StarForce? You can fuck it!

Сейчас на форуме: (+6 невидимых)

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . >>

Посл.ответ	Сообщение
SVIN95 Ранг: 39.0 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 08 ноября 2008 22:55 · Поправил: SVIN95 · Личное сообщение · #1 Доброго времени суток. я наконец смог снять стар 4.7 бэйсик. взялся за 3 про. а тут проблема - куча исключений в анпакнутом файле. в оригинале же их нет. это обработчик исключений в оригинале? буду благодарен за любую зацепку.

Isaev Ранг: 756.3 (! !), 113thx Активность: 0.61↘0.05 Статус: Участник Student	Создано: 22 ноября 2009 22:57 · Поправил: Isaev · Личное сообщение · #2 ARCHANGEL пишет: Ну тогда, может, в двух словах вот покапайся тут, что есть в компе свалил в одно rapidshare.com/files/310739301/StarForce.rar StarForce 3 Reverse-Engineering Tools by RLD StarForce (OllyScripts) AntiStarForce5 v1.01.exe StarForce_Unpack.chm PS: Nightshade пишет: Качать за 7 баксов файл USDownloader скачает без 7 баксов я не знаю хороших обменников подскажи зеркало: www.onlinedisk.ru/file/274776/ ----- z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 22 ноября 2009 23:05 · Личное сообщение · #3 Isaev Спасибо, посмотрю. ----- Stuck to the plan, always think that we would stand up, never ran.
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 22 ноября 2009 23:13 · Личное сообщение · #4 Выложите на другой обменник. Качать за 7 баксов файл... Зачем выкладывать на такие обменники?
int_256 Ранг: 20.8 (новичок), 7thx Активность: 0.01↗0.02 Статус: Участник	Создано: 22 ноября 2009 23:41 · Личное сообщение · #5 Nightshade на www.1filesharing.com/mirror/1RUKYL3K/StarForce.rar
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 23 ноября 2009 00:12 · Личное сообщение · #6 Isaev пишет: StarForce 3 Reverse-Engineering Tools by RLD никто так наверное до сих пор не знает как им пользоваться На новых версиях не актуален, только для трёшки. Isaev пишет: StarForce (OllyScripts) старенькие скрипты, проскакивали тут на форуме. Isaev пишет: AntiStarForce5 v1.01.exe Полная шняга, аналог StarFuck, ваще непонятно чё тут делает. Isaev пишет: StarForce_Unpack.chm Не оч свежая статейка от PAKHAN у которого "всё просто"
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 23 ноября 2009 00:25 · Личное сообщение · #7 Блин, просил выложить архив, чтобы посмотреть что там за скрипты. Скачал. Посмотрел на свои старые скрипты(их писал я), посмеялся и удалил.)
huckfuck Ранг: 49.6 (посетитель), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 23 ноября 2009 00:32 · Поправил: huckfuck · Личное сообщение · #8 MasterSoft пишет: Не оч свежая статейка от PAKHAN у которого "всё просто" а что ты хотел, в распаковке стара, кроме ВМ, - на самом деле "всё просто" снимается не сложнее упха, чуть подольше, правда оеп находится банально после аттача к запущенному процессу, после чего циклится лоадером импорт в последних версиях не портится а вот ВМ -
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 23 ноября 2009 00:40 · Личное сообщение · #9 Импорт в последних версиях портится, но редко. Восстанавливается также как и переходники. А на оеп можно попасть с еп нажав ф7, бряк через ф2 на секцию кода, ф9 и ты на оеп
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 23 ноября 2009 01:07 · Личное сообщение · #10 huckfuck пишет: оеп находится банально после аттача к запущенному процессу, после чего циклится лоадером Нихера! Мне бы надоело так каждый раз делать, ты про какую версию стара говоришь? Nightshade пишет: А на оеп можно попасть с еп нажав ф7, бряк через ф2 на секцию кода, ф9 и ты на оеп Вот это уже правдоподобно huckfuck пишет: а вот ВМ - Кто-нить CodeDoctor на либе стара пробывал? ИМХО часть кода становится сразу более-менее приемлемой
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 23 ноября 2009 01:31 · Личное сообщение · #11 MasterSoft пишет: Кто-нить CodeDoctor на либе стара пробывал? Это как ??? Зачищать что-ли от слабенького морфа тыренные системные функи? //так гадить импорт у стара не самая сильная фича MasterSoft пишет: ИМХО часть кода становится сразу более-менее приемл Можно уточнить какого кода??? ----- Чтобы юзер в нэте не делал,его всё равно жалко..
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 23 ноября 2009 01:51 · Личное сообщение · #12 Bronco пишет: Можно уточнить какого кода??? Ну например вот это до использования плага: Code: 027E8C7E p> E8 E5A4DFFF CALL protect.025E3168 027E8C83 E8 00000000 CALL protect.027E8C88 027E8C88 5E POP ESI 027E8C89 81C6 7883A3FF ADD ESI,FFA38378 027E8C8F 8D8E E0370300 LEA ECX,DWORD PTR DS:[ESI+337E0] 027E8C95 8B96 18E12100 MOV EDX,DWORD PTR DS:[ESI+21E118] 027E8C9B FFB6 50E12400 PUSH DWORD PTR DS:[ESI+24E150] 027E8CA1 E8 3299F6FF CALL protect.027525D8 027E8CA6 89C7 MOV EDI,EAX 027E8CA8 E8 00000000 CALL protect.027E8CAD 027E8CAD 58 POP EAX 027E8CAE 81C0 97CBF3FF ADD EAX,FFF3CB97 027E8CB4 8947 00 MOV DWORD PTR DS:[EDI],EAX 027E8CB7 E8 00000000 CALL protect.027E8CBC 027E8CBC 58 POP EAX 027E8CBD 81C0 0A6FD0FF ADD EAX,FFD06F0A 027E8CC3 8947 08 MOV DWORD PTR DS:[EDI+8],EAX 027E8CC6 E8 00000000 CALL protect.027E8CCB 027E8CCB 58 POP EAX 027E8CCC 81C0 6890E8FF ADD EAX,FFE89068 027E8CD2 8947 10 MOV DWORD PTR DS:[EDI+10],EAX 027E8CD5 E8 00000000 CALL protect.027E8CDA 027E8CDA 58 POP EAX 027E8CDB 81C0 AB421100 ADD EAX,1142AB 027E8CE1 8947 18 MOV DWORD PTR DS:[EDI+18],EAX 027E8CE4 E8 00000000 CALL protect.027E8CE9 027E8CE9 58 POP EAX 027E8CEA 81C0 B207ADFF ADD EAX,FFAD07B2 027E8CF0 FFE0 JMP EAX А вот это после: Code: 027E8C7E p> E8 E5A4DFFF CALL protect.025E3168 027E8C83 90 NOP 027E8C84 90 NOP 027E8C85 90 NOP 027E8C86 90 NOP 027E8C87 90 NOP 027E8C88 90 NOP 027E8C89 B9 E0472502 MOV ECX,protect.022547E0 027E8C8E 90 NOP 027E8C8F 8B15 18F14302 MOV EDX,DWORD PTR DS:[243F118] 027E8C95 FF35 50F14602 PUSH DWORD PTR DS:[246F150] 027E8C9B BE 00102202 MOV ESI,protect.02221000 027E8CA0 90 NOP 027E8CA1 E8 3299F6FF CALL protect.027525D8 027E8CA6 89C7 MOV EDI,EAX 027E8CA8 90 NOP 027E8CA9 90 NOP 027E8CAA 90 NOP 027E8CAB 90 NOP 027E8CAC 90 NOP 027E8CAD C700 44587202 MOV DWORD PTR DS:[EAX],protect.02725844 027E8CB3 90 NOP 027E8CB4 90 NOP 027E8CB5 90 NOP 027E8CB6 90 NOP 027E8CB7 90 NOP 027E8CB8 C747 08 C6FB4E02 MOV DWORD PTR DS:[EDI+8],protect.024EFBC6 027E8CBF 90 NOP 027E8CC0 90 NOP 027E8CC1 90 NOP 027E8CC2 90 NOP 027E8CC3 90 NOP 027E8CC4 C747 10 331D6702 MOV DWORD PTR DS:[EDI+10],protect.02671D33 027E8CCB 90 NOP 027E8CCC 90 NOP 027E8CCD 90 NOP 027E8CCE 90 NOP 027E8CCF 90 NOP 027E8CD0 C747 18 85CF8F02 MOV DWORD PTR DS:[EDI+18],protect.028FCF85 027E8CD7 B8 9B942B02 MOV EAX,protect.022B949B 027E8CDC - E9 BA07ADFF JMP protect.022B949B 027E8CE1 90 NOP 027E8CE2 90 NOP 027E8CE3 90 NOP 027E8CE4 90 NOP 027E8CE5 90 NOP 027E8CE6 90 NOP 027E8CE7 90 NOP 027E8CE8 90 NOP 027E8CE9 90 NOP 027E8CEA 90 NOP 027E8CEB 90 NOP 027E8CEC 90 NOP 027E8CED 90 NOP 027E8CEE 90 NOP 027E8CEF 90 NOP 027E8CF0 90 NOP 027E8CF1 90 NOP Конечно не акти, но всё же выглядит приятнее чем было
Isaev Ранг: 756.3 (! !), 113thx Активность: 0.61↘0.05 Статус: Участник Student	Создано: 23 ноября 2009 02:43 · Личное сообщение · #13 MasterSoft а что так критично? я и не говорил, что там что-то новое... Кинул почитать, что было. пока мы все ждём твою статью ----- z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 23 ноября 2009 06:04 · Личное сообщение · #14 Isaev пишет: пока мы все ждём твою статью В принципе статья уже есть, просто она ждёт публикации, после этого я её выложу тут. Там нет ничего сверхъестественного, я не разбираю вм, а просто делаю рабочей одну игруху, метод проверял на нескольких играх и прогах - работает, а на некоторых нет, ну в принципе везде есть свои нюансы. Мну кажется ,что эт даже лучше, будет "поле" для деятельности. Кстати, огромная благодарность Bronco, который мне оч помог.....правда он сам ещё об этом не знает Планирую написать несколько статей по стару, начал с азов. (всё по порядку)
huckfuck Ранг: 49.6 (посетитель), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 23 ноября 2009 12:02 · Личное сообщение · #15 MasterSoft пишет: а просто делаю рабочей одну игрух что за игра? MasterSoft пишет: Конечно не акти, но всё же выглядит приятнее чем было попробуй обработать плагином всю секцию с ВМ там же црц проверки - почищенный код не будет работать
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 23 ноября 2009 12:20 · Личное сообщение · #16 huckfuck пишет: что за игра? Не скажу huckfuck пишет: попробуй обработать плагином всю секцию с ВМ С ума сошёл? huckfuck пишет: там же црц проверки - почищенный код не будет работать Не правда это! Ещё как будет, ты возьми и попробуй CRC проверяется в файле, но никак не в памяти.
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 23 ноября 2009 12:52 · Личное сообщение · #17 Есть проверки CRC вм (ксор опкодов) и есть проверки CRC кода самого ехе. Второе не страшно. С первым туго. Если бы не было проверок кода вм, ее бы дампили направо и налево. Там есть проверки CPUID и PID, которые сложно обойти.
sf3lamer Ранг: 12.3 (новичок), 2thx Активность: 0.01↘0 Статус: Участник	Создано: 23 ноября 2009 13:08 · Поправил: sf3lamer · Личное сообщение · #18 CodeDoctor не всегда корректно сворачивает код. Доки от Reloaded'цев - наиболее полное описание работы стара3. Если интересно поразбираться с ВМ: ВМ загружается из оверлея, как и другие ресурсы, каждый со своим индексом (индекс ВМ вроде 0xD), у Reloaded в папке src\init даже есть распаковщик ресурсов. Также там хранятся устанавливаемые драйверы, фоновая картинка, шрифты. Морфинг кода не особо изощрённый, и ВМ всего одна!!! ВМ состоит из 256 опкодов (если не ошибаюсь), которые могут вызываться как в прикладном так и ядерном режиме. ВМ напичкана crc-проверками, очистками dr-регистров, динамически расшифровывающимся кодом, также проверки на работу под Виртуальной Машиной, cpuid, прыжками UserMode-KernelMode проверка валидности диска - в драйвере синхронизации (*sync.sys - не шифрован) драйверы защиты - упакованы кусками, для выполнения участка, он распаковывается, выполняется, при выходе буфер с распакованными данными очищается. В версиях 4 и 5 драйверы уже не пакуются. ВМ-опкоды разбиты на несколько этапов. Подготовка данных, операция, выборка адреса следующей инструкции, jmp на следующую инструкцию. Также прыжок может быть не на ВМ-опкод, а на кусок x86-кода. Пример mov-инструкции: http://www.reteam.org/papers/e53.pdf В логгере от Reloaded, перехватываются все ВМ-опкоды, в user-mode внедряется библиотека, в kernel-mode используется драйвер (в доках его нет). Когда выполняется перехваченый ВМ-опкод, логгер его анализирует, пытается собрать несколько опкодов, согласно шаблону в одну команду, выводит результат в лог и продолжает выполнение. Т.е. вообщем можно отловить условный переход после проверки диска, и даже переписать ВМ-код в х86-код. если конечно у вас есть время в Heroes of Annihilated Empires, например, Reloaded написали мини интерпретатор ВМ, с выдранным ВМ-кодом (опкоды занимали вместо сотен байт - 10-20 байт). имхо лучшая защита из серии Starforce\Frontline
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 23 ноября 2009 13:58 · Личное сообщение · #19 В новой вм нет ядерного уровня и антидебага. Еще нет вызова кусков х86
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 23 ноября 2009 14:02 · Личное сообщение · #20 Nightshade пишет: В новой вм нет ядерного уровня и антидебага. Еще нет вызова кусков х86 Вродь им пришлось убрать из-за многочисленных исков.
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 24 ноября 2009 05:59 · Поправил: ClockMan · Личное сообщение · #21 huckfuck пишет: оеп находится банально после аттача к запущенному процессу Это в версии 4 товаришь Попробуй сделать это в третей Насчёт третей я так делалГлавное найти оеп, он всегда целый)) Пример: /4019B2/ PUSH 60 /4019B4/ PUSH Game.00407270 /4019B9/ CALL Game.00402CA0 /4019BE/ MOV EDI,94 /4019C3/ MOV EAX,EDI /4019C5/ CALL Game.00401730 /4019CA/ MOV DWORD PTR SS:[EBP-18],ESP /4019CD/ MOV ESI,ESP /4019CF/ MOV DWORD PTR DS:[ESI],EDI /4019D1/ PUSH ESI /4019D2/ CALL DWORD PTR DS:[<&kernel32.GetVersionExA>]=======> во всех версиях вседа целый на эту айпи мы поставим нашь умный хук)) /7C812B6E/ MOV EDI,EDI /7C812B70/ PUSH EBP /7C812B71/ MOV EBP,ESP /7C812B73/ SUB ESP,130============>ищем свободное место и заменяем его на jmp /7C812B6E/ JMP kernel32.7C8840E5========>заменённый Умный хук /7C8840E5/ CMP DWORD PTR SS:[ESP],4019D8======>обьеснять ненадо откуда взялись числа /7C8840EC/ JE SHORT kernel32.7C8840FE======>если равно то прыгаем на зацикливалку если нет то /7C8840EE/ MOV EDI,EDI исполняем всё в штатном режиме /7C8840F0/ PUSH EBP /7C8840F1/ MOV EBP,ESP /7C8840F3/ SUB ESP,E9000130 /7C8840F9/ JMP kernel32.7C812B73 /7C8840FE/ JMP SHORT kernel32.7C8840FE зацикливание программы чтобы можно было снять рабочий дамп ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
huckfuck Ранг: 49.6 (посетитель), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 24 ноября 2009 08:58 · Личное сообщение · #22 ClockMan пишет: Это в версии 4 товаришьПопробуй сделать это в третей зачем вязаться к словам, и так понятно, что существует множество методов определения ОЕП, я привел лишь один пример тем более, что третья версия уже неактуальна
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 24 ноября 2009 11:38 · Личное сообщение · #23 huckfuck пишет: зачем вязаться к словам, и так понятно, что существует множество методов определения ОЕП, я привел лишь один примертем более, что третья версия уже неактуальна Да и четвёрка уже тоже медленно покидает нас, правда некоторые разработчики до сих пор защищают свой софт именно этой версией (экономят чтоли )
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 24 ноября 2009 20:31 · Личное сообщение · #24 Ну, знаете, это всего лишь финты ушами какие-то. Ясен пень, что по теории код из первой секции никуда не делся, и как бы разрабам ни хотелось его оттуда куда-то деть - хрен. Ясно также, что псоле того, когда найдёшь ОЕР, можно уже и переходники импорта восстанавливать, и пытаться что-то с ВМ сделать. Но нет нормального описания - завтра там добавят эмуляцию GetVersionExA, GetModuleHandleA, и прочих фунок, которые могут быть вызваны около ОЕР - и все пойдут лесом. Хочется прочитать про то, как была обнаружена и устранена антиотладка, как на VMware запустить тот же блокнот, т.к. там есть детект эмуляторов, как запустить его после истечения триального срока - т.е. где заисываются ключи. Т.е. интересуют исследования. ----- Stuck to the plan, always think that we would stand up, never ran.
V0ldemAr Ранг: 65.4 (постоянный), 10thx Активность: 0.02↘0 Статус: Участник	Создано: 24 ноября 2009 21:02 · Личное сообщение · #25 Для "знающих" как на вмваре запустить: isolation.tools.getVersion.disable = "TRUE" тулзы работать небудут но дальше колупать можно или пропатчить проверку in eax, dx на что-то типа cli/sti итд. На паблик описаний как ломать стар никто делать не будет описание от РЛД довольно подробное у кого есть голова разберется.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 24 ноября 2009 21:25 · Личное сообщение · #26 V0ldemAr пишет: тулзы работать небудут А вместе с ними и любой из имеющихся ядерных отладчиков - SoftIce либо Syser. Поэтому колупать дальше придётся ментально. описание от РЛД довольно подробное Оно, если я правильно понял, вместе с тулзами идёт? Или нет? ----- Stuck to the plan, always think that we would stand up, never ran.
V0ldemAr Ранг: 65.4 (постоянный), 10thx Активность: 0.02↘0 Статус: Участник	Создано: 24 ноября 2009 23:38 · Личное сообщение · #27 ARCHANGEL пишет: А вместе с ними и любой из имеющихся ядерных отладчиков - SoftIce либо Syser. WinDbg никто не запрещал. ARCHANGEL пишет: вместе с тулзами идёт? Да
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 25 ноября 2009 18:28 · Личное сообщение · #28 Ядерный отладчик уже давно там не нужен. А если точнее-с версии 4.7, где они отказались от дров. Точнее, в дрове только идёт работа с диском и хвид.
Dart Sergius Ранг: 105.6 (ветеран), 36thx Активность: 0.1↘0 Статус: Участник	Создано: 24 февраля 2010 23:16 · Личное сообщение · #29 Люди помогите распознать функцию: Code: MOV EAX,DWORD PTR FS:[18] PUSH DWORD PTR DS:[EAX+34] POP EAX RETN В Kernel32 нашёл аналог, только он не экспортируется... Или не стоит замарачиваться и прикрутить эту фигню прямо к дампу? Версия стара 3.xx
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 24 февраля 2010 23:20 · Личное сообщение · #30 GetLastError ----- [nice coder and reverser]
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 25 февраля 2010 00:44 · Личное сообщение · #31 Dart Sergius В табличке должно быть RtlGetLastWin32Error.ntdll а функа выглядить должна так MOV EAX,DWORD PTR FS:[18] MOV EAX,DWORD PTR DS:[EAX+34] ret ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . >>

Для печати