Распаковка StarForce 4.70 - Пьеса в нескольких действиях

Сейчас на форуме: bartolomeo, asfa, _MBK_ (+7 невидимых)

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 . >>

Посл.ответ	Сообщение
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 27 октября 2011 23:54 · Личное сообщение · #1 Информации об исследовании данной защиты в свободном доступе почти нет,кроме мануала про снятие SF 5.50 с игры King's Bounty. Особого интереса этот мануал не представляет по той причине,что на игру есть нормальные NoDVD. Идея была такая - снять дамп с запущенного через эмулятор процесса ,затем восстанавливать недостающие процедуры из Protect.dll. Версия 4.70 очень поганая, запустить её с эмулятором удается с 10-15 раза. Если в отладчике открывать сам exe-файл ,то после тыкания Shift+F9 выбрасывает в Protect.dll . Никакого EP нет. Вообщем пусть гуру объяснят как тут надо действовать

Gideon Vi Ранг: 1131.7 (!!!!), 447thx Активность: 0.67↘0.2 Статус: Участник	Создано: 29 октября 2011 13:06 · Личное сообщение · #2 Calypso пишет: Тривиумы так и не сломали её хотя игра хорошая ломают ради интересной защиты, а не "хорошей" игры. Calypso пишет: старфорс так уверен в себе что даже на отладчик плевать IsDebuggerPresent для определения отладчика - уже даже как-то не смешно.
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 29 октября 2011 13:27 · Личное сообщение · #3 PE_Kill пишет: Тебя не смущает, что прыжок идет на 02092227, Code: 02092227 FF7424 04 PUSH DWORD PTR SS:[ESP+4] 0209222B 58 POP EAX 0209222C EB 00 JMP SHORT 0209222E 0209222E 0BC0 OR EAX,EAX 02092230 ^0F88 81FFFFFF JS 020921B7 02092236 FF7424 08 PUSH DWORD PTR SS:[ESP+8] 0209223A 5A POP EDX 0209223B 0BD2 OR EDX,EDX 0209223D 8BC9 MOV ECX,ECX 0209223F 0F88 B6000000 JS 020922FB 02092245 F7E2 MUL EDX 02092247 FF7424 0C PUSH DWORD PTR SS:[ESP+C] 0209224B 59 POP ECX 0209224C 0BC9 OR ECX,ECX 0209224E 0F88 10010000 JS 02092364 02092254 D1F9 SAR ECX,1 02092256 03C1 ADD EAX,ECX 02092258 83D2 00 ADC EDX,0 0209225B 3B5424 0C CMP EDX,DWORD PTR SS:[ESP+C] 0209225F 0F83 0F000000 JNB 02092274 02092265 F77424 0C DIV DWORD PTR SS:[ESP+C] 02092269 0BC0 OR EAX,EAX 0209226B 0F88 03000000 JS 02092274 02092271 C2 0C00 RETN 0C 02092274 33C0 XOR EAX,EAX 02092276 48 DEC EAX 02092277 ^E9 38FFFFFF JMP 020921B4 0209227C ^E9 A6FFFFFF JMP 02092227 02092281 0F83 0F000000 JNB 02092296 02092287 F77424 0C DIV DWORD PTR SS:[ESP+C] 0209228B 0BC0 OR EAX,EAX 0209228D 0F88 03000000 JS 02092296 02092293 C2 0C00 RETN 0C 02092296 33C0 XOR EAX,EAX 02092298 48 DEC EAX 02092299 C2 0C00 RETN 0C 0209229C F7D9 NEG ECX 0209229E 87C1 XCHG ECX,EAX 020922A0 50 PUSH EAX 020922A1 87C1 XCHG ECX,EAX 020922A3 D1F9 SAR ECX,1 020922A5 87C1 XCHG ECX,EAX 020922A7 87CA XCHG EDX,ECX 020922A9 87C2 XCHG EDX,EAX 020922AB 87CA XCHG EDX,ECX 020922AD 03C1 ADD EAX,ECX 020922AF 83D2 00 ADC EDX,0 020922B2 59 POP ECX 020922B3 3BD1 CMP EDX,ECX 020922B5 ^0F83 DBFFFFFF JNB 02092296 020922BB F7F1 DIV ECX 020922BD 0BC0 OR EAX,EAX 020922BF 87ED XCHG EBP,EBP 020922C1 ^0F88 CFFFFFFF JS 02092296 020922C7 C2 0C00 RETN 0C 020922CA 87E4 XCHG ESP,ESP 020922CC F7D9 NEG ECX 020922CE 87CB XCHG EBX,ECX 020922D0 87DA XCHG EDX,EBX 020922D2 87CA XCHG EDX,ECX 020922D4 87DA XCHG EDX,EBX 020922D6 50 PUSH EAX 020922D7 8BC1 MOV EAX,ECX 020922D9 870424 XCHG DWORD PTR SS:[ESP],EAX 020922DC D1F9 SAR ECX,1 020922DE 03C1 ADD EAX,ECX 020922E0 83D2 00 ADC EDX,0 020922E3 F5 CMC 020922E4 F5 CMC 020922E5 59 POP ECX 020922E6 3BD1 CMP EDX,ECX 020922E8 ^0F83 A8FFFFFF JNB 02092296 020922EE F7F1 DIV ECX 020922F0 F7D8 NEG EAX 020922F2 ^0F8F 9EFFFFFF JG 02092296 020922F8 C2 0C00 RETN 0C 020922FB F7DA NEG EDX 020922FD F7E2 MUL EDX 020922FF 8B4C24 0C MOV ECX,DWORD PTR SS:[ESP+C] 02092303 0BC9 OR ECX,ECX 02092305 E9 05000000 JMP 0209230F 0209230A 0000 ADD BYTE PTR DS:[EAX],AL 0209230C 0000 ADD BYTE PTR DS:[EAX],AL 0209230E 000F ADD BYTE PTR DS:[EDI],CL 02092310 882A MOV BYTE PTR DS:[EDX],CH 02092312 0000 ADD BYTE PTR DS:[EAX],AL 02092314 00D1 ADD CL,DL 02092316 F9 STC 02092317 03C1 ADD EAX,ECX 02092319 87C0 XCHG EAX,EAX 0209231B 87C0 XCHG EAX,EAX 0209231D 83D2 00 ADC EDX,0 02092320 3B5424 0C CMP EDX,DWORD PTR SS:[ESP+C] 02092324 0F83 0F000000 JNB 02092339 0209232A F77424 0C DIV DWORD PTR SS:[ESP+C] 0209232E F7D8 NEG EAX 02092330 0F8F 03000000 JG 02092339 02092336 C2 0C00 RETN 0C 02092339 33C0 XOR EAX,EAX 0209233B 48 DEC EAX 0209233C C2 0C00 RETN 0C 0209233F F7D9 NEG ECX 02092341 52 PUSH EDX 02092342 8BD1 MOV EDX,ECX 02092344 871424 XCHG DWORD PTR SS:[ESP],EDX 02092347 D1F9 SAR ECX,1 02092349 03C1 ADD EAX,ECX 0209234B 83D2 00 ADC EDX,0 0209234E 59 POP ECX 0209234F 3BD1 CMP EDX,ECX 02092351 ^0F83 E2FFFFFF JNB 02092339 02092357 F7F1 DIV ECX 02092359 0BC0 OR EAX,EAX 0209235B ^0F88 35FFFFFF JS 02092296 02092361 C2 0C00 RETN 0C 02092364 F7D9 NEG ECX 02092366 87D1 XCHG ECX,EDX 02092368 87CA XCHG EDX,ECX 0209236A 50 PUSH EAX 0209236B 8BC1 MOV EAX,ECX 0209236D 870424 XCHG DWORD PTR SS:[ESP],EAX 02092370 ^E9 03FEFFFF JMP 02092178 02092375 0000 ADD BYTE PTR DS:[EAX],AL 02092377 00C0 ADD AL,AL 02092379 B2 0A MOV DL,0A 0209237B 24 88 AND AL,88 0209237D EC IN AL,DX ; I/O command 0209237E 311F XOR DWORD PTR DS:[EDI],EBX 02092380 FA CLI 02092381 1BF0 SBB ESI,EAX 02092383 8940 F7 MOV DWORD PTR DS:[EAX-9],EAX 02092386 A5 MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ES> 02092387 6336 ARPL WORD PTR DS:[ESI],SI 02092389 DB ??? ; Unknown command 0209238A 0C B1 OR AL,0B1 0209238C 48 DEC EAX 0209238D C0A3 A91C3334 BF SHL BYTE PTR DS:[EBX+34331CA9],0BF ; Shift constant out of range 1..31 02092394 3AB41E 7D1FB9B3 CMP DH,BYTE PTR DS:[ESI+EBX+B3B91F7D] 0209239B E8 16832980 CALL 8232A6B6 020923A0 C5C1 LDS EAX,ECX ; Illegal use of register 020923A2 5A POP EDX 020923A3 D4 54 AAM 54 020923A5 57 PUSH EDI 020923A6 94 XCHG EAX,ESP 020923A7 DA4B 55 FIMUL DWORD PTR DS:[EBX+55] 020923AA 48 DEC EAX 020923AB EC IN AL,DX ; I/O command 020923AC 36:0C F7 OR AL,0F7 ; Superfluous prefix 020923AF 2A19 SUB BL,BYTE PTR DS:[ECX] 020923B1 B3 51 MOV BL,51 020923B3 8EF2 MOV SEG?,DX ; Undefined segment register 020923B5 6D INS DWORD PTR ES:[EDI],DX ; I/O command 020923B6 C19F 3236ABEB F3 RCR DWORD PTR DS:[EDI+EBAB3632],0F3 ; Shift constant out of range 1..31 020923BD B8 6025C1F2 MOV EAX,F2C12560 020923C2 6380 45CB0290 ARPL WORD PTR DS:[EAX+9002CB45],AX 020923C8 7E 64 JLE SHORT 0209242E 020923CA A1 EAD169F4 MOV EAX,DWORD PTR DS:[F469D1EA] 020923CF BF 9C917DFF MOV EDI,FF7D919C 020923D4 51 PUSH ECX 020923D5 4E DEC ESI 020923D6 B4 22 MOV AH,22 020923D8 CF IRETD 020923D9 FC CLD 020923DA 06 PUSH ES 020923DB C1A7 090D4D65 2A SHL DWORD PTR DS:[EDI+654D0D09],2A ; Shift constant out of range 1..31 020923E2 67:A8 33 TEST AL,33 ; Superfluous prefix 020923E5 E5 5F IN EAX,5F ; I/O command 020923E7 DACA FCMOVE ST,ST(2) 020923E9 CC INT3 020923EA 0F55DA ANDNPS XMM3,XMM2 020923ED B0 A8 MOV AL,0A8 020923EF 8853 E4 MOV BYTE PTR DS:[EBX-1C],DL 020923F2 BF 47C85952 MOV EDI,5259C847 020923F7 6F OUTS DX,DWORD PTR ES:[EDI] ; I/O command 020923F8 8C02 MOV WORD PTR DS:[EDX],ES 020923FA 0000 ADD BYTE PTR DS:[EAX],AL 020923FC 8C00 MOV WORD PTR DS:[EAX],ES 020923FE 0000 ADD BYTE PTR DS:[EAX],AL 02092400 0000 ADD BYTE PTR DS:[EAX],AL 02092402 0902 OR DWORD PTR DS:[EDX],EAX 02092404 8BFF MOV EDI,EDI 02092406 8D6424 FC LEA ESP,DWORD PTR SS:[ESP-4] 0209240A 892C24 MOV DWORD PTR SS:[ESP],EBP 0209240D 8BEC MOV EBP,ESP 0209240F 6A 00 PUSH 0 02092411 52 PUSH EDX 02092412 8B55 08 MOV EDX,DWORD PTR SS:[EBP+8] 02092415 871424 XCHG DWORD PTR SS:[ESP],EDX 02092418 E8 00000000 CALL 0209241D 0209241D 870424 XCHG DWORD PTR SS:[ESP],EAX 02092420 8D40 0F LEA EAX,DWORD PTR DS:[EAX+F] 02092423 870424 XCHG DWORD PTR SS:[ESP],EAX 02092426 68 A023807C PUSH kernel32.SleepEx 0209242B C3 RETN 0209242C 5D POP EBP 0209242D C2 0400 RETN 4 Т.е. это зашифрованная функция SleepEx ?
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 29 октября 2011 13:53 · Личное сообщение · #4 Calypso пишет: .е. это зашифрованная функция SleepEx ? Это MulDiv ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 29 октября 2011 13:57 · Поправил: Calypso · Личное сообщение · #5 Каким образом тогда определить что это функция MulDiv? Не вижу аналогии совсем: ; int __stdcall MulDiv(int nNumber,int nNumerator,int nDenominator) public _MulDiv@12 _MulDiv@12 proc near nNumber= dword ptr 4 nNumerator= dword ptr 8 nDenominator= dword ptr 0Ch mov eax, [esp+nNumber] or eax, eax js short loc_7C8098A6 SleepEx идет по следующему прыжку,там всё как в туторе. Т.е. некоторые функции можно идентифицировать,а в других какая-то билиберда
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 29 октября 2011 13:59 · Поправил: PE_Kill · Личное сообщение · #6 Этот топик поднимает мне настроение PS OllyDbg->Ctrl+G->MulDiv-> Code: CPU Disasm Address Hex dump Command Comments 76171B50 8B4424 04 MOV EAX,DWORD PTR SS:[ESP+4] ; INT kernel32.MulDiv(Number,Multiplier,Divisor) 76171B54 0BC0 OR EAX,EAX 76171B56 78 38 JS SHORT 76171B90 76171B58 8B5424 08 MOV EDX,DWORD PTR SS:[ESP+8] 76171B5C 0BD2 OR EDX,EDX 76171B5E 0F88 B2000000 JS 76171C16 76171B64 F7E2 MUL EDX 76171B66 8B4C24 0C MOV ECX,DWORD PTR SS:[ESP+0C] 76171B6A 0BC9 OR ECX,ECX 76171B6C 0F88 E6000000 JS 76171C58 76171B72 D1F9 SAR ECX,1 76171B74 03C1 ADD EAX,ECX 76171B76 83D2 00 ADC EDX,0 76171B79 3B5424 0C CMP EDX,DWORD PTR SS:[ESP+0C] 76171B7D 73 0B JNB SHORT 76171B8A 76171B7F F77424 0C DIV DWORD PTR SS:[ESP+0C] 76171B83 0BC0 OR EAX,EAX 76171B85 78 03 JS SHORT 76171B8A 76171B87 C2 0C00 RETN 0C PS2: Или не давать стару тырить функции или расчищать морф и детектить по сигнатуре. ----- Yann Tiersen best and do not fuck
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 29 октября 2011 14:03 · Личное сообщение · #7 PUSH DWORD PTR SS:[ESP+4] POP EAX=====================>MOV EAX,[ESP+4] ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 29 октября 2011 14:03 · Личное сообщение · #8 У меня появилась идея,не знаю прокатит: есть демка этой игры с незащищенным exe файлом. Ведь можно оттуда передрать все недостающие функции,наверняка они 100% совпадают и ничего не искать. Если движок один и тот же,значит все функции совпадают http://public.ag.ru/vd/ec09ecf9b40d98d93bcd6db2cb081942/demos/16329/Petka8Demo.exe
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 29 октября 2011 14:07 · Личное сообщение · #9 Не понимаю цель топика. Если научиться анпакать стар, то это не решение ----- Yann Tiersen best and do not fuck
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 29 октября 2011 14:32 · Поправил: Calypso · Личное сообщение · #10 PE_Kill пишет: Не понимаю цель топика. Если научиться анпакать стар, то это не решение Смысл - есть у меня штук 10 игр ,для запуска которых нужны танцы с бубном. NoDVD в инете нет. Защита у всех примерно одинаковая - SF 4.xx (Basic или Pro не могу определить,но Протект.длл везде имеет внушительные размеры). Взломать любой ценой - вот главная цель,попутно повысить свой профит,освежить в памяти навыки работы с отладчиком,вспомнить ассемблер (сейчас больше занимаюсь языками высокого уровня). Если всё получится - могу сделать тутор с картинками или видео для новичков
[Nomad] Ранг: 22.5 (новичок), 18thx Активность: 0.05↘0 Статус: Участник	Создано: 29 октября 2011 14:58 · Поправил: [Nomad] · Личное сообщение · #11 В Петьке 8 есть пикод. Или дампить всю ВМ или забить Calypso пишет: но Протект.длл везде имеет внушительные размеры). Если больше 7-8 мегабайт после снятия UPX - про версия 100%
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 29 октября 2011 17:15 · Поправил: Calypso · Личное сообщение · #12 [Nomad] пишет: В Петьке 8 есть пикод. Или дампить всю ВМ или забить Уже пытались взломать? После восстановления функций сделать full dump и запустить - хотите сказать не будет работать? Замысел с демкой увы провалился - она тоже защищена SF 4.70 но диск не требует.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 29 октября 2011 23:23 · Поправил: ARCHANGEL · Личное сообщение · #13 Calypso 7C8099C0 GetCurrentProcessId 64:A1 18000000 MOV EAX,DWORD PTR FS:[18] 7C8099C6 8B40 20 MOV EAX,DWORD PTR DS:[EAX+20] 7C8099C9 C3 RETN Ничего не напоминает? З.Ы.: Пока написал, понял, что не посмотрел вторую страницу топика ))) ----- Stuck to the plan, always think that we would stand up, never ran.
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 30 октября 2011 01:16 · Поправил: Calypso · Личное сообщение · #14 Надо чтобы кто-нибудь из спецов посмотрел,насколько тут сложный объем работы. На всякий случай дам ссылку где можно скачать,весит 4.2 гига http://toptorent.com/igry/5312-petka-8-pokorenie-rima-2007-pc.html Запускается только через Alcohol 120% ,Daemon Tools не катит - пробовали на разных ОС и разных компах Есть ли виртуальная машина,как её дампить - или вообще безнадежно всё если даже Тривиумы не стали ломать (на Петьку 6 и 9 они сделали кряк,а 7 и 8 остались как раз с SF 4.70) ps Логика разрабов конечно интересная - на Сталкер вешать Basic защиту,на детский квест - Pro (может это вообще Starforce Elite :s16
[Nomad] Ранг: 22.5 (новичок), 18thx Активность: 0.05↘0 Статус: Участник	Создано: 30 октября 2011 01:27 · Личное сообщение · #15 В плане дампа ВМ SF 4.70 не сложен, привязка только по цпуид в количестве 20-30 штук. Я думаю игру не взломали потому как она никому не нужна а не потому что там 4.70
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 30 октября 2011 01:36 · Поправил: Calypso · Личное сообщение · #16 [Nomad] пишет: В плане дампа ВМ SF 4.70 не сложен, привязка только по цпуид в количестве 20-30 штук. Имеется ввиду что виртуальная машина не разбирается,а тупо дампится в exe-файл и потом с ней производятся некие манипуляции? Где вообще узнать,как это сделать? Если восстановить импорт и сдампить,что будем наблюдать - кучу эксепшенов? Сравнил ради интереса что на Петьке 7 стоит - Starforce 4.0.13.5 Pro (protect.dll 7.5 МБ) Там даже в отладчик не грузится - генерит сразу Access Violation,потом рекурсия эксепшенов и вылетает с ошибкой 0xC000005. Вот это похоже на Про версию с антиотладкой
BoOMBoX Ранг: 116.1 (ветеран), 5thx Активность: 0.06↘0 Статус: Участник	Создано: 30 октября 2011 02:43 · Личное сообщение · #17 на жертву навешана про версия, тебе уже выше про это намекнули, так что просто отвязать от стара, у тебя не выйдет. Calypso пишет: Если восстановить импорт и сдампить,что будем наблюдать - кучу эксепшенов? типа того Calypso пишет: Сравнил ради интереса что на Петьке 7 стоит - Starforce 4.0.13.5 Pro (protect.dll 7.5 МБ) Там даже в отладчик не грузится - генерит сразу Access Violation,потом рекурсия эксепшенов и вылетает с ошибкой 0xC000005. Вот это похоже на Про версию с антиотладкой после того, как перестали в дровине хучить инты, серьезной антиотладки в старе не было и пока не наблюдается, вся "стойкость" к взлому у СФ сейчас основана на ВМ и усложнение ее дампа
Veliant Ранг: 301.4 (мудрец), 194thx Активность: 0.17↘0.01 Статус: Участник	Создано: 30 октября 2011 10:31 · Поправил: Veliant · Личное сообщение · #18 Calypso пишет: скачать,весит 4.2 гига Сделай по-человечески миниобраз из mds и mdf, тогда народ охотнее посмотрит. Если mds я и на форумах нашел, то качать dvd, только ради того чтоб посмотреть, нет никакого желания Для создания мини-образа открываешь mdf файл в hex-редакторе, ищешь сначала где идут имена в ASCII кодировке, затем те же имена в UNICODE (по два байта на символ, или проще говоря каждый символ разделен нулем), ищешь сразу после них последовательность 00 FF FF FF FF FF FF FF FF FF FF. Вот собственно после нее можно все отрезать. Получится ~200кб, кидаешь в архив mds и полученный mdf. А так же из основного дистрибутива файлы alut.dll,ogg.dll,OpenAL32.dll,python23.dll,vorbis.dll,vorbisfile.dll которые ты забыл добавить в первый архив и пришлось искать Кстати у меня нормально все загрузилось в olly, после закрытия окна стара сыпет несколько exception, но все равно останавливаемся на EP файла petka.exe
ThugboyZ Ранг: 10.9 (новичок), 5thx Активность: 0.06↘0 Статус: Участник	Создано: 30 октября 2011 11:19 · Поправил: ThugboyZ · Личное сообщение · #19 Петька 8 StarForce Pro ~4.7 + пикод + испорченый импорт. Пикод восстановить тебе в жизни не получиться единственый метод - дамп vm, но и до этого ты сам не додумаешь, спрашивай у опытных думаю что-нибудь подскажут ps: а вообще опоздал ты дружок годика так на пол, был тут раньше один перец который стар во все щели поимел, ох что он с ним только не делал
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 30 октября 2011 13:15 · Личное сообщение · #20 Да мне бы хоть от диска отвязать - чтоб 4 гига мусора не держать на диске. Veliant Попробую сделать,но все предыдущие попытки были неудачные. И даже объяснение есть что Старфорс тестит секторы рандомно и сразу визщит если образ кастрирован
ThugboyZ Ранг: 10.9 (новичок), 5thx Активность: 0.06↘0 Статус: Участник	Создано: 30 октября 2011 13:44 · Поправил: ThugboyZ · Личное сообщение · #21 Calypso пишет: И даже объяснение есть что Старфорс тестит секторы рандомно и сразу визщит если образ кастрирован Много видел mini-image для стара, правда мне они не интересны. В общем как скачаю отпишусь точно что там тебе мешает её анпакнуть А пока сообщи свою ОС (лицка, сборка, etc), 32-64Бит, версию ольги (1.10, TSRh, FoFF, 2.01, etc), сразу хочу сказать что если у тебя ОС 64бит можешь смело забыть об анпаке стара через ольгу.
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 30 октября 2011 14:30 · Поправил: Calypso · Личное сообщение · #22 WindowsXP SP3 32 Bit (у меня много разных ОС на компе,есть практически всё кроме Мака и FreeBSD) OllyDbg v1.10 XP Style by Boombox\TSRh2004 (нужно ли качать сборку от арабов?) ImpRec v1.7c ,IDA Pro v.5 ThugboyZ пишет: что там тебе мешает её анпакнуть Капитан очевидность подсказывает что отсутствие знаний о дампе виртуальной машины Я кстати более чем уверен что сценовые группы пытались взломать нашего кролика подопытного и ничего не получилось. Не то что камень в огород Тривиумов,просто должно какое-то объяснение быть этому кроме того что игра трэш Veliant пишет: Для создания мини-образа открываешь mdf файл в hex-редакторе, ищешь сначала где идут имена в ASCII кодировке, затем те же имена в UNICODE (по два байта на символ, или проще говоря каждый символ разделен нулем), ищешь сразу после них последовательность 00 FF FF FF FF FF FF FF FF FF FF. Вот собственно после нее можно все отрезать. Получится ~200кб, кидаешь в архив mds и полученный mdf. Получился mdf размером 33 МБ, монтируешь через mds - "неверный образ диска" ,один mdf - диск не идентифицирован. Там же топология обязательно нужна,без нее не пашет PS Что за технологию использует SF 4.0 ? После запуска Петьки 007 через отладчик игра теперь вообще постоянно пишет что диск не идентифицирован,походу где-то в реестре нагадила что мол была попытка взлома
Veliant Ранг: 301.4 (мудрец), 194thx Активность: 0.17↘0.01 Статус: Участник	Создано: 30 октября 2011 15:14 · Поправил: Veliant · Личное сообщение · #23 Если я копаю, то что надо - то довольная занятная виртуалка выходит у SF. Эмулирует 64-битные регистры. Опкоды в открытом виде не лежат, а XOR'ятся из 4 различных мест. Длина команд не фиксированная, но пока все что встретились 4-8 байт Calypso пишет: Там же топология обязательно нужна,без нее не пашет В mds как раз топология и находится, а в mdf файлы. А пишет неверный диск под отладчиком - значит просто его палит, это нормально
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 30 октября 2011 15:46 · Поправил: Calypso · Личное сообщение · #24 Veliant пишет: В mds как раз топология и находится, а в mdf файлы. А пишет неверный диск под отладчиком - значит просто его палит, это нормально Без отладчика так пишет. Я конечно на 100% не уверен,но процентов 80 что здесь нельзя сделать миниобраз Один товарищ в соседней теме писал что исследовал Как достать соседа 3 - В офисе , так вот чем дело закончилось ? Там стоит SF 4.50.6.12 Pro ,его наработки бы нам пригодились На Петьке 6 стоял SF 3.5 тоже Pro похоже, Тривиумы сломали
ThugboyZ Ранг: 10.9 (новичок), 5thx Активность: 0.06↘0 Статус: Участник	Создано: 30 октября 2011 16:01 · Личное сообщение · #25 Calypso про 3ий стар ходят легенды будто он вообще не анпакается, хотя 3.5+ полностью разобран в туторе от rld
Calypso Ранг: 6.9 (гость), 1thx Активность: 0.03↘0 Статус: Участник	Создано: 30 октября 2011 16:19 · Личное сообщение · #26 Veliant пишет: Если я копаю, то что надо - то довольная занятная виртуалка выходит у SF. Эмулирует 64-битные регистры. Опкоды в открытом виде не лежат, а XOR'ятся из 4 различных мест. Длина команд не фиксированная, но пока все что встретились 4-8 байт Дамп ВМ пробовали делать? Если Петьку 8 копаете,то хотя бы OEP у нас совпадают? 4E716E
ThugboyZ Ранг: 10.9 (новичок), 5thx Активность: 0.06↘0 Статус: Участник	Создано: 30 октября 2011 16:26 · Личное сообщение · #27 Вот сделал мини-образ на Петьку8 проверяйте 780d_30.10.2011_EXELAB.rU.tgz - PETKA8_MINI_IMAGE.rar
Veliant Ранг: 301.4 (мудрец), 194thx Активность: 0.17↘0.01 Статус: Участник	Создано: 30 октября 2011 16:27 · Поправил: Veliant · Личное сообщение · #28 Calypso пишет: Дамп ВМ пробовали делать? Если Петьку 8 копаете,то хотя бы OEP у нас совпадают? 4E716E Я ковыряю ту ВМ, в которую уходят все экспортируемые функции protect.dll Т.к. диска у меня нет, то процесс завершается почти сразу, и никакой речи о OEP идти не может. Потому и расчитывал на мини-образ, чтоб пройти на OEP ThugboyZ пишет: Вот сделал мини-образ на Петьку8 проверяйте Пишет диск не идентифицирован. Видать либо надо отключать хардварный привод, либо дровину ставить, в инете видел FStarForce
ThugboyZ Ранг: 10.9 (новичок), 5thx Активность: 0.06↘0 Статус: Участник	Создано: 30 октября 2011 16:39 · Личное сообщение · #29 Veliant Попробуй привязать основной привод к виртуальному, т.е. IDE привод.
ARCHANGEL Ранг: 681.5 (! !), 405thx Активность: 0.42↘0.21 Статус: Участник ALIEN Hack Team	Создано: 30 октября 2011 16:43 · Личное сообщение · #30 Back to the stolen functions. Starforce has an option to protect idepandant game functions located in the protected module. Those functions do not need any JMP(e9) redirections to be written, their code in the module is a simple RET(c3), what happened to the function code? Its executed in the VM, before the real original entrypoint, so in some cases your "oep" dumps are useless (PsiOps, Second Sight, PacMan world2, Toca2, Crc2005 etc) Прикрутить ВМ мало, надо ещё выставить редиректы на код ВМ так, чтоб внутри неё выполнялись защищённые функции. Но , имхо, это не анпак. Т.е. не полный анпак. Вот если б декомпилить ВМ удалось бы. Хотя не знаю, насколько справедливо для четвёрки - тьютор для 3 версии писался. ----- Stuck to the plan, always think that we would stand up, never ran.
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 30 октября 2011 16:45 · Личное сообщение · #31 Veliant пишет: ишет диск не идентифицирован. Видать либо надо отключать хардварный привод, либо дровину ставить, в инете видел FStarForce Не в этом дело старик проверят наличие файлов на диске. ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 . >>

Для печати