Приветствую, уважаемое сообщество.
Нашел несколько смежных тем, но не удовлетворил свое любопытство.
Имеется SFX-zip архив, вообщем платник - типа отправь смс и получи код.
Достоверно известно, что не пустышка.
Universal Extractor просит пароль при извлечении файлов.
Хотелось бы провести plaintext атаку на архив, так как у меня есть отдельные незаархивированные файлы из этого архива, но AAPR пишет, что файл не является архивным, хотя в описании программы указано, что она работает с SFX-zip. Есть предположение, что если снять заголовок SFX с файла и выцарапать сам zip-архив, то plaintext-атака может получиться.
Собственно вот и вопрос, как выцарапать zip-архив из SFX-zip файла.

| Сообщение посчитали полезным:

Solidgrasp пишет:
"Достоверно известно, что не пустышка." - уже отправил СМС и получил код?

| Сообщение посчитали полезным:

Solidgrasp
Архивы обычно хранятся либо в оверлее , либо в ресурсах
Если UniExtract просит пароль, значит архив лежит в открытом виде (т.е сигнатура будет стандартная). Хотя не исключён вариант с фейковым архивом как раз для всяких уни-экстракторов
Ищи подозрительно большие массивы бинарных данных
Если нашел в оверлее - лови вызов CreateFile, и жди, пока он дочитает себя до сигнатуры архива
Если нашел в ресурсах - лови FindResource/LoadResource

Удачи! она тебе очень пригодится

| Сообщение посчитали полезным: TLN

Открываешь в любом hex редакторе, переходишь в конец MZ файла, ищешь там сигнатуры Rar!, PK, 7z или даже MZ, и все что выше отрезаешь.

| Сообщение посчитали полезным:

Может это и не sfx-zip вообще, зачастую там exe-шник с гуем, стилизованным под.

Возможно, будет полезным - http://forum.ru-board.com/topic.cgi?forum=55&topic=10563

| Сообщение посчитали полезным:

Solidgrasp
попробуй ExeInfoPE, Rip -> BIN archives

у меня еще бывало так: закачивал я ZipMonstr архив, как раз о них ты, наверно, говоришь
99% скачал - НОД32 обрубает и говорит, что "Packed.ZipMonstr.C" или типа того
из карантина вынаешь - последних 50-100 байт нет, поэтому не все проги корректно опознают zip
а с выключенным НОД'ом закачаю опять - целый.

потом открыл в WinRAR, он сказал "SFX ZIP архив"
и "Размер SFX модуля -" ну, например, 2456789 байт

открываю монстра (исходный SFX архив) в любом Hex Editor'е (WinHex, ...)
дохожу до указанного байта (в данном случае будет 2456789d = 257CD5h),
выделяю до начала, отрезаю, сохраняю файл как ZIP
...и если повезло с plaintext файлом, то

конкретно для ZIP архивов - они всегда начинаются с PK, т.е. с байтов 50 4B,
и если файлов в архиве несколько, то они и повторятся неск. раз далее по ходу файла

| Сообщение посчитали полезным:

Посмотрите эту тему
http://forum.ru-board.com/topic.cgi?forum=55&topic=10563#1
там выкладывали и брутфорсеры и универсальные ключи и тулзы для выдерания рабочих архивов.

| Сообщение посчитали полезным:

ELF_7719116 пишет:
"Достоверно известно, что не пустышка." - уже отправил СМС и получил код?
СМС не отправлял. А почему не пустышка знаю точно, просто секрет это. )))

Veliant пишет:
ищешь там сигнатуры Rar!, PK, 7z или даже MZ, и все что выше отрезаешь.
сигнатур PK около 10 в файле, а если отрезать все что выше, то правда ли то, что все что останется ниже и есть архив в чистом виде? Сомневаюсь. А MZ может быть? В самораспаковывающемся архиве еще один self-extract архив?
Dart Raiden пишет:
Возможно, будет полезным - http://forum.ru-board.com/topic.cgi?forum=55&topic=10563
Большущее спасибо Dart Raiden! То что надо. Пофиксил архив с помощью DiskInternals ZIP Repair, теперь он хоть стал определятся AAPR как архив. Пока брутфорс поставил, только завтра plain-text смогу проверить.
Если не выйдет попробую и метод sivorog-а. Завтра отпишусь.

| Сообщение посчитали полезным:

Vovan666 - тезка, спасибо!

| Сообщение посчитали полезным:

Помогла обработка SFX-zip с помощью программы ZIP Repair и последующий plaintext. Всем участвующим и сочувствующим спасибо! Можно закрывать тему. Хотя это у меня прокатило потому что есть известный файл - можно тогда и не закрывать тему )))

| Сообщение посчитали полезным:

Автор сам может закрыть свою тему, кнопка "Закрыть тему" находится внизу страницы, под кнопкой "Отправить сообщение".
Пользуйся кнопкой "Правка", не создавай сообщения подряд.

| Сообщение посчитали полезным: