Ткните носом, что нетак

Сейчас на форуме: _MBK_, Adler (+5 невидимых)

Посл.ответ	Сообщение
Sonic_X Ранг: 1.5 (гость) Активность: 0=0 Статус: Участник	Создано: 31 мая 2011 13:00 · Поправил: Sonic_X · Личное сообщение · #1 Приветствую. Подскажите что делаю нетак. Нашел адресс в программе где идет сверка S/N, там в регистре ЕСХ находится правильный регномер, Адрес этот равен $00484F80, ОЕР проги по адресу (сморел в отладчике) $00544C77. Ну и собственно задумал написать утиль которая бы загружала прогу и считывала этот правильный регномер и потом прибивала бы цель. Мой алгоритм действий такой: 1.Создаем процесс с флагом отладки и приостанавливаем его 2.Ставим прерывание на ОЕР, отпускаем поток 3.Ловим Int3, возвражаем назад байт 4.Ставим новое прерывание на уже нужный нам адрес 5.Ловим Int3, читаем регистр ЕСХ 6.Прибиваем поток. Вот код который я наваял: Code: var Form1: TForm1; StartupInfo:TStartupInfo; ProcessInfo:TProcessInformation; DebugEv:_DEBUG_EVENT; CNTX:_CONTEXT; implementation {$R .dfm} procedure TForm1.btn1Click(Sender: TObject); const Buff:array [0..1] of Byte=(0,$CC); var TargetPrg:array [0..MAX_PATH-1] of Char;//Путь и имя файла цели OEP:LongInt; Addr:LongInt; cAddress_0:LongInt; NumOfByte:Cardinal; begin TargetPrg:=('C:\Program Files\TS\TS.exe'); OEP:=$00544C77;//Точка входа, найдена ч/з OllyDbg Addr:=$00484F80;//Адрес где нужно остановится, найден ч/з OllyDbg {Создаем процесс с флагом отладки} CreateProcess( nil, TargetPrg, nil, nil, False, DEBUG_PROCESS //Будет в режиме отладки or DEBUG_ONLY_THIS_PROCESS//Отлаживать тока целевой процесс or CREATE_SUSPENDED,//Приостанавливаем чтоб выставить прерывание Int3 nil, nil, StartupInfo, ProcessInfo); ReadProcessMemory(ProcessInfo.hThread,//Запоминаем байт Pointer(OEP),@Buff[0],1,NumOfByte); WriteProcessMemory( ProcessInfo.hThread, Pointer(OEP), @Buff[1],//Ставим прерывание 1, NumOfByte); ResumeThread(ProcessInfo.hThread);//Отпускаем поток While* true do Begin if not WaitForDebugEvent(DebugEv, 0) then application.ProcessMessages; if DebugEv.dwDebugEventCode = EXCEPTION_DEBUG_EVENT then if DebugEv.Exception.ExceptionRecord.ExceptionCode = EXCEPTION_BREAKPOINT then begin CNTX.ContextFlags := CONTEXT_CONTROL; GetThreadContext(ProcessInfo.hThread, CNTX); { проверяем: EIP=Entry Point или нет } if CNTX.eip - 1 = OEP then Begin CNTX.eip := CNTX.eip - 1; CNTX.EFlags := CNTX.EFlags or $100; // флаг T setThreadContext(ProcessInfo.hThread, CNTX); // ставим байт на место WriteProcessMemory(ProcessInfo.hProcess, pointer(OEP), @buff[0], 1, NumOfByte); //Новое прерывание на нужном адресе WriteProcessMemory( ProcessInfo.hThread, Pointer(Addr), @Buff[1],//Ставим прерывание 1, NumOfByte); break; end else { проверяем: EIP=Нужный нам адрес или нет } if CNTX.eip - 1 = Addr then begin CNTX.ContextFlags:=CONTEXT_INTEGER; GetThreadContext(ProcessInfo.hThread,CNTX); //получаем контекст cAddress_0:=CNTX.Ecx; //нам надо значение регистра Ecx {Здесь пока не разбирался, сюда я не дохожу...} break; end; ContinueDebugEvent(ProcessInfo.dwProcessId, ProcessInfo.dwThreadid, DBG_CONTINUE); end; ContinueDebugEvent(ProcessInfo.dwProcessId, ProcessInfo.dwThreadid, DBG_CONTINUE); end; Так вот ну никак не словлю прерывание, смотрел в отладчике Delphi как выполняется программа - 2 раза сравнит CNTX.eip - 1 = OEP и все, что я делаю нетак?

SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 31 мая 2011 13:13 · Поправил: SReg · Личное сообщение · #2 можешь так написать, проще будет Code: procedure TForm1.Button1Click(Sender: TObject); const buf:array[1..4] of byte=($00,$00,$EB, $FE); adr:cardinal = $0088E1EE; var si:tstartupinfo; Pi:tprocessinformation; ctx:_CONTEXT; m:array[1..255]of byte; readb,i: Cardinal; serial:String; begin FillChar(si,SizeOf(si),0); FillChar(pi,SizeOf(Pi),0); if not CreateProcess( nil,PChar('aaa.exe'),nil,nil,false,CREATE_SUSPENDED,nil,nil,si,pi) then begin ShowMessage('Невижу возле себя файла aaa.exe'); Exit; end else readprocessmemory (pi.hProcess,pointer(adr),@buf[1],2,i); writeprocessmemory(pi.hProcess,pointer(adr),@buf[3],2,i); resumethread(pi.hThread); repeat ctx.ContextFlags:=CONTEXT_FULL; GetThreadContext(Pi.hThread,ctx); until ctx.Eip = adr; suspendthread(pi.hThread); readprocessmemory(pi.hProcess, pointer(ctx.Edx), @m, 255, readb); serial := ''; for i := 1 to readb do begin if m[i] <> 0 then serial := serial + Chr(m[i]) else Break; end; Edit1.Text:= serial; writeprocessmemory(pi.hProcess,pointer(adr),@buf[1],2,i); resumethread(pi.hThread); end; end.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 31 мая 2011 13:20 · Личное сообщение · #3 Непонятно, зачем TF, если он вообще не обрабатывается. Не будет работать код, если файл будет релоцирован.
Sonic_X Ранг: 1.5 (гость) Активность: 0=0 Статус: Участник	Создано: 31 мая 2011 13:39 · Личное сообщение · #4 SReg Не будет работать, так как регномер генерится в процессе загрузки проги, поетому и задумано сначало прерватся на ОЕР, и только потом на адресе нужном когда регномер уже сгенерирован и остается тока его взять, или я неправ? Archer пишет: Не будет работать код А как сделать правильно? мне то и нужно всего ничего 2 раза брякнутся и прочитать регистр, программа написана на Qt4.
SReg Ранг: 315.1 (мудрец), 631thx Активность: 0.3↗0.33 Статус: Модератор CrackLab	Создано: 31 мая 2011 13:51 · Поправил: SReg · Личное сообщение · #5 Sonic_X пишет: или я неправ? неправ P/S посмотрел подробней твой код. Похоже что ты вообще непонимаешь что пишешь. ужс нах.
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 31 мая 2011 14:15 · Личное сообщение · #6 Если файл релоцирован, надо доставать новую базу и править все VA с учётом этой базы. Либо везде в адресах прописывать RVA и плюсовать в нужных местах новую базу. Но на двойной бряк это никак не должно влиять, просто косяк и всё. И на первый вопрос я так и не увидел ответа.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 31 мая 2011 14:37 · Поправил: OnLyOnE · Личное сообщение · #7 Sonic_X пишет: регистре ЕСХ находится правильный регномер Возможно покажусь не оригинальным, но если указатель на правильный рег.номер открыто лежит регистре... не проще ли проанализировать алго генерации и написать элементарный кейген?! А не извращаться пытаясь писать сниффер? P.S. Название программы подскажи.. или это тайна бермудского треугольника? ----- aLL rIGHTS rEVERSED!
Sonic_X Ранг: 1.5 (гость) Активность: 0=0 Статус: Участник	Создано: 31 мая 2011 14:51 · Поправил: Sonic_X · Личное сообщение · #8 Archer пишет: Непонятно, зачем TF Этот код написан опираясь на статью http://cracklab.ru/art/?action=view&id=74, видно я упустил что-то или непрально понял. SReg пишет: Похоже что ты вообще непонимаешь что пишешь Возможно. Неправильно цикл ожидания? А можно пояснить откуда взялся $0088E1EE ? OnLyOnE пишет: не проще ли проанализировать алго Там идет проверка введенного S/N и рядом правильный, мне показалось что так проще будет - стянуть правильный регномер. Видно я ошибался... P.S. Сильно ногами не пинайте, я тока учусь
Sonic_X Ранг: 1.5 (гость) Активность: 0=0 Статус: Участник	Создано: 31 мая 2011 15:04 · Поправил: Sonic_X · Личное сообщение · #9 OnLyOnE пишет: или это тайна бермудского треугольника Не не тайна программа TachoSystem. Используется для проверки тахографа.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 31 мая 2011 15:16 · Поправил: OnLyOnE · Личное сообщение · #10 Sonic_X пишет: Не не тайна программа TachoSystem. Используется для проверки тахографа. Ок.. ссылку на прогу кинь за одно Можно в ПМ Sonic_X пишет: так проще будет это тебе решать, каким путем идти... ----- aLL rIGHTS rEVERSED!
Sonic_X Ранг: 1.5 (гость) Активность: 0=0 Статус: Участник	Создано: 31 мая 2011 15:25 · Поправил: Sonic_X · Личное сообщение · #11 OnLyOnE пишет: Ок.. ссылку на прогу кинь за одно В свободном доступе ее нету, если хочешь могу на почту кинуть. в архиве 45mb установщик. Разбит по 10mb, одним куском не пойдет.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 31 мая 2011 15:35 · Личное сообщение · #12 Sonic_X пишет: Разбит по 10mb, одним куском не пойдет. Можно еще проще.. жмешь в архив с паролем и закачиваешь к примеру на zalil.ru Кидаешь ссылку и пароль на архив мне в пм.. гляну ее на предмет кейгена ----- aLL rIGHTS rEVERSED!
Sonic_X Ранг: 1.5 (гость) Активность: 0=0 Статус: Участник	Создано: 31 мая 2011 16:11 · Личное сообщение · #13 OnLyOnE пишет: в пм.. Все сделал, смотри пм.
OnLyOnE Ранг: 462.8 (мудрец), 468thx Активность: 0.28↘0 Статус: Участник Only One!	Создано: 01 июня 2011 15:11 · Личное сообщение · #14 Sonic_X пишет: Все сделал, смотри пм. ----- aLL rIGHTS rEVERSED!

Для печати