Здравствуйте. Помогите, пожалуйста програмкой Uninstall Tool 2.9(build 5078) http://www.crystalidea.com/download/utool2.exe (3.1.82)mb
И поотвечайте на вопросы, их у меня уже много накопилось. По ходу буду задавать.
На проге висит пакер(скорее даже прот) Gleam v1.00* компилятор Microsoft Visual C++ 8*. В гугле и на форуме я про прот ни слова не нашёл. Снял руками так:
отслеживал кочевания начального значения ecx(он его всё время то в стек запихнёт, то обратно выгрузит). И снял дамп, когда он восстановил ecx и передал
управление в секцию text. вот рабочий дамп. http://dump.ru/file/4221825
Что нашёл:
В диалоге ввода пароля отладчик брякается на MessegeBoxW(В стеке внизу Введённые имя и пароль.) Но сверяются они при перезапуске. На пойму, где они сохраняются.
в 42d8e7 проверяется первый ли это запуск(ниже триал). В EBP введённый в прошлый раз пароль. Не могу найти, откуда он там взялся.
Вопросы: уже не надо. спасибо TSRh TeaM

Использую олю и иду

| Сообщение посчитали полезным:

Ziggi пишет:
Gleam v1.00* компилятор Microsoft Visual C++ 8*
Там насколько я помню там execryptor причем там даже распаковывать ничего не надо т.к. прога не запакована, а надо только найти и пропатчить апи функцию EC_IsRegistered и CRC

| Сообщение посчитали полезным:

Нету, вроде этой функции. Или я найти не могу.

| Сообщение посчитали полезным:

0069763F MOV EAX,DWORD PTR DS:[6B3B78]<->MOV EAX,3 и прога запускается как зарегистрированная, но вылетает ошибка, видать еще crc править надо.

| Сообщение посчитали полезным:

Спасибо. Думаешь проверка crc? Странно, исправил на mov eax,0 нету ошибки. Поищу.
Если не сложно, расскажи,как это место нашёл.

Наверное, crc тут не при чём. я код не правил, только значение регистра. ошибка тоже вылезла.

| Сообщение посчитали полезным:

Прога падает в функции 42D03E(Как я понял, она устанавливает заголовок окна). там проверка регистрации 0042D0F7 CMP EAX,3 Если удачно, вызывает какие-то функции, запрыгивает в секцию протектора и падает на 006944BF CALL utool.00692B60 если нет, пишет незарегистрированно в заголовок окна. если занопить вызов этой функции(42DB8F), прога не вылетает, но принудительное удаление не работает. Может это вообще билд кривой?

| Сообщение посчитали полезным:

Ziggi

Ты, на блоге kioresk'а читал как бороться с EXECryptor'а CRC _http://kioresk.wordpress.com/

| Сообщение посчитали полезным:

На начало своей API EXECryptor вставлять jmp который указывает начало API EXECryptor'a EXECryptor_GetDate, EC_GetTrialDaysLeft, и так далее, можешь почитать статьи про EXECryptor VM (Вертуальная машина)

прав до они на английском но Goole их переводит

Ещё Можно скачать SDK EXECryptora, и по изучать.

| Сообщение посчитали полезным:

спасибо, почитаю.
Тут у меня проблемка. Оля сама начала добавлять эти бряки. И останавливается, не доходя до EP.
Убираю, но при перезагрузке заново ставятся. я только вкладку security в настройках трогал, но потом обратно всё вернул.
[OFF] [/OFF] не получается под спойлер

| Сообщение посчитали полезным:

Это финча EXECryptor'a.

В PhantOm'e кажется надо галочку поставить, на -revove EB break чтобы в Оле бряки снимались автоматически.

| Сообщение посчитали полезным:

Не, галочка и так стоит. Добавляет BP во всех программах, не только здесь. Невозможно работать

| Сообщение посчитали полезным:

Ziggi пишет:
Не, и так стоит

У меня прога запускается и не останавливается, даже без плагинов. У тебя в настройках В исключениях установлена 00000000..FFFFFFFF.

| Сообщение посчитали полезным:

Ziggi

там крипторовская регистрация, а это значит что недостаточно поменять только EC_IsRegistered.

У криптора вся система лицензирования — это по сути 8 двордов, принимающих строго определенные значения при успешной регистрации (т.е. когда были предоставлены валидная пара имени/серийного номера).

На этих двордах и базируется выполнение всех крипторовских API и маркеров, связанных с регистрацией (CRYPT_REG/CRYPT_UNREG).

Если ты поправишь только EC_IsRegistered, то она конечно будет возвращать что все в порядке, но любой маркер будет выполнять ветку кода как для незарегистрированной версии (т.к. дворды не будут иметь необходимых значений), да и другие функции, связанные с регистрацией, не будут возвращать «зарегистрированный» статус.

| Сообщение посчитали полезным:

А к этим двордам обращается только код криптора?
Если да, то нам же без разницы, как выполняются ветки крипторовского кода, главное, чтобы с программные выполнялись нормально.
Если нет, что делать? ставить bp on access на секцию криптора, и смотреть, зачем туда полезла?

| Сообщение посчитали полезным: