Сейчас на форуме: Rio (+5 невидимых) |
![]() |
eXeL@B —› Вопросы новичков —› Борюсь с самописной защитой. Помогите найти специфический файловый монитор. |
Посл.ответ | Сообщение |
|
Создано: 02 апреля 2008 14:50 · Личное сообщение · #1 Здравствуйте. Тема такая. Есть самописная база (судя по экзешнику - на дельфи) с самописной же защитой. Привязывается к оборудованию. Я пробовал снимать весь комп на виртуалку через vmware converter 3 - не хочет запускаться. При беглом осмотре экзешника и поверхностном гуглении оказалось, что привязывается как-минимум к BIOS. Посмотрел через ApiMonitor - создат в %temp% файл bios.com, запускает его, потом считывает 8Kb сгенерериванный образ bios, считает контрольную сумму (наверное, так как какие-то CRC присутствуют в ini), тут же трет оба файла и шлет меня на $%^. Я гуглил целый вечер, пробовал найти тут - безрезультатно, слишком "попсовая" тема )) Мне нужен файловый менеджер, который позволит "утянуть" с компьютера, к которому привязан софт временный файл с образом bios (что-то типа rombios.img) и "скормить" его ломаемой программе на виртуалке вместо настоящего свежесгенеренного. Учитывая, что софт-айс я в последний раз юзал, когда он еще был Numega, если не найду нужный файловый монитор, не знаю как правильно, враппер (?)... Короче если не найду прямая дорога мне в "заказы". Хоть и знаю, какой ждать вызов API, и какой примерно код надо смотреть, - сам вряд-ли сделаю. Тем более, что экзешник может считать собственный crc. Жду совета, какой файловый монитор/враппер можно применить для взлома. ![]() |
|
Создано: 02 апреля 2008 15:15 · Поправил: tihiy_grom · Личное сообщение · #2 В чём проблема? Декомпилируешь прогу в DeDe, смотришь в ней процедуру FormCreate , находишь переход на Application.Terminate() и в любом hex-редакторе правишь этот переход Как-то так примерно ![]() Ну и прогу выложить не мешало бы, а то можно сколько угодно советовать что-то, а на самом деле окажется всё не так ![]() |
|
Создано: 03 апреля 2008 14:49 · Личное сообщение · #3 Mik62 пишет: Жду совета, какой файловый монитор/враппер можно применить для взлома. OllyDbg + проводник (в системной папке темп) Ставишь бряк на DeleteFile (или что там вместо этого). Когда бряк сработает на rombios.img, перед удалением копируешь в проводнике. Вторая часть работы аналогична bp CreateFileA (или что там вместо этого). Ловишь открытие rombios.img и подменяешь путь на свой. Если работает, то потом железно забиваешь путь к своему файлу. Думаю можно даже так вместо вызова GetTempPath зафигачить указатель на строку со своим путём, а дальше jmp через вызов всех процедур создания запуска com-файла сразу к проверке. Конкретнее - жертву в студию. ----- Всем привет, я вернулся ![]() |
|
Создано: 03 апреля 2008 21:30 · Личное сообщение · #4 У меня есть причины не выкладывать софтину в паблик. Это не публичная софтина. К сожалению нет времени разбираться с установкой отладчика, вспоминать как там и что. Да и необходимости ковырять код не вижу. Нужен функциональный файловый перехватчик, который можно было бы тонко настроить/заскриптить. Не может быть, чтоб такого не было - чем-то ведь народ файловый трафик снимает? Если не дождусь совета - буду с кем нибудь из завсегдатаев приватно решать вопрос на платной основе. ![]() |
|
Создано: 03 апреля 2008 22:36 · Личное сообщение · #5 |
|
Создано: 04 апреля 2008 08:05 · Личное сообщение · #6 Mik62 пишет: К сожалению нет времени разбираться с установкой отладчика, вспоминать как там и что. С тех давних времён многое изменилось. OllyDbg не требует установки. Это обычное оконное приложение, которое может работать с флешки. 1. Берёшь сборку этого отладчика типа Shadow (там просто уже есть несколько плагов). 2. Настраиваешь один файл - shadows.ini: Symbolic data path=\OllyShadow UDD path=\OllyShadow\UDD (соответственно нужно чтобы была папка UDD) Plugin path=\OllyShadow\Plug API help file=\WIN32.HLP 3. Для того чтобы соображать какие API тебе надо тормозить, копируешь на эту же флешку WIN32.HLP (здесь есть в разделе скачать). Всё, теперь только надо открыть отладчик, в нём открыть жертву (как обычный документ =). Поставить бряки на нужные API-функции (bp Name в командной строке внизу). Почти наверняка хватит этого: bp CreateFileA (или bp CreateFileW) bp DeleteFileA (или bp DeleteFileW) Дальше тоже несложно. Правишь нужные команды/байты прямо в отладчике (пробел на команде) и мышкой правый клик на коде Copy to executable > All modifications > copy all > правый клик SaveFile. Использование любого другого инструмента будет требовать больше усилий. Другое дело, если тебе нельзя патчить (не хочешь нарушать условия лицензии)... Но тут уж больно оригинальный запрос на взлом получается. =) ----- Всем привет, я вернулся ![]() |
|
Создано: 23 апреля 2008 13:08 · Поправил: tundra37 · Личное сообщение · #7 |
|
Создано: 26 мая 2008 14:00 · Личное сообщение · #8 Bitfry и tundra37 Большое спасибо за совет, Олли это просто прелесть какая-то )) "Снял" с рабочего комплекта файлик с результатом работы bios.com (образ bios), скопировал на виртуальную копию рабочего комплекта, тупо поставил ему R/O || HIDDEN , и все заработало даже без модификации кода. Еще раз спасибо за действительно ценные советы. ![]() |
![]() |
eXeL@B —› Вопросы новичков —› Борюсь с самописной защитой. Помогите найти специфический файловый монитор. |