 |
eXeL@B —› Протекторы —› Затестите статью по аспру. |
| . 1 . 2 . >> |
| Посл.ответ | Сообщение |
|
|
Создано: 26 августа 2005 23:40 · Личное сообщение · #1 |
|
|
Создано: 26 августа 2005 23:46 · Личное сообщение · #2 Ошибка 404 - файл не найден. Ну ниче так понравилась 
----- Пиво, сиськи, транс  |
|
|
Создано: 26 августа 2005 23:47 · Личное сообщение · #3 |
|
|
Создано: 26 августа 2005 23:49 · Личное сообщение · #4 такая же трабла
----- Пиво, сиськи, транс |
|
|
Создано: 26 августа 2005 23:50 · Личное сообщение · #5 |
|
|
Создано: 26 августа 2005 23:55 · Личное сообщение · #6 ну ниче молодец. понравилось впринципе. тока давай серьезней писать научишься.. а то похоже пишешь то что в голову придет... знаешь по обкурке мона и не такое написать ;) так что давай серьезней.... ЗЫ мой ник пишеЦЦа -= ALEX =-, марио - Mario555 (слитно) ;) ----- Пиво, сиськи, транс |
|
|
Создано: 26 августа 2005 23:58 · Личное сообщение · #7 Щас поправим А это было достаточно серьёздно (спрашиваю как нового модера статей)?
|
|
|
Создано: 27 августа 2005 00:00 · Личное сообщение · #8 Bit-hack впринципе ты рассматриваешь прием написания собственного скрипта... интересно вроде как не простое тыканье мышкой.... а насчет стиля написания - его надо менять.
----- Пиво, сиськи, транс |
|
|
Создано: 27 августа 2005 00:05 · Личное сообщение · #9 Ок, щас поменяю, подредактирую, всё сделаю и перевыложу. |
|
|
Создано: 27 августа 2005 00:12 · Поправил: Ara · Личное сообщение · #10 Bit-hack Угу, стиль не очень катит. И построй статью по другому - убери апзац, где импорт без скрипта восстанавливал - он не нужен имхо. Сделай упор на скрипт - откамменти его полностью, объясни, почему именно ЭТО действие делает такой-то кусочек кода скрипта, и выложи его все-таки в архиве отдельно Попробуй на других прогах и отметь в статье, что в скрипте будет унивесальным, что надо поменять под конкретную прогу. Может, надо будет его подредактить.
Вообще по сути статью надо назвать "Восстановление импорта в Аспр 2.0.". Получится реальная статья. ЗЫ: если в скрипт добавить поиск ОЕР, то это будет полноценный распаковывающий скрипт - дампь и правь импорт. Поиск ОЕР сделать легко, если не брать во внимание VM. |
|
|
Создано: 27 августа 2005 00:20 · Личное сообщение · #11 Да, поиск в OllyScript реализован криво, так что ты правильно написал свой поиск. |
|
|
Создано: 27 августа 2005 00:24 · Личное сообщение · #12 Ara пишет: Поиск ОЕР сделать легко А не подскажешь, как, кроме hr esp-24, есть ли более надёжный способ? |
|
|
Создано: 27 августа 2005 00:43 · Личное сообщение · #13 Bit-hack В приват ушло. |
|
|
Создано: 27 августа 2005 00:49 · Личное сообщение · #14 Стиль поправил, щас Araины замечания начну. |
|
|
Создано: 27 августа 2005 00:51 · Личное сообщение · #15 |
|
|
Создано: 27 августа 2005 23:57 · Личное сообщение · #16 |
|
|
Создано: 28 августа 2005 11:45 · Личное сообщение · #17 Bit-hack Статья классная... 1. Но, если возможно, добавь немного скринов, это будет нагляднее и информативнее. 2. По поводу анализа call (п.1) неплохо бы показать на примере, т.е. более конкретно с цифрами, а не просто "Смотрим на первый байт инструкции. Смотрим на следующий DWORD. Ага, всё понятно – это относительный call. Т.е. начальное смещение – инструкция следующая за call`ом, т.е. достаточно взять адрес call`а, добавить к адресу 1, взять dword, добавить к текущему адресу 4, взять адрес и добавить к нему смещение полученное из байт call`а, а далее проверить: выходит ли адрес call`а за границы файла" На мой взгляд, лучше 1 раз показать с арифметикой, где сразу понятно что и куда, чем несколько раз перечитывать объяснения "на пальцах". И вообще (только без обид), когда закончишь тех. часть, займись оформлением: абзацы, переносы, орфография... Правда, статья классная, но из-за оформления читается плохо: текст сливается в кучу. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 28 августа 2005 15:26 · Личное сообщение · #18 ValdiS пишет: Правда, статья классная, но из-за оформления читается плохо: текст сливается в кучу. Это точно, я все допер только с третего раза, хотя тугоумием не страдаю , но статья всё равно класс.
|
|
|
Создано: 28 августа 2005 17:20 · Личное сообщение · #19 Bit-hack Можно подробнее в статье изложить момент, как ты узнал, что нет VM и не надо восстанавливать таблицу инициализации ? Или же ссылку дай на инфу об этом. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 28 августа 2005 17:38 · Личное сообщение · #20 Bit-hack К сожалению я не могу в полной мере заценить работу, т.к. она ориентирована на использование Olly, но по части оформления я солидарен с Valdis'ом - всё же её приятнее будет читать,если она будет похожа на настоящую статью.Сейчас же она,по-моему,больше подобна некоему черновику. P.S. Опять-таки - без обид .
----- the Power of Reversing team |
|
|
Создано: 28 августа 2005 19:16 · Личное сообщение · #21 Да и вот это: >жмём по Shift+F9 раз 25 Зачем, откуда 25? Надо бы объяснить. И линка на прогу не помешает. ----- TBR |
|
|
Создано: 31 августа 2005 23:06 · Личное сообщение · #22 ВСЁ вышесказанное будет исправлено. |
|
|
Создано: 01 сентября 2005 06:22 · Личное сообщение · #23 Я пытался этот скрипт (т.е. часть скрипта) применить в проге альфаклок (рассматривается в другом топике) - скрипт не проходит до конца. Да и сам алгоритм поиска адреса ари-функции в коде программы - чрезвычайно медленный. Вот, если бы можно было аргумент команд find или findop (#....#) ввести как-нибудь через переменную. И еще. Если условие в скрипте cmp iatcell, realfunction не выполняется (realfunction нет в IAT), цикл будет бесконечным. Лучше ввести принудительный выход из цикла при достижения границы IAT. |
|
|
Создано: 01 сентября 2005 06:30 · Личное сообщение · #24 Bit-hack В топике про АльфаКлок была описана методика, которая позволяет дойти до ОЕР без 25 Shift+F9 для этого после запука программы нужно зайти в меню window->log data и посмотреть адрес последнего исключения, например Log data, item 1 Address=00B29BF7 Message=Access violation when writing to [00000000] Переходим на адрес 00B29BF7 (Ctrl+G) и ставим Hardware breakpoint на одну команду выше ----- Подписи - ЗЛО! Нужно убирать! |
|
|
Создано: 01 сентября 2005 20:40 · Личное сообщение · #25 Статья хорошая. Но нет ничего про эмуляцию GetProcAddress. И почему-то восстановление IAT ориентировано на существующие там функции, хотя аспр часть адресов функций коверкает. Может это сязано только сэтой прогой? |
|
|
Создано: 02 сентября 2005 06:00 · Личное сообщение · #26 SergSh пишет: хотя аспр часть адресов функций коверкает в том то и прикол, что в этой проге всё на месте. Зацените новую статью. Там скриптик добавлен новый  b6fd_state.rar
|
|
|
Создано: 02 сентября 2005 09:22 · Личное сообщение · #27 Bit-hack пишет: Зацените новую статью Bit-hack, статья практически не отличается от предыдущих. Bit-hack пишет: ВСЁ вышесказанное будет исправлено. Этого не произошло. Теории практически нет. Почти ничего не объясняешь. Просто, если эта статья предназначена для "продвинутых", то она им и не нужна, сами распаковывают. А если для начинающих исследователей ASProtect 2.хх, то было бы желательно чуток объяснять. И поменяй стиль статьи, а то читается, как журнал для подростков "прЮвет куль хацкеры...". Bit-hack, надеюсь, без обид. Просто подобные статьи нужны, но хочется, чтобы они были написаны нормальным языком и их было приятно, а главное полезно читать...
----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 02 сентября 2005 09:49 · Личное сообщение · #28 Согласен с SergSh. А как быть, когда в IAT нет этих функций. В том же АльфаКлоке более 80 вызовов типа Call 000f1000. А в IAT присутствует, например, только только пять основных функций из Kernel32. Поэтому так просто менять Call на соотвествующий jmp не получается. Я написал скрипт, который выделил адреса 20 из этих функций (по ходу выполнения проги). Их можно добавить в IAT с помощью любого РЕ-редактора, но ведь это в ручную. Есть идеи, как добавить их с помощью скрипта? |
|
|
Создано: 02 сентября 2005 11:00 · Личное сообщение · #29 tar4 пишет: Их можно добавить в IAT с помощью любого РЕ-редактора, но ведь это в ручную. Есть идеи, как добавить их с помощью скрипта? А ты не заценил новый скрипт? Там это реализовано! ValdiS пишет: Этого не произошло. Я этим ещё не занимался (пока), надеюсь скоро найду время для дописания. |
|
|
Создано: 02 сентября 2005 12:36 · Личное сообщение · #30 Bit-hack пишет: Я этим ещё не занимался (пока), надеюсь скоро найду время для дописания. Ладно, будем ждать с нетерпением.
----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
| . 1 . 2 . >> |
|
eXeL@B —› Протекторы —› Затестите статью по аспру. |
Для печати