StarForce? You can fuck it!

Сейчас на форуме: (+6 невидимых)

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . >>

Посл.ответ	Сообщение
SVIN95 Ранг: 39.0 (посетитель) Активность: 0.04↘0 Статус: Участник	Создано: 08 ноября 2008 22:55 · Поправил: SVIN95 · Личное сообщение · #1 Доброго времени суток. я наконец смог снять стар 4.7 бэйсик. взялся за 3 про. а тут проблема - куча исключений в анпакнутом файле. в оригинале же их нет. это обработчик исключений в оригинале? буду благодарен за любую зацепку.

daFix Ранг: 529.0 (!), 110thx Активность: 0.29↘0.04 Статус: Участник 5KRT	Создано: 20 ноября 2010 03:20 · Личное сообщение · #2 BoRoV Кинь его сюда ----- Research For Food
BoRoV Ранг: 533.6 (!), 232thx Активность: 0.45↘0 Статус: Uploader retired	Создано: 20 ноября 2010 10:54 · Личное сообщение · #3 daFix пишет: Кинь его сюда Не, это к софтярке, это как бе "преват" его, пусть он распоряжается. ----- Лучше быть одиноким, но свободным © $me
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 20 ноября 2010 14:22 · Поправил: ELF_7719116 · Личное сообщение · #4 [Nomad] По крайней мере если отвязать зависимость защиты от нулевого кольца можно более комфортно работать. Я копал драйвер идой только, для бсода нашел только один вызов KeBugCheckEx, и не нашел операции с др1-др4. Обработчик старовских точек останова на 3м кольце? Кстати, кто нибудь дебажил Solid Shield(Tages SA) v 1.x (ведьмак ей защищен) ? hc.dll и protect.dll имеют сходство, по крайней мере "шкурка" точно. Тагесовский драйвер(в количестве двух штук) геометрию только считает, причем без разбора типа устройства(сд,флэш,хард)-если я правильно понял
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 20 ноября 2010 15:05 · Поправил: PE_Kill · Личное сообщение · #5 ELF_7719116 пишет: No way man! Для ADD цпу будет еще декодить операнд! И что? Всё равно будет быстрее работать. ELF_7719116 пишет: Однако, если по прыжок с одинаковым байтом/двордом-операндом будет размещен по разным адресам, адреса конечного назначения прыга НЕ будут одинаковыми. Насколько я понял у него внутри одной длл все прыжки, зачем тогда надумывать? Я еще 100 причин могу найти зачем нужно использовать смещения а не хардкорные jcc, только к этой статье они не имеют отношения. ELF_7719116 пишет: По крайней мере если отвязать зависимость защиты от нулевого кольца можно более комфортно работать. Для этого нужно восстановить код из виртуальной машины, одной идой этого не сделать. ELF_7719116 пишет: hc.dll и protect.dll имеют сходство DLL может по разному называться, если разрабы не поленились. ----- Yann Tiersen best and do not fuck
[Nomad] Ранг: 22.5 (новичок), 18thx Активность: 0.05↘0 Статус: Участник	Создано: 20 ноября 2010 15:39 · Поправил: [Nomad] · Личное сообщение · #6 ELF_7719116 пишет: Кстати, кто нибудь дебажил Solid Shield(Tages SA) v 1.x (ведьмак ей защищен) ? hc.dll и protect.dll имеют сходство, по крайней мере "шкурка" точно Как бэ не просто так они имеют сходство Внутри также похожи.. Почему думаю понятно)
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 20 ноября 2010 21:31 · Личное сообщение · #7 PE_Kill Докажите тогда эт Microsoft^у, а то они не знают и их сишный компилер при оптимизации по скорости i++; компилит в INC [REG32] Одним словом, хватит. По поводу ВМ в старфорсе ничего не могу сказать... т.к. на данный момент видел изнутри только ВМ секурома 7.3х
V0ldemAr Ранг: 65.4 (постоянный), 10thx Активность: 0.02↘0 Статус: Участник	Создано: 20 ноября 2010 22:45 · Поправил: V0ldemAr · Личное сообщение · #8 [Nomad] пишет: ELF_7719116 пишет:Кстати, кто нибудь дебажил Solid Shield(Tages SA) v 1.x (ведьмак ей защищен) ? hc.dll и protect.dll имеют сходство, по крайней мере "шкурка" точно Как бэ не просто так они имеют сходство Внутри также похожи.. Почему думаю понятно) Видать вы ни стара ни солида не видели. Я сходства не нашел вм другие работа тоже ... (см. топик о солиде) И почему вам кажется что внутри они похожи непонятно... Стар написан у нас, а солид французами, сходство в том что используется длл и краденые функции перенапрвавлены в длл, работа самой же вм совсем другая и обфускация кода и поддержка инструкций и работа с контекстом. ELF_7719116 пишет: Докажите тогда эт Microsoft^у, а то они не знают и их сишный компилер при оптимизации по скоростиi++;компилит вINC [REG32]Одним словом, хватит. Вот вот хватит троллить ибо INC DEC медленней, вы хоть сами пробовали компилить? Оптимизация по скорости VS2008: Code: int _tmain(int argc, _TCHAR* argv[]) { int i = GetTickCount(); 00D21000 call dword ptr [__imp__GetTickCount@0 (0D22000h)] while( i < 10 ) 00D21006 cmp eax,0Ah 00D21009 jge wmain+31h (0D21031h) 00D2100B push esi 00D2100C mov esi,0Ah 00D21011 push edi 00D21012 mov edi,dword ptr [__imp__printf (0D2209Ch)] 00D21018 sub esi,eax 00D2101A lea ebx,[ebx] { printf(""); 00D21020 push offset string "" (0D220F4h) 00D21025 call edi 00D21027 add esp,4 00D2102A sub esi,1 <------------------- СМОТРЕТЬ ЗДЕСЬ 00D2102D jne wmain+20h (0D21020h) 00D2102F pop edi 00D21030 pop esi i++; } return 0; 00D21031 xor eax,eax }
[Nomad] Ранг: 22.5 (новичок), 18thx Активность: 0.05↘0 Статус: Участник	Создано: 21 ноября 2010 03:42 · Поправил: [Nomad] · Личное сообщение · #9 V0ldemAr пишет: И почему вам кажется что внутри они похожи непонятно... Стар написан у нас, а солид французами, сходство в том что используется длл и краденые функции перенапрвавлены в длл, работа самой же вм совсем другая и обфускация кода и поддержка инструкций и работа с контекстом. Мы о каком солиде говорим ? 1.хх или 2.0 ? Люди приложившие руку к стару приложили её же и к солиду.
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 21 ноября 2010 04:08 · Личное сообщение · #10 завязывайте уже давайте с солидами, секуромами...а то и эту тему закроют. лучше бы делились опытом, наработками, обсуждали бы что-нить по теме, а вы всё ругаетесь, ай-яй-яй. [Nomad] пишет: Люди приложившие руку к стару приложили её же и к солиду. У них странные взаимоотношения, старфорс обоими руками за tages и вместе с ним и за солид. (и эта любовь у них взаимна) зато и те и другие просто ненавидят секуром - вроде как бы он пытается их обидеть изо всез сил и перебраться на наш рынок...вообщем там всё сложно.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 21 ноября 2010 08:01 · Личное сообщение · #11 ELF_7719116 пишет: Одним словом, хватит. Точно, хватит говорить то в чем не уверен. Зачем то еще компиляторы приплел. Банально делаешь два бенчмарка и разбиваешь доводы в пух и прах, а так действительно на троллинг похоже. ----- Yann Tiersen best and do not fuck
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 21 ноября 2010 09:20 · Личное сообщение · #12 есть игрушка frikky holiday помоему называется, 2001 года, там protect.dll без мусора, разработчики не меняют свои принципы и в следующих версиях.
V0ldemAr Ранг: 65.4 (постоянный), 10thx Активность: 0.02↘0 Статус: Участник	Создано: 21 ноября 2010 13:14 · Личное сообщение · #13 [Nomad] пишет: Мы о каком солиде говорим ? 1.хх или 2.0 ?Люди приложившие руку к стару приложили её же и к солиду. О 1.хх: 1.9.4 - hc.dll ( Witcher, Sudden Strike 3 ) 1.9.6 и выше - dvm.dll есть различия даже в этих версиях но не настролько велики как в версии 2.0 в которой уже новая вм (слабее кстати что весьма странно) Хочешь сказать что у тебя есть информация о том что люди писавшие стар помоголи написать солид?
[Nomad] Ранг: 22.5 (новичок), 18thx Активность: 0.05↘0 Статус: Участник	Создано: 21 ноября 2010 14:05 · Поправил: [Nomad] · Личное сообщение · #14 1.9.4 - hc.dll ( Witcher, Sudden Strike 3 ) Самая "ядренная" версия. 1.9.6 и выше - dvm.dllесть различия даже в этих версиях но не настролько велики как в версии 2.0 в которой уже новая вм (слабее кстати что весьма странно) Такое чуство что спешили и выпустили версию 2.0 на рынок недоделанной, это не тот солид что был раньше. Хочешь сказать что у тебя есть информация о том что люди писавшие стар помоголи написать солид? да
ThugboyZ Ранг: 10.9 (новичок), 5thx Активность: 0.06↘0 Статус: Участник	Создано: 24 ноября 2010 22:23 · Поправил: ThugboyZ · Личное сообщение · #15 новый солид (2.0) в плане вм слабее в разы. сравните хотя бы размеры 1.96 ~ 100mb, 2.0 ~ 3mb (nfshp) да и что то скейгенили его за пару дней в отличае от старого. насчёт стара никто не заметил что в самых последних версиях код стал почти открытым, только мусорных секций увеличилось раз в 5? да и снова дамп вм открылся
[Nomad] Ранг: 22.5 (новичок), 18thx Активность: 0.05↘0 Статус: Участник	Создано: 24 ноября 2010 22:37 · Личное сообщение · #16 ThugboyZ пишет: новый солид (2.0) в плане вм слабее в разы. сравните хотя бы размеры 1.96 ~ 100mb, 2.0 ~ 3mb (nfshp) Размер неважен. Вон вмпрот к примеру не раздувает файл на мегабайты. ThugboyZ пишет: насчёт стара никто не заметил что в самых последних версиях код стал почти открытым, только мусорных секций увеличилось раз в 5? да и снова дамп вм открылся Он и не закрывался. Не знаю с чего вы решили что новый стар легче дампить.
Psalmopoeus Pulcher Ранг: 35.8 (посетитель), 23thx Активность: 0.03↘0 Статус: Участник	Создано: 24 ноября 2010 23:15 · Личное сообщение · #17 ThugboyZ, и к чему твой пост? Размер меньше? Как уже сказано абсолютно не показатель. Вм солида не обфусцирована, но полно дупликатов хандлеров и пикод раздут. К примеру у стара простой mov 6, у солида 9 байт пикода. У стара код открылся? Ну-ну, выдерни хотя бы пару инструкций из под вм или сделай дамп, а потом поделись со всеми опытом.
ThugboyZ Ранг: 10.9 (новичок), 5thx Активность: 0.06↘0 Статус: Участник	Создано: 24 ноября 2010 23:28 · Личное сообщение · #18 [Nomad] фактически да, но на практите это было почти невозможно.
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 25 ноября 2010 13:44 · Личное сообщение · #19 Стар реально дампить, инлайнить, генить. Но дамп некрасив и его тяжело делать. Новый стар от старого отличен только обфускацией. Сделано это против сигнатур. Вот и все.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 25 ноября 2010 14:58 · Личное сообщение · #20 Сталобыть лет через 5 стар и в аспр обфускацию добавит ----- Yann Tiersen best and do not fuck
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 25 ноября 2010 15:52 · Личное сообщение · #21 Она была. Ее изменили просто
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 25 ноября 2010 17:15 · Личное сообщение · #22 Обфускации там не было никогда. Были заморфленые куски небольшие их теперь в вм убрали, но сама библиотека никогда не обфусцировалась. ----- Yann Tiersen best and do not fuck \| Сообщение посчитали полезным: andrewDK
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 25 ноября 2010 19:20 · Личное сообщение · #23 ... В библиотеке непосредственно нету ничего такого для обфускации - То как IsDebuggerPresent один вызывается так и вызывался и в реестре softice чекается ну и девайсиоконрол для драйверов уже не секрет. Есть смысл только вм от домогательств защищать.
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 25 ноября 2010 20:58 · Личное сообщение · #24 для меня обфускация код вида Code: 1088C4B0 8D87 80000000 LEA EAX,DWORD PTR DS:[EDI+80] 1088C4B6 8D97 C8000000 LEA EDX,DWORD PTR DS:[EDI+C8] 1088C4BC 8B0A MOV ECX,DWORD PTR DS:[EDX] 1088C4BE 0108 ADD DWORD PTR DS:[EAX],ECX 1088C4C0 8B47 50 MOV EAX,DWORD PTR DS:[EDI+50] 1088C4C3 8987 F8560000 MOV DWORD PTR DS:[EDI+56F8],EAX 1088C4C9 8D47 70 LEA EAX,DWORD PTR DS:[EDI+70] 1088C4CC C700 F0E3DA86 MOV DWORD PTR DS:[EAX],86DAE3F0 1088C4D2 038F 40000000 ADD ECX,DWORD PTR DS:[EDI+40] 1088C4D8 31D2 XOR EDX,EDX 1088C4DA 8950 04 MOV DWORD PTR DS:[EAX+4],EDX 1088C4DD 8D47 50 LEA EAX,DWORD PTR DS:[EDI+50] 1088C4E0 8D57 70 LEA EDX,DWORD PTR DS:[EDI+70] 1088C4E3 038F E8000000 ADD ECX,DWORD PTR DS:[EDI+E8] 1088C4E9 8B0A MOV ECX,DWORD PTR DS:[EDX] 1088C4EB 2908 SUB DWORD PTR DS:[EAX],ECX сейчас стало Code: 10002C47 8987 800B0000 MOV DWORD PTR DS:[EDI+B80],EAX 10002C4D 8B18 MOV EBX,DWORD PTR DS:[EAX] 10002C4F 899F C4140000 MOV DWORD PTR DS:[EDI+14C4],EBX 10002C55 899F 98130000 MOV DWORD PTR DS:[EDI+1398],EBX 10002C5B C7C0 7B7807EB MOV EAX,EB07787B 10002C61 8987 10240000 MOV DWORD PTR DS:[EDI+2410],EAX 10002C67 8B87 10240000 MOV EAX,DWORD PTR DS:[EDI+2410] 10002C6D 01D8 ADD EAX,EBX 10002C6F 8987 10240000 MOV DWORD PTR DS:[EDI+2410],EAX 10002C75 8B8F 04140000 MOV ECX,DWORD PTR DS:[EDI+1404] 10002C7B 01C1 ADD ECX,EAX 10002C7D 8B97 F02E0000 MOV EDX,DWORD PTR DS:[EDI+2EF0] 10002C83 8911 MOV DWORD PTR DS:[ECX],EDX 10002C85 C7C0 04000000 MOV EAX,4 10002C8B 01C1 ADD ECX,EAX 10002C8D 898F 04140000 MOV DWORD PTR DS:[EDI+1404],ECX т е стали использовать регистры как переменные вм
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 25 ноября 2010 21:08 · Личное сообщение · #25 Не, это не обфускация. Просто что то переписали и Delphi компилятор такой код скомпилил. Именно так они и константы все в вм в каждом билде меняют, инклуд перегенеривают и компилят вот вам и новая версия. Не ожидал от старфорца такого расп*ва. При солоде хоть прогресс видно было. ----- Yann Tiersen best and do not fuck
Nightshade Ранг: 241.9 (наставник), 107thx Активность: 0.14↘0.01 Статус: Участник	Создано: 25 ноября 2010 21:46 · Личное сообщение · #26 Ну недавно нарастили антидамп. Стали проверять пид и версию винды напрямую из пеб. Добавили новые проверки крк через фейковые калл. Работа кипит). А куча исключений не проблема, достаточно добавить игнор их.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 25 ноября 2010 23:58 · Личное сообщение · #27 Nightshade ты про аспр говоришь или про стар? То что ты описал явно не аспр, а если он то значит изменения настолько незаметны, что я даже и не увидел их. адд. Вот кусок вм самого последнего аспра, как дергались апи так и дергаются: Code: .CODE:0115A5F8 EncryptEIP proc near ; CODE XREF: ExecPCode+1Ap .CODE:0115A5F8 push ebx .CODE:0115A5F9 push esi .CODE:0115A5FA push edi .CODE:0115A5FB push ebp .CODE:0115A5FC mov edi, ecx .CODE:0115A5FE mov esi, edx .CODE:0115A600 mov ebp, eax .CODE:0115A602 xor ebx, ebx .CODE:0115A604 jmp short loc_115A607 .CODE:0115A604 ; ---------------------------------------------------------------------- ----- .CODE:0115A606 db 0E9h .CODE:0115A607 ; ---------------------------------------------------------------------- ----- .CODE:0115A607 .CODE:0115A607 loc_115A607: ; CODE XREF: EncryptEIP+Cj .CODE:0115A607 mov eax, _GetCurrentProcessId .CODE:0115A60C mov eax, [eax+34h] .CODE:0115A60F call eax .CODE:0115A611 sub esi, [ebp+0Ch] .CODE:0115A614 add eax, esi .CODE:0115A616 mov esi, eax .CODE:0115A618 test edi, edi .CODE:0115A61A jz short EndEncryptEIP .CODE:0115A61C cmp dword ptr [edi], 0FFFFFFFFh .CODE:0115A61F jz short EndEncryptEIP .CODE:0115A621 mov ebx, [edi] .CODE:0115A623 mov edx, ebx .CODE:0115A625 mov eax, ebp .CODE:0115A627 call AddDelta .CODE:0115A62C cmp esi, eax .CODE:0115A62E setz al .CODE:0115A631 mov ebx, eax .CODE:0115A633 .CODE:0115A633 EndEncryptEIP: ; CODE XREF: EncryptEIP+22j .CODE:0115A633 ; EncryptEIP+27j .CODE:0115A633 mov eax, ebx .CODE:0115A635 pop ebp .CODE:0115A636 pop edi .CODE:0115A637 pop esi .CODE:0115A638 pop ebx .CODE:0115A639 retn .CODE:0115A639 EncryptEIP endp ----- Yann Tiersen best and do not fuck
[Nomad] Ранг: 22.5 (новичок), 18thx Активность: 0.05↘0 Статус: Участник	Создано: 26 ноября 2010 01:17 · Поправил: [Nomad] · Личное сообщение · #28 Влезу) Посты Nightshade о старфорсе.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 26 ноября 2010 01:47 · Личное сообщение · #29 PE_Kill пишет: Сталобыть лет через 5 стар и в аспр обфускацию добавит Сталобыть он недопонял мой пост. Если вдруг кому еще непонятно, то я имел ввиду, что после покупки старфорцем ASPack Software какое либо развитие ASProtect как протектора остановилось. ----- Yann Tiersen best and do not fuck
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 26 ноября 2010 04:03 · Поправил: MasterSoft · Личное сообщение · #30 Nightshade пишет: А куча исключений не проблема, достаточно добавить игнор их. ну со всем с тобой согласен, ну прям со всем, но только не с этим если таргет найду - кину те, посмотришь на кучку эксепшнов.
Gideon Vi Ранг: 1131.7 (!!!!), 447thx Активность: 0.67↘0.2 Статус: Участник	Создано: 26 ноября 2010 08:40 · Личное сообщение · #31 Nightshade пишет: А куча исключений не проблема, достаточно добавить игнор их. Ваше счастье, что не все девелоперы пользуются правильной кучей.

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . >>

Для печати