Китайцы обновили плуг
bbs.cracktool.com/viewthread.php?tid=28854&extra=page%3D1
OllyDBG v1.10 plugin - StrongOD v0.18 [2008.09.18]
OllyDBG v1.10 plugin - StrongOD v0.18
Temptress Moon Shadow by sea [CUG]
================================================== ==================
[2008.09.18 v0.18]
1, to repair the Ctrl + G calculation rva, offset when a small BUG
2, when the program is not running the state, Detach before running program
3, restoration of the original data OD zone copy BUG
4, repair od after the CPU running very high occupancy rate BUG
5, you can set it to skip some of the exception handling

[2008.09.02 v0.17]
1, to skip some of the improper handling of the abnormal OD
2, correctly handle the instructions int 2d

[2008.08.31 v0.16]
1, joined the drive to protect the process, the hidden window, over most of the anti-debugging
2, driver support for the custom equipment 000 (ollydbg.ini of DeviceName, equipment were not more than 8 characters)
ollydbg.ini of [StrongOD], you can set up their own
HideWindow = 1 to hide the window
HideProcess = 1 to hide the process
ProtectProcess = 1 protection process
DriverKey =- 82693034 and the key driver of communication
DriverName = fengyue0 who drives (not more than 8 characters)

3, OD will be the creation of the parent process into the process explorer.exe (copied from shoooo code)

////////////////////////////////////////////////// ///////////

The increase in the version of the driver, if a blue screen, set up minidump spread to the Forum, thank you
OllyDbg original use as much as possible, and other generally do not need the anti-anti plugin in conjunction with plug-in (including phant0m)

[Note of the final film Temptress Moon by the sea in the editing 2008-9-19 20:52]

House accounts, anti shell had the option to use the skills and

The following are no special note are the original OD add a plug-in plug-in StrongOD operate



Ollydbg.ini in the first [Plugin StrongOD] the following HideWindow, ProtectProcess into the value of 1, the value of KernelMode turned into a preserve



1, Themida / WinLicense

Plug-in option to set a minimum
Original run OD, included in the main program Themida v1.9.9.0, stopped at the entrance after the removal of all breakpoints, Shift + F9 up-and-run
2, ExeCryptor v2.4.1
Plug-in option to set a minimum
Original run OD, set up break point on break point in the system to stop
ExeCryptor v2.4.1 included in the main program, stopped at the breakpoint system, according to Alt + B, remove the breakpoint EP
And then Shift + F9, you can
3, TTProtect v1.05 DEMO
Plug-in option to set a minimum
Original run OD, loading TTProtect v1.05 DEMO main program, Shift + F9
4, VMProtect v1.65.2
vmp v1.65 added to the xp system under the OD of the new anti
Plug-in option to set a minimum
Original run OD, loading VMProtect v1.65.2 main program, Shift + F9

| Сообщение посчитали полезным:

Av0id пишет:
всегда последняя версия, у меня виртуалка не имеет инета http://sod.ibt.name/Download/StrongOD.dll

кто-нибудь знает работающую постоянную ссылку?

| Сообщение посчитали полезным:

Gideon Vi, сайта у авторов нету, вряд ли есть постоянная. Текущая: --> Link <--

| Сообщение посчитали полезным:

что-то раньше плагиной не пользовался, оказывается - волшебная штука. У меня с ней олька заработала под Win7 x64

| Сообщение посчитали полезным:

Gideon Vi,

StrongOD.v0.4.8 2012.10.29

http://www.4shared.com/rar/YHBPOwpc/SD_online.html

-----
...или ты работаешь хорошо, или ты работаешь много...

| Сообщение посчитали полезным:

а тут по ходу битая ссылка - http://www.unpack.cn/thread-28854-1-1.html
чето часто за последние дни плаг обновляться начал, видать автор зашевелился

| Сообщение посчитали полезным:

http://www.cracklife.com/sod/StrongOD.dll

md5 чекнуть можно по
http://www.cracklife.com/sod/update.txt

| Сообщение посчитали полезным: k_posol

Новая версия от 8 ноября 2012
0.4.8.892

Ссылки такие же, как и выше в посте drone

-----
ds

| Сообщение посчитали полезным: schokk_m4ks1k, vnekrilov, Gideon Vi, k_posol

DimitarSerg пишет:
0.4.8.892
Где он чекает секцию кода ?

//надо убрать 0х

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

| Сообщение посчитали полезным:

>>Где он чекает секцию кода ?
>>//надо убрать 0х
Еханные китайцы таки раздражают своим 0x . Нашел , что плагин пишет в начало процедуры 004A6C2C прыжок на свою процедуру. Пишет начиная отсюда 1000AF40:


eba4_18.01.2014_EXELAB.rU.tgz - 1.PNG

Найти также можно по строке "Fix sprintf In 0x%X"

| Сообщение посчитали полезным:

Пропатчил китайское чудо. Но нужно , чтобы спецы сказали, надо ли патчить все WriteProcessMemory . Напр. что означает
Fix Foreground Window In 0x%X...
Fix PeBug In 0x%X...
Fix FindFileOffset In 0x%X..
Fix AnalyseModule In 0x%X...
Fix Guardmemory In 0x%X.


976a_18.01.2014_EXELAB.rU.tgz - StrongOD.zip

| Сообщение посчитали полезным: Gideon Vi

Странно, odbgscript в паре с пропатченным strongod приводят к ошибке. В место патча strongod кто-то вписывает левые байты. Что за фигня?

| Сообщение посчитали полезным:

volopas пишет:
Странно, odbgscript в паре с пропатченным strongod приводят к ошибке. В место патча strongod кто-то вписывает левые байты. Что за фигня?
Это не странно, это запатчил криво. Странно время совпало , я вчера тоже стронг патчил, и тоже на предмет 0х

не знаю насколько я правильно запатчил, но у меня ничего не валится, вроде всё красиво.


p.s. Код из DUP, для DLL !

Уже пропатченный --> Link <--

add: хотел еще кое-что запатчить, но основная масса кода под ВМ.

-----
ds

| Сообщение посчитали полезным: Gideon Vi

>>Это не странно, это запатчил криво
Мне кажется, что это из-за того, что в odbgscript и в strongod ImageBase = 10000000. Таким образом одна из библиотек грузится через realocation в неродные адреса. А я как раз пытался пропатчить CALL... У тебя правильно, так как патч обошел CALL...

| Сообщение посчитали полезным:

Если в опциях плагина выбрать Kernel mode, диспетчер устройств становиться пустой на время работы Ольги. Так и должно быть?

| Сообщение посчитали полезным:

У меня так же. Еще есть связанный с этим косяк. У меня был инет через модем. Если в процессе отладки он отваливался, то не определялся пока не закроешь олли. С флешками тоже может такое быть. Видно драйвер хучит криво.

| Сообщение посчитали полезным:

Под win7 есть версия где драйвер нормально грузится?
Если нет, поделитесь хотя бы последней патченной версией.

| Сообщение посчитали полезным:

SharpOD x64 (ollydbg plugin 1.x)

Use with the Strong plugin. Other hidden plugins may cause conflicts, such as: PhantmOm ScyllaHide.
Novice recommended configuration




1.Hide Peb64

2.Change Caption (random all (window & sub windows & menu) caption)

3.Hide Process

4.Fake ParentProcess

5.Show CrashInfo

6.Hook *ZwFunctions (This function mainly reference to Strong Plugin driver source)

7.Remove DebugPrivileges

8.VMP3.1(above) (VMP3.1 or later uses the syscall privilege command to query ProcessDebugFlags )

9.Protect Drx

Driver:

1.Hook SSDT (invalid)

2.Hook ShadowSSDT(invalid)

3.restore DebugObject ValidAccessMask

4.Bypass ObjectHook(Process&Thread)



I tested the following protection ,working my WIN7 and WIN10 64-bit system

Safengine NetLicenseor v2.3.9.0
WinLicense_x32_x64_v2.3.9.0
Themida_x32_x64_v2.4.6.0
VMProtect 2.x - 3.1.2
VProtect Pro 2.1
Obsidium v1.5.2
ZProtect v1.6
Yoda's Protect v1.03

--> Download <--
-->Original post <--

| Сообщение посчитали полезным: Gideon Vi, AlisaDarkCoder

Jaa пишет:
64-bit system

с загруженным древним драйвером стронга?

| Сообщение посчитали полезным:

Такая дрянь, с этим плагином, только у меня на последней десятке?


ADD: Это появляется при включенной опции Change Caption

| Сообщение посчитали полезным:

Jaa пишет:
Такая дрянь, с этим плагином, только у меня на последней десятке?
Дак он так и работает, чтобы не детектили через EnumWindows и FindWindow.

| Сообщение посчитали полезным:

Попалось на глаза, какой-то чувак сурсы дрова релизнул
https://github.com/shellbombs/StrongOD

| Сообщение посчитали полезным: plutos