Unpackme(Arma)

Сейчас на форуме: _MBK_, asfa, Rio (+5 невидимых)

Посл.ответ	Сообщение
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 19 апреля 2009 15:50 · Поправил: Oott · Личное сообщение · #1 Подкинули мне анпакми, где висит арма(4.30). И всё бы хорошо, но там висит армовская рега. Такое вот тaм окошечко с вводом ключа, где для этого создаётся отдельный процесс.(Приаттачиться к нему нельзя) По сути пока лежит цель просто запустить анпакми без подмены HWID. Как это сделать я ещё не придумал Кто шарит, подскажите, что можно сделать. Или кто, может статейки, туторы подкинет в тему. c0e1_19.04.2009_CRACKLAB.rU.tgz - gpch_unpackme1.rar

Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 19 апреля 2009 22:14 · Личное сообщение · #2 Подмена хвида, если есть ключ. Или анпак без ключа. По ключу идёт декрипт секций. Если без него не запускается, иначе никак. По подмену статьи были, по анпаку без ключа нет.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 20 апреля 2009 05:19 · Личное сообщение · #3 Как я правильно понял, анпакнуть без ключа можно, но информация на уровне привата?
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 20 апреля 2009 09:39 · Поправил: ClockMan · Личное сообщение · #4 OottЭту анпакми можно и без ключа снять, тамже триальный периуд запуска:s1) Oott пишет: Тока чета я не заметил в чем проявляется триальность прогу можно запустить определённое кол-о раз ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 20 апреля 2009 11:18 · Личное сообщение · #5 Гы, это можно его запустить без ключа Тока чета я не заметил в чем проявляется триальность? Вроде то же окошко для ввода ключа...
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 20 апреля 2009 18:50 · Личное сообщение · #6 Да, можно без ключа анпакнуть в любом случае. Даже если и не запускается без него вообще. Статей, насколько знаю, нету, но некоторые челы владеют техникой этой дзенской.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 20 апреля 2009 20:14 · Поправил: Oott · Личное сообщение · #7 Archer, Понял, спасибо) ClockMan пишет: Эту анпакми можно и без ключа снять, тамже триальный периуд запуска:s1 ) Oott пишет: Тока чета я не заметил в чем проявляется триальность прогу можно запустить определённое кол-о раз Видимо я не знаю в чём фишка, но... После запуске выдаётся текст: Code: Your temporary key has expired. If you believe this message is in error, please contact the program's author. И дальше можно закрыть приложение, либо ввести ключ, для запуска запакованого приложения. (Не пойду же я к аффтору крекми. кстати, как оказалось, он обитает на этом форуме ) Возможно, когда триал, защита отключается и раскриптовка кода происходит без учёта на введёный ключ.
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 20 апреля 2009 23:40 · Личное сообщение · #8 OottБерёшь триал резет и убираешь ключи если ты потратил все запуски ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 21 апреля 2009 22:13 · Поправил: Oott · Личное сообщение · #9 ClockMan, ok, спс. В ходе распаковки возникло несколько вопросов: 1) Вроди бы закриптовки после раскриптовки кода небыло, но чё за фигня в дампе? Code: CODE:00403468 push ebp CODE:00403469 mov ebp, esp CODE:0040346B add esp, 0FFFFFFF0h CODE:0040346E mov eax, offset dword_403438 CODE:00403473 call sub_40330C CODE:00403478 xor eax, eax CODE:0040347A push ebp CODE:0040347B push offset loc_403527 CODE:00403480 push dword ptr fs:[eax] CODE:00403483 mov fs:[eax], esp CODE:00403486 call sub_403408 CODE:0040348B int 3 - WTF? CODE:0040348C pop ecx CODE:0040348D lodsd - OMG CODE:0040348E repne push ax - OMG CODE:00403491 mov eax, 0Ah CODE:00403496 int 3 - ;( CODE:00403497 sub eax, 1B8h Дополнение автора? Тут конечно можно самому всё логично подредактировать, но врядли это будет считаться. 2) Импреком импорт востановить низя? Чёта из-за особых привилегий дочернего процесса, импрек отказутся принимать оер - 403468. И не поpченый, не пофиксены он не найдёт. Хотя вот в какой-то статье тип пишет: Запускаем ImpRec, выбираем наш процесс, вводим OEP: 00003F00, жмем IAT AutoSearch и GetImport и получаем полный импорт.
zxcZXC Ранг: 24.5 (новичок) Активность: 0.04↘0 Статус: Участник	Создано: 22 апреля 2009 12:46 · Личное сообщение · #10 может так и надо без имэйджбэйс 00003468
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 22 апреля 2009 13:31 · Личное сообщение · #11 Блин,понятное дело, что я писал без ImageBase. Я о том, что оер найден верно, а импрек этому не верит(точнее у него даже это проверить не выходит).
zxcZXC Ранг: 24.5 (новичок) Активность: 0.04↘0 Статус: Участник	Создано: 22 апреля 2009 14:29 · Личное сообщение · #12 попробуй вручную найди адрес таблицы импорта и его размер, и не придется импреку ниче искать, он так схавает как есть...
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 22 апреля 2009 14:31 · Личное сообщение · #13 Часть импорта всё равно редирекчена будет, там что без шаманства импрек не поможет всё равно. А вообще какой-то импрек грешил кривым открытием процесса, обычно решалось взятием другой версии. int 3-наномиты, видимо, из-за них и остальной код поплыл.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 22 апреля 2009 15:10 · Личное сообщение · #14 zxcZXC, да там всеравно часть импорта пустая, часть перенаправлена. Надо код функций смотреть, таблицу перезаписывать, а потом импреку совать. Archer, ok, я так примерно и представлял. Щас буду шаманить, спс.
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 22 апреля 2009 15:13 · Личное сообщение · #15 Для нахождения импорта используй UIF,наномиты можно восстановить с помощью ArmInline ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 22 апреля 2009 19:13 · Поправил: Oott · Личное сообщение · #16 ClockMan, Там наномитов мало, можно и в ручную востановить. Но если это делать ArmInline, то принцып какой? Надо сдампить нужные таблицы адресов и дать их ArmInline? UIF - спс, прикольна тулза. Импрек отказывается читать код на секциях с запакованым анпакми. Блин, может быть после отработки арма всетаки их криптует.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 25 апреля 2009 15:05 · Личное сообщение · #17 Нда... !- Protected Armadillo Protection system (Professional) !- <Protection Options> Debug-Blocker CopyMem-II Enable Import Table Elimination Enable Strategic Code Splicing Enable Nanomites Processing Enable Memory-Patching Protections !- <Backup Key Options> Fixed Backup Keys !- <Compression Options> Best/Slowest Compression Одни навороты. Пришлось покапаться, особено под%б автора с наномитами EB03 EB03 EB03 Всем большое спасибо за советы, кому интересно аттач. p.s. анпакми как-то по тупому написан, я думал после распаковки он сам выведет Registered и т.д. а там ещё и типа защита от простого патча подмены. 1fc2_25.04.2009_CRACKLAB.rU.tgz - Unpacked.exe
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 25 апреля 2009 17:07 · Личное сообщение · #18 EB03-это не под%б автора, а маркер для армы, чтоб она распознала границы наномитов, насколько я помню.
Oott Ранг: 106.9 (ветеран), 27thx Активность: 0.08↘0 Статус: Участник	Создано: 25 апреля 2009 19:19 · Личное сообщение · #19 Archer пишет: EB03-это не под%б автора, а маркер для армы, чтоб она распознала границы наномитов, насколько я помню. А, ну вобщем да. Просто я краем глаза заглянул в сорец и увидел {$I include\NanoBegin.inc}, ну так и подумал, что то всё одно.

Для печати