aspr`a любую dll`ку из папки winxp\system32 выложите куда нибудь. |
|
|
Создано: 06 июня 2008 10:55 · Личное сообщение · #21 Medsft msports, 41.5 kb => 335.5 kb 2428_06.06.2008_CRACKLAB.rU.tgz - msports.dll
----- "Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels |
|
|
Создано: 06 июня 2008 12:47 · Поправил: Medsft · Личное сообщение · #22 Smon Спасибо Только еще один вопрос версия пакера какая? |
|
|
Создано: 06 июня 2008 13:46 · Личное сообщение · #23 ASProtect SKE 2.41 build 02.26Beta, это пока что последняя официальная версия. ----- "Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels |
|
|
Создано: 06 июня 2008 14:11 · Поправил: Medsft · Личное сообщение · #24 Smon еще раз спасибо vnekrilov монстр слов нет. Но вот вопрос возможно ли сделать скрипты из статьи универсальными или нет. ЗЫ. И вот еще что не хочу хвалиться но вот при прочтении сего опуса пришла ко мне "шальная мысль" а не попробовать ли мне ту версию ольки где пропатчено место обработки Memory breakpoint с access на execute и прикиньте работает С огромной долей уверенности могу сказать что если поставить BPM на секцию code проги и нажав F9 через 2 повторных нажатия мы оказываемся на OEP проги. Метод этот работает на всех известных мне накрытых этим протом прогах. ЗЫЗЫ. |
|
|
Создано: 06 июня 2008 21:20 · Личное сообщение · #25 БПМ на код далеко не всегда у аспра выведет на ОЕП, по крайней мере в ехе, ибо может быть потырена вся основная ветка в аллоченную память. |
|
|
Создано: 07 июня 2008 08:12 · Личное сообщение · #26 Archer пишет: БПМ на код далеко не всегда у аспра выведет на ОЕП спорить не буду может просто не попадались. |
|
|
Создано: 07 июня 2008 08:22 · Поправил: Smon · Личное сообщение · #27 Medsft пишет: Метод этот работает на всех известных мне накрытых этим протом прогах. Этот метод будет стабильно работать только в библиотеках, ибо ни один аспр не ворует оеп у библ, по всей видимости из-за сложностей в реализации, а в обыкновенных исполняемых файлах в случае отработавшей опции Stolen OEP кроме основной ветки тырятся еще и подветки, так что борода твоему методу Другой вопрос в том, что на части исполняемых файлов эта опция не работает (например, на некоторых асм файлах), а на некоторой другой части девелоперы не всегда удосуживаются почекать эту опцию
----- "Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels |
|
|
Создано: 07 июня 2008 10:06 · Поправил: Medsft · Личное сообщение · #28 А что нельзя использовать теорию vnekrilov`а по нахождению ворованного после bpmx ведь как я понял и он анализирует прогу стоя на так называемом boep который находиться в секции code |
|
|
Создано: 07 июня 2008 11:01 · Личное сообщение · #29 Smon пишет: ни один аспр не ворует оеп у библ, по всей видимости из-за сложностей в реализации +1
//возможно из-за релоков ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 07 июня 2008 16:03 · Личное сообщение · #30 Medsft пишет: Но вот вопрос возможно ли сделать скрипты из статьи универсальными или нет. Не получается! Я проверил несколько последних версий аспра, по восстановлению эмулированных инструкций. В каждой версии, в таблице ТЭИ используются разные адреса, которые содержат нужные данные для восстановления кода подпрограммы. Поэтому приходится делать сравнительную таблицу этих адресов, и выполнять их корректировку. Хотя, если использовать оригинальные инструкции CALL EDX, то, вероятно, это возможно сделать. Но скрипт будет усложнен. Хотя можно попытаться это сделать. |
|
|
Создано: 07 июня 2008 18:19 · Личное сообщение · #31 vnekrilov пишет: Но вот вопрос возможно ли сделать скрипты из статьи универсальными или нет. Так у волка универсальные скрипты |
| << . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 38 . 39 . >> |
|
eXeL@B —› Протекторы —› Анализ ASProtect |
Для печати