Сейчас на форуме: asfa, _MBK_, Rio (+5 невидимых)

 eXeL@B —› Вопросы новичков —› Помогите убрать trial EXECryptor'a
Посл.ответ Сообщение

Ранг: 19.4 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 08 ноября 2008 02:44 · Поправил: An_ton
· Личное сообщение · #1

Распаковал программу, запакованную EXECryptor'ом, теперь хотелось бы её взломать убрать триал в 15 дней. Программа при запуске проверяет ключ, созданный EXECryptor'ом в regedit , если перевести часы больше чем на 15 дней вперёд, то появляется, наг с просьбой, зарегистрировать программу.

Если удалить этот ключ, который создает EXECryptor в regedit , с помощью TrashReg, то программа запускается без всяких нагов.

Застрял на поиске, места в программе, где программа проверяет триал, пробовал ставить бряки на RegOpenKeyA, RegQueryValueExA, попытка пропатчения этих API, не к чему хорошему меня не привела, программа, либо закрывается с ошибкой, либо OllyDbg выдаёт ошибку ERROR_INVALID_HANDLE. Также пробовал заменить API RegQueryValueExA, на RegDeleteKeyA (Хотя, наверное, это неправильно), но почему-то API RegQueryValueExA, всеровно вызывается
в программе только теперь (из какого-то, Threadera) . (Мне интересно, почему API CreateThread
передает ThreadFunction в этой программе , в первый раз в GdiPlus.dll а второй раз уже в самой программе. )ThreadFunction = GdiPlus.4EC257ED

Вообщем всё, что у меня получилось, это отключить проверку системной даты благодаря статье kioresk, а с триалом у меня никак справиться не получается, программа хоть и распакована но, всеровно слишком сложный код, для меня . Вообщем прошу вашей помощи советов, укажите, пожалуйста, что я делаю не правильно. Снимать триал с программы запакованной EXECryptor'om мне раньше не приходилось.

Кто захочет мне помочь разобраться с этой программой вот ссылка на прогу 4,02 МБ dl5.filekicker.net/private/$adv-rgn4$1226142806$cdd44920321d553706315804dadda9f0$/id/$FK37930$209261-F5AC$/cache/8ae5e39984d9e7005b2f4c1375c38aa1241ffb5e43a9ea1aa8da0b3bdef0e8/cche4030.exe

Чтоб долго не искать.
OEP= 00473712 – ImageBase = 00073712
Start IAT RVA = 004B0000 – ImageBase = 000B0000
End IAT 004B0914 - 004B0000 = Size 00000914

Всё OEP до адреса 00473766 украдено.
Code:
  1. 00473766   .  81CE 00800000 OR ESI,8000
  2. 0047376C   .  8935 E84F6000 MOV DWORD PTR DS:[604FE8],ESI
  3. 00473772   >  A3 DCBE4E00   MOV DWORD PTR DS:[4EBEDC],EAX
  4. 00473777   .  33F6          XOR ESI,ESI
  5. 00473779   .  56            PUSH ESI                                 ; /pModule => NULL
  6. 0047377A   .  8B3D 34837100 MOV EDI,DWORD PTR DS:[718334]            ; |kernel32.GetModuleHandleA
  7. 00473780   .  FFD7          CALL EDI                                 ; \GetModuleHandleA





Ранг: 279.1 (наставник)
Активность: 0.16↘0
Статус: Участник
wizard

 Создано: 08 ноября 2008 14:16
· Личное сообщение · #2

http://exelab.ru/f/action=vthread&forum=1&topic=13190

-----
Что один человек сделал , другой всегда сломать может...


Ранг: 154.2 (ветеран), 66thx
Активность: 0.08↘0
Статус: Участник
REVENGE Crew

 Создано: 09 ноября 2008 19:57 · Поправил: kioresk
· Личное сообщение · #3

Выложенный тобой файл у меня не загружается.

В целом проверкой окончания триала занимается API криптора EXECryptor_GetTrialDaysLeft и если пропатчить ее (когда триал еще не закончился), то можно сделать бесконечный триал (естественно, если окончание триала проверяется только с помощью средств криптора, без всяких ухищрений).

Выложенный тобой файл у меня не загружается, поэтому загрузил последнюю версию с оффсайта (ColorCache 4.0.3.0). В ней EC_GetTrialDaysLeft начинается по адресу 0x0055FFBB.

Соответственно, можешь просто пропатчить начало этой функции, например, на:

mov eax, 0Fh
ret 4

Ret 4 нужно чтобы выровнять стек, т.к. этой функции передается один параметр.


Постскриптум

Добавил прогу в список будущих релизов, позже зарелизим.




Ранг: 450.3 (мудрец), 13thx
Активность: 0.2↘0
Статус: Участник

 Создано: 10 ноября 2008 01:40
· Личное сообщение · #4

kioresk пишет:
В ней EC_GetTrialDaysLeft начинается по адресу 0x0055FFBB

А можно маленький тутор по нахождению, на конкретном примере ?...
Думаю всем полезно будет это уметь...



Ранг: 19.4 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 10 ноября 2008 10:23 · Поправил: An_ton
· Личное сообщение · #5

kioresk спасибо тебе за помощь, да это эта версия (ColorCache 4.0.3.0), интересна как ты
нашел в ней API криптора EXECryptor_GetTrialDaysLeft. Пропатчения по указанному тобой адресу
у программы появился бесконечный триал. Я думал, что мне надо искать функцию EC_GetDate.

kioresk без твоей бы помощи, я бы не когда не нашел API криптора EXECryptor_GetTrialDaysLeft.
ToBad пишет:
А можно маленький тутор по нахождению, на конкретном примере ?...
Думаю всем полезно будет это уметь...
Поддерживаю ToBad.

p.s Всё теперь я начинаю, делать тутор по распаковки EXECryptor для новичков на примере этой программы.




Ранг: 154.2 (ветеран), 66thx
Активность: 0.08↘0
Статус: Участник
REVENGE Crew

 Создано: 10 ноября 2008 12:12
· Личное сообщение · #6

ToBad пишет:
А можно маленький тутор по нахождению, на конкретном примере ?...
Думаю всем полезно будет это уметь...

An_ton пишет:
Поддерживаю ToBad.

См. 22 сообщение в теме Помогите понять работу триала (EXECryptor).

An_ton пишет:
Я думал, что мне надо искать функцию EC_GetDate

В том то и дело, что ты вслепую пытаешься разобраться в крипторе. Не трать время зря и лучше для начала посмотри хелп криптора — там описано какая функция для чего нужна, какие параметры ей передаются, что она возвращает и т.д.



Ранг: 19.4 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 29 ноября 2008 23:56 · Поправил: An_ton
· Личное сообщение · #7

kioresk Спасибо! Тебе, за то, что ты направил меня, в нужное русло
Вот тут reversengineering.wordpress.com/2008/03/24/execryptor-v241-cracked-sdk-example/на сайте нашел SDK криптора, но скачать SDK с того сайта у меня не получилось, походу SDK криптора, это приват. По поводу видео, раз от него вообще нет никакого толку, то беру свои слова обратно, и делать его не буду.

Сейчас у меня, появилось свободное время и я, хочу подучить Olly Script, и попробовать написать
ExeCryptor OEP finder к этой проге.
Пока написал только начало
var temp
var temp_ESP
gpa "ZwSetInformationThread", "ntdll.dll"
mov temp,$RESULT
bphws temp,"x"
run
bphwc temp
findop eip,#C21000#
bphws $RESULT, "x"
run
sti
sti
//eob loab:
//loab:
//bphwc $RESULT
//sti
//sti
//mov temp_ESP,esp
//log temp
bphws temp_ESP,"r"
ret
Он пака не находит OEP в этой проге, а останавливается на месте, когда вершина стека равна
0012FFC4…7С816D4F как в статье от vnekrilov ”a Распаковка ExeCryptor по vnekrilov ’ски на примере RAR Repair Tool v4.0.
Теперь я думаю, что надо придумать так чтобы скрип останавливался, когда вершина стека
будет 0012FFC4…00000060 только как это сделать, я еще пака не придумал. Но это только так будет, если ОЕР не будет украдено.

P.s Если у кого есть рабочая версия OllyDbg Script Editor V2.0 можете выложить плиз, гдебы я не скачивал эту версию всё время при запуске появляется одна и таже ошибка.




Ранг: 328.7 (мудрец), 73thx
Активность: 0.17↘0.01
Статус: Участник

 Создано: 30 ноября 2008 16:50
· Личное сообщение · #8

вот еще одна прога с триалом
ссылка внутри аттача

8788_30.11.2008_CRACKLAB.rU.tgz - FCJ.nfo




Ранг: 154.2 (ветеран), 66thx
Активность: 0.08↘0
Статус: Участник
REVENGE Crew

 Создано: 01 декабря 2008 00:16 · Поправил: kioresk
· Личное сообщение · #9

An_ton пишет:
Вот тут --> Link <--на сайте нашел SDK криптора, но скачать SDK с того сайта у меня не получилось, походу SDK криптора, это приват.

Да ну, какой привет, 5 минут поиска в гугле и вуаля:
rapidshare.com/files/105291653/EXECryptor.V2.4.1.CracKed.By._CUG_.zip
rapidshare.com/files/112390000/Fixit.tgz (патчи 99-го для регистрации консоли и гуи)


An_ton пишет:
Сейчас у меня, появилось свободное время и я, хочу подучить Olly Script, и попробовать написать
ExeCryptor OEP finder к этой проге.

Не забывай, что для нормальной распаковки файлов накрытых криптором, дампить надо сразу после заполнения секций. А так как при навешивании часто пакуют ресурсы, то бряк на запись в секцию ресурсов, потом снимаешь бряк и прыгаешь в конец цикла распаковки, и правильный дамп готов.

А вот дальше уже надо подправить оеп и импорт.


П.С.
99-й, давно тебя не видно что-то было...



Ранг: 14.4 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 01 декабря 2008 14:23
· Личное сообщение · #10

An_ton пишет:
OllyDbg Script Editor V2.0
www.tuts4you.com/download.php?view.12 пробовал? У меня пашет



Ранг: 19.4 (новичок)
Активность: 0.01↘0
Статус: Участник

 Создано: 02 декабря 2008 23:33 · Поправил: An_ton
· Личное сообщение · #11

kioresk пишет:
Да ну, какой привет, 5 минут поиска в гугле и вуаля:

kioresk Респект! Теперь попробую во всём этом разобраться.
-->FCJ_Sensors_Unpack<-- http://slil.ru/26392033 Интересно с чего они взяли, что они отломали правильный триал, я так и не понял, там на их нем сайте всё по-английски.

В этой проге OEP не сильно, украдено только первые пять команд, наверное, эта прога запакована старой версией EXECryptor.

Просидев, за компом, всю ночь, с этой прогой у меня, так и не получилось её крякнуть, скорей всего я не когда, не научусь ломать проги, которые были запакованы EXECryptor.
Хотя в этой проге, явно видно, что и где нужно менять, ну если поменять, то прога перестаёт работать.
Code:
  2. CODE:005043C2                 push    ebp
  3. CODE:005043C3                 push    offset loc_5046EE
  4. CODE:005043C8                 push    dword ptr fs:[eax]
  5. CODE:005043CB                 mov     fs:[eax], esp
  6. CODE:005043CE                 mov     edx, offset aSensorsviewP_0 ; "SensorsView Pro 3.2 build 10280"
  7. CODE:005043D3                 mov     eax, [ebx+2FCh]
  8. CODE:005043D9                 call    sub_456AD8
  9. CODE:005043DE                 call    sub_504154
  10. CODE:005043E3                 mov     edx, offset aHttpWww_stvsof ; "http://www.stvsoft.com"
  11. CODE:005043E8                 mov     eax, [ebx+310h]
  12. CODE:005043EE                 call    sub_456AD8
  13. CODE:005043F3                 mov     edx, offset aSupport@stvsof ; "support@stvsoft.com"
  14. CODE:005043F8                 mov     eax, [ebx+318h]
  15. CODE:005043FE                 call    sub_456AD8
  16. CODE:00504403                 cmp     ds:dword_53441C, 2
  17. CODE:0050440A                 jnz     loc_5044C0
  18. CODE:00504410                 mov     edx, offset aSorryButYourTr ; "Sorry, but your trial period has expire"...
  19. CODE:00504430                 mov     dl, 1
  20. CODE:00504432                 mov     eax, [ebx+320h]
  21. CODE:00504438                 call    sub_4569C8
  22. CODE:0050443D                 mov     edx, offset aPleaseRegister ; "Please, register your copy at [url=http://ww"...
  23. ]http://ww"...
  24. [/url]
  25. CODE:00504442                 mov     eax, [ebx+324h]
  26. CODE:00504448                 call    sub_456AD8
  27. CODE:0050444D                 mov     edx, 8
  28. CODE:005044C0 loc_5044C0:                             ; CODE XREF: CODE:0050440A j
  29. CODE:005044C0                 cmp     ds:dword_53441C, 0
  30. CODE:005044C7                 jnz     loc_504596

У меня вопрос, где можно почитать, туторы по взлому программ, которые были накрыты EXECryptor. Туторы по взлому программ, которые были накрыты ASProtect, есть ,UPX’om eсть ,туторы по взлому программ, которые были накрыты EXECryptor, есть или я не нашол.

MilitaryMan
Спс за ссылку




Ранг: 568.2 (!), 464thx
Активность: 0.55↗0.57
Статус: Участник
оптимист

 Создано: 03 декабря 2008 07:32
· Личное сообщение · #12

An_ton пишет:
У меня вопрос, где можно почитать, туторы по взлому программ, которые были накрыты EXECryptor
На Тутси большая коллекция мануала по расспаковке прог вот точная ссылка --> Link1 <-- http://www.tuts4you.com/download.php?list.11 ну и ещё здесь посмотри --> Link2 <-- http://reversengineering.wordpress.com/category/mups/execryptor/ желаю удачи

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.


Ранг: 328.7 (мудрец), 73thx
Активность: 0.17↘0.01
Статус: Участник

 Создано: 03 декабря 2008 09:32
· Личное сообщение · #13

An_ton пишет:
Хотя в этой проге, явно видно, что и где нужно менять, ну если поменять, то прога перестаёт работать.
+1

эта прога не такая простая - и экзекриптор здесь не главное видимо
.Мог быть и упх или аспак - не зря японцы взялись за нее


 eXeL@B —› Вопросы новичков —› Помогите убрать trial EXECryptor'a
Эта тема закрыта. Ответы больше не принимаются.
   Для печати Для печати