Quick Unpack 2.1


История версий
--------------
v2.1
[!] исправлены многие ошибки. например, падение при восстановлении ресурсов на некоторых программах
[!] многопоточные приложения теперь корректно обрабатываются
[+] добавлена возможность установить конец модуля при трассировке функций импорта. Когда найдено обращение к импорту, оно анализируется, ведёт ли оно за пределы модуля (чтобы не трассировать внутренние функции). Некоторые проты перенаправляют импорт в последнюю секцию файла. Чтобы убрать эту проблему и была введена данная возможность. Это RVA
[+] добавлена возможность класть таблицу импорта по указанному RVA вместо создания новой секции
[+] добавлена возможность установить дельту для хука RDTSC (см. rdtsc_delta в Scripts.rus.txt)
[+] добавлена опция Load libraries only к списку методов восстановления импорта. с этой опцией импорт в прямом смысле слова не восстанавливается, просто берётся по 1 функции импорта из каждой из загруженных библиотек. после этого дамп будет загружен со всеми нужными библиотеками, а для импорта будут использоваться старые адреса функций, записанные протектором. эту опцию можно использовать, когда перенаправление импорта уж слишком забористое, но дамп после установки сервис пака или серьёзного апдейта работать перестанет
[+] добавлена опция Execute functions while tracing import. по умолчанию во время трассировки импорта функции не исполняются, но некоторые протекторы используют результаты выполнения функций в своей работе, для них и добавлена эта опция
[+] добавлена опция Process call xxx/jmp xxx. некоторые протекторы переделывают обращения к импорту из call [xxx]/jmp [xxx] в call xxx/jmp xxx. эта опция позволяет обрабатывать также и такие обращения к импорту
[+] добавлено несколько новых функций и переменных для скриптов
[+] generic OEP finder от UsAr теперь поддерживает и DLL
[+] добавлен новый манифест для Висты

Конструктивные отзывы приветствуются.

Ссылки на архив:

http://qunpack.ahteam.org/wp-content/uploads/2008/03/qunpack21.zip http://qunpack.ahteam.org/wp-content/uploads/2008/03/qunpack21.zip

Сайт: http://qunpack.ahteam.org/ http://qunpack.ahteam.org/

| Сообщение посчитали полезным:

Из сообщённых багов все поправил. Буду ждать тестеров, когда они закончат тщательные испытания (а может и не очень тщательные ), тогда и будет долгожданный релиз 2.0 final.
ValdikSS
Посмотрел я насчёт этого отсутствующего Done-хрен его знает, почему такая ботва. Да и повторить получается не всегда, так что нунах.

| Сообщение посчитали полезным:

Archer
У меня на некоторых файлах вот такая шняга вылазиет:
There has been a critical error in exe, please report to the author

Compiled : Aug 22 2007 at 22:53:17
OS : Windows XP Professional Edition
OS build : Service Pack 1 (Build 2600)

Exception : C0000005 (EXCEPTION_ACCESS_VIOLATION)
Address : 00419529
Access Type : read
Access Address : 00000050

Registers : EAX=00000000 CS=001b EIP=00419529 EFLGS=00010246
: EBX=00000134 SS=0023 ESP=0146F8DC EBP=015936F8
: ECX=FE665E68 DS=0023 ESI=00000000 FS=003b
: EDX=00000000 ES=0023 EDI=015936F0 GS=0000

Stack Trace : 00000000 00000000 00000000 00000000
: 00000000 00000000 00000000 00000000
: 00000000 00000000 00000000 00000000
: 00000000 00000000 00000000 00000000
: 00000000 00000000 00000000 00000000
: 00000000 00000000 00000000 00000000
: 00000000 00000000 00000000 00000000
: 00000000 00000000 00000000 00000000

Disassembly :

00419509: F346 rep inc esi
0041950B: 0000 add [eax], al
0041950D: 8B9748010000 mov edx, [edi+00000148h]
00419513: 83C40C add esp, 0000000Ch
00419516: 56 push esi
00419517: 56 push esi
00419518: 52 push edx
00419519: 8B9744010000 mov edx, [edi+00000144h]
0041951F: 8BCD mov ecx, ebp
00419521: E8DA330000 call 0041C900h
00419526: 8B4714 mov eax, [edi+14h]
--> 00419529: 8B4850 mov ecx, [eax+50h]
0041952C: 898F4C010000 mov [edi+0000014Ch], ecx
00419532: 8B7078 mov esi, [eax+78h]
00419535: 8BC5 mov eax, ebp
00419537: E874460000 call 0041DBB0h
0041953C: 8BE8 mov ebp, eax
0041953E: 85ED test ebp, ebp
00419540: 0F846E010000 jz 004196B4h
00419546: 8B7514 mov esi, [ebp+14h]
00419549: 85F6 test esi, esi
0041954B: 89B760010000 mov [edi+00000160h], esi
00419551: 0F845D010000 jz 004196B4h
00419557: 33C9 xor ecx, ecx
00419559: 8BC6 mov eax, esi
0041955B: BA10000000 mov edx, 00000010h
00419560: F7E2 mul edx
00419562: 0F90C1 seto cl
00419565: F7D9 neg ecx
00419567: 0BC8 or ecx, eax
00419569: 33C0 xor eax, eax
0041956B: 83C104 add ecx, 00000004h
0041956E: 0F92C0 setb al
00419571: F7D8 neg eax
00419573: 0BC1 or eax, ecx


З.Ы. Вроде с ПЕкомпактом не лады...

| Сообщение посчитали полезным:

DIMAIN
Да там реально мало проверок натыкано перед бездумным разыменованием указателей. Поправлю этот косяк.

| Сообщение посчитали полезным:

Archer
Кстати, на "поправленном" ПЕкомпакте бывает ХАРДресет... Хотя может дело не в ПЕкомпакте, а в заюзаных тобою дровах, где то "дырка"...

| Сообщение посчитали полезным:

DIMAIN
Бывает (это через раз) или есть (постоянно) ресет? Если есть-давай файл-может, я смогу повторить.
З.Ы. С момента релиза мну правил дрова, так что этого уже и нет, может.
З.З.Ы. Первый файл лучше тоже выложить, ибо косяк я понял, где, но вот фигле он там появился-шут знает.

| Сообщение посчитали полезным:

Тут попалась игра Jigsaws Galore v.6.05 www.dgray.com/download/jigalo.exe. Из запросов на взлом от 22 августа 2007 г. Размер - чуть больше 3 Мб. При попытке анпака в Quick Unpack комп перезагружается.
Причем на прожке висит обычный UPX... Руками распаковывается нормально. В чем причина такого поведения? Или это только у меня?

-----
Программист SkyNet

| Сообщение посчитали полезным:

FrenFolio
Моя последняя версия всё ОК. Наверно, уже исправил это дело.
З.Ы. Там ещё проверка на распакованность есть.

| Сообщение посчитали полезным:

Archer пишет:
давай файл
ifolder.ru/3081960
Это файл из той темы где у меня были проблемы с распаковкой, автор проги любитель всяких заморочек, вообщем сам хорошо погоняй!!!
ХАРДресет - бывает когда разпаковываеш вначале один файл (тот который под криптором) и следом другой (это который по ссылке), этот файл распаковывал PAVKA может у него остался выдернутый фаил, я пока не могу выложить, ну или сам вытощи из под криптора...

| Сообщение посчитали полезным:

DIMAIN
А, это с трейнер для принца 2 трона. Я ещё раньше его посмотрел. Там были заморочки с сегментными регистрами, это в драйвере уже поправлено. Больше падать не должно.

| Сообщение посчитали полезным:

Archer пишет:
Там были заморочки с сегментными регистрами
Так получается автор юзал дырки в дровах против паспаковки, али как?
Archer пишет:
это в драйвере уже поправлено
Где можно слить поправленную версию?

Archer
А тот баг репорт, именно от того файла, который лежит под криптором.

| Сообщение посчитали полезным:

DIMAIN
Да не юзал он не фига, просто поменял сегментный регистр нах да и всё, это не антиотладочный трюк никакой, это просто мну облажался. Поправленая версия доступна только бетатестерам, остальные ждут официального релиза.

| Сообщение посчитали полезным:

Archer
Если речь идет об этом файле XXLTRAINER_POP3 то Quick Unpack не распакует его корректно, и не из за каких то багов в дровах ;) а там автор немного поизвращался с оеп Вернее распаковать то должен ,только оеп поправить

| Сообщение посчитали полезным:

pavka
Я его анпачил, там действительно поправлен ОЕП и надо его править руками. Но был и баг в дровах, который при определённом расставлении галок валил систему в синяк, больше этого нету. Там ещё проверка на отладчик через RDTSC после ОЕП есть, на неё тоже посмотрел, QU её может обойти.

| Сообщение посчитали полезным:

Потестил тут на распаковку некоторые проты\пакеры\крипторы:
PEtite 2.3 - yes
PECompact 2.78 (non AntiDebug) - yes
UpolyX 0.1 - yes
UPX 3.0w - yes
packman 1.0 - yes
nspack 3.7 - yes
fsg 2.0 - yes
Aspack 2.12 - yes
ACProtector 1.41 - no
ASProtect 1.31 - no
mew11 - no
MoleBox Pro 2.6.5.2570 - no
Osidium 1.3.0.4 - no
ORiEN 2.12 - no
PESpin 1.3.0.4 - no
WinUpack 0.39 - no

Тестил ради интереса, поэтому не надо кричать, что типа ОБСИДИУМ и так все знают что не распакует...

| Сообщение посчитали полезным:

DIMAIN пишет:
mew11 - no
ORiEN 2.12 - no
Нормально они распаковываются, при условии что OEP правильно вбить. А то что OEP правильно не определяется файндером Арчера и Фуера, то это не косяк QU. Для таких целей там ещё 3 других файндера существуют, поэтому уважаемый когда тестируете, то ОЕП вводите сами, тестируйте с разными опциями.

Жаль, но upack действительно не берёт.

-----
Я ещё не волшебник, я только учусь...

| Сообщение посчитали полезным:

Assass1n пишет:
тестируйте с разными опциями
Я и так каждый со всеми опциями пробывал и по несколько раз
Assass1n пишет:
Нормально они распаковываются, при условии что OEP правильно вбить
Если уж чел(ламер) сможет в ручную найти ОЕП(значит не ламер) то я думаю и распакует без QU...
Я исходил от того что чел баран-бараном какой там ОЕП...
Вообще как я понял QU тулза как раз для ламаков ну или кому не каиф очередной раз (тысячный ) унпакать UPX... Покрайней мере пока не будет доведен до ума скриптовый двиг+норм. примеры унпака ASProtect. Osidium и т.п.

| Сообщение посчитали полезным:

DIMAIN пишет:
Я исходил от того что чел баран-бараном
Попробуй из чего нибудь другого исходить
Может выводы другие будут!!!
DIMAIN пишет:
Покрайней мере пока не будет доведен до ума скриптовый двиг
Это типа кибер интелекта????

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет:
Попробуй из чего нибудь другого исходить
Ты походу не въехал что я имел ввиду, DIMAIN пишет:
Я исходил от того что чел баран-бараном какой там ОЕП
здесь подразумевается что юзер не знает что такое ОЕП, следовательно mew11 и ORiEN 2.12 не распакует...
Bronco
Хотя может QU пишется для гипер профи, просто я незнал
Bronco пишет:
Это типа кибер интелекта????
DIMAIN пишет:
Покрайней мере пока не будет доведен до ума
здесь имелось ввиду это
Archer пишет:
В будущем добавлю больше функций/переменных и отладку скриптов, так что этими предложениями можете не спамить. Заодно скажу, что синтаксис некоторых функций может и измениццо.

| Сообщение посчитали полезным:

DIMAIN
Да это ты по ходу не вьезжаешь,о чём декларируешь.
DIMAIN пишет:
здесь подразумевается что юзер не знает что такое ОЕП,
А нафик такому юзеру QU, не скажешь?
Странно ещё,что такой юзер знает об:
PEtite 2.3 - yes
PECompact 2.78 (non AntiDebug) - yes
UpolyX 0.1 - yes
и т.д
DIMAIN пишет:
здесь имелось ввиду это
Ты уж,не серчай,но это:
будет доведен до ума скриптовый двиг
никакого отношения не имеет к этому:
В будущем добавлю больше функций/переменных

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет:
А нафик такому юзеру QU, не скажешь?
Перевести прогу например...
Bronco пишет:
Странно ещё,что такой юзер знает об:
PEtite 2.3 - yes
PECompact 2.78 (non AntiDebug) - yes
UpolyX 0.1 - yes
и т.д
Это вообще не относится к DIMAIN пишет:
здесь подразумевается что юзер не знает что такое ОЕП
Блин ты гониш уже, я и не писал что юзер знает проты\пакеры (оно ему и ненадо, для перевода к примеру)
Ну вообщето бывает на белом свете полным, полно людей знающие - что есть упаковщики исполняемых файлов (наряду с обычными архиваторами), при этом не знающие структуру ПЕфайлов (извини если раскрыл тебе тайну)...

| Сообщение посчитали полезным:

DIMAIN пишет:
Блин ты гониш уже //Слова подбирай вдумчиво
Гонят самогон,
А вот ты конкретно плющишь.
Кроме этого:
Перевести прогу например...
Какие у тя ещё аргументы?

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Bronco пишет:
Слова подбирай вдумчиво
незнал что ты обидчивый...

Bronco пишет:
Какие у тя ещё аргументы
А тебе че мало, таких "переводчиков" пруд пруди, я даже давно встречал в нете типа мануала какого то, написано было примерно так:
...пропущено введение...
Ну вот дорогие читатели мы и переходим к переводу софта, для этого нам понадобиться несколько программ: ресторатор, ПеИд, и QU если программа упакована...

откуда им знать про ИАТ, ОЕП, ДОСстаб и т.д.

| Сообщение посчитали полезным:

DIMAIN
Ну как правило нормальный переводчик знает и что такое ИАТ, и ОЕП, и пакеры многие вручную распаковывает. Но все равно согласен, что QU пишется в основном для тех кто может только на кнопочки нажимать, хотя может скоро из QU вырастит мощный продукт.

| Сообщение посчитали полезным:

DIMAIN пишет:
незнал что ты обидчивый..
Губки - девочки надувают.
Понты - для фраеров оставь//пыхтишь как паровоз,а КПД=0;
DIMAIN пишет:
откуда им знать про ИАТ, ОЕП, ДОСстаб и т.д.
Выходи из образа третьего лица,и заботы о локализаторах.
//Дурная манера,включать задний ход,ссылаясь на третьих лиц.
И попробуй,от первого лица,юзая QU,решить задачку хотя бы для ORiEN 2.12.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

Так, для начала хорош ругаццо в моей теме.
Насчёт ОЕП-действительно определяет правильно не всегда, НО своим бетатестерам я говорю: если вбили руками ОЕП и анпачило норм, значит проблемы НЕТ. Почему? Потому что он позволяет восстанавливать перенаправленный импорт, второй пример скрипта (который ещё не вышел на паблик) позволяет анпакать пакеры с 2 процессами, поэтому (я надеюсь) тулза выйдет из раздела "нубики онли" и войдёт в арсенал вполне бывалых товарищей, ибо потенциал позволяет. Что касаеццо товарищей, которые не шарят вообще нефига, а беруццо за QU перебивать чужие копирайты (не тыкаю ни в кого пальцем и не обижаю, просто взял как модель), то они идут лесом. Вполне вероятно, что и обсид будет брать (не автоматически, но скриптами, имхо, вполне можно).
Насчёт WinUPack. Действительно тестеры сообщают, что не берёт. Но я почти уверен, что это будет исправлено (ещё просто не смотрел).

| Сообщение посчитали полезным:

Archer пишет:
вероятно, что и обсид будет брать (не автоматически, но скриптами, имхо, вполне можно).
наврятли. абсид ещё та сцука...

| Сообщение посчитали полезным:

Bronco пишет:
Выходи из образа третьего лица
А я туда и не входил... я все про то что эту тулзу юзают люди разного уровня, но в основном deepred пишет:
QU пишется в основном для тех кто может только на кнопочки нажимать
и надо исходить из этого...
Archer пишет:
тулза выйдет из раздела "нубики онли"
Вот это уже хорошо.
Archer пишет:
бсид будет брать (не автоматически, но скриптами, имхо, вполне можно)
Про это я и толкую DIMAIN пишет:
норм. примеры унпака ASProtect. Osidium и т.п.
неплохо было бы, в релизе рабочие скрипты для каких нибудь протов...

Archer пишет:
беруццо за QU перебивать чужие копирайты
здесь это не подрузамевалось, хотя согласен таких не мало...

| Сообщение посчитали полезным:

Ну может рабочий скрипт для аспра/обсида/армы и хорошо, но лично я этим занимаццо не буду, слишком много времени при слишком малой пользе. Так что заканчиваем спорить.
Из серьёзных нововведений собственный менеджер памяти поможет драть проты типа аспра, которые раскидывают свой код по всему адресному пространству. В принципе метода есть и уже опробована мной в другом проекте, насчёт QU ещё не знаю, включать ли это в публичную версию...

| Сообщение посчитали полезным:

Archer
Какие нибудь стоющие\новые плагины будут входить в релиз, где можно слить плуги сейчас (для теста)?

| Сообщение посчитали полезным:

DIMAIN
В релиз, скорее всего, я включу 2 скрипта (1 уже есть, второй для анпака множества однотипных пакеров с 2 процессами (парой страниц раньше обещал скрипт для них)). Ещё 1 товарищ хотел накодить скрипт для ACProtect, но пока только собирался, поэтому хз, как будет. Лично я считаю, что этих примеров хватит. Если есть голова на плечах и какой-нить опыт, можно накидать и скрипты для более-менее мощных протов.
Выкладывать второй скрипт сам по себе не вижу смысла, ибо для него нужен движок скриптовый поновее, который сделан в новом QU. Поэтому паблик ждёт, когда тестеры всё прогонят-тогда я выложу уже релиз со всем сразу.

| Сообщение посчитали полезным: