 |
eXeL@B —› Вопросы новичков —› Bpint 3 в Syser'e |
| Посл.ответ | Сообщение |
|
|
Создано: 08 сентября 2008 17:44 · Личное сообщение · #1 Собственно хочу распаковать программу, запакованную UPX'ом. Запускаю PETools, делаю бряк`н`энтер. Пишу в Сисере bpint 3. В петулз жму ОК. Открывается сисер, но в окне кода адрес не 40хххх, который должен быть (в софтайсе все путем), а какой-то 8хххххх (Kei386EoiHelper). В Run Trace List'e есть адрес, на котором происходит прерывание, но сисер брякается именно на 8хххххх. При чем адрес меняется от запуска винды к запуску.  |
|
|
Создано: 12 сентября 2008 06:54 · Поправил: MaStak · Личное сообщение · #2 Может ошибаюсь но "какой-то 8хххххх " это обработчик прерывания. А "40хххх, который должен быть" в ESP на входе в обработчик. |
|
|
Создано: 12 сентября 2008 12:03 · Личное сообщение · #3 Не ошибаетесь, но нормальные отладчики останавливаются на входе в обработчик, а не внутри него. |
|
|
Создано: 12 сентября 2008 21:00 · Поправил: MaStak · Личное сообщение · #4 Ну у сисера всё впереди. Я вот тока нипонял насчёт бряк`н`энтер. Этж я так понял для сайса придумано было, чтоб тормознуть прогу на EntryPoint. А сисер при загрузке жертвы автоматом встаёт на ЕР. Насчёт пака, вся соль в ESP-4 ! Т.е. встал на ЕР, далее жмешь F8, пока не дойдёшь до PUSHAD, потом набирай bpm esp-4, затем F5 и столько раз пока не набредёшь на POPAD, после этой команды будет переход на ОЕР. Как оказываеться всё просто да ?  Сам сегодня с ASProtect 1.22 - 1.23 Beta 21 мучился пока наконец не просёк фокус с ESP, пакер обязан восстановить стек после своей работы.
|
|
|
Создано: 13 сентября 2008 12:15 · Поправил: xV1RUSW0rm · Личное сообщение · #5 Блин. Я делал bpm esp-4 сразу на EP  Спасибо за объяснение!
Добавлено: не получилось ничего... Сразу после открытия в сисере, ставлю бряк на есп-4. Жму ф5 и программа не брякается... |
|
|
Создано: 15 сентября 2008 23:10 · Личное сообщение · #6 Выложи поковыряю
|
|
|
Создано: 16 сентября 2008 06:07 · Поправил: ClockMan · Личное сообщение · #7 xV1RUSW0rm Пишет:Собственно хочу распаковать программу, запакованную UPX'ом Эй братья Syser'e, чего вы тут мутите, пользуйтесь олей, темболее для расспаковки UPX её вполне хватит. ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли. |
|
|
Создано: 16 сентября 2008 12:04 · Личное сообщение · #8 Я все понимаю, просто мне интересно распаковать прогу именно в сисере. =) Охота получше разобраться с ним. В оле-то уже давно распаковал =) Приложил аттач. Файл из книги "Головоломки для хакера" =)  edea_16.09.2008_CRACKLAB.rU.tgz - eatme.exe
|
|
|
Создано: 16 сентября 2008 14:52 · Поправил: MaStak · Личное сообщение · #9 У меня всё нормально брякаеться 
Загружаю >load c:\eatme.exe Встал тут Code:
Пишу bpm esp-4, а он мне Set data break point at 0012FFC0! Жму F5, тут же брякаеться поскоку выполняеться PUSHAD, жму ещё раз F5. Встал тут Code:
Это и есь переход на OEP, жму F8 Code:
Всё, OEP твоей проги =12D2. У меня так и не получилось получить нормальный дамп сисером, наверно потому что он не правит ЕР. Поэтому пользовался сторонним дампером, а для этого надо повесить прогу >a eip jmp 4012d2 стираю бряки >bc * Выхожу Ctrl+F12 Дамплю процесс PElord`ом Ищу импорт в ImportRec, всё находит с первого раза 
Из неё же правлю импорт дампа. Достаю воркшоп, ввожу смещение ОЕР 
Нашёл свой джамп, щас буду менять на то что должно быть 
Заменил и сохранил 
Всё 
|
|
|
Создано: 16 сентября 2008 22:31 · Личное сообщение · #10 MaStak пишет: Пишу bpm esp-4, а он мне Set data break point at 0012FFC0! Жму F5, тут же брякаеться поскоку выполняеться PUSHAD, жму ещё раз F5. В том-то и дело, что не брякается =( |
|
|
Создано: 17 сентября 2008 00:26 · Личное сообщение · #11 Я надеюсь мы об одном и том же говорим Syser Kernel Debugger v1.97.1900.1038 Попробовать переустановить, покрутить настройки У меня таких глюков не было
|
|
|
Создано: 17 сентября 2008 08:23 · Личное сообщение · #12 Да. Дебаггер именно такой. Бряки на адрес или на прерывание работают, а вот bpm не срабатывает... Тоже пишет "Set data break point at 0012FFC0!", но не брякается =\ |
|
eXeL@B —› Вопросы новичков —› Bpint 3 в Syser'e |
Для печати