| Сейчас на форуме: kris_sexy, vasilevradislav (+5 невидимых) |
 |
eXeL@B —› Крэки, обсуждения —› Кто знает немецкий язык. (или тутор по снятию SafeDisc 3.xx) |
| << . 1 . 2 . 3 . 4 . 5 . 6 . >> |
| Посл.ответ | Сообщение |
|
|
Создано: 02 мая 2005 22:42 · Поправил: Модератор · Личное сообщение · #1 Как известно, многие крэк-группы не хотят делиться туториалами по снятию той или иной защиты, и сидят на закрытых IRC каналах... Нашел тутор по снятию SafeDisc 3.xx. Вещь довольно интересная, только вот я не силен в немецком... Напишите хоть что-нибудь.  4ace_CIP _ Tutorial Manual unpack NFSU2 (Safedisc v3_xx).rar
----- MicroSoft? Is it some kind of a toilet paper?  |
|
|
Создано: 26 сентября 2005 06:07 · Личное сообщение · #2 Error_Log пишет: Посмотри в запротекченной проге как меняется указатель стека (esp) в этом месте ...ну,понятно,что значение регистра ESP увеличится на два DWORD'а. Error_Log пишет: Это похоже на команду коррекции стека. (add esp, 8) ...интересная идея,но эта команда занимает три байта,а там у нас есть только два и мусорных байт рядом не наблюдается.К тому же я сейчас посмотрел,там весьма часто используется этот вариант: call XXXXXXXX test / cmp pop ecx jcc ...возможно так и должно быть. ----- the Power of Reversing team |
|
|
Создано: 07 октября 2005 10:55 · Личное сообщение · #3 Вот что называется версия на версию не приходится - версия 3.20.22 (Prince of Rersia) распаковывается проще, чем версия 3.10.20 (Call of Duty)  .
Распаковка этого Принца напомнила мне чем-то историю с NFSU2 - процедура SD №2 восстанавливает сама себя, модифицированных наномитов нет...даже фальш-наномитов не было. Такие вот пироги. ----- the Power of Reversing team |
|
|
Создано: 15 декабря 2005 20:25 · Личное сообщение · #4 по поводу детекта OllyDbg SafeDisc`ом... если использовать плагин "hidedbg" от loveboom`а (кем-то пофиксеный, V1.01) то SD больше не ругается на присуствие отладчика (OllyDbg)... |
|
|
Создано: 15 декабря 2005 21:40 · Личное сообщение · #5 s0cpy А можно узнать,на какой версии SD ты проверял? ----- the Power of Reversing team |
|
|
Создано: 15 декабря 2005 21:42 · Личное сообщение · #6 И hidedbg выложить ;) ----- TBR |
|
|
Создано: 16 декабря 2005 00:15 · Личное сообщение · #7 s0cpy Ага щазз ... На NFSMW ( Black Edition ) v1.2 и v1.3 еще как палит ... фиксеный плагин или нет  e589_nfsmw_dbg.PNG.zip
|
|
|
Создано: 16 декабря 2005 03:45 · Поправил: Bitfry · Личное сообщение · #8 DillerInc А что, разве мой скрипт не работает? ...Хотя скрипт то может и не работать, но принцип ИМХО и для 3 версии прокатит. Или нет? Я уже засомневался. Может быть, кто-то проверит и скажет мне прав я или нет. Суть в том, что в SafeCast 2.67 (она же SD) была только одна процедура антиотладки. Найти её – дело минутное. Можно ставить бряк на IsDebuggerPresent и смотреть дальше выход из процедуры (два-три рета). А проще так: 1. На PEP выполниться до ближайшей процедуры (там вся распаковка и все проверки). 2. Войти в неё. 3. Прошагать до команды call EAX (шагать далеко и бряки не всегда срабатывают). 4. Войти в неё. 5. Где-то чуть выше (в пределах 1000 байт) будет процедура антиотладки. А вот как в SC2.67 выглядел фатальный выход из этой процедуры: Вайты: 66:837D FC 00
Команды: cmp word ptr ss:[ebp-4], 0
Собственно говоря – всё. 
Прикладываю скрипт который меняет выходное значение на правильное и доходит до OEP. Z0oMiK Проверь хотя бы ты. Если нет, пойду покупать NFS 
8be3_1_Antidebug.rar.zip
ЗЫ Нужно что-то делать с тегом кода. ----- Всем привет, я вернулся |
|
|
Создано: 16 декабря 2005 10:29 · Личное сообщение · #9 DillerInc если я правильно вкурил по поводу определения версии SD, то у меня получилось что-то типа 3.67 (в версии 1.2 NFSMW).... Z0oMiK палить то, как раз и не палит (в смысле того, что не получаем месагу о том что у нас завелся какой-то дебаггер)... но и хорошего мало..
даже если не ставить никаких бряков, а просто отпустить на волю по F9, игра впадает в кому... у ольки загрузка проца на 100, ждал, ждал пока хоть что-нть случиться - так и не дождался... 
если тормознуть ольку (нажать "[II]"), то оказываемся в ntdll на ret, нажимаем один раз F7 и в статусе видим "Running" и опять молчание...
|
|
|
Создано: 16 декабря 2005 11:17 · Личное сообщение · #10 у господ из Deviance, появившейся после разгрома Myth+Hooldum, есть утиль, снимающий SD с версии 2.х по 4.6(т.е. текущую) в статике, но в последних версиях активно используется SD API, так что дорабатывать в любом случае приходится ручками. По слухам в RLD, они же Reloaded, так же есть подобный утиль по левым каналам ушедший из Myth ихде бы этот утиль отыскать 
|
|
|
Создано: 16 декабря 2005 12:43 · Личное сообщение · #11 dsg А ты хде такое услыхал ?
|
|
|
Создано: 16 декабря 2005 14:10 · Личное сообщение · #12 наши люди... ;) чтобы не было недопониманий, про статик я имел ввиду, что при наличии клона или ориг. диска, утиль снимает полноценный ехе. |
|
|
Создано: 16 декабря 2005 14:57 · Личное сообщение · #13 нашел почему под олькой нфс-ка падала в кому... при вызове из модуля со странным именем ~e5.0001 (который обитает в temp-директории во время запуска игры, и как оказалось потом этот модуль - Cleanup.exe) ф-ции WaitForSingleObject, ей в качестве параметра задержки времени передавалось очень много - аж целых FFFFFFFF...
|
|
|
Создано: 16 декабря 2005 15:40 · Поправил: DillerInc · Личное сообщение · #14 Bitfry пишет: А что, разве мой скрипт не работает? ...признаться честно я не проверял,т.к. с того времени не попадалось оригинальных дисков с SD(игры с последней версией 4.60 уж больно заразы дорогие...взять хотя бы тот же Call of Duty 2). К тому же сейчас наконец-то начал ковырять четвёртую и пятую версии Securom'а. dsg пишет: ихде бы этот утиль отыскать ...вот лишь бы всё автоматизировать .
----- the Power of Reversing team |
|
|
Создано: 16 декабря 2005 15:51 · Личное сообщение · #15 млин, подскажите идею, как в ольке int3 (наномиты эти..) проходить что-б код восстанавливался... |
|
|
Создано: 16 декабря 2005 22:52 · Личное сообщение · #16 |
|
|
Создано: 17 декабря 2005 02:20 · Личное сообщение · #17 Я извеняюсь, а не кто ещё из тут присутствующих SD4 не снимал? |
|
|
Создано: 17 декабря 2005 02:42 · Личное сообщение · #18 Sasser Тут о нем речь и идет .... SD v4.xx.xx на NFSMW v1.2 и v1.3 |
|
|
Создано: 17 декабря 2005 02:58 · Личное сообщение · #19 Очень хорошо надеюсь после снятия туториал будет? желательно бы именно по NFSMW, желаю вам успеха т.к сам новичок буду пристально следить за вашими действиями
|
|
|
Создано: 17 декабря 2005 04:07 · Личное сообщение · #20 Кстати желательно бы знать кто какую версию ковыряет ? Я v1.3 |
|
|
Создано: 17 декабря 2005 06:13 · Личное сообщение · #21 а кто 1.2? патч для 1.3 недавно вышел и там правка мультиплеера в основном...а что они и SafeDisk пропатчили в этом патче? |
|
|
Создано: 17 декабря 2005 10:40 · Личное сообщение · #22 Sasser пишет: а не кто ещё из тут присутствующих SD4 не снимал? ...по ссылкам пощёлкайте. ----- the Power of Reversing team |
|
|
Создано: 17 декабря 2005 16:18 · Личное сообщение · #23 Bitfry пишет: Суть в том, что в SafeCast 2.67 (она же SD) была только одна процедура антиотладки. Найти её – дело минутное. В более поздних версиях протектора процедура проверки отладчика явно не одна, в часности для обнаружения отладчика используется драйвер нулевого кольца (secdrv.sys). При гарантированном отлове отладчика SafeDisk пишет, что попалил дебагер, при неуверенном отлове (видимо только одним из способов) просто выходит на ExitProcess, иногда подвисает и грузит проц, а иногда даже невозможно нормально завершить повиснувший процесс (видимо из-за каких-то хуков из ring-0). А вообще не вижу целесообразным отлаживать протектор с драйвером ring-0 отладчиком 3-го кольца. Не нужно забывать САЙС! Немного терпения и антиотладку можно побороть! P.S. Кому интересно SafeDisk 4.хх можно найти на новых игрушках от NEOGAME(пираты). Тот же NFSMW к примеру. Запускается через ... Инсталишь игруху, потом устанавливается Демон тулз 4 версии+утилита для сокрытия демона от глаз SafeDiska. При запуске игрухи автоматом монтируется имидж(который распаковывается из инсталла) в демон тулз и нужно запустить HideCD еще. В общем после таких игрушек тянет покупать только лицензионные диски, козлы уже SafeDisk отломать не могут по человечески. Такая фигня у NEOGAME частенько, так что кому интересно на последних SafeDisk-ах потренероваться по разумной цене - покупайте NEOGAME 
----- Research is my purpose |
|
|
Создано: 17 декабря 2005 17:02 · Личное сообщение · #24 s0cpy пишет: ф-ции WaitForSingleObject, ей в качестве параметра задержки времени передавалось очень много - аж целых FFFFFFFF... угу, таже фигня ) помню раньше SD спокойно под олли запускался, а тут кинул нфс в олли и облом ) Error_Log пишет: Запускается через ... Инсталишь игруху, потом устанавливается Демон тулз 4 версии+утилита для сокрытия демона от глаз SafeDiska. При запуске игрухи автоматом монтируется имидж(который распаковывается из инсталла) в демон тулз и нужно запустить HideCD еще. В общем после таких игрушек тянет покупать только лицензионные диски, козлы уже SafeDisk отломать не могут по человечески. ну в принципе нормально =) я лучше буду играть в таоке чем покупать лицензии или ждать качественно взломанного ещё месяц. |
|
|
Создано: 17 декабря 2005 17:45 · Личное сообщение · #25 Диски от 1С у нас практически не отличаются по цене от пиратских, имеют полный качественный перевод с русской озвучкой. Единственный напряг - StarForce. Удивляет, как люди, зарабатывая бешенные деньги на пиратских дисках не могут сделать все по-человечески. Не верю, что имея в распоряжении большие деньги, так страшен этот SafeDisk для пиратов. Это крайняя степень жлобства! P.S Ссори за оффтоп. ----- Research is my purpose |
|
|
Создано: 17 декабря 2005 18:11 · Личное сообщение · #26 s0cpy пишет: ф-ции WaitForSingleObject, ей в качестве параметра задержки времени передавалось очень много - аж целых FFFFFFFF... это называется не очень много а INFINITE |
|
|
Создано: 17 декабря 2005 18:40 · Личное сообщение · #27 Asterix это называется не очень много а INFINITE дык я в курсе - в olly видно... кстати, перенаправленные call`ы теперь могут оказаться совсем не call`ами ( утверждать не буду...): было - .006E5ABB CALL 004017A9 стало - .006E5ABB ADD EAX, 00000080 |
|
|
Создано: 17 декабря 2005 20:18 · Личное сообщение · #28 s0cpy пишет: кстати, перенаправленные call`ы теперь могут оказаться совсем не call`ами ...дык,так и есть.Я называю,эту тему "Процедура SD №2" .В восстановленном виде это: * либо CALL [смещение JMP_reference] * либо какая-нибудь пятибайтовая команда(в Splinter Cell Pandora Tomorrow встречались и шестибайтовые подобные команды) И очень хорошо,если эта процедура восстанавливает сама себя,если же нет,то восстановление становиться на порядок сложнее.В последнем случае либо надо лезть в дебри кода протектора,что я ещё не решался делать,либо восстанавливать всё это с помощью некоторой матери.Но как показывает практика,в случае,если эта процедура не восстанавливается сама,то там спрятаны как правило примитивные команды типа: MOV EAX, 00000020 Error_Log ...солидарен с тобой - на днях другу привезли из Питера всё тот же NFSMW,и так как тот в этих делах не в зуб ногой,то мне пришлось разбираться,что же такого намудрили там эти пираты .
----- the Power of Reversing team |
|
|
Создано: 18 декабря 2005 02:43 · Поправил: Z0oMiK · Личное сообщение · #29 Нада где нить пиратскую EXE намутить поглядеть чего к чему
Решил по эксперементировать ... взял EXE из Demo версии а при запуске получил такую гадость File not found "f:\mw\speed\indep\src\online/LobbyCore.cpp". ыть
|
|
|
Создано: 18 декабря 2005 04:19 · Личное сообщение · #30 Вот нарыл 2 сайтика по CD Protection club.cdfreaks.com/forumdisplay.php?f=80 www.yates2k.net/cd.html |
|
|
Создано: 18 декабря 2005 16:07 · Личное сообщение · #31 выкладываю табличку импорта для NFSMW v.1.2 (может кому сгодиться) и секцию .text с частично (насколько смог) восстановленными наномитами и call-ref`ами... _hxxp://webfile.ru/697981 (размерчик - 1676 Кб) |
| << . 1 . 2 . 3 . 4 . 5 . 6 . >> |
|
eXeL@B —› Крэки, обсуждения —› Кто знает немецкий язык. (или тутор по снятию SafeDisc 3.xx) |
Для печати
