Сейчас на форуме: _MBK_, Adler (+5 невидимых)

 eXeL@B —› Вопросы новичков —› проблема с ручной распаковкой UPX 0.89.6 - 1.02 / 1.05 - 2.90 -> Markus & Laszlo
. 1 . 2 . >>
Посл.ответ Сообщение

Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 18:18
· Личное сообщение · #1

попросил знакомый глянуть одну программку - PDFToMusic Pro .
Начал распаковку в ручную по обыденному методу (много статей прочел но конкретного примера не увидел поэнтому и создал тему) распаковки upx - нахожу в ольге безусловный на оеп , ставлю бряк, petools-сом
со всеми нужными параметрами делаю дамп - дамп ок!
Запускаю imprec 1.7 аттачусь к процессу ищу импорт по адресу ( оеп 6038а0 то есть 38А0) - импорт находит делаю фикс дамп .
лезу в папку с прогой запускаю и вылазит окно - PDFtoMusic Pro - Win32 - обнаружена ошибка. Приложение будет закрыто. Приносим извинения за неудобства. Нашёл в нете прогу новую - Unpacker_v1.0_by_phpbb3 она распаковала и в окошке написала ( на работоспособность проверил) -
file: PDFToMusic Pro.exe
OK packed with Upx
IMAGE BASE : 00400000
PACKED OEP : 00D5A930
PATCHING IsDebuggerPresent
HARDWARE BP :00D5A930
HARDWARE BP :0012FFA4
READING OEP !
OEP IS : 006038A0
DUMPING FINISHED !
SEARCHING FOR IAT
FIXING IAT
UNPACKING FINISHED

ПОЛУЧАЕТСЯ ЧТО ДЕЛАЛ ВРОДЕ БЫ ВСЁ ПРАВИЛЬНО - В ЧЁМ МОЖЕТ БЫТЬ ЗАГВОЗДКА? Я ТАК ПРИМЕРНО ДОГАДЫВАЮСЬ ЧТО ПРОБЛЕМА В IsDebuggerPresent НО НЕ ЗНАЮ КАК ЕЁ РЕШИТЬ.




Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.34↘0.25
Статус: Модератор
retired

 Создано: 05 апреля 2011 18:25
· Личное сообщение · #2

оеп 6038а0 то есть 38А0 - вот это вызывает огромные сомнения. может, 2038а0?
IsDebuggerPresent не при чём, нет его в УПХ.
Софт выложи вместе со своими результатами.
И убери палец с шифта.



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 18:29
· Личное сообщение · #3

софт выложу но откуда взялось 2 вместо шестёрки не пойму?



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 18:37 · Поправил: valikz
· Личное сообщение · #4

http://turbobit.od.ua/f0gsqjpvqssm.html - оригинал
http://turbobit.od.ua/2co3i35o1z1s.html - распакованный прогой Unpacker_v1.0_by_phpbb3
http://turbobit.od.ua/747n2kiux1ab.html - dump + rec мои результаты




Ранг: 793.4 (! !), 568thx
Активность: 0.74↘0
Статус: Участник
Шаман

 Создано: 05 апреля 2011 19:20
· Личное сообщение · #5

valikz пишет:
софт выложу но откуда взялось 2 вместо шестёрки не пойму?
Потому что не знаешь как это считать надо.

Судя по логам виртуальный адрес EntryPoint 006038A0, чтобы получить относительный виртуальный адрес (RVA) нужно от VA отнять Image Base. ImageBase судя по логам 00400000. Итого:

OEP RVA: 006038A0 - 00400000 = 002038A0

-----
Yann Tiersen best and do not fuck

Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 19:24
· Личное сообщение · #6

PE_Kill а скажите пожалуйста как же его сохранить с imprec ?



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 19:32
· Личное сообщение · #7

просто дамп сохраняется с еп под адресом 0095A930 а в ольге этот еп 00D5A930 а оригинальная точка входа показывает на 006038А0 , как же мне сохранить таблицу импорта с оеп 002038А0 ?



Ранг: 13.0 (новичок), 2thx
Активность: 0.03↘0
Статус: Участник

 Создано: 05 апреля 2011 19:34
· Личное сообщение · #8

В ольке стань на этом адресе и сдампируй!



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 19:35
· Личное сообщение · #9

и какая сама суть именно этой распаковки - я имею ввиду что получается imprec не устанавливает правильный оеп автоматически - почему?



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 19:36 · Поправил: valikz
· Личное сообщение · #10

matrix
а ты сам попробуй!

я бы зря здесь вам мозги не парил...

статьи и книги читать ещё не разучился.



Ранг: 13.0 (новичок), 2thx
Активность: 0.03↘0
Статус: Участник

 Создано: 05 апреля 2011 19:40
· Личное сообщение · #11

В имреке надо указывать rva oep 002038А0.




Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.34↘0.25
Статус: Модератор
retired

 Создано: 05 апреля 2011 19:45
· Личное сообщение · #12

Пользуйся кнопкой "Правка", не создавай сообщения подряд.



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 19:46 · Поправил: valikz
· Личное сообщение · #13

matrix пишет:

В имреке надо указывать rva oep 002038А0.


я начинаю автопоиск в импрек с оеп 002038а0 - находится одна функция со знаком ? как я узнаю с какой библиотеки она? и даже если узнаю то какую именно вставить ?



Ранг: 87.8 (постоянный), 10thx
Активность: 0.07↘0
Статус: Участник

 Создано: 05 апреля 2011 19:53
· Личное сообщение · #14

Кто нибудь скачал этот файл и посмотрел?
Почему нет иконки, почему расширение не exe и похоже там ничем не упаковано.

-----
Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше


Ранг: 57.7 (постоянный), 49thx
Активность: 0.07↘0
Статус: Участник

 Создано: 05 апреля 2011 20:01 · Поправил: inffo
· Личное сообщение · #15

gena-m он ссылки перебивает, сейчас уже другие

valikz по какой ссылке находится оригинал?



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 20:01 · Поправил: valikz
· Личное сообщение · #16

gena-m пишет:
Кто нибудь скачал этот файл и посмотрел?
Почему нет иконки, почему расширение не exe и похоже там ничем не упаковано.

ссылки на файлы выше

файлы в рар архивах подписаны

я не мог никак определится со ссылками



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 20:05
· Личное сообщение · #17

inffo пишет:

gena-m он ссылки перебивает, сейчас уже другие

valikz по какой ссылке находится оригинал?

первая ссылка) http://turbobit.od.ua/f0gsqjpvqssm.html




Ранг: 57.7 (постоянный), 49thx
Активность: 0.07↘0
Статус: Участник

 Создано: 05 апреля 2011 20:13
· Личное сообщение · #18

valikz Выложи на бесплатный файлообменник, хотя бы на rghost.ru, а то ждать надо 1200 с



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 20:18
· Личное сообщение · #19

ща на народ выложу

http://narod.ru/disk/9382287001/Unpacked.rar.html распакованный прогой Unpacker_v1.0_by_phpbb3

http://narod.ru/disk/9382293001/PDFToMusic%20Pro.rar.html оригинал

http://narod.ru/disk/9382307001/PDFtoMusic%20Prodump%20%2B%20rec%20%D0%BC%D0%BE%D0%B8%20%D1%80%D0%B5%D0%B7%D1%83%D0%BB%D1%8C%D1%82%D0%B0%D1%82%D1%8B.rar.html dump + rec мои результаты




Ранг: 57.7 (постоянный), 49thx
Активность: 0.07↘0
Статус: Участник

 Создано: 05 апреля 2011 20:56 · Поправил: inffo
· Личное сообщение · #20

valikz для начала было бы неплохо если бы файл вообще запустился, а то у меня при запуске:

Code:
  1. Impossible de trouver le repertoire contenant les fichiers du systeme W-ACAM
  2.  
  3. Verifiez la presence d'un repertoire contenant les fichiers W-ACAM
  4.  
  5. A defaut, reinstallez le logiciel
  6.  
  7.  
  8.  
  9. Impossible to find the path containing the W-ACAM system files
  10.  
  11. Ensure a subdirectory containing the W-ACAM system files exists
  12.  
  13. If all seems correct, reinstall the software


ADD: Видимо программу не полностью выложил.

ADDD: Все распаковать получилось в Ольке при дампировании выбираешь 1 метод восстановления импорта и будет тебе счастье



Ранг: 87.8 (постоянный), 10thx
Активность: 0.07↘0
Статус: Участник

 Создано: 05 апреля 2011 21:22
· Личное сообщение · #21

Там только екзешник поэтому такое и должно быть.
valikz
ОЕП неправильный в Dumped_.exe, исправь на 2038A0 и все будет работать.

-----
Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше


Ранг: 57.7 (постоянный), 49thx
Активность: 0.07↘0
Статус: Участник

 Создано: 05 апреля 2011 22:13 · Поправил: inffo
· Личное сообщение · #22

valikz есть еще вариант распаковки! Если хочешь ImpREC'ом распаковать.

1. Дампишь файл хоть PETools, хоть Олькой с помощью плагина.
2. Открываешь ImpREC.
3. В поле OEP ставишь 2038A0.
4. Нажимаешь IAT Auto Search и Get Imports.
5. В окне Import Function Found нажимаешь правой клавишей Advanced Commands -> Get API Calls
6. В поле MIN 00000000, MAX FFFFFFFF, и галку на Get 'Call [X]' scheme давишь OK.
7. Очищаешь невалидные восстановленные функи Show Invalid -> Правая клавиша в окне Import Function Found -> Cut thunk(s).
8. Ну и Fix Dump сам знаешь чего

Удачи.



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 23:16 · Поправил: valikz
· Личное сообщение · #23

inffo пишет:
ADDD: Все распаковать получилось в Ольке при дампировании выбираешь 1 метод восстановления импорта и будет тебе счастье


я пользуюсь OLLY 2.01
спасибо ребята ща буду пробовать а то только с заказа пришёл - попробую отпишусь)



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 05 апреля 2011 23:30 · Поправил: valikz
· Личное сообщение · #24

Спасибо большое matrix ,gena-m, PE_Kill а особенно inffo - да реально помогло - но из-за чего это происходит?

к стати уже поэксперементировал над распакованной ещё упаковщиком вчера прогой - не могу засечь цикл проверки регистрации , на много разных функций ставил бряк но пока не помогло если будет возможность посоветуйте в чём может быть проблема



Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 06 апреля 2011 18:47
· Личное сообщение · #25

ребята - так хоть кто нить поможет?




Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.34↘0.25
Статус: Модератор
retired

 Создано: 06 апреля 2011 19:09
· Личное сообщение · #26

Какую тебе ещё помощь надо?
Про оеп я тебе в первом же посте написал.
Почему в импреке нужен правильный адрес ОЕП? Потому что он его может перебивать при восстановлении импорта.
И не надо топик апать и спрашивать каждый день про помощь.



Ранг: 87.8 (постоянный), 10thx
Активность: 0.07↘0
Статус: Участник

 Создано: 06 апреля 2011 19:27
· Личное сообщение · #27

valikz

не могу засечь цикл проверки регистрации , на много разных функций ставил бряк но пока не помогло если будет возможность посоветуйте в чём может быть проблема

Проблема скорее всего в кривых ручках, и выложи ссылку на дистрибутив, поскольку твой экзешник отдельно работать не будет на другой машине.

-----
Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше

Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 06 апреля 2011 19:36
· Личное сообщение · #28

http://narod.ru/disk/9468295001/PDFtoMusicPro-install.exe.html



Ранг: 87.8 (постоянный), 10thx
Активность: 0.07↘0
Статус: Участник

 Создано: 06 апреля 2011 20:15
· Личное сообщение · #29

на много разных функций ставил бряк
Бряк на ShowWindow тоже не срабатывает?
Ты должен выйти на это место:
Code:
  1. 005F72AE    8A4424 48           MOV     AL, BYTE PTR SS:[ESP+48]
  2. 005F72B2    25 FF000000         AND     EAX, 0FF
  3. 005F72B7    DED9                FCOMPP
  4. 005F72B9    50                  PUSH    EAX
  5. 005F72BA    8B8D 9A020000       MOV     ECX, DWORD PTR SS:[EBP+29A]
  6. 005F72C0    51                  PUSH    ECX
  7. 005F72C1    FF15 C05D7A00       CALL    DWORD PTR DS:[7A5DC0]                                 ; USER32.ShowWindow

дальше сам попробуй.

-----
Надежда - есть худшее из зол, ибо она продлевает наши страдания.© Ф. Ницше

Ранг: -3.0 (нарушитель)
Активность: 0=0
Статус: Участник

 Создано: 09 апреля 2011 19:31 · Поправил: valikz
· Личное сообщение · #30

вышел я на эти showwindow но цикл там слишко какой то замороченный - сверок серийника не могу найти или он под другими именами функций( не lstrcmp)
пойду я ребята читать книги )


. 1 . 2 . >>
 eXeL@B —› Вопросы новичков —› проблема с ручной распаковкой UPX 0.89.6 - 1.02 / 1.05 - 2.90 -> Markus & Laszlo
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати