Информации об исследовании данной защиты в свободном доступе почти нет,кроме мануала про снятие SF 5.50 с игры King's Bounty. Особого интереса этот мануал не представляет по той причине,что на игру есть нормальные NoDVD.
Идея была такая - снять дамп с запущенного через эмулятор процесса ,затем восстанавливать недостающие процедуры из Protect.dll.
Версия 4.70 очень поганая, запустить её с эмулятором удается с 10-15 раза.
Если в отладчике открывать сам exe-файл ,то после тыкания Shift+F9 выбрасывает в Protect.dll . Никакого EP нет.
Вообщем пусть гуру объяснят как тут надо действовать

| Сообщение посчитали полезным:

Calypso
на будущее юпх снимается в ком. строке: upx *название_файла.расширение -d. И не забудь крк проверку поправить, чтобы это провернуть 7ой call меняешь на mov eax, 0. Как-то так)
ps: protect.dll без юпх спец для тебя дорогой товарищ)) http://ifolder.ru/26673501

| Сообщение посчитали полезным:

Я вот кстати не понял простую вещь
При проверке диска драйвер возращает адрес вызовы следующей функи. Че за идиотизм? Это, если проверка успешна, он мне вернет адрес функции "все ок - запускаем игру"? У кого есть диск или образ. Скажите что возвращает DeviceIOControl при ControlCode 910024C0. А то я понять не могу что это за хрень.

| Сообщение посчитали полезным:

Nightshade пишет:
все хендлеры начинаются так
Последовательность стартовых команд найти не проблема. Но почему бы, не искать таблицы, по которым идет выборка? Ведь тогда сразу получим все адреса обработчиков?! Или найти сами таблицы не реально?

Распознавание хендлеров можно так же искать по последовательности операций, но там достаточно мусорных команд с неиспользуемыми регистрами, их вычищать сложно.

Думаю после этого в статике уже не составит труда транслировать в натив. Я предполагаю что старфоровцы тоже ленивый народ, и транслировали регистры один в один. Т.е. для x86 исходного кода они юзают не все регистры, остальные же - для x64 натива, там регистров же больше. Но это только предположение

Nightshade пишет:
мне вернет адрес функции "все ок - запускаем игру"
Больно легко получается, а то так можно было бы просто ему "намекнуть" что все ок.
Сейчас хочу списаться с топик стартером, пусть либо сам дампит/смотрит, то что нам надо, либо если будет возможность/желание пусть VNC поднимет, сам все сделаю)

| Сообщение посчитали полезным:

Starforce 4.70.11.0 Builder это и есть Basic версия?
Смотрите какая фигня, protect.dll весит 18 МБ но это похоже Basic версия и я смогу её сломать (игра Петровка 38.5)
http://depositfiles.com/files/3xong73kp

| Сообщение посчитали полезным:

Если тебе неймется Basic то вот блокнот накрытый им
http://tuts4you.com/download.php?view.1277

| Сообщение посчитали полезным:

Про версия. Говорил же если размер протекта больше 8 мб = про.

| Сообщение посчитали полезным:

[Nomad] пишет:
Про версия. Говорил же если размер протекта больше 8 мб = про.

Почему тогда написано Builder? В Про версии написано Starforce Pro
Петровку 38.5 пытались ломать уже,выложили нерабочий кряк (я так подозреваю как раз у них он работал потому что CPUID был валидный)
Скиньте мне в личку картинки как дампить ВМ ,я попробую что-нибудь сварганить.

| Сообщение посчитали полезным:

Регистры не транслируются 1 в 1 это 100%. Таблицы разбросаны по файлу и перемешаны с мусором.
Если ты посмотришь внимательнее, то увидешь что у каждого хендлера своя таблица переходов на следующий хендлер. Смысл искать кучу таблиц, когда можно найти начало каждого хендлера? Ну даже если ты найдешь все таблицы, то потом так же будешь собирать все хендлеры. Но это намного проще делать через поиск инструкций. Я думаю это очень не оптимальный метод.

| Сообщение посчитали полезным:

Calypso пишет:
Почему тогда написано Builder? В Про версии написано Starforce Pro
На заборе тоже пишут. Я уже второй раз написал как определить про\бейсик версию "на глаз", не заглядывая внутрь и смысл ? Все равно у тебя свой подход

| Сообщение посчитали полезным:

Вот что накопал пока (в архиве картинки,дамп области ВМ с зашифрованными функциями)
http://depositfiles.com/files/13qt8adf3

| Сообщение посчитали полезным:

Calypso пишет:
Вот что накопал пока
Вот, совсем другой разговор)) Теперь хотяб можно посмотреть откуда что вызывается. А при должной сноровке и импорт восстановить, если помапить все секции как у тебя))

Проглядел кое-что: Выложи тогда еще свой d3dx9_35.dll, чтоб адреса совпадали

| Сообщение посчитали полезным:

Nightshade пишет:
Скажите что возвращает DeviceIOControl при ControlCode 910024C0
В первый раз возвращает 002E0A58 или 00790B35 (если перезапустить)
Во второй раз возвращает всегда 0033D4AB

При этом модифицирует память по адресу, который лежит в InBuffer, поэтому при подмене значений без выполнения DeviceIOControl крашится

| Сообщение посчитали полезным:

Veliant пишет:
Выложи тогда еще свой d3dx9_35.dll, чтоб адреса совпадали
http://depositfiles.com/files/fttw2mmf9
Вот кстати видео из игры самой,может кто не в курсе что ломаем)
Ничего так квест,все аккуратненько в 3д нарисовано. Особенно локация из демки угар,игра короче стоит чтобы с ней повозиться

| Сообщение посчитали полезным:

Calypso пишет:
вообщем минимануал. И на этом тему можно закрывать
Угу, сделайте полный мануал по снятию и закрывайте тему.
Calypso пишет:
кроме того это совсем не для новичков
Тогда почему ты еще здесь?
Calypso пишет:
игра короче стоит чтобы с ней повозиться
Кого ты в этом убеждаешь? Это твое мнение - вот и возись.

Начни наконец выбирать себе задачи по силам, тогда тебе помогут. Начни с СФ бэйсика, он давно уже разобран по кусочкам и любой форумчинин тебе поможет.

| Сообщение посчитали полезным:

Kylak пишет:
Начни с СФ бэйсика, он давно уже разобран по кусочкам и любой форумчинин тебе поможет.
Все игры,которые мне нужно отучить от диска используют Про версию. Про Бэйсик уже обсуждали,см. выше
Kylak пишет:
Тогда почему ты еще здесь?
Kylak пишет:
Кого ты в этом убеждаешь? Это твое мнение - вот и возись.
Хорош уж троллить. Кто хочет - поможет, кто не хочет - я вас не задерживаю,занимайтесь своими делами
Посмотри сколько просмотров у темы и сделай вывод,что многие хотят узнать как распаковывать Старфорс

| Сообщение посчитали полезным:

Calypso пишет:
которые мне нужно
Да, дальше разговор бесполезен.

| Сообщение посчитали полезным:

Петровку 38 если кто будет ковырять,я глянул всё один в один как у Петьки8.
OEP 51721 ,загажено 10 функций kernel32.dll
Виртуальная машина должна быть такая же точно т.к. версия СФ одинаковая 4.70

| Сообщение посчитали полезным:

Calypso пишет:
Посмотри сколько просмотров у темы и сделай вывод,что многие хотят узнать как распаковывать Старфорс

Жаришь, даже без масла.... Просто как уже ранее говорилось, хотя бы раз в полгода, приходит новичок, и спрашивает про этот стар.
ЗЫ я тоже спрашивал раньше

| Сообщение посчитали полезным:

Dart Sergius пишет:
Просто как уже ранее говорилось, хотя бы раз в полгода, приходит новичок, и спрашивает про этот стар.
ЗЫ я тоже спрашивал раньше
Тем более должно быть стыдно,что до сих пор на форуме нет ни одного мануала. Я когда в 2007 году сюда заходил,то тоже были темы про распаковку Стара и всё в конце скатывалось во флудопомойку.
Здесь единственное оправдание - образ весит 4 гига,без него нельзя дебажить. А так вообще несерьезно что 5 страниц и нет до сих пор результатов
Или все ждут что я распакую Стар и выложу готовый кряк

| Сообщение посчитали полезным:

Calypso пишет:
Или все ждут что я распакую Стар и выложу готовый кряк
По моему наоборот

| Сообщение посчитали полезным:

Вот вам подсказка: nodvd на игру Волшебник изумрудного города + оригинальные файлы, защита SF 4.70 Pro
http://depositfiles.com/files/dsnctuure
Наверно можно распотрошить взломанный файл,посмотреть какие секции сдамплены и всё это применить к нашему подопытному кролику.
Кстати секций SF3Data в нем нету,неужели кто-то разобрал виртуальную машину полностью?

| Сообщение посчитали полезным:

Жжешь, это же вроде ты помощи просишь, а теперь оказывается другим подсказываешь.

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

Calypso
кстати твой петка 8 уже давно сломан кряк в привате, но его вряд ли выложат, ибо игра уже не интересна, хотя изредка всякий треш сливают в паблик Если надо могу импорт восстановить полностью, но это ближе завтра к обеду сёдня занят

| Сообщение посчитали полезным:

ThugboyZ
Лол,ну это уж даже не смешно. Толстейший троллинг - "я могу сломать,но не скажу как"
Особенно фраза
ThugboyZ пишет:
его вряд ли выложат, ибо игра уже не интересна, хотя изредка всякий треш сливают в паблик
звучит как 100% идиотизм. Не позорься уж,чувак, если не можешь помочь - есть такая поговорка "молчи за умного сойдешь"
Типа игра никому не интересна,но её давно уже сломали и кряк держат в привате,в зашифрованном архиве,чтоб никто никогда не увидел . Бред сумасшедшего

| Сообщение посчитали полезным:

ThugboyZ пишет:
петка 8
Петка в привате это что то новое,звучит как из жёлтой прессы

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

Calypso
думай как хочешь

| Сообщение посчитали полезным:

ClockMan
Это известный приема троллинга у школоты - приходит какой-нибудь чел,начинает всем говорить что он со сцены,гнет пальцы,мол всё это давно сломали бла бла, но всё в привате.
Скорее всего Тривиумы попытались сделать кряк на скорую руку (дамп ВМ наверно), ничего у них не получилось и на игру просто забили. Разбирать виртуальную машину из-за детского квеста нормальный здравомыслящий человек не стал бы
Тем более кряк надо делать для каждого компьютера отдельно,раз привязка по ID процессора

| Сообщение посчитали полезным:

Единственный человек который ломал любую версию стара это был Olenevod , он даже вроде анпакер писал потом вроде забросил...

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.

| Сообщение посчитали полезным:

ClockMan
Кейгенил и разбирал вм. Его наработками сейчас пираты пользуются.

| Сообщение посчитали полезным:

Calypso
странный ты. я не в одной своей мессаге не говорил, что я разбирал вм, дампил, кейгенил и т.д. я говорю как есть. кряки есть почти на все игры, но сливают их хаотично. насчёт импорта завтра будет полностью восстановленный, только смысла от него 0, всё равно работать не будет, так на будущее


От модератора: Пользуйся кнопкой "Правка", не создавай сообщения подряд.

| Сообщение посчитали полезным: