привет всем! скачал зе бат последнюю версию почтовика клиента и ради хохмы решил его крякнуть! хе-хе не тут-то было загурзил в PEID он мне фигню какуюто выдаёт.... .загрузил в DIE вот он сразу расставил все точки над и..... говорит это злая Themida...... загрузил в Ольку и тутже вздрогнул.... Олька зависла и тут же винда мне сообщила что ошибка и нужно отправить отчёт к какойто матери..... короче парни помогите.... в чём трабла? нужна примочка к Олле? или какиенить настройке в Олле заменить?

| Сообщение посчитали полезным:

я толком то олей не умею пользовацо
почитываю уроки Рикардо Нарваха.
Maximus выкладывай свой скрипт + кино. я попробу зебат сковырнуть)
з.ы а мне нада чтоб и на 2000 пахало.

-----
AutoIt

| Сообщение посчитали полезным:

Maximus пишет:
+ к этому скрипт RSI не восстановил одну функцию по адресу 7434D0, но в дампе она восстановлена)) не плохо было бы рассказать как это делается))
007434D0 $-FF25 0C1C2201 JMP DWORD PTR DS:[<&user32.wsprintfA>] ; USER32.wsprintfA

+ в дамп не запустится на 2000 винде)) RSI неправильно восстановил одну функцию (RestoreLastError)
все это ручками наверняка

| Сообщение посчитали полезным:

Если коиу интересно можно почитать статьи по расспаковке фемиды www.tuts4you.com/download.php?list.11

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

Короче парни такая бяка! нашёл OEP данными скриптами..... далее думаю дело за ImpREC да не тут то было...... он находит всего две библиотеки из которых типа зебат экспортирует функи!!!!!!! что это? прочитал несколько туторов..... но там ничего подобного нет типа импорт вылетает сам по себе как только входиш в IMPRec и вводиш OEP..... кто что скажет? что за бяка? и с чем её есть? (натощяк не получается=)

79ef_23.08.2008_CRACKLAB.rU.tgz - scripts.rar

| Сообщение посчитали полезным:

Перенаправление импорта обычное, посмотри в ольке, потрассируй, потыкай. Да и скрипт для этого выше выкладывали, вроде как.

| Сообщение посчитали полезным:

RSI пишет:
Вот распакованный:
_http://rapidshare.com/files/139243563/The_Bat_u.rar.html

в архиве файл + скрипт по восстановлению импорта ( если это можно так назвать ).

там фемида висит больше как пакер!

ты сам его распаковал? или уже распакованный залил? если сам то опиши вкрадце как ты импорт восстановил! или сними видео! пожалуйста....

| Сообщение посчитали полезным:

lobs пишет:
ты сам его распаковал? или уже распакованный залил? если сам то опиши вкрадце как ты импорт восстановил! или сними видео! пожалуйста....

Импорт восстанавливает скрипт, Стоя на оеп жми Seqrch For->All Intermodular call, после чего выбираешь любой call с импортом жмешь на него чтоб появилось JMP[апи], жмешь на JMP[апи] правой кнопкой мыша->Follow in Dump->Memory Address. В окне дампа появится импорт, жмешь правой кнопкой мыша в этом окне->long->Address и смотришь где импорт начинается, этот адрес минус Image Base (00400000) и есть RVA, Size=00000C70

| Сообщение посчитали полезным:

прикол бешенный! распаковываю эту ******ную Themid'y по видеотутору ....... в видео так всё просто получается....... хоп потрасировал shift+f9 поставил бряк на секцию code нажал f9 и всё на оеп..... я так сделал у меня как вывалился целый ряд ошибок..... или прога вылетает и всё...... =((((( тёмный лес короче!

| Сообщение посчитали полезным:

lobs
Возможно, антиотладка палит, посмотри на сборку ольки в туторе и плагины.

| Сообщение посчитали полезным:

lobs
rapidshare.com/files/138149196/OllyICE_TheMida_By_EvOlUtIoN.rar
Тебе уже эту ссылку давали, если что иди на tuts4you.com - там в поиске вбей фему, там и плагины будут и туторы и скрипты.

-----
PSP-Gamer.ru

| Сообщение посчитали полезным:

lobs пишет:
прикол бешенный!

[offtop]
Пока не напишешь чем, кого, и куда изучал, твой прикол врядли кто-то оценит.
[/offtop]

| Сообщение посчитали полезным:

кстати, нет ни у кого позитивного опыта восстановления релоков после фемиды?

| Сообщение посчитали полезным:

Maximus пишет:
однако RSI не пояснил как найти эти адреса

mov OEP, c54d60
mov bp1, 11e8f67
mov bp2, 11e8fa9
mov iat, 10c3ff8

OEP искал, заведомо зная что прога написана на Delphi, т.е. через GetModuleHandle(NULL);
bp1 и bp2 это бряки на функцию создания переходников в импорте.
посмотрел all intermodular calls и далее ставил бряки на запись (создание) переходников.

Maximus пишет:
к этому скрипт RSI не восстановил одну функцию по адресу 7434D0

да, просто руками зашел в эту функу и посмотрел что там есть. чуть ниже видно этот переходник.

Maximus пишет:
+ в дамп не запустится на 2000 винде)) RSI неправильно восстановил одну функцию (RestoreLastError)

ну эт не я, а ImpRec скорее всего =)

ничего там сложного нет. учитывая те вопросы которые здесь в топике задают, хотя бы сначала на пакерах потренировались, а не сразу за мега-прот.

горазде веселее когда фемида с маркерами и вм.

Maximus пишет:
Не успел выложить свой вариант)) думаю теперь незачем)) хотя скрипт у меня сделан по другому))

выкладывай. хуже от этого не будет =)

| Сообщение посчитали полезным:

Да выкладывать мой вариант не имеет смысла, потому что все тоже самое.
Единственное что могу сказать, так как ИАТ не тронут практически то сначала сделал рабочий дамп, а потом восстанавливал уже в нем переходники (скрипт ниже).
Так же порадовало что разработчики почему то совсем не заморфили секцию самого протектора, распаковывать такое просто счастье))...
Что касается функции RestoreLastError, то достаточно зайти в hiew и ручками вбить SetLastError, заменив нулями лишние символы.



-----
StarForce и Themida ацтой!

| Сообщение посчитали полезным:

Maximus не хочу показаться надоедливым, всёже можно кино?
Есть необходимость пользоваться чистым EXE от бата, но обновления довольно часто выходят и не хочется тревожить народ. А так как я сам мало что понимаю. По кино я возможно бы смог самостоятельно справляться с этой задачей.
Maximus пишет:
достаточно зайти в hiew и ручками вбить
по этому пункту можно подробнее для чайников.
з.ы.
и раз уж тут тема частично о зебате. Помните был такой замечательный кейгено-патч The Bat! 3.xx Ajron's Key Maker [o8.1o.2oo4] Ведь алгоритм ключей с времён 3хх версий не изменился? Но однако он не находит в распакованном экзешнике где патчить. Может кто подскажет где пропадчить, чтоб кейген вновь работал?
хм.. при попытке подмены ресурсов (PNG) начал просить какуюто ck.dll

-----
AutoIt

| Сообщение посчитали полезным:

RSI пишет:
OEP искал, заведомо зная что прога написана на Delphi, т.е. через GetModuleHandle(NULL);
bp1 и bp2 это бряки на функцию создания переходников в импорте.
посмотрел all intermodular calls и далее ставил бряки на запись (создание) переходников.

RSI действительно сделай видеотутор!!!!! как ты распаковывал..... ну действительно брат... чего тебе стоит!

| Сообщение посчитали полезным:

lobs,OLEGator
Что вы в этом видео хотите увидеть? Вам же уже и так всё разжевали, это не тот случай, чтоб видео снимать, уж лучше видео по распаковке самой фемки

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

ARCHANGEL
+1 делай видео

-----
Лень - это подсознательная мудрость

| Сообщение посчитали полезным:

ARCHANGEL пишет:
lobs,OLEGator
Что вы в этом видео хотите увидеть? Вам же уже и так всё разжевали, это не тот случай, чтоб видео снимать, уж лучше видео по распаковке самой фемки

для тех кто в танке..... тема называется распаковка Themida.... а значит просим видео по её распаковке!

| Сообщение посчитали полезным:

НУ меня лично интересует именно распаковка TheBat и её будующих версии.
Буду признателен за киношку и ещё ту штуку, которая за работу в 2000 винде проясните подробнее.


-----
AutoIt

| Сообщение посчитали полезным:

OLEGator пишет:
и ещё ту штуку, которая за работу в 2000 винде проясните подробнее
RestoreLastError отсутствует в 2000 винде, поэтому для совместимости нужно заменить в таблице импорта эту функцию на аналогичную SetLastError, и всё будет круто, это уже много раз обсуждалось, ещё при распаковке аспра давних бородатых версий

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

Видеотутор по распаковке Themida с этой версии The Bat!

1) rapidshare.com/files/140505958/TheBat_manual_unpack_movie_by_RSI.rar.html
2) ifolder.ru/7875889

P.S. критика и пожелания не воспринимаются, т.к. это и так делалось по вашим просьбам!

| Сообщение посчитали полезным:

RSI
Да какая критика, тут ща все прослезятся, наконец-то скажут

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

Спасибо за кино)
И сразу вопросы. Решил всё это опробовать на более старой версии 4.0.28.x
Всё шло как положено до момента восстановления импорта. в Импреке все фонкции показывает valid:NO.
В кине я заметил используется старая версия импрека, это может влиять? у меня 1.6. И ещё в поле RVA 00СС4000 откуда это число? у меня изначально нули.
-------------
всё допёр. начало .idata тока одно "С" типа вначале ещё
-----------
блин результат получился мёртвым, хотя всё шло как по сценарию.

-----
AutoIt

| Сообщение посчитали полезным:

OLEGator
попробуй другую версию ImpRec.

OLEGator пишет:
ещё в поле RVA 00СС4000 откуда это число?

это осталось, от предыдущего раза вбивал. ( VA .idata - ImageBase ).

OLEGator пишет:
блин результат получился мёртвым, хотя всё шло как по сценарию

выкладывай файлик + свой анпакнутый, посмотрим почему не получилось!

| Сообщение посчитали полезным:

Всё до последнего шага соответсвовало фильму. но в итоге труп.
Что-то типа Исключение: Unknovn software exception (0xc0000096) по адресу 0x01056d75
версия бата 4.0.28.1 (твоя была 3), OEP 00C56D74, RVA 00CC8000.
Залить файло смогу только завтра на работе во второй половине дня, но ещё попробую найти такую же версию импрека.
з.ы. а в дампере никаких цыферь изменять не надо было?
-----------
перпробовал импреки 1.4.2 и 1.7c всё так же.

-----
AutoIt

| Сообщение посчитали полезным:

OLEGator
Чето ты явно не то делаешь! Распаковывается один в один.
ImpRec скорей всего не причем. Хотя возможно ты в нём неверное начало IAT указываешь.

Вот распакованая версия 28.1 + скрипт под неё + iat
hexcsl.com/upload/stats/1508

-----
Computer Security Laboratory

| Сообщение посчитали полезным:

RSI пишет:
критика и пожелания не воспринимаются
Ну так...кроме коментов, больше ничего не разобрал...
С каким разрешением надо мувик смотреть???
//у мну 1280Х1024
Из коментов про эмуль фунок не понял...
//Фимку лучше ловить на заполнении таблички

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Распаковал у себя версию 4.0.24, процесс немного отличается. RSI пасиб за киношку , снимай ЫСЧО

-----
Лень - это подсознательная мудрость

| Сообщение посчитали полезным:

Bronco
хз, у мя тоже 1280х1024 вроде бы все ок смотрится.

| Сообщение посчитали полезным: