TrusCont TSFD Protection Toolkit - комплекс для защиты программ против копирования внедряет свою библиотеку в exe фаил и гадит весь код
Пытаюсь отучить программу от проверки с какого носителя она запускается,
в оригинале она запускается только с USB накопителя. В программе используется алгоритм получения из реестра данных о подключенном USB устройстве. Проверка VID и PID и серийного номера , ключ программы генерируется относительно серийного номера и 2 дополнительных параметров введенных пользователем , эту проверку я обошёл. Так же в оригинальном USB накопители странная разметка флеш накопителя там по мимо FAT32 разметки есть не понятные разделы, при помощи Linux и команды dd был слит полный дамп с устройства, из дампа были выдернуты те самые разделы которые были нужны для полного клонирования флеш накопителя. Но тут меня ожидал очередной уровень защиты при запуске с клонированного устройства выдаётся окно с текстом вставте оригинальный USB
из дезассемблема вызов идёт с

в регистре eax хронится точка входа в библиотеку tcpm_exe_usb.dll
и внутри этой библиотеки принимается решение о том верный ли USB носитель или нет.

Если кто нибудь сталкивался с этим "пакером" поделитесь опытом как отвязать эту библиотеку или как обойти эту защиту

| Сообщение посчитали полезным:

SReg
Дык в хаспе сессионное шифрование.

А про то, что можно юзать NtQueryObject, чтоб получить имя по хэндлу - это хорошо, можно меньше хучить.

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

Вот ещё немного подумал. Получается, что NtQueryObject не проканает. Т.е. проканает только частично для логгера. Когда мы будем делать эмулятор, он должен реализовывать работу с флешкой, которой на самом деле нет. Т.е. предположим, процедура проверки пытается получить доступ к устройству с буквой Z. Такого устройства нет, но благодаря эмулятору CreateFile вернёт некоторое значение хэндла, например, DEADCODE. CloseHandle будет успешно закрывать этот хэндл. А DeviceIoControl будет создавать видимость работы с ним. Так что не выйдет тут юзать NtQueryObject.

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

Касаемо эмуляции: чет вы излишне усложняете. Не по фигу ли,в принципе, виртуальный диск будет или физический и тп и тд - всего-то нужно возвратить правильные данные в буфере и запхнуть в EAX единицу. Берем тот-же \.\C:, перехватываем CreateFile, DeviceIoControl, GetDriveType, CloseHandle(или низкоуровневые аналоги). У мну в SecuROMе это даже прокатывало, а тут толком даже анти-дебаг я не увидел.
unix3d
Вообще я бы посоветовал после входа в tcpm_exe_usb.dll

ставить memory breakpoint(OllyDbg: Alt+M->F2 на .text ,.itext) на кодовую секцию NormaF и смотреть куда и откуда(по стеку) управление передается из библиотеки(выделенной памяти) при правильной флешке. Если сработало и вы очутились в кодовой секции, ставьте теперь memory breakpoint в кодовую секцию tcpm_exe_usb.dll, ну а дальше по обстановке.

| Сообщение посчитали полезным:

может будет полезно:

документация на русском: http://protectmedia.com.ua/soft/DVDR_Protection_Toolkit_RUS.pdf

и вот еще интересная флэшка http://protectmedia.uaprom.net/p2886378-usb-flash-drive.html уже с защитой.

-----
-=истина где-то рядом=-

| Сообщение посчитали полезным:

еврейская защита
на странице http://protectmedia.com.ua/support.html внизу


| Сообщение посчитали полезным:

ELF_7719116 пишет:
еврейская защита на странице http://protectmedia.com.ua/support.html внизу

Наука рушится в буквальном смысле слова. Попытаюсь предположить почему... Наверное потому что много евгеев, котогые хотят много денег ? )) Наука держится на таких людях как Крис. И кроме уважения и восхищения у меня данный человек ничего не вызыват. А технологий он подал в массы немало..


P.S. Извиняюсь за излишнюю эмоциональность, но это правда.

| Сообщение посчитали полезным:

Rainbow пишет:
Наука держится на таких людях как Крис.
Крис давно сбомжевался и сидит под дурью и незнает где реальность а где сон.

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным: reversecode

ClockMan пишет:
Крис давно сбомжевался и сидит под дурью и незнает где реальность а где сон.

Хм.. Откуда инфа ?

| Сообщение посчитали полезным:

этого не знают разве что глухие, немые и слепые
остальные все в курсе

| Сообщение посчитали полезным:

Ну на самом деле персонально не узнавал, а материалы изучал Человек толковый. Факт.

| Сообщение посчитали полезным:

кто толковый?
купите себе аккаунт на rsdn, если бесплатно не можете зарегится)) и почитайте его
тема про вагианальный массажер который он возит с собой и подружкой - очень примечательная
да и вообще все его негритянки и прочий лол

| Сообщение посчитали полезным:

Rainbow пишет:
Крис давно сбомжевался
Вообще он Америке. Насчет "сбомжевался" - писал ему недавно, ответил. Не, ну если у них бомжи с ноутбуками ходят или под мостом с HP WorkStation сидят...
Касаемо самого TSFD - ссылка внизу ведет к самому тулкиту(можно скачать бесплатно и без смс), там есть tsfd_publ_gui.exe, где

ну неважно короче...
Rainbow пишет:
ELF_7719116 пишет:
еврейская защита
жыды делали и Крис там не при чем.

| Сообщение посчитали полезным:

Попалась такая флешка. После всех проверок в дллке восстанавливает код потом CreateThread с OEP.
Дамп, импорт и привет.

-----
zzz

| Сообщение посчитали полезным:

zeppe1in, подскажите, пожалуйста, чем можно сделать дамп, импорт, чтобы получился "привет"?

| Сообщение посчитали полезным:

ac86
Ва-а-а-тсон! Ну этож так элементарно - для ответа достаточно прочитать любую статью по распаковке для новичков (например тут http://exelab.ru/art/?action=view&id=206). При наличии флешки, Вам останется только правильно найти OEP(оригинальную точку входа).

| Сообщение посчитали полезным:

ELF_7719116, а может быть подскажите можно ли сделать просто клонирование флешки на аналогичную, чтобы приложение продолжало думать, что оно запускается с оригинальной флешки?

| Сообщение посчитали полезным:

ac86
Если Вы разработчик этой херни, то открою небольшой секрет - скорее всего, да! Хотя проще и быстрее, эмульнуть через DeviceIoControl + сразу захачить проверку сигнатур. Если Вы не разработчик, разбирайтесь дальше сами(если у Вас есть флешка).

| Сообщение посчитали полезным:

ELF_7719116, Может бы вы можете помочь в этом "простом" деле? Готов вознаградить труды.

| Сообщение посчитали полезным:

ac86
Так ничего внятного по теме и не увидел. В запросы.

| Сообщение посчитали полезным:

Кто там барыжит курсами, дайте халявы. В личку.

| Сообщение посчитали полезным: