Crack SecuROM & DENUVO

Сейчас на форуме: (+5 невидимых)

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 52 . 53 . >>

Посл.ответ	Сообщение
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 28 марта 2012 14:24 · Поправил: ELF_7719116 · Личное сообщение · #1 CODEX UNVIRTUALIZE DENUVO/VMProtect Code: Release Notes: This is an experimental Proof of Concept release where the Denuvo DRM and VMProtect have been removed completely from the main executable. The main idea of this project was to verify whether Denuvo affects CPU usage and overall performance of this game. We noticed faster loading times but will leave the rest of the performance comparison battle to others. Here is a small tech summary of what has been done: - VMProtect is fully removed (30 VM entry points) - Denuvo is fully removed (104 VM entry points) - All required PE directories are fully restored (exports, imports, exceptions, TLS) - Fixed around 500k absolute & relative code and data pointers The team would like to send out special thanks to our hard working mate who is responsible for this huge project. This would not have been possible without you! You rock man! ************ В связи со стремительно развивающимися событиями, данный топик будет реформирован. Перечень тем, на которые ведется обсуждение: ░▒▓▓-SecuROM 7/8 common (VM research; disk-check bypass attack; find OEP & dumping; cumulative attack...) ░▒▓▓-- SPR I (profiles; updates) ░▒▓▓-Requests for generation SecuROM PA Unlock code** (SecuROM PA Online-activation) WOW! Only on EXELAB.RU ░▒▓▓~~-Denuvo~~ ("surface" questions) ░▒▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓ SPR I - Fight against the virtual machines (VM) of all SecuROM 7-8 versions (Подробности в 20, 23 посте.) 80_PA - SecuROM (PA) Online-Activation keygen! Holy shit! [/url] the list of programs (games), which can now be activated using 80_PA: https://pastebin.com/EiMbV3YD or --> pastebin primary link <-- >>>>>>>> (!) Send me more games with SecuROM PA (!) >>>>>>>>>>>> Denuvo Profiler (DProfiler) ------------ 1.04.2012 Собственно я не сказал самого главного. SecuRom_Profiler 7 v1.0(SPR I) - часть большого зеленого пирога, под названием "ТИБЕРИУМНЫЙ РЕВЕРСИНГ" (статья опубликована в 159 номере ][. А позже, ещё одна итоговая статья - 199 ][), включает в себя собственно статью в журнале, ПОЛНУЮ техническую статью, материалы по SecuROM 7.33.0017, исходники X-кода и видео. Технический вариант статьи с приложениями можно брать отсюда: ▒Статья ▒Видео ▒Видео 2 (Продолжение) ▒Видео 3 (Окончательный разгром) ▒Видео 4 (В погоне за взломом DENUVO) Имеет косвенное отношение к статье: ▒Видео косвенное Хроники битвы при DENUVO 19.04.19 https://xakep.ru/2019/04/19/denuvo/ Message for the companies(etc) using this protection: we can buy SecuROM/DENUVO SDK & sources. Сontact me according to the personal message. Сonfidentiality is guaranteed!!! The bought files will be used for private research! ░░░░░░░░░░ См. также: diff_trace ▓▓ 615d_22.09.2013_EXELAB.rU.tgz - Sony DADC SecuROM vulnerability.zip c177_01.02.2017_EXELAB.rU.tgz - PATENT DENUVO.pdf (притащил v00doo) ▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓ 80_PA new 2.0 hotfix (!!!). Official links (mirrors): https://mega.nz/#!L6gGBYBK!Y9X-6LFBdow6a1_IBlDFbrS6PBF4RRz_n9kuSGiI0UM (или --> 80_PA_v2.0 keygen link <--) --> Mirror #1 <-- --> Mirror #2 <-- ▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓ *DENUVO Leak content* обращайтесь в личку - скину. ▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓ *Denuvo Profiler* (DProfiler) - test version 0.3 "INSPIRE" https://mega.nz/#!DLwExKya!kCyFXw1roY3MkFaTO56LJAd-amc2yXWVerV2ic38bgs (или --> DProfiler link <--) \| Сообщение посчитали полезным: yanus0, obfuskator, Vovan666, MasterSoft, slick, hlmadip, ClockMan, Nightshade, Dart Raiden, Bronco, BAHEK, SReg, [Nomad], DimitarSerg, verdizela, yagello, OnLyOnE, FrenFolio, daFix, VodoleY, gena-m, m0bscene, Gideon Vi, ff0h, zeppe1in, antipod, huckfuck, kioresk, aRiX, 4kusNick, Ara, d0wn, Smon, audiofeel, zNob, cypherpunk, zzzombie1989, MarcElBichon, v00doo, DenCoder, nick7, Haoose-GP, arnix, Qbik, serilo, s2003r, DICI BF, Kindly, PavelDAS, HandMill, VanHelsing, random, TrueLies, warezhunter_, denfil777, alx30721, omeh2003, asm-jaime, WildGoblin, mushr00m, Flippy1801, KOTwasya, r3n5m388, chegevara, Groul, dnv83, kassane, ==DJ==[ZLO], red0x, HAOSov, rootkid, DirtyHarry, MacTep, kurorolucifer, s0cpy, aire1, ReloadUGunz, tRuNKator, Cherbet, RmK-FreE, Pringell, IHateInventNicknames, go2crck, mak, Dimosz, Creckerhack, zd0x, Mustafa_Dev007, UnnyBolt, Isaev, Astap1516, Voices_of_the_BULG, EHS4N, SnakeByte, KOCMOC42, anarh1st47

Haoose-GP Ранг: 62.3 (постоянный), 51thx Активность: 0.04↘0.01 Статус: Участник	Создано: 03 сентября 2015 13:52 · Поправил: Haoose-GP · Личное сообщение · #2 Соглашусь с DeZoMoR4iN. Рекомендую выбросить на помойку ваш Protection ID А при чем тут Protection ID? У него скрины с Ольки. Но все таки, Qbik, если вы так уверены, вышлите в личку (если тут постить нельзя) кряк для этого патча - если он заработает (игра запустится) - я соглашусь с вами =) Все просто. А если же вы не сможете сделать работающий патч - наверное тогда вы согласитесь с нами, что там Denuvo )
DeZoMoR4iN Ранг: 6.5 (гость), 3thx Активность: 0.01=0.01 Статус: Участник	Создано: 03 сентября 2015 14:22 · Поправил: DeZoMoR4iN · Личное сообщение · #3 Haoose-GP пишет: А при чем тут Protection ID? У него скрины с Ольки. Во-первых, это x64dbg Во-вторых, предполагаю, что товарищ пропустил исполняемый файл через Protection ID и побежал в отладчик, поэтому и упомянул эту тулзу. Сигнатурный поиск - это конечно круто и модно, но нужно ручками всегда подстраховываться. А вообще достаточно было взглянуть на структуру исполняемого файла и далеко не бегать.
v00doo Ранг: 80.6 (постоянный), 194thx Активность: 0.1↘0.04 Статус: Участник	Создано: 03 сентября 2015 14:44 · Поправил: v00doo · Личное сообщение · #4 DeZoMoR4iN пишет: Во-первых, это x64dbg Во-вторых, предполагаю, что товарищ пропустил исполняемый файл через Protection ID и побежал в отладчик, поэтому и упомянул эту тулзу. Соглашусь со всем, понять, что там стим стаб можно и без сигнатурного поиска, просто глянув импорт, а под стим стабом - денуво, у бетса она была и остается, а то иначе бы уже давно содрали стим стаб и подкинули эмуль апи стима и прекрасно бы играли. DeZoMoR4iN пишет: Рекомендую выбросить на помойку ваш Protection ID А вот тут сразу как-то радикально. Protection ID - это очень хороший анализатор, очень редко ошибется, другое дело, что это всего лишь приятное дополнение и тут применять его к шифрованному куску для поиска денувы не самый правильный вариант, да и пока не было крупного апдейта с добавлением сигнатур денувы, мелкий был.
Qbik Ранг: 11.5 (новичок), 8thx Активность: 0.01↘0 Статус: Участник	Создано: 03 сентября 2015 15:35 · Поправил: Qbik · Личное сообщение · #5 DeZoMoR4iN пишет: предполагаю, что товарищ пропустил исполняемый файл через Protection ID и побежал в отладчик, поэтому и упомянул эту тулзу. С роду не использовал. А так вы правы что под стабом - хренуво. Погулял по коду, выплюнула меня от сюда на EP Denuvo (0000000144108728) сюда... А я так надеялся что ее там нет...эх
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 06 сентября 2015 19:19 · Личное сообщение · #6 Дамы и господа! У меня для вас ХОРОШАЯ, но в то же время - ПЛОХАЯ НОВОСТЬ! DENUVO есть, по крайней мере, одна достаточно серьезная уязвимость! Брешь в Вашей электронной безопасности. Я сразу предупреждаю всех и вся: SSD это ерунда! А вот если за DENUVO возьмутся вирусописатели - facepalm'ами Вы не напасетесь. ИТАК. В двух словах Вы, наверняка, в курсе, что в любой файл может быть помещено тело вируса. Можно это сделать статически, можно динамически. Единственаня проблема и самая палевная часть сего мероприятия - передача управления на вредоносный код. Понятно, что нужно ставить JMP'ы в теле кода или юзать CreateRemoteThread, в случае динамики. Казалось бы, в загаженном денувьем ексешнике это невозможно. ДА ВОТ И НЕТ! DENUVO сам предоставлят такую шикарную возможность!!! Можно исполнять любой код в файле, используя функцию самой защиты. Ньюансы остаются только в записи кода, но и тут DENUVO даёт всяческие поблажки. Перехожу на технический язык Передача управления на OEP в денувке происходит непривычно в отличие от SecuROM, StarForce и тд. Как оказалось, виртуальная машина не при делах (ожидаемо было, что она нас кинет на OEP). Мы имеем более сложную, открытую структуру, которая выполняет роль дополнительной обвертки (wrapper) между системным загрузчиком и защищенным файлом (его OEP), со своими задачами - если поставить точку останова на OEP, то в стеке мы увидем башенку из двух адресов возврата к денувке, И ТОЛЬКО ПОТОМ ссылки в нативные длл'ки... Так вот в DENUVO_OEP_Wrapper есть функа, которая исполняет TLS_Callbaks защищенного приложения (это пока гипотеза, но я склоняюсь к мнению, что это именно TLS каллебки). Выглядет она так (адреса опускаю специально): Code: SUB RSP,48 LEA RAX,QWORD PTR DS:[<HMODULE>] MOV QWORD PTR SS:[RSP+30],RAX MOV RAX,QWORD PTR DS:[DENUVO.lpTLS_TABLE] MOV QWORD PTR SS:[RSP+28],RAX CMP QWORD PTR SS:[RSP+28],0 JE batmanak.******* //if exist MOV RAX,QWORD PTR SS:[RSP+28] MOV QWORD PTR SS:[RSP+20],RAX MOV RAX,QWORD PTR SS:[RSP+20] CMP QWORD PTR DS:[RAX],0 //TLS_ADDRESS != NULL JE batmanak.***** MOV RAX,QWORD PTR SS:[RSP+20] MOV RAX,QWORD PTR DS:[RAX] MOV QWORD PTR SS:[RSP+38],RAX XOR R8D,R8D MOV EDX,1 MOV RCX,QWORD PTR SS:[RSP+30] CALL QWORD PTR SS:[RSP+38] //EXECUTE!!! MOV RAX,QWORD PTR SS:[RSP+20] ADD RAX,8 //GET NEXT ADDRESS MOV QWORD PTR SS:[RSP+20],RAX JMP batmanak.***** MOV DWORD PTR DS:[DENUVO.TLS_Execute_Complete],1 ADD** RSP,48 RET По адресу DENUVO.lpTLS_TABLE можно спокойно забивать таблицу адресов в открытом виде. Он не проверяется никак. Таким образом, используя инструментарий денувы, можно прятать свой исполняемый код, не заботясь о его исполнении МОЖЕТЕ РАСПРОСТРАНЯТЬ! Это важно!
Haoose-GP Ранг: 62.3 (постоянный), 51thx Активность: 0.04↘0.01 Статус: Участник	Создано: 07 сентября 2015 22:50 · Личное сообщение · #7 ELF_7719116 Ты хочешь сказать что, если, к примеру, китайцы завтра выпустят кряк на MGSV, в котором будет измененный EXE-файл, и они захотят встроить в него вирус (в EXE-файл), то антивирусы его не запалят?
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 08 сентября 2015 07:29 · Личное сообщение · #8 Haoose-GP Такое вполне возможно!
hash87szf Ранг: 64.9 (постоянный), 47thx Активность: 0.12↘0.02 Статус: Участник	Создано: 08 сентября 2015 10:50 · Личное сообщение · #9 ELF_7719116 пишет: можно прятать свой исполняемый код, не заботясь о его исполнении А зачем о нём заботится? Юзверь кряк по своей воле стартует. Гэйм овэр мэн, гэйм овэр. Где мина лежит, роли не играет. Кто в курсе, Стим это пофиксил? Плюс прокси длл проблемы? https://codeinsecurity.wordpress.com/2013/10/11/steam-code-execution-privilege-escalation-to-system/
Haoose-GP Ранг: 62.3 (постоянный), 51thx Активность: 0.04↘0.01 Статус: Участник	Создано: 08 сентября 2015 19:27 · Личное сообщение · #10 Так. Китайцы выпустили наконец свой кряк. 1,3 Gb - кряк с патчем. (ну с обновлением игры т.е.) Для Metal Gear Solid V
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 09 сентября 2015 16:08 · Личное сообщение · #11 чья работа на лукоморье? судя по линкам на ляб, ноги у статейки по ходу с ляба растут. Добавлено спустя 2 минуты Haoose-GP пишет: Китайцы выпустили наконец свой кряк. 1,3 Gb да их по ходу пучит от радости за поднебесную, оттого и вмутили шнягу с uts+8. ----- Чтобы юзер в нэте не делал,его всё равно жалко..
DeZoMoR4iN Ранг: 6.5 (гость), 3thx Активность: 0.01=0.01 Статус: Участник	Создано: 09 сентября 2015 18:25 · Поправил: DeZoMoR4iN · Личное сообщение · #12 Bronco пишет: да их по ходу пучит от радости за поднебесную, оттого и вмутили шнягу с uts+8 Возможно, задумка стала таковой лишь благодаря обстоятельствам. ____________________________________________________ chinese skill
Bronco Ранг: 312.0 (мудрец), 349thx Активность: 0.46↗0.65 Статус: Участник Advisor	Создано: 10 сентября 2015 11:53 · Личное сообщение · #13 DeZoMoR4iN пишет: благодаря обстоятельствам каким таким обставам нужно быть чтобы привязываться к временной зоне? ----- Чтобы юзер в нэте не делал,его всё равно жалко..
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 12 сентября 2015 19:48 · Личное сообщение · #14 //\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\ DENUVO Anti-debug //\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\ опирается на GetCurrentProcessId ----------------- ntdll.<NtSetInformationThread> ----------------- вызывается отсюда в главном потоке: Code: ntdll.dll[4DA80] \| ".text":000000007742DA80 <NtSetInformationThread> 000000014329FBA6 \| 48 C7 84 24 18 0F 00 00 \| MOV QWORD PTR SS:[RSP+F18],0 \| 000000014329FBB2 \| 48 C7 44 24 20 00 00 00 \| MOV QWORD PTR SS:[RSP+20],0 \| 000000014329FBBB \| 41 B9 08 00 00 00 \| MOV R9D,8 \| 000000014329FBC1 \| 4C 8D 84 24 18 0F 00 00 \| LEA R8,QWORD PTR SS:[RSP+F18] \| 000000014329FBC9 \| BA 07 00 00 00 \| MOV EDX,7 \| 000000014329FBCE \| 48 8B 44 24 58 \| MOV RAX,QWORD PTR SS:[RSP+58] \| 000000014329FBD3 \| 48 8B 48 58 \| MOV RCX,QWORD PTR DS:[RAX+58] \| 000000014329FBD7 \| 48 8B 44 24 58 \| MOV RAX,QWORD PTR SS:[RSP+58] \| 000000014329FBDC \| FF 50 18 \| CALL QWORD PTR DS:[RAX+18] \| ntdll.NtSetInformationThread 000000014329FBDF \| 85 C0 \| TEST EAX,EAX \| Сплойт был опубликован уже давно ([t]https://exelab.ru/f/action=vthread&forum=13&topic=19719&page=3#8[/t) - программная точка останова на первой инструкции. ----------------- kernel32.SetThreadContext ----------------- Вызывается из VM несколько раз в главном потоке. Противодействует работе аппаратных точек останова. Для обламывания достаточно вернуть EAX = 1 (4 раза), т.е. заставить думать защиту - что всё в порядке. Иначе, править WInAPI нужно уже 6-8 раз. По существу, это замена трику с SEH на инструкции UD2 в SecuROM с последующим вытаскиваем контекста. ----------------- ntdll.RtlQueryProcessDebugInformation и подобные ему ----------------- ОНИ ВООБЩЕ НЕ РАБОТАЮТ ДО СИХ ПОР! Ошибка в реализации?! ****************************************** DENUVO Anti-attach **************************************** Древний баян ntdll.DbgUiRemoteBreakin с kernel32.ExitProcess на первой инструкции: Code: 00000000774D4080 \| FF 25 00 00 00 00 \| JMP QWORD PTR DS:[<&RtlExitUserProcess> \| 00000000774D4086 \| 00 38 \| ADD BYTE PTR DS:[RAX],BH \| 00000000774D4088 \| 40 77 00 \| JA ntdll.774D408B \| 00000000774D408B \| 00 00 \| ADD BYTE PTR DS:[RAX],AL \| 00000000774D408D \| 00 8B 48 60 80 79 \| ADD BYTE PTR DS:[RBX+79806048],CL \| 00000000774D4093 \| 02 00 \| ADD AL,BYTE PTR DS:[RAX] \| 00000000774D4095 \| 75 0A \| JNZ ntdll.774D40A1 \| 00000000774D4097 \| F6 04 25 D4 02 FE 7F 02 \| TEST BYTE PTR DS:[7FFE02D4],2 \| 00000000774D409F \| 74 19 \| JE ntdll.774D40BA \| 00000000774D40A1 \| 65 48 8B 04 25 30 00 00 \| MOV RAX,QWORD PTR GS:[30] \| 00000000774D40AA \| F6 80 EE 17 00 00 20 \| TEST BYTE PTR DS:[RAX+17EE],20 \| 00000000774D40B1 \| 75 07 \| JNZ ntdll.774D40BA \| 00000000774D40B3 \| E8 D8 8B F5 FF \| CALL <ntdll.DbgBreakPoint> \| 00000000774D40B8 \| EB 00 \| JMP ntdll.774D40BA \| 00000000774D40BA \| 33 C9 \| XOR ECX,ECX \| 00000000774D40BC \| E8 6F F5 F4 FF \| CALL <ntdll.RtlExitUserThread> \| 00000000774D40C1 \| CC \| INT3 \| + усиленный GUARD-ТРЕДОМ (Thread) с LowPriority, в котором крутится kerne32.VirtualProtect** с PAGE_EXECUTE_READ. //\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\//\ У меня будет еще интересное наблюдение: в игре MadMax dll'ка 3dmgame.dll (от самих китайцев) содержит DENUVO виртуальную машину + доп. три секции для него. 3dm'ам слили DENUVO SDK??? fdfe_12.09.2015_EXELAB.rU.tgz - 3dmgame_denuvko.7z
ajax Ранг: 337.6 (мудрец), 224thx Активность: 0.21↘0.1 Статус: Участник born to be evil	Создано: 13 сентября 2015 13:52 · Поправил: ajax · Личное сообщение · #15 ELF_7719116 это вмпротом кряк защитили типа добавлено: тут без тулс видно, и версия не свежая. а почему возникла мысль, что денува там вообще есть? (или файл не тот приложен?) ----- От многой мудрости много скорби, и умножающий знание умножает печаль
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 13 сентября 2015 17:32 · Личное сообщение · #16 Ну так что же, зачем же вы... Что же вы, меня ребёнком считаете? Скажите мне правду, это же собака, Ватсон, м? Я вижу что пишет ProtectionID - но в данном случае, получается VM денувы и вмпротекта одинаковы чтоле. Скиньте файло, накрытый VMProtect x64. Уверен, что PID - ошибается!
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 19 сентября 2015 17:27 · Личное сообщение · #17 (!) 3dmgame.dll (библиотека китайцев 3DM в MaxMax)- защищен VMProtect или DENUVO?! Это очищенный первый (ведущий) примитив VM в 3dmgame.dll - по виду(структура + обфускация JMP) он аналогичен DENUVO VM, что и в MadMax.exe (LordsOfFallen, BATMAN: AK и тд) Code: DENUVO 1st instance ~ v1.3 // 2 аргумента // 000007FEF287E6E7 \| PUSH 36119A41 //arg.2 - зашифрованная delta к указателю на ленту p-code 000007FEF285F1DC \| PUSH 515ED7C3 //arg.1 - вероятно, указазатель адреса возврата (как в SecuROM 7). //БЛОК сохранения x64 регистров CPU// 000007FEF288FEC4 \| PUSH RCX 000007FEF288EAAD \| PUSH R15 000007FEF2891291 \| PUSH RDX 000007FEF288FA42 \| PUSH R13 000007FEF288FB68 \| PUSH R8 000007FEF288F383 \| PUSH R9 000007FEF28915B4 \| PUSH RBP 000007FEF288FF2B \| PUSH R10 000007FEF288F90B \| PUSH RDI 000007FEF288E435 \| PUSH RSI 000007FEF288E3E0 \| PUSH RSI 000007FEF2891205 \| PUSHFQ 000007FEF288E22D \| PUSH R14 000007FEF288FF32 \| PUSH R12 000007FEF288EE10 \| PUSH RBX 000007FEF288EE14 \| PUSH RAX 000007FEF288EE38 \| PUSH R11 // ?? // 000007FEF288EE4E \| PUSH QWORD PTR DS:[7FEF289156E] //спц. QWORD - не влияет // Блок получения HMODULE 000007FEF288EE60 \| MOV RAX, [HMODULE] //reloc - dll.hmodule 000007FEF288EE75 \| MOV R13,RAX 000007FEF4F7EE86 \| PUSH RAX //в стек //БЛОК получения 2го аргумента 000007FEF288EE8C \| MOV ESI,DWORD PTR SS:[RSP+A0] //ESI - зашифрованная delta к ленте p-code //БЛОК расшифровки delta !следующие три инструкции это одна - SUB ESI,B608B688 000007FEF288EEA2 \| NOT ESI 000007FEF288EEB3 \| ADD ESI, B608B688 000007FEF288EECB \| NOT ESI //Блок резервания стека и равняем хвост - зона обмена данными между примитивами(exchange zone) 000007FEF288EEE3 \| SUB RSP,140 000007FEF288EEF3 \| AND RSP,FFFFFFFFFFFFFFF0 //Блок извлечения начального указателя на Хранилище №1.5 delta-смещений 000007FEF288EF16 \| LEA R12,QWORD PTR DS:[1.5_delta_table_start_pointer] //Блок восстановления delta указателя на ленту p-code + 0x100000000 + HMODULE 000007FEF288EF20 \| MOV RAX,100000000 000007FEF288EF35 \| ADD RSI,RAX 000007FEF288EF49 \| ADD RSI,QWORD PTR SS:[RBP] //Блок извлечения закодированного управляющего байта (control byte) из ленты ! ОБРАТИТЕ ВНИМАНИЕ НА ДЕКРЕМЕНТ (обратный ход) - у SecuROM прямой ход 000007FEF288EF4F \| MOV AL,BYTE PTR DS:[RSI-1] //непосредственно чтение ленты p-code //Блок расшифровки управляющего байта !RBX - magic-byte для расшифровки. Блок операций с декодированием magic-byte 000007FEF288EF62 \| ADD AL,BL 000007FEF288EF6A \| ROL AL,1 000007FEF288EF70 \| XOR AL,E0 000007FEF288EF75 \| DEC AL //БЛОК прыжка НА СЛЕДУЮЩИЙ ПРИМИТИВ 000007FEF288FDA1 \| MOV RDX,QWORD PTR DS:[R12+RAX8] 000007FEF288E58C \| LEA* RSI,QWORD PTR DS:[RSI-1] // ДЕКРЕМЕНТ 1.5_delta_table_start_pointer ! 000007FEF2891366 \| INC RDX //статический расшифровщик (у SecuROM был CPUID тут) 000007FEF289136A \| ADD RDX,R13 //получаем RVA 000007FEF289136D \| JMP RDX //на следующий примитив ---------------------------------------------------------------------------------------------------------------------------------------------------------------- а вот очищенный первый (ведущий) примитив VM в VMProtect 3.0.3: Code: VMProtect 3.0.3 1st instance // 1 аргумент на ленту p-code PUSH C448567B CALL 11.vmp.7FEEE4D2EF2 - прямой вызов 1st_instance //БЛОК сохранения x64 регистров CPU// PUSH RCX PUSH R8 PUSH R9 PUSH R13 PUSH R10 PUSH R11 PUSH RBP PUSH RDX PUSH R14 PUSH RAX PUSH RSI PUSH RDI PUSHFQ PUSH R12 PUSH RBX PUSH R15 //Блок получения HMODULE MOV RAX, [HMODULE] //reloc - dll.hmodule PUSH RAX //Блок получения 1го аргумента MOV RSI,QWORD PTR SS:[RSP+90] //RSI - зашифрованная delta к ленте p-code //БЛОК расшифровки delta ленты p-code DEC ESI NEG ESI ROL ESI,2 XOR ESI,5FF7148F SUB ESI,30976D10 //Блок восстановления delta указателя на ленту p-code + 0x100000000 + HMODULE ADD RSI,RAX MOV RAX,100000000 LEA RSI,QWORD PTR DS:[RSI+RAX] //Блок резервания стека и равняем хвост - зона обмена данными между примитивами(exchange zone) SUB RSP,180 AND RSP,FFFFFFFFFFFFFFF0 //Блок обратного преобразования в delta (??) MOV RAX,[HMODULE] SUB RBX,RAX //БЛОК прыжка НА СЛЕДУЮЩИЙ ПРИМИТИВ LEA R12,QWORD PTR DS:[1.5_delta_table_start_pointer] SUB RSI,1 // ДЕКРЕМЕНТ 1.5_delta_table_start_pointer ! MOVZX EAX,BYTE PTR DS:[RSI] //непосредственно чтение ленты p-code JMP QWORD PTR DS:[R12+RAX8] //на следующий примитив... **************************************************************************************************************************************** Что мы имеем в итоге. А факты довольно ошеломительны и забавны:** 1. Я склоняюсь к тому, что в случае с 3dmgame.dll ProtectionID ошибается - там DENUVO, а не VMProtect 2. Китайцы из 3dm получили в своё распоряжение DENUVO SDK. Но это настолько невероятно! 3. DENUVO VM == VMProtect 3.0.3 VM. Отличия чисто косметические! По существу, 1 vs 2 аргумента + magic-byte, в видимых мной границах, не даёт о себе знать. Очень неплохо получить обьяснения авторов VMProtect по этому поводу! \| Сообщение посчитали полезным: hello
TryAga1n Ранг: 262.5 (наставник), 337thx Активность: 0.34↘0.25 Статус: Участник	Создано: 19 сентября 2015 18:42 · Личное сообщение · #18 Даже если дерматолог получил работу в денуво или продал сорцы старого вмпрота, вряд ли он будет что-либо объяснять
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 19 сентября 2015 20:30 · Личное сообщение · #19 TryAga1n пишет: Даже если дерматолог получил работу в денуво или продал сорцы старого вмпрота Дерматолог? Это типа автор вмпротекта? Какие-же тупорылые идиоты эту хрень кодят, и какие же кретины её покупают за такие немыслимые суммы - оно явно того не стоит. Я так понимаю, зис из хи - https://exelab.ru/int/polytech.php Code: VMProtect 3.0 August 25th, 2015 :: 15 comments ... [] New* VM architecture [+] A new function VMProtectIsProtected is added to the SDK DENUVO гораздо раньше вышел - выходит, этот Ваш дерматолог просто нагло ~~спи...~~ своровал идею VM у Denuvo Software Solutions GmbH. Я уверен, что сам автор вмпрота никому ничего не продавал (VM-близнец свежий) и никуда не устраивался - иначе вмпротект больше некому было бы пилить и новые версии не выходили так часто! Так что у нас РАЗОБЛАЧЕНИЕ наклевывается: авторы VMProtect передрали идею VM у DENUVO. В итоге, потонут они все вместе, т.к. этому к типу VM, на самом деле, не так сложно будет uNvirtualizer Есть более детальная инфа по дерматологу??
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 19 сентября 2015 21:22 · Личное сообщение · #20 ELF_7719116 пишет: Есть более детальная инфа по дерматологу?? а когда впервые денуво то появилась? дерматолог запилил свой прот уже много лет назад. ----- Array[Login..Logout] of Life
hello Ранг: 20.4 (новичок), 8thx Активность: 0.03↘0 Статус: Участник	Создано: 19 сентября 2015 22:01 · Личное сообщение · #21 Kindly пишет: дерматолог запилил свой прот уже много лет назад. Так ельф жеж вроде и пишет, что по логам с сайта, архитектура VM была официально изменена 25 августа 2015г. в версии 3.0 Если в старых версиях вмпрота архитектура VM совершенно другая, тогда плагиат от дерматолога налицо!
daFix Ранг: 529.0 (!), 110thx Активность: 0.29↘0.04 Статус: Участник 5KRT	Создано: 19 сентября 2015 23:18 · Личное сообщение · #22 ELF_7719116 Чего на дерматолога-то набросились всей кучей? Ну, пилит чувак свой прот, пусть и дальше пилит. Он же не под дверь вам гадит по ночам. Тройку он уже очень давно пилил и архитектура была готова ещё в 2014, а может и того раньше ----- Research For Food
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 20 сентября 2015 02:26 · Личное сообщение · #23 ELF_7719116 Вам не приходила мысль что разработчиков выгнанных с Sony DADC AG, мог подобрать Dermatolog? Добавлено спустя 4 минуты ELF_7719116 пишет: Китайцы из 3dm получили в своё распоряжение DENUVO SDK. Но это настолько невероятно! Кстате сайт как то лежал у денуво могли и спи*дить ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли. \| Сообщение посчитали полезным: hello
hello Ранг: 20.4 (новичок), 8thx Активность: 0.03↘0 Статус: Участник	Создано: 20 сентября 2015 08:06 · Личное сообщение · #24 daFix пишет: Чего на дерматолога-то набросились всей кучей? Ну, пилит чувак свой прот, пусть и дальше пилит. Чад Нельсон тоже пилил и пилил... но как-то не фортануло! ClockMan пишет: Кстате сайт как то лежал у денуво могли и спи*дить Или кто-то из первых недовольных покупателей психанул и слил
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 20 сентября 2015 09:06 · Поправил: Kindly · Личное сообщение · #25 hello пишет: Или кто-то из первых недовольных покупателей психанул и слил как-то толсто. обычно такие защиты никому не дают. разработчики игры высылают авторам прота игру, и те сами ее накрывают и отсылают с инструкциями назад. если слив sdk и был, то явно по вине какого-нибудь обиженого сотрудника. ----- Array[Login..Logout] of Life
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 20 сентября 2015 15:15 · Личное сообщение · #26 hello пишет: Если в старых версиях вмпрота архитектура VM совершенно другая, тогда плагиат от дерматолога налицо! ClockMan пишет: Вам не приходила мысль что разработчиков выгнанных с Sony DADC AG, мог подобрать Dermatolog? Ребята, теперь я уверен, что всё наоборот! Действительно недостающим пазлом были старые версии вмпрота, что я, собственно, и сделал. ИТОГ: VM VMProtect 2.13 == VM DENUVO. Практически один в один! I repeat: VM VMProtect 2.13 == VM DENUVO и версия VMProtect 3.0.3 недалеко ушла от них. THIS IS FACT! Получается, что Ваш дерматолог, всё таки, продал сорцы старой VMProtect 2.13 в Denuvo Software Solutions GmbH (или они у него свистнули?!), и на поступившие деньги сделал версию 3.0.3, но, с релизом чуть подзатянул...эт, конечно, всё догадки. Code: VMProtect 2.13 - 1st instance EntryPoint (EP): JB 2.13.vmp.7FEF02ED593 (!) PUSH 806D8D8F JMP 2.13.vmp.7FEF02F5ADA (!) PUSH C8B500BA JMP 2.13.vmp.7FEF02FB70C JMP 2.13.vmp.7FEF02FA34E (!) PUSH RSI LEA RSI,QWORD PTR DS:[RBX8+20BB4B52] MOVSX* ESI,DL JMP 2.13.vmp.7FEF02FB8F6 (!) PUSH R11 MOV RSI,FFFFFFFF964EE19A MOVZX ESI,BL BSWAP SI MOVSX RSI,BL (!) PUSH RBP MOVSX RSI,DL (!) PUSH R15 LEA RSI,QWORD PTR DS:[RDX-4554D105] (!) PUSHFQ BT CX,DI DEC SI (!) PUSH R8 RCR RBP,1A ADC RSI,2864104C (!) PUSH R12 CMC BTC EBP,6 (!) PUSH R13 JMP 2.13.vmp.7FEF02FBF1F ADD EBP,ESP ROR R13D,19 (!) PUSH RAX ADD EBP,ESP CMP EDI,ESP RCR SI,CL SHR R13D,CL (!) PUSH RCX XOR SI,DI ADD BP,687E SBB R13D,62373016 RCR SI,CL (!) PUSH RBX XCHG EBP,R13D TEST RBP,FFFFFFFFBB641218 XADD R13W,SI (!) PUSH R14 BSR R13W,SI (!) PUSH RDI DEC R13D JMP 2.13.vmp.7FEF02FA260 STC SBB R13D,EAX (!) PUSH R9 ROR R13D,1 INC R13W INC R13 (!) PUSH R10 XADD R13W,SI BTR R13D,ESP RCR R13W,D (!) PUSH RAX MOV R13W,602A SHRD AX,DI,5 (!) PUSH RDX BTS ESI,B STC (!) PUSH QWORD PTR DS:[7FEF02FB394] NOT AH (!) MOV RAX,[HMODULE] SBB BP,CX MOV R13,RAX NEG SI BTS SI,7 ADC ESI,EAX DEC SI (!) PUSH RAX BTS RBP,RSP XCHG RBP,RSI NOT ESI (!) MOV ESI,DWORD PTR SS:[RSP+A0] SUB EBP,EAX MOV RBP,RSP BT SP,BX CMC CLC (!) SUB RSP,140 JMP 2.13.vmp.7FEF02FA7F2 INC EDI (!) AND RSP,FFFFFFFFFFFFFFF0 ADC EDI,A3D89045 TEST DX,BX MOV RDI,RSP AND R12D,EBX BSR AX,SI BTS AX,9 BTC CX,SP (!) LEA R12,QWORD PTR DS:[7FEF02F8731] CLC BTR CX,BP (!) MOV RAX,100000000 CLC (!) ADD RSI,RAX STC BTC RCX,2 BTC CX,C (!) ADD RSI,QWORD PTR SS:[RBP] NOT CL MOV AL,DH (!) MOV AL,BYTE PTR DS:[RSI] MOVZX RCX,DL MOVZX RAX,AL BSWAP CX SETBE CL INC RCX NOT CL (!) MOV RCX,QWORD PTR DS:[R12+RAX8] JMP* 2.13.vmp.7FEF02FB7B8 (!) INC RCX CMC TEST CH,5D CMP ECX,EAX BT EAX,D (!) ADD RCX,R13 JPO 2.13.vmp.7FEF02F9E72 JMP 2.13.vmp.7FEF02F9580 (!) LEA RSI,QWORD PTR DS:[RSI+1] JMP RCX
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 20 сентября 2015 16:48 · Личное сообщение · #27 ELF_7719116 а как тебе вариант, что дерматолог сам является одним из разработчиков денуво? vmprot - софт, denuvo - игры. ----- Array[Login..Logout] of Life
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 21 сентября 2015 05:26 · Личное сообщение · #28 Kindly пишет: vmprot - софт, denuvo - игры Увы я думаю что вм прот не принадлежит уже дерматологу, скачал демку 3 версии с его сайта она скомпилирована на С++, а дерматолог по жизни писал на делфях, хотя ильфак тоже писал иду на делфях, а разбогатев нанял людей и они стали писать на С. ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 21 сентября 2015 06:31 · Личное сообщение · #29 ну взял и на си переписал. вон и на форуме написано у него VMProtect 3.0 1. Ядро полностью переписано на C++ (больше никакого паскаля и ассемблера)
DeZoMoR4iN Ранг: 6.5 (гость), 3thx Активность: 0.01=0.01 Статус: Участник	Создано: 06 октября 2015 02:35 · Личное сообщение · #30 Блаукович & KO vs. Сами_знаете_кто P.S. Dragon Age Inquisition Deluxe Edition - CPY \| Сообщение посчитали полезным: hello
hello Ранг: 20.4 (новичок), 8thx Активность: 0.03↘0 Статус: Участник	Создано: 06 октября 2015 08:12 · Личное сообщение · #31 На 2 странице этой же темы тоже самое только про GTA IV. Но с другой стороны там ничего не написано же про краклаб и вообще конкретно про кого-то значит ломать можно и нужно!

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 52 . 53 . >>

Для печати