прошу помочь в распаковке - снятие конверта предположительно hasp srm 3.25

использую модифицированную olly - DeFixed c плагинами. Конверт под DeFixed запускается и вроде бы нормально работается в большинстве случаев, хотя дебаггер вроде временами хасп все же детектит (при использовании пошаговой трассировки), т.к. замечал интересные эффекты

oep довольно легко нашел методом бряка HR ESP-6

конверт не восстанавливает iat полностью, вместо некоторый функций kernel32.dll, user32.dll, advapi32.dll хасп делает переходники

код конверта в самых ответственных местах изобилует мусорным кодом - ничего не делающими инструкциями, искусственным вызовом процедур, комбинациями переходов jns/js, jbe/ja

нашел отдельное место, где в iat прописывается имя отресолвленной функции, а также нашел место, где прописывается переходник. От чего это зависит я не смог найти.
соответственно, каким образом можно заставить конверт восстановить iat? в чем прикол? каким образом конверт решает, когда восстанавливать импорт, а когда нет?

поделитесь информацией, кто щупал хасп

Добавлено спустя 17 часов 3 минуты
решил пойти другим путем.
поизучать скрипты HASP Envelope IAT Fixer
примерно понял, на чем основана работа скрипта.

комрады, подскажите, сигнатуры в скриптах за что отвечают и для чего используют адрес GetTickCount , может кто-то знает...

вот, например


п.с. догла временно нет, скрипты опробовать пока не могу.


642d_13.05.2014_EXELAB.rU.tgz - Hasp IAT fixer.rar

| Сообщение посчитали полезным:

Снял я таки этот конверт. Нашел место в переходниках, где конверт восстанавливает и вызывает api. Написал свой скрипт для восстановления IAT.
Как снова получу ключ, то напишу статейку и выложу скрипт.

Теперь можно бороться с api хаспа, которые вызываются изнутри прог.

| Сообщение посчитали полезным:

saffers пишет:
Снял я таки этот конверт. Нашел место в переходниках, где конверт восстанавливает и вызывает api. Написал свой скрипт для восстановления IAT.

Да там 1 переход поправить... Скрипты еще писать

| Сообщение посчитали полезным:

SReg Я видел этот трюк в видеотуториале от блэкшторма, но мне не удалось найти этот переход.
наверно, еще раз стоит внимательней пересмотреть видео...

| Сообщение посчитали полезным:

saffers
какие есче видео.. бряк на запись поставил и ты в нужном месте или рядом

| Сообщение посчитали полезным: Vnv

SReg
В последних версиях конверта иногда бывает ваще жесть

-----
Research For Food

| Сообщение посчитали полезным:

daFix
Сколько конвертов не открывал (при наличии ключа), ни разу не видел "жесть".

| Сообщение посчитали полезным:

daFix
Каким то образом можно точно идентифицировать версию конверта?
разные PE идентификаторы показывают в общем, без деталей

SReg
видеотутор --> Link <--

| Сообщение посчитали полезным:

saffers
по версии hasp api, как правило

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным: