| Сейчас на форуме: (+7 невидимых) |
 |
eXeL@B —› Протекторы —› Что с импортом? |
| . 1 . 2 . >> |
| Посл.ответ | Сообщение |
|
|
Создано: 30 августа 2009 04:19 · Личное сообщение · #1 Все вроде верно в хидере. Но не PEID, ни PETools не показывают импорт. В ольке IAT заполнена.  5a37_29.08.2009_CRACKLAB.rU.tgz - bad_import.exe
 |
|
|
Создано: 30 августа 2009 12:13 · Поправил: _ruzmaz_ · Личное сообщение · #2 Sunzer пишет: Но не PEID, ни PETools не показывают импорт PEiD v0.95 все показывает ) .. у меня |
|
|
Создано: 30 августа 2009 12:15 · Личное сообщение · #3 0.94 не показывает, PE Tools 1.5 RC7 тоже не показывает, StudPE тоже не показывает. Это значит баг в самих программах? |
|
|
Создано: 30 августа 2009 12:19 · Личное сообщение · #4 В этой проге какая-то хрень с RVA - в CFF Explorer и Hiev можно найти два места с RVA=30CC (адрес таблицы импорта) )))) |
|
|
Создано: 30 августа 2009 12:22 · Поправил: Sunzer · Личное сообщение · #5 Поставил PEID 0.95, действительно теперь нормально, так кто объяснит что там именно не так? Из за чего так? добавлено: Проверил еще раз хидер и саму таблицу, все верно. Старый пеид 0.95 не верно находит физическое смещение на таблицу, RVA в хидере верно на нее прописан. Тоже самое с PE Tools. |
|
|
Создано: 30 августа 2009 12:39 · Личное сообщение · #6 У тебя реальный размер секции .text больше чем виртуальный - поэтому получается вышеописанная мной фигня, а разные проги ориентируются на разные секции, потому некоторые ошибаются. |
|
|
Создано: 30 августа 2009 12:44 · Поправил: Sunzer · Личное сообщение · #7 Секция таблицы начинается с адрес 2600h проверил в hex редакторе. Size Of Headers = 400h. Тоесть первая секция начинается с этого адреса. 2600h - 400h = 2200h = Физическому размеру секции.  ps на не верное выравнивание виртальных размеров не обращайте внимания. Я обнулил секции. |
|
|
Создано: 30 августа 2009 12:59 · Поправил: _ruzmaz_ · Личное сообщение · #8 Ну вот - здесь rva 30CC можно получить, считая от начала секции .text - 30CC = 1000 + 2000 + CC и физически это будет смещение 24CC В то же время rva 30CC можно получить, считая от начала секции .rdata - 30CC = 3000 + CC и это находится на офсете 26CC Правильный - второй вариант )) .. но не все проги об этом знают |
|
|
Создано: 30 августа 2009 13:07 · Поправил: Sunzer · Личное сообщение · #9 Не знаю каким местом они ищут. Но ведь ищется физический адрес так: Берем RVA таблицы импорта. Перебираем все секции что бы от начала виртуального адреса секции до его конца в этот диапазон взодило значение RVA таблицы. Далее к физическому смещению этой секции прибавляем RVA таблицы - Смещение секции. Получили физическое смещение на таблицу. |
|
|
Создано: 30 августа 2009 13:17 · Личное сообщение · #10 Импорт можно убрать с поля зрения некоторых прог, поставив Import Directory Size=0 ----- продавец резиновых утёнков |
|
|
Создано: 30 августа 2009 13:23 · Личное сообщение · #11 Ерунда то в том что с таким хз каким импортом Avira спаливает как XPack.Gen. Такое ощущение что они друг у друга копипастят код. Так в чем проблема в программах или в моей программе? |
|
|
Создано: 30 августа 2009 15:50 · Личное сообщение · #12 Sunzer пишет: Avira спаливает как XPack.Gen Спаливают непонятно какие авири - нормальные молчат www.virustotal.com/ru/analisis/0b06d77e5d69f318788cb736422cc03c3b35863b9639486496e0141be00d80e2-1251629816 Прога ведь работает - значит дело в программах Кстати, неплохой прием против просмотра импорта ) |
|
|
Создано: 30 августа 2009 16:11 · Личное сообщение · #13 _ruzmaz_ пишет: Прога ведь работает - значит дело в программах у кого она работает, у меня лично нет (хр сп2) ----- Лучше быть одиноким, но свободным © $me |
|
|
Создано: 30 августа 2009 16:18 · Личное сообщение · #14 Дык там же нули, чему там работать. А IAT загрузчиком заполнена. |
|
|
Создано: 30 августа 2009 16:23 · Поправил: _ruzmaz_ · Личное сообщение · #15 Нули на ep пытаются же выполнится - значит прога по идее работать должна. Другой вопрос - как в коде (вместо которого нули =) используются импортированные функи - если правильно, то все ок |
|
|
Создано: 30 августа 2009 19:00 · Личное сообщение · #16 BoRoV пишет: у меня лично нет (хр сп2) Анологично, XPSP3 ----- -=истина где-то рядом=- |
|
|
Создано: 30 августа 2009 19:02 · Личное сообщение · #17 Что именно у вас не работает? Программа в олю не грузится? Или IAT не заполнена? |
|
|
Создано: 30 августа 2009 19:05 · Личное сообщение · #18 
----- -=истина где-то рядом=- |
|
|
Создано: 30 августа 2009 19:08 · Личное сообщение · #19 А что там должно работать то там все в нулях. Вопрос про таблицу импорта. Читайте первый пост. |
|
|
Создано: 30 августа 2009 19:14 · Личное сообщение · #20 Если прогу запускать без отладчика, то в дампе импорт заполнен - все ж ОК вроде ) |
|
|
Создано: 30 августа 2009 19:16 · Личное сообщение · #21 Да и в отладчике IAT заполнена. |
|
|
Создано: 30 августа 2009 19:25 · Поправил: _ruzmaz_ · Личное сообщение · #22 На эту фигню еще ведутся CFF Explorer, утила DUMPPE, LordPE, DiE v0.64 и Protection ID v0.6.2.3. В иде все вроде норм add: Dependency Walker тоже молчит |
|
|
Создано: 30 августа 2009 19:32 · Личное сообщение · #23 Вот дописал что бы MessageBoxW вылазил. Все работает! Значит это множество PE утилит тупят + еще и Avira  Осталось понять, как такой импорт специально сделать. У меня просто генератор сгенерил 1000 файликов. Авира в 10 из них нашла дрянь. И вот все 10 файлов с таким странным импортом. 4c53_30.08.2009_CRACKLAB.rU.tgz - bad_import.exe
|
|
|
Создано: 30 августа 2009 19:41 · Личное сообщение · #24 Sunzer пишет: У меня просто генератор Что за генератор такой ? ))))) Sunzer пишет: И вот все 10 файлов с таким странным импортом В архиве вижу только один |
|
|
Создано: 30 августа 2009 19:43 · Личное сообщение · #25 Ну так я один в качестве примера выложил. Могу еще пару сделать. _ruzmaz_ пишет: Что за генератор такой ? ))))) Часть компонента от криптора |
|
|
Создано: 30 августа 2009 20:08 · Личное сообщение · #26 Только две авири остались при своем мнении (по срванению с "нулевым" кодом) www.virustotal.com/ru/analisis/8ac6455206f4c10b4a6cb9193704b988d42e07a835cb471601eba2e2a6c0fd19-1251651268 Кстати вирустотал тоже импорт не показывает :Р Sunzer, можешь просветить - sysenter после MessageBoxW у тебя там зачем ? )) |
|
|
Создано: 30 августа 2009 20:17 · Личное сообщение · #27 _ruzmaz_ пишет: Sunzer, можешь просветить - sysenter после MessageBoxW у тебя там зачем ? )) Да какая разница что в коде? Это ровным счетом ничего не меняет! ----- Nulla aetas ad discendum sera |
|
|
Создано: 30 августа 2009 21:38 · Личное сообщение · #28 _ruzmaz_ пишет: Sunzer, можешь просветить - sysenter после MessageBoxW у тебя там зачем ? )) А ты попробуй убрать его. Ошибка будет после MessageBoxW. |
|
|
Создано: 30 августа 2009 22:46 · Поправил: _ruzmaz_ · Личное сообщение · #29 Будет обязательно. ) Ну так это за неимением нормального ExitProcess в импорте что ли? |
|
|
Создано: 31 августа 2009 05:12 · Поправил: Prince[ART] · Личное сообщение · #30 Бага в ПЕРВОМ аттаче(второй итд. не смотрел) в том что у тебя длина секции кода больше на 512 байт(.text "налезает" на .rdata) По смещению(от начала файла) 0x188 0x2200 надо пропатчить на 0x2000 и все в PE Editor будет показывать Короче зайди в PE Editor открой Sections Editor(кнопка Sections) и на секции .text правая кнопка мыши и Edit Section Header И Raw Size замени 00002200 на 00002000 и OK |
| . 1 . 2 . >> |
|
eXeL@B —› Протекторы —› Что с импортом? |
Для печати