Сейчас на форуме: asfa, _MBK_ (+7 невидимых)

 eXeL@B —› Вопросы новичков —› Восстановление импорта
Посл.ответ Сообщение

Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 03 сентября 2009 15:41
· Личное сообщение · #1

День добрый. Подскажите как быть.
Есть прога упакованная Upack 0.39 beta -> Dwing
Распаковал в ручную, закинул в Import REConstructor, находит все функции.
Сохраняю, запускаю. Прога вылетает.
Загружаю в IDA - F9.
IDA материться на исключения, но прогу запускает.
Как лечить?

d13a_03.09.2009_CRACKLAB.rU.tgz - IR.jpg



Ранг: 20.8 (новичок), 1thx
Активность: 0.01↘0
Статус: Участник

 Создано: 03 сентября 2009 16:08
· Личное сообщение · #2

А с какой ошибкой вылетает? Попробуй сделать Rebuild PE PETools'ом.
Да и выложи саму программу.



Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 03 сентября 2009 16:33
· Личное сообщение · #3

Прога отечественная. За наш софт модератор пропатчить может. Или как?




Ранг: 605.2 (!), 341thx
Активность: 0.47↘0.25
Статус: Модератор
Research & Development

 Создано: 03 сентября 2009 16:36
· Личное сообщение · #4

* открой в PE Explorer и пересохрани, он попробует распаковать
* распакуй в анпакере от Usar

если ты прогу исследуешь сам, то модератор тя не прокомпостирует

-----
EnJoy!

Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 03 сентября 2009 16:36
· Личное сообщение · #5

Имя события проблемы: APPCRASH
Имя приложения: Dumped_my_.exe
Версия приложения: 2.6.0.0
Штамп времени приложения: 4011b0be
Имя модуля с ошибкой: ntdll.dll
Версия модуля с ошибкой: 6.0.6001.18000
Штамп времени модуля с ошибкой: 4791a783
Код исключения: c0000005
Смещение исключения: 00011bcb
Версия ОС: 6.0.6001.2.1.0.256.1
Код языка: 1049
Дополнительные сведения 1: b200
Дополнительные сведения 2: daa1238fb12ac2f45cf137495d900ed8
Дополнительные сведения 3: d7e4
Дополнительные сведения 4: b358ad66c378360c10b5405d0d3e6178

Прочтите заявление о конфиденциальности:
go.microsoft.com/fwlink/?linkid=50163&clcid=0x0419



Ранг: 116.5 (ветеран), 3thx
Активность: 0.07↘0
Статус: Участник

 Создано: 03 сентября 2009 16:50
· Личное сообщение · #6

Дык мож тоды вбшный таргет выложишь?



Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 03 сентября 2009 16:56
· Личное сообщение · #7

KeyLogger
gorlov-soft.com/download/logger.zip

OEP: 3B08



Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 03 сентября 2009 16:57 · Поправил: mikeparadox
· Личное сообщение · #8

Ломать не прошу. Помогите разобраться с импортом.



Ранг: 441.3 (мудрец), 297thx
Активность: 0.41↘0.04
Статус: Участник

 Создано: 03 сентября 2009 18:33
· Личное сообщение · #9

mikeparadox
у тебя всё нормально с импортом

смотри что возвращает функция rtcFileLen в оригинале и в дампе



Ранг: 20.8 (новичок), 1thx
Активность: 0.01↘0
Статус: Участник

 Создано: 03 сентября 2009 18:34 · Поправил: um0v
· Личное сообщение · #10

Ну с импортом вроде пробем нет. А вот программа вылетает из-за того, что проверяетс длина файла и далее если что не так, генерируется ексепшн.
1я проверка
Code:
  1. 00433C1C    FF15 B8114000   CALL DWORD PTR DS:[4011B8]  ; msvbvm60.rtcFileLen

Достаточно немного изменить ф-ю rtcFileLen и дамп начинает работать.

Add
ну вот, пока печатал tihiy_grom уже все написал



Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 03 сентября 2009 20:08
· Личное сообщение · #11

Спасибо ооогромное. Буду учиться дальше.



Ранг: 116.5 (ветеран), 3thx
Активность: 0.07↘0
Статус: Участник

 Создано: 04 сентября 2009 00:36
· Личное сообщение · #12

Йа нашел 2 такие проверки на rtcFileLen, но есть еще косяк с основным окном после сплэша.



Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 04 сентября 2009 10:06
· Личное сообщение · #13

Да есть такой косяк с окном, причём даже если запускаешь оригинал в olly. Да проверок две, а мест вызова штук 20, после любого действия попадаю на rtcFileLen. Я правильно понял, что перед вызовом rtcFileLen длинна файла уже известна и где-то храниться, возможно в EDX.



Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 04 сентября 2009 10:32 · Поправил: mikeparadox
· Личное сообщение · #14

Проблема с окном видимо потому, что загрузка ресурсов происходит перед вызовом OEP

Code:
  1. 0045DE4F   FFD1             CALL ECX <-Начало загрузки модуля и ресурсов в память
  2. 0045DE51   93               XCHG EAX,EBX
  3. 0045DE52   AC               LODS BYTE PTR DS:[ESI]
  4. 0045DE53   84C0             TEST AL,AL
  5. 0045DE55  ^75 FB            JNZ SHORT KeyLog_R.0045DE52
  6. 0045DE57   3806             CMP BYTE PTR DS:[ESI],AL
  7. 0045DE59  ^74 EA            JE SHORT KeyLog_R.0045DE45
  8. 0045DE5B   8BC6             MOV EAX,ESI
  9. 0045DE5D   79 05            JNS SHORT KeyLog_R.0045DE64
  10. 0045DE5F   46               INC ESI
  11. 0045DE60   33C0             XOR EAX,EAX
  12. 0045DE62   66:AD            LODS WORD PTR DS:[ESI]
  13. 0045DE64   50               PUSH EAX
  14. 0045DE65   53               PUSH EBX
  15. 0045DE66   FFD5             CALL EBP
  16. 0045DE68   AB               STOS DWORD PTR ES:[EDI]
  17. 0045DE69  ^EB E7            JMP SHORT KeyLog_R.0045DE52
  18. 0045DE6B   C3               RETN        <-OEP

Ранг: 20.8 (новичок), 1thx
Активность: 0.01↘0
Статус: Участник

 Создано: 04 сентября 2009 11:35 · Поправил: um0v
· Личное сообщение · #15

Основное окно отобразилось нормально, ресурсы вроде наместе.
Скрипт чтобы не править все проверки.


gpa "rtcFileLen","msvbvm60"
bp $RESULT
run
bc eip
findop eip,#C9#
bphws $RESULT,"x"
run
_@:
mov eax,FF ; any value less 10D87
run
jmp _@



816d_04.09.2009_CRACKLAB.rU.tgz - klr.rar



Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 04 сентября 2009 12:57 · Поправил: mikeparadox
· Личное сообщение · #16

Что-то я делаю не правильно.
Мой дамп и дамп um0v отличаются.
Ну да ладно. Беру дамп um0v
Открываю в Olly и запускаю скрипт, интерфейс не прогрузился
При нажатии на меню вываливаюсь в Olly
А при попытке запустить Агента из меню, выскакивает Agent.exe не найден

Мой дамп в приложении
9770_04.09.2009_CRACKLAB.rU.tgz - KeyLog_Reader_DUMP.exe



Ранг: 20.8 (новичок), 1thx
Активность: 0.01↘0
Статус: Участник

 Создано: 04 сентября 2009 14:13 · Поправил: um0v
· Личное сообщение · #17

mikeparadox пишет:
Открываю в Olly и запускаю скрипт, интерфейс не прогрузился
Исспользуй PhantOm для сокрытия отладчика. Где-то есть антиотладка.

Add
Убрал несколько проверок. Теперь дамп рабочий.

e0d5_04.09.2009_CRACKLAB.rU.tgz - klr_dumped_p.rar



Ранг: 4.5 (гость)
Активность: 0=0
Статус: Участник

 Создано: 04 сентября 2009 15:30
· Личное сообщение · #18

Ты крут!!! Спасибо!!!


 eXeL@B —› Вопросы новичков —› Восстановление импорта
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати