Занимался написанием сервера под одну корейскую игрушку, но вчера вышло обновление в котором игру запаковали неизвестным протектором, гуглил, но информации о нём крайне мало.

Как я понял исполняемым файлом стал протектор, который из памяти подгружает модуль с самой игрой, но этот модуль скрывается (пробовал искать в PETools). Если делать дамп тем же PETools то он получается на *5мб (exe игры в чистом виде весил 9.5мб, а после упаковки стал 15мб) и если загрузить его в ida там нет ничего от самой игры.

Собственно вопрос: как задампить эту игру, чтобы я мог работать с ней в ida?

| Сообщение посчитали полезным:

Тут самым правильным (имхо) подходом будет полный дамп памяти (например с помощью Live RAM Capturer) и разбор в Volatility Framework.
Сразу все встанет на свои места, любые модули он позволяет дампить прямо со снимка.

| Сообщение посчитали полезным:

VOLKOFF, а можно подробнее о разборе в Volatility Framework?

| Сообщение посчитали полезным:

Есть там куча секций с PE-заголовком ('MZ' в начале) и правдоподобным круглым адресом, не помеченных как секции модулей. Скорей всего в них. Дампишь весь процесс в диспетчере задач, открываешь .dmp в иде, wdk (не последней версии) должен быть установлен. Потом иду закрываешь с галкой take memory snapshot, all segments.

-----
2 оттенка серого

| Сообщение посчитали полезным: developpb

Про Volatility, достаточно доки почитать.
А если попробовать подход попроще, можно одной консольной командой сдампить модули из памяти целевого процесса этим



Полно hiddenmodule_ХХХ0000_xХХ.dll
Дампятся валидные PE, бери и изучай

| Сообщение посчитали полезным: developpb

> _hiddenmodule

Фишка в том, что системный загрузчик использует ядерный сервис для сравнения проекций, поэтому штатная загрузка копии невозможна, это значит что это не просто релоцированные копии, а если и так, то использован загрузчик из памяти.

Нужно снимать сервисный лог, иначе ничего не получится.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
Нужно снимать сервисный лог, иначе ничего не получится.
Нужно составить коллективную телеграмму и отправить немедленно!

-----
2 оттенка серого

| Сообщение посчитали полезным:

f13nd

Очень познавательно, но по делу есть варианта два. Либо реверсить вручную, что тс сделать врядле сможет, либо посмотреть что там оно делает последовательно по каждому сервису. Иного варианта я не вижу, я бы выбрал второй вариант, что бы не тратить время. Это очень просто сделать, сервисы вызываются всегда через call, так что адрес возврата в пределы проекции всегда имеется и так можно отфильтровать например отладчиком, ну или иначе, кому что удобно.

-----
vx

| Сообщение посчитали полезным:

difexacaw пишет:
Либо реверсить вручную, что тс сделать врядле сможет, либо посмотреть что там оно делает последовательно по каждому сервису.
Внимательно пост перечитай, касательно задачи, что надо сделать.

ЗЫ: касательно можества-неможества очень смешно. Я еще пока не видел ни разу, чтоб ты что-то мог.

-----
2 оттенка серого

| Сообщение посчитали полезным:

difexacaw пишет:
Нужно снимать сервисный лог, иначе ничего не получится
Нужно почитать доки Volatility и успокоиться
Ничего лучше для исследования в подобных случаях еще не придумали. Поскольку снапшот системы содержит полный набор валидных адресов на момент снятия... ну дальше надеюсь понятно.
Как я сразу написал это самое правильное решение, однако не всегда нужно включать педанта и быть адептом бескомпромиссных канонических решений, если pd нормально справится, нафега по воробьям из пушки-то?

| Сообщение посчитали полезным:

VOLKOFF, сдампил и нашёл модуль с игрой. Пытаюсь загнать его в ida.

| Сообщение посчитали полезным:

developpb пишет:
сдампил и нашёл модуль с игрой
О чем я и говорил

В идеале тебе надо будет еще дамп пофиксить, в иду он загрузится итак без проблем, так что можешь прямо из нее, ну или любой другой тулзой для фикса дампов.
Ну это конечно если тебе запускаемый exe нужен будет (я хз как там игра твоя устроена), иначе не парься.

| Сообщение посчитали полезным:

VOLKOFF пишет:
В идеале тебе надо будет еще дамп пофиксить, в иду он загрузится итак без проблем, так что можешь прямо из нее, ну или любой другой тулзой для фикса дампов.
Ну это конечно если тебе запускаемый exe нужен будет (я хз как там игра твоя устроена), иначе не парься.

Спасибо большое за помощь! Да я как раз хотел узнать чем его можно пофиксить)

| Сообщение посчитали полезным:

developpb пишет:
Спасибо большое за помощь! Да я как раз хотел узнать чем его можно пофиксить)
Не забудь снять сервисный лог и загнать все это в визор!!11 (а то ничего не получицо)

-----
В облачке многоточия

| Сообщение посчитали полезным: f13nd

Boostyq пишет:
Не забудь снять сервисный лог и загнать все это в визор!!11 (а то ничего не получицо)

это типа сарказм, да? а то у меня с чувствой юмора не очень, возьму и загоню...

-----
Give me a HANDLE and I will move the Earth.

| Сообщение посчитали полезным:

есть какой-то простой способ пофиксить дамп, желательно пошагово?

| Сообщение посчитали полезным:

developpb пишет:
простой способ пофиксить дамп, желательно пошагово?
Пошагово:
1. Идешь сюда
2. Внимательно читаешь шапку
3. Пишешь пост

ибо проделанной работы никакой, а в запросах могут завернуть т.к. клиент игры.
Не забудь упомянуть, что твой "неизвестный протектор Leuco Shell" это всего лишь Cryptect.
Его с плугом можно даже под дебагером норм смотреть. Дампить можно не рандомно, а подсмотреть через VirtualAlloc куда он распаковывает оригинальный PE. Образ тоже без особых проблем фиксится потом (~10Мб).
Перед этим я бы убедился, что к твоим пакетам не добавили шифрование, или новый формат. Как-то так.
В лс писать тоже не надо, не люблю я эти читерские дела, нужно, приложи хоть минимум усилий для "написания сервера" Добра и удач!

| Сообщение посчитали полезным:

VOLKOFF пишет:
1. Идешь сюда
Такой вариант мне не подходит, так как клиент игры обновляется каждую неделю.
VOLKOFF пишет:
Не забудь упомянуть, что твой "неизвестный протектор Leuco Shell" это всего лишь Cryptect.
Вполне возможно, но название сути не меняет
VOLKOFF пишет:
приложи хоть минимум усилий
Пытался по мере своих знаний. Поэтому сюда и написал)

Просто может кто-то напишет готовый гайд как его фиксить, я хоть и не особо шарю в реверсинге, но повторить смогу. В любом случае буду дальше разбираться.

| Сообщение посчитали полезным:

developpb пишет:
Такой вариант мне не подходит, так как игра обновляется каждую неделю.
Такой вариант не особенно нужен, ломать-то там нечего.

-----
2 оттенка серого

| Сообщение посчитали полезным: