Сабж. Там гдето есть холст в png формате, он полностью декриптуется. На холсте изображён код. Код нужно этот достать.

Код чистый, нет ни обфускации, ни тайминга, ни вирт машин.

Если у вас получится достать код, не выкладывайте его сюда, он вам понадобится ;)

f931_26.08.2013_EXELAB.rU.tgz - Crmy.zip

| Сообщение посчитали полезным: Abraham

Red October, base64 декодер показывает:
{"data_version":1,"parameters":{"revocation_counter":65,"expiration":{"type":"relative","value":"15"}},"ln_hash":"BDF23C1213A4BF7DAF33C44366F06DB417AED3DD","server_cookie":"filedir-707-65"};SHA1;863636e5;MCwCFA92vufjd1xuN86FkDWXhyfCZksVAhRYutJZNHJxUeVn0RNIvy5mltWk3A==

| Сообщение посчитали полезным: Red October

r_e:Хорошо если это параметры то какок-то шифрованы или...
А если подпись то где-то по дате есть ограничение ??
Ковыряю AVG Tune UP 2018 ключи вдруг стали не валидны и установщик не хочет работать сегодня (пишет продукт устарел) хотя по декларации корпорации АVG ключ и продукт на 4 года а отработал год.
Есть трудности :
Нет вообще ничего (никакой информации) по ихней разработке AVG FrameWork которая служит основой (коркасом ) приложений.
Приложение написано на смеси С++ и Delphi ( а я как-то плохо знаком с Delphi)
Активация приложения привязана к серверу продукта и личному аккаунту на AVG.com
Довольно легко справился с временными ограничениями подменив значение возвращаемое GetLokalTime тем при котором валидация ключей успешна.
Параллельно изучаю крек старой версии (tulic.dll (2014)) но похоже зря защита продукта кардинально изменена .
Что посоветуете ??

| Сообщение посчитали полезным:

Посоветую не лезть в чужой топик, не имеющий отношения к авг.

| Сообщение посчитали полезным:

Копался в сервисном механизме, пока решил собрать антидебаг для тестов. Получается вот что.

NtCallbackReturn весьма полезный сервис в плане обхода отладки. На 86 аналог INT 0x2B. Был мой топик когда то на васме по этому поводу.

Для посылки гую сообщений поточный контекст сохраняется в сдерном стеке, его нельзя получить из юм, так же нет способа узнать что контекст был сохранён(только если исчерпать лимит вложенности). Уровень рекурсии разный, примерно 30.

Этот сервис загружает контекст из теневого стека, при этом восстанавливает TF и IP. До возврата происходит выборка(R) из ядра к аргументу сервиса и возвращается либо прочитанное значение, либо ноль если память NA. Отличный способ сбросить guard_page до передачи управления(те до возврата через этот сервис). Точку останова на область памяти снимает ядро до возврата. Получается аналогично как с ключами выше - ключ для дальнейшей расшифровки сохранён в ядре и не доступен из юм, так же как и адрес возврата

В режиме совместимости(wow) из за выравнивания на 8(x64) при передаче не выравненного указателя возвращается андок статус 0xC000041D, иначе можно было бы читать память из ядра до возврата и проверять код.

Интересно как это отлаживать в юм, позже мб семпл выложу.

-----
vx

| Сообщение посчитали полезным: SDK

Потестите плз семпл на 10-ке у кого имеется. Там нэйтив, может криво работать.

aac9_08.09.2019_EXELAB.rU.tgz - cb.7z

-----
vx

| Сообщение посчитали полезным:

на висте так же.



| Сообщение посчитали полезным: difexacaw

SDK

Можете отладчиком запустить и показать дебаг вывод ?

Иначе нельзя понять причину крэша, экспортный нэйтив вообще не вызывается, кроме дебаг принтов. Всё что я хотел что бы запустили олькой и сюда лог показали.

Сначала нужно довести до ума нэйтивные шлюзы, через них далее вся обработка пойдёт. Этот turbodispatch и защита могут сбоить, у меня нет всего набора ос для тестов.

-----
vx

| Сообщение посчитали полезным:

Бряк на 10003336





8a51_08.09.2019_EXELAB.rU.tgz - log.txt

| Сообщение посчитали полезным:

SDK

Успешно отработало, это точка останова в конце. Спасибо, хотелось бы на 10 посмотреть и на 6.1.7601.

-----
vx

| Сообщение посчитали полезным:

10-ки у меня нет и не было никогда.подождём у кого есть.difexacaw

| Сообщение посчитали полезным:

Может захочет кто антидебаг потестить.

d0e6_11.09.2019_EXELAB.rU.tgz - dbg.7z vx

-----
vx

| Сообщение посчитали полезным: SDK

10 x64 1809

cb
olly
100029E5 Access violation when reading [000000CC]
Thread 0000097C terminated, exit code C0000005 (-1073741819.)
Thread 00001B10 terminated, exit code C0000005 (-1073741819.)
Thread 000028A4 terminated, exit code C0000005 (-1073741819.)
Process terminated, exit code C0000005 (-1073741819.)

x64dbg
EXCEPTION_DEBUG_INFO:
dwFirstChance: 1
ExceptionCode: C0000005 (EXCEPTION_ACCESS_VIOLATION)
ExceptionFlags: 00000000
ExceptionAddress: 100029E5 cb.100029E5
NumberParameters: 2
ExceptionInformation[00]: 00000000 Read
ExceptionInformation[01]: 000000CC Inaccessible Address
First chance exception on 100029E5 (C0000005, EXCEPTION_ACCESS_VIOLATION)!
Thread 2140 exit
Thread 2AE8 exit
Thread 2298 exit
Process stopped with exit code 0xC0000005

dbg
olly
004036C3 Program entry point
Analysing dbg
77 heuristical procedures
2 calls to known, 50 calls to guessed functions
33 loops, 1 switches
Thread 00001640 terminated, exit code 0
Thread 000017B8 terminated, exit code 0
Thread 00002A5C terminated, exit code 0
77170000 Module C:\Windows\System32\IMM32.DLL
Debugging information (Microsoft format) available
Process terminated, exit code 0

x64dbg
Thread 12D8 exit
Thread 8DC exit
Process stopped with exit code 0x0

| Сообщение посчитали полезным: difexacaw

отлаживать можно если сменить оеп на 00001E7C

| Сообщение посчитали полезным:

Gideon Vi

Спс, а без отладчика сообщение выводит ?

-----
vx

| Сообщение посчитали полезным:

у меня на виртуалке 10 x64 1703 крякми и без отладчика падает

| Сообщение посчитали полезным:

user99 пишет:
у меня на виртуалке 10 x64 1703 крякми и без отладчика падает
половина примеров Нарвахи падает, кто сказал что этот К-Ми должен работать?

| Сообщение посчитали полезным:

запускайте на пк с виндовс хп и вистой всё работать будет

| Сообщение посчитали полезным:

Это не крэкми, а антидебаг к нему, я пока только это написал.

Походу на 8-ке тоже нестабильность. Во первых трабла с файловыми путями(под wow), надо изменить. Есчо по времени анстаб, это можно коэффициентами зафиксить. Есчо лог рвётся на turbothunk иногда(w8), может там фаулт.., короче нужно немного отладить и пофиксить.

Вот сурки кому интересно.

3850_11.09.2019_EXELAB.rU.tgz - anti.7z

-----
vx

| Сообщение посчитали полезным:

а кейгенми будет с этой антиотладкой ?
потому что крякми крякнется за 5 минут

| Сообщение посчитали полезным:

SDK

Каким же образом ты это всё пройдёшь, кернел дебаг ?

-----
vx

| Сообщение посчитали полезным:

скинь нормальный кейген ми чтоб была генерация sn От name там хоть интересно будет.
пройду старым способом отлаживая не запуская пейд rdg die cff hxd мне помогут.

| Сообщение посчитали полезным:

SDK

> пройду старым способом отлаживая

Так вот выше антидебаг, попробуй пройди

Если дебаг не запалился, по идеи должно вернуться три ключа, для дальнейшей дешифровки. А в конце антидебага идёт серия ядерных обратных вызовов гуя. Эти вызовы в юзермод нельзя отлаживать. Контекст потока хранится в ядре и не доступен в юм. Куда полетит управление не известно, а ключи так же в контексте ядерном хранятся. Есчо при этом сбрасывается TF и guard_page ядром. Варианта два - либо юзать виндебаг, либо как то дойти до NTCB и установить TF. Есть есчо третий вариант - сделать всё АП не исполняемым, но для этого придётся юзать и пилить сложные тулзы.

-----
vx

| Сообщение посчитали полезным:

я его обошел прыжком оеп и уже можно смотреть тело дебагер не выбивает .
окно выскакивает из под отладчика.\поэтому антиотладка должна мне мешать достичь цели
надо сделать именно крекми чтоб задача была получить ключ для своего имени и там была эта антиотладка.\
задача решена после получения ключа или создания кг вот такое я бы хотел увидеть от вас.

| Сообщение посчитали полезным:

SDK

Какое есчо тело, там после отработки прямой вывод сообщения об успешной отработке. Ты его нашёл в статике, по импорту к примеру, а не дошел до него отлаживая.

> поэтому антиотладка должна мне мешать достичь цели

Так не пройдя антидебаг ты не получишь ключи к расшифровке тела/строк/etc и не найдёшь нужное место. В этом примере ссылок на вывод сообщения нет, адрес этой функции криптофункция от антидебаг в целом.

-----
vx

| Сообщение посчитали полезным:

я незнаю я запустил оно выдало апп гуд
запустил в отладчике вылет ошибка доступа
нашел строку с месаджбоксом и сменил оеп на него
получил окно без заголовка апп но с гуд и правильным звуком\
и уже можно спокойно ковырятся отладчиком редактировать и сохранять дамп.
поэтому надо сделать вам именно крек ми и кейген ми
иначе upx мешает отладке сильнее.

| Сообщение посчитали полезным:

SDK

Я же говорил, это часть для будущего крэкми именно по антидебаг, а не крэкми с антидебаг

Это самая сложная, нэйтив как никак. Вот нужно это доработать, затем можно уже основную часть пилить.

-----
vx

| Сообщение посчитали полезным:

понял будем ждать .

| Сообщение посчитали полезным:

difexacaw пишет:
Спс, а без отладчика сообщение выводит ?

cb просто завершается, dbg падает после запуска второго процесса



| Сообщение посчитали полезным:

Gideon Vi

Попробуйте этот, лог идёт в файл.

8fd7_12.09.2019_EXELAB.rU.tgz - test.7z

-----
vx

| Сообщение посчитали полезным:

difexacaw

Setup.RPL 0x3
Setup.RPLDF
Setup.PeGetNativeBase 0x77A30000
NtGateInit.PTR 0x77AA0905
Setup.NtGateInit 0x77AA0905
Setup.ENV 0x00030000
Setup.NTCRC 0x2144DF1C
Setup.TLS 0x00560000
Setup.TsGet 0x00560000
TmInit.TmCreateTimer 0x0
TmInit.TmSetTimer 0x0
TmInit.TmAccessFile 0x0
TmInit.TmAccessFile 0x0
TmInit.TmNewObject 0x0
Setup.StkTrap 0xC0000353 STKCRC 0xBADC0DE
Setup.Key 0xE144DC4F
NtReTree.PeMapView 0x40000003
NtReTree.NTQUERY 0x0
NtReTree.NtFree 0x0
NtReTree.NtTree 0x1E2
NtReTree.NTUNMAP 0x0
Setup.STKCRC 0xBADC0DE
Setup.NtReTree 0x1E2
Setup.TrIsDebug 0xC0000353


далее вылет

olly
Setup.RPL 0x3
Setup.RPLDF
Setup.PeGetNativeBase 0x77A30000
NtGateInit.PTR 0x77AA0905
Setup.NtGateInit 0x77AA0905
Setup.ENV 0x02250000
Setup.NTCRC 0x2144DF1C
Setup.TLS 0x02280000
Setup.TsGet 0x02280000
TmInit.TmCreateTimer 0x0
TmInit.TmSetTimer 0x0
TmInit.TmAccessFile 0x18A440AA
Start.Setup 0x0


выход по exit code 0

| Сообщение посчитали полезным: difexacaw