Сейчас на форуме: (+7 невидимых)

 eXeL@B —› Протекторы —› unpacker for themida's packed files. version 1.8.x.x to current
<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . >>
Посл.ответ Сообщение

Ранг: 1045.7 (!!!!), 31thx
Активность: 0.57↘0
Статус: Участник

 Создано: 03 мая 2007 03:55
· Личное сообщение · #1

An unpacker for themida's packed files. version 1.8.x.x to current.
download it from here:
www5.rapidupload.com/d.php?file=dl&filepath=38962




Ранг: 118.1 (ветеран)
Активность: 0.14↘0
Статус: Участник

 Создано: 12 сентября 2008 17:01
· Личное сообщение · #2

roos slil.ru/26139205

-----
PSP-Gamer.ru


Ранг: 529.0 (!), 110thx
Активность: 0.29↘0.04
Статус: Участник
5KRT

 Создано: 12 сентября 2008 22:21
· Личное сообщение · #3

Ну так что? Нету людей, кто смог бы помочь?

-----
Research For Food

Ранг: 159.1 (ветеран), 7thx
Активность: 0.13↘0
Статус: Участник

 Создано: 12 сентября 2008 23:50
· Личное сообщение · #4

daFix
Ни как не могу найти Magic Jump в этой хрене.
А что такое Magic Jump ?




Ранг: 529.0 (!), 110thx
Активность: 0.29↘0.04
Статус: Участник
5KRT

 Создано: 13 сентября 2008 00:18
· Личное сообщение · #5

Прыжок который надо править чтобы получить не редирекченный импорт

-----
Research For Food


Ранг: 568.2 (!), 464thx
Активность: 0.55↗0.57
Статус: Участник
оптимист

 Создано: 13 сентября 2008 01:36
· Личное сообщение · #6

Вот какие уменя есть--> аутоунпакеры <-- http://rapidshare.com/files/144791087/UNThemida.rar.html
1.UnThemida1.0.exe
2.UnThemida 2.0.exe
3.UnThemida 3.0.exe
4.UnThemida 3.0-2003.exe
5.tmdunpacker.exe
Всего 1.9Mb

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.


Ранг: 118.1 (ветеран)
Активность: 0.14↘0
Статус: Участник

 Создано: 13 сентября 2008 09:31
· Личное сообщение · #7

ClockMan пишет:
1.UnThemida1.0.exe
2.UnThemida 2.0.exe
3.UnThemida 3.0.exe
4.UnThemida 3.0-2003.exe
Не работают

-----
PSP-Gamer.ru

Ранг: 159.1 (ветеран), 7thx
Активность: 0.13↘0
Статус: Участник

 Создано: 13 сентября 2008 09:39
· Личное сообщение · #8

daFix
Прыжок который надо править
Там,при работе с импортом, используется VM




Ранг: 529.0 (!), 110thx
Активность: 0.29↘0.04
Статус: Участник
5KRT

 Создано: 13 сентября 2008 12:52
· Личное сообщение · #9

tempread
А есть какие нибудь варианты этого решения кроме разбора виртуальной машины?

-----
Research For Food


Ранг: 527.7 (!), 381thx
Активность: 0.16↘0.09
Статус: Участник
Победитель турнира 2010

 Создано: 13 сентября 2008 14:18
· Личное сообщение · #10

daFix пишет:
А есть какие нибудь варианты этого решения кроме разбора виртуальной машины?

можно попробовать фиксить с помощью UIFa как в мувике от Jokera.

-----
127.0.0.1, sweet 127.0.0.1

Ранг: 159.1 (ветеран), 7thx
Активность: 0.13↘0
Статус: Участник

 Создано: 13 сентября 2008 14:51 · Поправил: tempread
· Личное сообщение · #11

daFix
Если UIF не поможет, то я бы поступил следующим образом(для покоряженого импорта):
1)Подсматриваем какая функция сейчас обрабатывается(см. 103136с0, рег.eax)
2)Смотрим,что сейчас в импорт пишется(ставь мемори бряк на импорт)
3)Составляем таблицу соответствия
4)Используя таблицу, тупо во всем файле меняем вызов всех функций из импорта(нужно быть осторожным,http://exelab.ru/f/action=vthread&topic=11000&f orum=3&page=0#3)




Ранг: 529.0 (!), 110thx
Активность: 0.29↘0.04
Статус: Участник
5KRT

 Создано: 13 сентября 2008 15:23
· Личное сообщение · #12

OKOB
Кинь линк на мувик

-----
Research For Food

Ранг: 1045.7 (!!!!), 31thx
Активность: 0.57↘0
Статус: Участник

 Создано: 13 сентября 2008 16:10
· Личное сообщение · #13

OKOB пишет:
фиксить с помощью UIFa
UIF для фимы лучше не юзать ;) да и вообще лучще не юзать




Ранг: 1131.7 (!!!!), 447thx
Активность: 0.67↘0.2
Статус: Участник

 Создано: 14 сентября 2008 02:46
· Личное сообщение · #14

pavka пишет:
да и вообще лучще не юзать

а что с ним не так?



Ранг: 260.2 (наставник)
Активность: 0.19↘0
Статус: Участник

 Создано: 14 сентября 2008 14:38 · Поправил: sniperZ
· Личное сообщение · #15

tempread
я находил 3 места: в первом в eax лежал адрес апи-функи (независимо, будет она редиректиться или нед), в двух других - место записи перенаправленной и неперенаправленной апи. дальше пишется скрепт, который это все дело фиксит. потом UIF + ImpRec делаает своё дело..

daFix пишет:
Ни как не могу найти Magic Jump в этой хрене...
в последних версиях ты его по стотьям не надешь, лучше немного потрейсить, там много чего интересного..

в фимке есть ещё такая фишка - с прогой может ликоваться длл проги, которая потом дропается в страницу памяти, там все настраиватся. соответственно импрек не видит этой длл и не восстанавливает иат. в моем случае длл я вытянул с памяти, функции в проге дописал руками, там их пару штук было. интересно, как аверы к такой длл относятся.




Ранг: 529.0 (!), 110thx
Активность: 0.29↘0.04
Статус: Участник
5KRT

 Создано: 16 сентября 2008 00:24
· Личное сообщение · #16

А как быть с Виртуальной машиной темиды? Импорт восстановлен

-----
Research For Food


Ранг: 392.8 (мудрец), 108thx
Активность: 0.26↘0.01
Статус: Участник
REVENGE сила, БеХоЦе могила

 Создано: 16 сентября 2008 06:07
· Личное сообщение · #17

daFix ее надо дампить вместе с основной прогой.
Она без проблем будет работать

-----
StarForce и Themida ацтой!


Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.34↘0.25
Статус: Модератор
retired

 Создано: 16 сентября 2008 09:34
· Личное сообщение · #18

Во 2 фиме работать будет с проблемой, на входе в вм код есть антидамповый, проверяет некоторые вещи, типа еп в хедере на 0...



Ранг: 12.1 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 16 сентября 2008 21:55
· Личное сообщение · #19

Хотел бы поподробнее узнать про ВМ фемиды. Где можно почитать, подскажите?




Ранг: 529.0 (!), 110thx
Активность: 0.29↘0.04
Статус: Участник
5KRT

 Создано: 16 сентября 2008 22:36
· Личное сообщение · #20

Ну и мне тогда подкините информацию если у кого-то лишняя завалялась, очень заинтересовала фемида

-----
Research For Food

Ранг: 260.2 (наставник)
Активность: 0.19↘0
Статус: Участник

 Создано: 16 сентября 2008 23:33
· Личное сообщение · #21

daFix
нормальных стотей по фимке нету, из ценного можно выделить только скрепты с тутсфою..




Ранг: 154.2 (ветеран), 66thx
Активность: 0.08↘0
Статус: Участник
REVENGE Crew

 Создано: 16 сентября 2008 23:54
· Личное сообщение · #22

Почему нет? Все основные моменты раскрыты, просто нет описания собранного в одно целое, но при желании все можно найти, даже устройство ВМ (Бррр, за что не люблю Миду - мегабайты кода вместо пару инструкций, ну и тенденция...).



Ранг: 12.1 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 17 сентября 2008 01:01 · Поправил: Enclave
· Личное сообщение · #23

kioresk

Направление поиска подскажите плиз.
А то ветвлений много слишком...




Ранг: 527.7 (!), 381thx
Активность: 0.16↘0.09
Статус: Участник
Победитель турнира 2010

 Создано: 17 сентября 2008 18:46
· Личное сообщение · #24

Enclave пишет:
Хотел бы поподробнее узнать про ВМ фемиды.

Да не все так сложно , их всего несколько:
Mutable CISC Processor
Mutable RISC-64 Processor
Mutable RISC-128 Processor
Mutable CISC-2 Processor

О которой хотел бы узнать? По двум в сети есть инфа от китайцев.
А по одной полурабочие сырки анализатора (для одного виртуализированного куска).

Виртуалки вполне реализуемые, но для каждой конкретной программы из горы обфусцированного кода нужно выудить массу констант, и установить соответствие между опкодом (1но или 2х байтовым и
хэндлером виртуальной машины). Некоторые хэндлеры вообще могут не использоваться, для других может быть несколько опкодов. Таблицы соответствия фиксированного размера и обычно используются полностью.
Работа не одного дня.

Начинать лучше со старых версий, т.к. архитектура осталась почти неизменной, а то что раньше было в открытом виде (и сворачивалось ИДАвскими скриптами) сейчас изрядно обсфуцированно.

Для интересующихся в прицепе:
скрипты ИДА
oreans_VM1_make.idc - ищет (анализирует) в сдампленом файле вызовы виртуальной машины
(работает для старых версий)

oreans_info.idc - файлы констант для скриптов (старые версии фимы)

Пример разбора виртуальной машины Themida v1.8.0.0 Demo
(один из 90 виртуализированных участков)

vm76__1 - псевдокод выдаваемый анализатором
(псевдокод для виртуализированного кода участка начинается со строки с номером 798)
vm76.bat - асм код идентичный псевдокоду (на вход МАSM)
vm76__3 - кусок МАSM листинга по которому код патчится в дамп
vm76__4 - кусок листинга ИДА со следами анализа

Бонус: oreans_mark.idc - скрипт идентифицирующий вызываемый АПИ по хэшу имени
в старых версиях работает на ура, в новых много хэшей обфусцировано, но всеже
значительно упрощает статик анализ.



2dab_17.09.2008_CRACKLAB.rU.tgz - fima.rar

-----
127.0.0.1, sweet 127.0.0.1

Ранг: 12.1 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 17 сентября 2008 18:58
· Личное сообщение · #25

OKOB

Спасибо, пошел читать.



Ранг: 159.1 (ветеран), 7thx
Активность: 0.13↘0
Статус: Участник

 Создано: 17 сентября 2008 23:24
· Личное сообщение · #26

К fima.rar полезно почитать и letitbit.net/download/ad8f99418824/caro-obfuscation.rar.html



Ранг: 12.1 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 18 сентября 2008 01:23 · Поправил: Enclave
· Личное сообщение · #27

Весьма познавательно. Спасибо большое, где вы такое берете?

Возник такой вопрос. После дампа защищенной Фемидой проги (анпакером от OKDODO), вот что нашлось в коде:

Code:
  1. Flight1_:00551372                                                 loc_551372:                             ; CODE XREF: Flight1_:0055C65Aj
  2. Flight1_:00551372 8B 34 24                                                        mov     esi, [esp]
  3. Flight1_:00551375 81 C4 04 00 00 00                                               add     esp, 4
  4. Flight1_:0055137B 29 E8                                                           sub     eax, ebp
  5. Flight1_:0055137D E9 6A D9 00 00                                                  jmp     loc_55ECEC
  6. Flight1_:00551382                                                 ; ---------------------------------------------------------------------- -----
  7. Flight1_:00551382
  8. Flight1_:00551382                                                 loc_551382:                             ; CODE XREF: Flight1_:00558A27j
  9. Flight1_:00551382 89 1C 24                                                        mov     [esp], ebx
  10. Flight1_:00551385 56                                                              push    esi
  11. Flight1_:00551386 BE B8 14 AF 1D                                                  mov     esi, 1DAF14B8h
  12. Flight1_:0055138B E9 E2 2E 00 00                                                  jmp     loc_554272
  13. Flight1_:00551390                                                 ; ---------------------------------------------------------------------- -----
  14. Flight1_:00551390
  15. Flight1_:00551390                                                 loc_551390:                             ; CODE XREF: Flight1_:0054C47Ej
  16. Flight1_:00551390 00 CB                                                           add     bl, cl
  17. Flight1_:00551392 59                                                              pop     ecx
  18. Flight1_:00551393 80 EB F1                                                        sub     bl, 0F1h
  19. Flight1_:00551396 0F B6 C0                                                        movzx   eax, al
  20. Flight1_:00551399 FF 24 87                                                        jmp     dword ptr [edi+eax*4]


Что это? Последняя инструкция передает управление на куски кода, аналогичные двум предыдущим. Их там очень много и итераций таких совершается порядка 10000. Концовку отследил, там несложно оказалось, но...

Хм, если почитать последнюю доку, то напрашивается очевидный ответ...




Ранг: 527.7 (!), 381thx
Активность: 0.16↘0.09
Статус: Участник
Победитель турнира 2010

 Создано: 18 сентября 2008 10:22
· Личное сообщение · #28

tempread пишет:
К fima.rar полезно почитать
Тогда уже и rapidshare.com/files/146239538/virtualization_obfs.rar.html

-----
127.0.0.1, sweet 127.0.0.1


Ранг: 154.2 (ветеран), 66thx
Активность: 0.08↘0
Статус: Участник
REVENGE Crew

 Создано: 18 сентября 2008 10:38 · Поправил: kioresk
· Личное сообщение · #29

Enclave,

посмотри еще:

Inside Code Virtualizer by scherzo http://rs58.rapidshare.com/files/16968098/Inside_Code_Virtualizer.rar (0.6 Мб)

Themida 1.9.1.x CISC Processor VM by softworm http://www.tuts4you.com/download.php?view.1890 (0.4 Мб, на китайском)

Fighting Oreans' VM (code virtualizer flavour) http://www.woodmann.com/forum/showthread.php?t=12015 (там же есть ссылки на анализ VMProtect'а, где RolfRolles описывает методики по восстановлению кода)

PS.
По бытовухе (анпак/crc) многое есть unpack.cn, плюс поиск по форуму никто не отменял.



Ранг: 12.1 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 18 сентября 2008 10:54
· Личное сообщение · #30

Форум в первую очередь просканировал.
Да, VM на первый взгляд похожа на эмуляцию разичных процессоров...когда то давно сам писал эмуль Z80
Очень полезная инфа, спасибо.



Ранг: 123.0 (ветеран), 10thx
Активность: 0.06↘0
Статус: Участник

 Создано: 18 сентября 2008 11:25
· Личное сообщение · #31

Немножко не в тему, но по вмпротекту ни у кого нету облегчающих ее разбор скриптов? Можно приватом. А то застрял я на ней...

-----
.[ rE! p0w4 ].
<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . >>
 eXeL@B —› Протекторы —› unpacker for themida's packed files. version 1.8.x.x to current
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати