Программка под Обсидом, хитрая регистрация.

Сейчас на форуме: zds, -Sanchez- (+9 невидимых)

Посл.ответ	Сообщение
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 15 октября 2008 22:15 · Личное сообщение · #1 Хитрожопая программка попалась, накрыта Обсидом, процедура проверки регистрации находится легко (426030), обходится тоже просто: 4260F4 8A C3 меняем на B0 01. Байтики меняю лоадером или в отладчике. После этого открываются все закрытые функции (импорт, сохранение), в эбауте тоже регистред написано, но вот по факту работает только быстрое сохранение в бмп формат. Остальное просто симуляция действия, фактически файл не создаётся, хотя пишет что сохранён. Вот и думаю каким пойти путём что бы добить её и как попасть в код сохранения например, ибо все попытки приводят в недры QtCore4.dll Плюс ко всему Оля постоянно глюкает с этой программой. В общем кто может помочь программа тут http://vmde.vectormagic.com.s3.amazonaws.com/VectorMagicSetup_pc_1_07.exe , размер 9 мб.

pavka Ранг: 1045.7 (!!!!), 31thx Активность: 0.57↘0 Статус: Участник	Создано: 16 октября 2008 04:00 · Личное сообщение · #2 ToBad пишет: работает только быстрое сохранение в бмп формат. Остальное просто симуляция действия, фактически файл не создаётся, хотя пишет что сохранён. Видимо покриптована процедура сохранения
vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 16 октября 2008 05:19 · Личное сообщение · #3 pavka пишет: Видимо покриптована процедура сохранения Присоединяюсь. Сейчас стало модным криптовать целые куски кода.
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 16 октября 2008 09:19 · Личное сообщение · #4 pavka пишет: Видимо покриптована процедура сохранения vnekrilov пишет: Присоединяюсь. Сейчас стало модным криптовать целые куски кода. Это предположение или есть адресок где можно глянуть как в обсиде это устроено, на примере этой программы ? По видимому если так, то без валидной пары тут делать нечего ? Может кто встречал готовое решение под эту программу, пусть не этой версии ?
Valemox Ранг: 116.5 (ветеран), 3thx Активность: 0.07↘0 Статус: Участник	Создано: 16 октября 2008 10:22 · Личное сообщение · #5 Наверняка для сохранения юзается CreateFile, може там глянуть. Иль до нее дело не доходит?
Loco Ранг: 118.1 (ветеран) Активность: 0.14↘0 Статус: Участник	Создано: 16 октября 2008 10:40 · Поправил: Loco · Личное сообщение · #6 vnekrilov пишет: Присоединяюсь. Сейчас стало модным криптовать целые куски кода. Ну а если их занопить, то программа потеряет свою функциональность? ----- PSP-Gamer.ru
Gideon Vi Ранг: 1131.7 (!!!!), 447thx Активность: 0.67↘0.2 Статус: Участник	Создано: 16 октября 2008 11:04 · Личное сообщение · #7 Loco пишет: Ну а если их занопить кого занопить? куски кода? это где же нынче такая трава растёт Loco пишет: то программа потеряет свою функциональность? вообще без коментариев.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 16 октября 2008 11:16 · Личное сообщение · #8 Loco, ;) тему точно читал? Прочитай внимательней проблему автора.
Loco Ранг: 118.1 (ветеран) Активность: 0.14↘0 Статус: Участник	Создано: 16 октября 2008 12:06 · Личное сообщение · #9 Я тему читал, хотел просто спросить, т.к. часто слышу что встречаются программы с покриптоваными участками кода, вот и хотел узнать. ----- PSP-Gamer.ru
alexey_k Ранг: 135.2 (ветеран) Активность: 0.07↘0 Статус: Участник	Создано: 16 октября 2008 12:38 · Личное сообщение · #10 Loco пишет: хотел просто спросить, т.к. часто слышу что встречаются программы с покриптоваными участками кода, вот и хотел узнать. смысл нопить, если эти куски и выполяют основные функциональные задачи софтины, как правило имхо
pavka Ранг: 1045.7 (!!!!), 31thx Активность: 0.57↘0 Статус: Участник	Создано: 16 октября 2008 13:05 · Личное сообщение · #11 ToBad пишет: или есть адресок где можно глянуть как в обсиде это устроено, на примере этой программы ? глянь ;) в обсиде это выглядет обычно так push xxxxxxxx<----число байт call хххххххх <---- декрипт (выделеная память обычно) ..................... push xxxxxxxx call хххххххх <----- крипт Loco пишет: Ну а если их занопить, Их и так как бы нет что нопь что не нопь они все равно не работают ;) Valemox пишет: Наверняка для сохранения юзается CreateFile вряд ли так как ToBad пишет: ибо все попытки приводят в недры QtCore4.dll ToBad пишет: По видимому если так, то без валидной пары тут делать нечего ? Многое зависит от компилятора и от желания
Spirit Ранг: 271.6 (наставник), 2thx Активность: 0.3↘0 Статус: Участник	Создано: 16 октября 2008 15:02 · Личное сообщение · #12 pavka пишет: push xxxxxxxx<----число байт call хххххххх <---- декрипт (выделеная память обычно) Ты же говорил Push цыфро call dword ptr ds:[xxxxxxxx] что так выглядит крипт-декрипт. или я опять непонял? ----- iNTERNATiONAL CoDE CReW
Flashback/TMX Ранг: 64.4 (постоянный) Активность: 0.05↘0 Статус: Участник	Создано: 16 октября 2008 16:20 · Поправил: Flashback/TMX · Личное сообщение · #13 А разве ошибки не должны вылетать, если кусок не расшировался? Всегда ж так было.
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 16 октября 2008 16:40 · Личное сообщение · #14 pavka пишет: Многое зависит от компилятора и от желания Желание есть - опыта нету. Есть ли статьи или туторы на данную тематику ? Не про снятие обсида, а про раскриптовку без наличия валидной пары ? Valemox пишет: Наверняка для сохранения юзается CreateFile, може там глянуть. Иль до нее дело не доходит? Есть, и WriteFile тоже, юзается всё для bmp и png, а вот jpg и tif не срабатывает. Нашёл в недрах qt проверку формата и если он не bpm или png, то unsuported format... Но это не главное, из растровых bmp с головой хватит, а вот работы с вектором не видно. И вот ещё что подумал, на сайте есть mac версия, и насколько я знаю обсида под мак нету, может проще будет макось под vmware и ломануть маковскую ? Хотя в глаза не видел и не знаю какие инструменты нужны... Что думаете ? Есть шанс ?
ToBad Ранг: 450.3 (мудрец), 13thx Активность: 0.2↘0 Статус: Участник	Создано: 16 октября 2008 16:41 · Личное сообщение · #15 Flashback/TMX пишет: А разве ошибки не должны вылетать, если кусок не расшировался? Всегда ж так было. Ну может там как в аспре было, jmp через криптованый код ?
Konstantin Ранг: 42.9 (посетитель), 33thx Активность: 0.04↘0 Статус: Участник	Создано: 16 октября 2008 17:46 · Личное сообщение · #16 ToBad пишет: ломануть маковскую для маковской вроде есть лекарствоmore-mac.nnm.ru/vector_magic_109(проблемы с лекарством именно на win версию)
[HEX] Ранг: 467.7 (мудрец), 5thx Активность: 0.27↘0 Статус: Участник Иной :)	Создано: 16 октября 2008 18:00 · Личное сообщение · #17 Немного не потеме, но всеже чуток касающееся Обсидиума. У кого есть скрипты или доки по востановлению импорта на последних версиях Обсида? ----- Computer Security Laboratory
pavka Ранг: 1045.7 (!!!!), 31thx Активность: 0.57↘0 Статус: Участник	Создано: 16 октября 2008 18:18 · Личное сообщение · #18 Spirit пишет: Push цыфро call dword ptr ds:[xxxxxxxx] что так выглядит крипт-декрипт. или я опять непонял? Он спрашивал про крипт по ключу Flashback/TMX пишет: А разве ошибки не должны вылетать, если кусок не расшировался? Всегда ж так было. ToBad пишет: Ну может там как в аспре было, jmp через криптованый код ? да так [HEX] пишет: У кого есть скрипты или доки по востановлению импорта на последних версиях Обсида? В общем то импорт там не значительно менялся по версиям принципиально нет ни какой разницы можно патчить до оеп можно трейсом иат
[HEX] Ранг: 467.7 (мудрец), 5thx Активность: 0.27↘0 Статус: Участник Иной :)	Создано: 16 октября 2008 20:25 · Личное сообщение · #19 pavka Тогда по туторам задам вопрос =) Кроме как на тутсфорю (на котором 2 тутора на инглише) есть еще что нить? У Нарвахи смотрел, но чето Испанский как то не прёт ----- Computer Security Laboratory
pavka Ранг: 1045.7 (!!!!), 31thx Активность: 0.57↘0 Статус: Участник	Создано: 17 октября 2008 03:50 · Личное сообщение · #20 [HEX] пишет: Тогда по туторам задам вопрос =) Кроме как на тутсфорю (на котором 2 тутора на инглише) сходи на reversing.be по импорту тутор haggar не плох правда реализация не очень
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 17 октября 2008 07:20 · Поправил: Nightshade · Личное сообщение · #21 Импорт лучше трейсить скриптами Если патчить до ОЕР прога частенько валится, но этот способ быстрее Кстати вызов Api давно не менялся и по кодам обсида можно сразу сказать что за апи будет вызываться
pavka Ранг: 1045.7 (!!!!), 31thx Активность: 0.57↘0 Статус: Участник	Создано: 17 октября 2008 08:10 · Личное сообщение · #22 Nightshade пишет: Импорт лучше трейсить скриптами Если патчить до ОЕР прога частенько валится, но этот способ быстрее с чего бы это ей валиться? Полный трейс иат вообще лоховский метод Nightshade пишет: Кстати вызов Api давно не менялся и по кодам обсида можно сразу сказать что за апи будет вызываться видимо ты о б этом 0032059C B8 70053200 MOV EAX,320570 GetCommandLine 003205A1 - E9 9A195501 JMP 01871F40 003205A6 B8 FFFFFFFF MOV EAX,-1 GetCurrentProcess 003205AB - E9 90195501 JMP 01871F40 003205B0 B8 8C080000 MOV EAX,88C GetCurrentProcessId 003205B5 - E9 86195501 JMP 01871F40 003205BA B8 0501280A MOV EAX,0A280105 ; GetVersion 003205BF - E9 7C195501 JMP 01871F40 так это и так нормально пишется после патча VirtualQuery FreeResource lstrlenA при навыке можно определить на глаз
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 17 октября 2008 12:05 · Личное сообщение · #23 нет я про то что если почитать www.reversing.be/article.php?story=20060614094957880&query=obsidium и смотреть тип импорта(1, 2, 4, 40, 80), потом потрейсить чуть дальше то будет код функи из импорта я в свое время составил таблицу соответствия на часть функции - иногда очень помогает если скрипт не воостановил так вот эти номера функции не менялись давно) что радует

Для печати