 |
eXeL@B —› Протекторы —› Объясните как найти спертые байты |
| << . 1 . 2 . 3 . >> |
| Посл.ответ | Сообщение |
|
|
Создано: 07 ноября 2005 22:00 · Личное сообщение · #1 Здравствуйте! Пытаюсь распаковать прогу. Дохожу до куска типа: 00489EE6 0000 ADD BYTE PTR DS:[EAX],AL 00489EE8 0000 ADD BYTE PTR DS:[EAX],AL 00489EEA 0000 ADD BYTE PTR DS:[EAX],AL 00489EEC 0000 ADD BYTE PTR DS:[EAX],AL ~~~~~~~~~~~~~~~~~~~~~~~ 00489F0E 0000 ADD BYTE PTR DS:[EAX],AL 00489F10 0000 ADD BYTE PTR DS:[EAX],AL 00489F12 00FF ADD BH,BH 00489F14 15 F8C04800 ADC EAX,Electra.0048C0F8 00489F19 59 POP ECX 00489F1A 830D 84B24900 FF OR DWORD PTR DS:[49B284],FFFFFFFF 00489F21 830D 88B24900 FF OR DWORD PTR DS:[49B288],FFFFFFFF 00489F28 FF15 F4C04800 CALL DWORD PTR DS:[48C0F4] ; MSVCRT.__p__fmode 00489EE6 - ОЕП. То есть имею более 40 спертых байт. Как их найти? Пытался по статье, но у меня не работает команда TC EIP>00900000. Если и работает то пошагово, Enter - Шаг. Мож что в настройках?  |
|
|
Создано: 25 декабря 2005 11:38 · Личное сообщение · #2 В общем такая проблема. Не получается добить до конца гаму от Алавара (Brave Gnomes). Качать тут http://www.alawar.ru/download/BraveDwarvesRus.exe (7 метров) Аспр снимается без проблем. ОЕР: 0044B434 Краденые байты: PUSH 60 PUSH 4A61A0 PUSH 44B43B Ограничения: доступное время игры 1 час (убивается нопом 1-го CALL'а) и кол-во доступных уровней (MAX - 4 уровня, ВАЖНО) После 4 уровней прога их больше не грузит и выходит в главное меню. Не совсем понятно как гама палит что она НЕ зареганая. Regmon показывает обращение к 2 ключам в реестре: 1. HKLM\Software\GameOverGames\BraveDwarvesBFT\crc 2. HKCU\Software\GameOverGames\BraveDwarves\TrialTime Если посмотреть их через Regedit то рядом есть ключики - "Key" (пустые). Но ни гама ни регистратор туда ничего не пишут. Снял аспр и с регистратора, но он тож ничо не пишет в реестр (видать записывает только если введён верный рег. код). В общем need some help ! PS Просьба не расценивать пост как запрос на кряк, т.к. необходима просто небольшая наводка от чего плясать дальше (а именно как отрубить ограничение по кол-ву загружаемых уровней). Вообще есть подозрение что это демка и там всего 4 уровня, хотя может я и не прав. ----- Ни одно доброе дело не должно остаться безнаказанным !!! |
|
|
Создано: 25 декабря 2005 17:26 · Поправил: ValdiS · Личное сообщение · #3 [EXE]_cutor Поковырявшись вышел на такой код 00417528 |. 8A15 4C09A700 MOV DL,BYTE PTR DS:[A7094C]
Это подготовка главного меню. Скролим ниже... 00417788 |. A0 4C09A700 MOV AL,BYTE PTR DS:[A7094C]
Ставим хардваре бряк на адрес A7094C. Перезапускаем программу... Остановка... 00411E43 68 F006A700 PUSH Gnomes_c.00A706F0 ; Интересный адресок
Найди свободное место в программе (я взял адрес 49E360), запиши туда свое имя. Подправь 00411E43 PUSH Gnomes_c.00A706F0 на 00411E43 PUSH Gnomes_c.0049E360 Сохрани изменения, перезапусти программу. Результат на лицо... 
----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 26 декабря 2005 16:32 · Личное сообщение · #4 А никто не ковырял игру Маленькие бомберы возвращаются от той же Alawar www.alawar.ru/download/LittleBombersRus.exe 3,5 М. А то я дамп снял, спёртые байты нашёл а из импорта находится всего две функции. Игра на дельфях. Хотя стриппер снимает и импорта там намного больше. И ещё вопрос: как найти аспровую проверку имени в снятой стриппером проге. |
|
|
Создано: 26 декабря 2005 20:26 · Личное сообщение · #5 ValdiS ок! 
пасиб. Заработало. 
только небольшой ?. вот до этого места: .........0041752E |. F6DA NEG DL 00417530 |. 68 680C4A00 PUSH Gnomes_c.004A0C68 ; UNICODE "Menu_Begin" 00417535 |. B9 68A54B00 MOV ECX,Gnomes_c.004BA568............. и т.д. дошел через Search for -> All referenced text string's или как то иначе. ----- Ни одно доброе дело не должно остаться безнаказанным !!! |
|
|
Создано: 27 декабря 2005 08:49 · Личное сообщение · #6 [EXE]_cutor Честно говоря, проводил визуальный анализ кода. И эти строки сразу бросились в глаза. А далее все просто. Но можно, наверно, и через Search for -> All referenced text string's. Здесь не пробовал.
----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 29 декабря 2005 01:11 · Личное сообщение · #7 ValdiS С этой прогой понятно,аспр не новый. А вот что делать с аспр 2.11?Начало обычное,бряк на секции кода выкидывает на call.Ставишь на память,в vm попадаешь.После востановления iat,оказывается это место жетмодульнхандле...,а оер до сих пор найти не могу.Ту что пеид показывает,имрек килять отказывается. ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 29 декабря 2005 05:02 · Личное сообщение · #8 |
|
|
Создано: 29 декабря 2005 05:39 · Личное сообщение · #9 pavka Мне понравилась статья,грамотно оформленно Но с аспром есть ньюансы,особенно если это Resource Builder 2.4.0.
Тут VOEP есть,а как его в имреке прибить?То что пеид плагином находит,имрек не видит. ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 29 декабря 2005 06:05 · Личное сообщение · #10 А тебе зачем его прибивать! Найди RVA оно там явно видно! Востанови импорт. А потом OEP Займешся! |
|
|
Создано: 30 декабря 2005 00:53 · Личное сообщение · #11 pavka С IAT то уже разобрался.В статье пример шикарный,да и скрипт после правки в нём адресов пашет,как миленький.Кстати огромное СПАСИБО автору статьи. А вот с ....Займёшся!....чё то туго. ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 30 декабря 2005 05:10 · Личное сообщение · #12 Bronco Технология востановления ОЕР там хорошо описана! |
|
|
Создано: 30 декабря 2005 06:34 · Личное сообщение · #13 pavka Зацепил всё таки на тот ОЕР,что пеид намекает.Но 10 % не определяется. VM впендюрил.Пока болт. ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 30 декабря 2005 07:22 · Личное сообщение · #14 В 2,11 VM реализована слабо. Если после последнего исключения попадаешь на СЕLL в проге, то попробуй ещё пару раз Shiht+F9, и скорее всего окажешься на ОЕР. Сдаётся мне ты всё ещё находишся в теле аспра. Дело в том, что некоторые билды аспра используют функции пакованной проги перед переходом на ОЕР. Обычно это функции проверки наличия ключа в реестре. |
|
|
Создано: 30 декабря 2005 07:36 · Личное сообщение · #15 Bronco пишет: скрипт после правки в нём адресов пашет,как миленький А я вот сейчас сам AsProtect 2.11 ковыряю, так вот там ничего не восстанавливается. Там функции вызываются сразу, а не через VirtualAlloc+Call Patch. Пришлось свой скрипт писать. А еще там 6 полностью эмулируемых ф-ций + ХЗ сколько переходников (как раз с ними и разбираюсь) . ----- Yann Tiersen best and do not fuck |
|
|
Создано: 30 декабря 2005 18:37 · Личное сообщение · #16 SergSh Пару раз маловато,чуть больше(кажись 5-6). Но всё равно за ТРУДЫ СПАСИБО.Очень ГРАМОТНЫЕ статьи. С НОВЫМ ГОДОМ! ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 05 января 2006 03:01 · Личное сообщение · #17 SergSh Повозился 2 вечера с IconLover.4.0.Возни конечно больше чем в предыдущей версии.Попатчил для запуска существенно + добавил 5 секций. Но было интересно.Где там проверка на рег?А то About жить мешает. ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 05 января 2006 17:55 · Личное сообщение · #18 Этот вопрос я не изучал, мне это было не интересно. |
|
|
Создано: 06 января 2006 00:18 · Личное сообщение · #19 SergSh Утречком добил. Не знаю какие там ещё ограничения,но кому интересно можете потестировать: _http://rapidshare.de/files/10470048/IconLover.4.0_crack.rar.html _http://aha-soft.com/iconlover/iconlove.zip К модератору воврос. Не нарушаю правила форума,скидывая ссылки? ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 06 января 2006 09:08 · Личное сообщение · #20 Как точно определить версию протектора? пеид говорит что использовали аспр 2.хх QUP говорит что ето был аспр 1.23 так же версию 1.23 подтвердил еще один сканер Чему довериться? |
|
|
Создано: 06 января 2006 09:10 · Личное сообщение · #21 Я тоже распаковал эту прожку. Bronco твой крак даже не запускается, пока не смотрел, почему. Проверки рега ты там не найдешь, потому что АСПР хитро делает: Он криптует код, проверяющий рег., а затем, при запуске проги он пытается раскриптовать этот код по регу. А в самой проге этот участок выглядет так: jmp @NotRegistered мусор; <- мусор; <- это нераскриптованая процедура проверки рега мусор; <- @NotRegistered: Так что, пока не введешь правельный рег, не увидишь и процедуры проверки... ----- Yann Tiersen best and do not fuck |
|
|
Создано: 06 января 2006 09:11 · Личное сообщение · #22 Обязательно ли аспр 1.2 и выше, прячет байты проги? как на них выйти? |
|
|
Создано: 06 января 2006 12:32 · Личное сообщение · #23 Saniych скачай, любую версию и попробуй защитить какую нибудь прогу и сам все поймешь. Bronco разобрался, почему незапускается: 00405ECE . 50 PUSH EAX ; /String2 00405ECF . 8D85 E3FEFFFF LEA EAX,DWORD PTR SS:[EBP-11D] ; | 00405ED5 . 50 PUSH EAX ; |String1 00405ED6 . E8 89B4FFFF CALL <JMP.&kernel32.lstrcpy> ; \lstrcpyA в стеке адрес возврата после этой ф-ции 5С317E4F - сам понимаешь, что после этого она вылетает. в оригинальной проге в стеке EB0370 Кстати, а зачем ты там столько секций наделал, у меня все в .adata влезло. ----- Yann Tiersen best and do not fuck |
|
|
Создано: 06 января 2006 12:52 · Личное сообщение · #24 я ни че не делал , все автоматически делалось Я ж говорил что я токо учусь 
За подсказку пасибо приду домой разберусь |
|
|
Создано: 06 января 2006 18:43 · Личное сообщение · #25 Да уж аспр настолько хитро делает проверку! Иногда настолько хитро что убивается правкой 0 на 1! Barakuda прав! Некотрые хваленые защиты снимаются буквально за секунды! Вот пример Clip Plus 4.0 пакована ASProtect 2.1x SKE -> Alexey Solodovnikov 0040E7C1 00 на 01 и все! Сделать лоадер то же секунды! А распаковка заняла часа три ! Так это еще аспр без наворотов! Самой простой комплектации! Так есть ли смысл всегда стремиться распаковать? |
|
|
Создано: 07 января 2006 01:25 · Личное сообщение · #26 PE_Kill Не наю,у меня пашет без ошибок.Был на ДРождения,там проверял тоже пашет. По поводу секций,по пути НС( наименьшего сопротивления),В .adata не влазило,дампил регионами,также и прилипил. Патчил конечно дофига,и импорт левый откудо то вылазит. Из демо кажись только наг на входе и выходе, и триал.Триал ушёл,после аспра.Для Нага рубил вызовы,тупо нопил.Ну и так по мелочам. Ты кстати какою версию ковырял? ----- Чтобы юзер в нэте не делал,его всё равно жалко.. |
|
|
Создано: 07 января 2006 07:26 · Личное сообщение · #27 Bronco пишет: Ты кстати какою версию ковырял? 4.0 что на сайте у них. А невлазило у тебя в .adata потому, что ты лишние нули не отрезал. Я наг не так убрал. Там глюк какойто с триалом. Перед нагом (не помню где) проверяются три метки. Я одну из них занопил и наг не появился не при запуске, не при закрытии. Правда появилась надпись EXPIRED! в заголовке, но это тоже дело 1-го нопа. Может у меня не запускается из-за винды (XP SP2 + All patches >100) Ты попробуй на Win98 запусти. Я после этого 3 бага пофиксил с импортом. Попробую дома твой крак запустить, может там запустится. pavka я и неспорю, если не использовать АПИ АСПРА на полную катушку, то нахрена вообще его вешать на программу IMHO. Слей Frigate 3.0 и попробуй распаковать. Нет ты конечно распакуешь и поменяешь 0 на 1, и он даже работать будет. НО! Найди, где там проверяется рег и выводится - зарегана прога или нет. Подсказка. Найди в нете сериал, зарегай и убедись, что 1/10 проги при старте расшифровывается. ----- Yann Tiersen best and do not fuck |
|
|
Создано: 07 января 2006 09:09 · Личное сообщение · #28 PE_Kill Мне в принципе глубоко фиолетово сколько 1/10 или половина! Если можно с минимальными затратами времени все это обойти! Не вижу смысла тратить время, тем более результат тот же! А что просто Registered что Registered " Name" какая разница! |
|
|
Создано: 07 января 2006 10:21 · Личное сообщение · #29 pavka ты сам то понял, что сказал? (без обид). Если 1/10 проги покриптована и не выполняется, пока не введешь рег (даже в распакованой) то как ты это собрался обходить? Брутфорс RSA (а может и не RSA), не зная даже что получиться должно? И еще - функция проверки рега не занимает 1/10 программы, просто в пошифрованом виде ее быстрее всего найти не вводя сериал. Там также пошифрованы ф-ции работы с некоторыми плагинами и т.д. И вообще это похоже на крипто макросы, может они в приват версии АСПРа имеются... ----- Yann Tiersen best and do not fuck |
|
|
Создано: 07 января 2006 10:47 · Личное сообщение · #30 Может и имеются! Но большинство протектит по самому минимуму! VM и то встретишь достаточно редко! Чего гадать может не может будет конретный случай буду смотреть! |
|
|
Создано: 07 января 2006 11:21 · Личное сообщение · #31 Bronco блин я уже задолбался твой крак отлаживать, не могу понять, почему адреса возврата в стеке нет. Скажи у тебя на машине Делфи стоит? А то карак падает, как раз после проверки на присутствие Делфи. Может если не стоит, то прога раньше из процедуры выходит и не доходит до этого места? ЗЫ У меня Делфи стоит. ----- Yann Tiersen best and do not fuck |
| << . 1 . 2 . 3 . >> |
|
eXeL@B —› Протекторы —› Объясните как найти спертые байты |
Для печати