Найти наг, возникающий онлайн

Сейчас на форуме: asfa, bartolomeo, _MBK_ (+7 невидимых)

Посл.ответ	Сообщение
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 25 марта 2012 11:12 · Поправил: Chris · Личное сообщение · #1 Подопытная прога пропатчена путём трассировки в Olly, что позволило запускать её без лишних нагов на старте и без регистрации. Однако в таком варианте прога имеет ограничение в функциональности, а именно: при попытке скачать файл закачка обрывается и возникает наг, в котором сообщается, что ознакомительная версия может загружать не более 10 МВ или 50% файла. При закрытии этого нага сразу возникает второй с предложением купить прогу. Пытался отловить наг следующим образом. Запускал прогу через отладчик, затем в ней открывал любой ресурс (например, YouTube) и переходил на загрузку какого-нибудь файла. Пока шла загрузка, успевал поставить ВР, при достижении ограничения в загрузке ВР срабатывал. Пробовал разные, например, BP ShowWindow, однако полезной информации не нашёл, чаще всего всё замыкается на внешнем модуле или вызов идёт с какого-то непонятного места. Как правильно подойти к решению этой проблемы? Доп. инфо. Прога GetFLV ( www.getflv.net ). Последняя версия 9.0.9.2. Пропатченный экзешник здесь: http://rghost.ru/37207394 Лекарства в Сети нет.

Vovan666 Ранг: 617.3 (!), 677thx Активность: 0.54↘0 Статус: Участник	Создано: 25 марта 2012 12:14 · Личное сообщение · #2 Во время нага F12->Alt+F9-> несколько раз F8 пока не выйдешь в цикл обработки окна что-то вроде: Code: 004890E2 \|. 8990 4C020000 MOV DWORD PTR DS:[EAX+24C],EDX 004890E8 \|> A1 F4AB7200 /MOV EAX,DWORD PTR DS:[72ABF4] 004890ED \|. E8 82320000 \|CALL GetFLV.0048C374 004890F2 \|. A1 F4AB7200 \|MOV EAX,DWORD PTR DS:[72ABF4] 004890F7 \|. 80B8 9C000000 00 \|CMP BYTE PTR DS:[EAX+9C],0 004890FE \|. 74 0F \|JE SHORT GetFLV.0048910F 00489100 \|. 8B45 FC \|MOV EAX,DWORD PTR SS:[EBP-4] 00489103 \|. C780 4C020000 02000000 \|MOV DWORD PTR DS:[EAX+24C],2 0048910D \|. EB 14 \|JMP SHORT GetFLV.00489123 0048910F \|> 8B45 FC \|MOV EAX,DWORD PTR SS:[EBP-4] 00489112 \|. 83B8 4C020000 00 \|CMP DWORD PTR DS:[EAX+24C],0 00489119 \|. 74 08 \|JE SHORT GetFLV.00489123 0048911B \|. 8B45 FC \|MOV EAX,DWORD PTR SS:[EBP-4] 0048911E \|. E8 1DFDFFFF \|CALL GetFLV.00488E40 00489123 \|> 8B45 FC \|MOV EAX,DWORD PTR SS:[EBP-4] 00489126 \|. 8B80 4C020000 \|MOV EAX,DWORD PTR DS:[EAX+24C] 0048912C \|. 85C0 \|TEST EAX,EAX 0048912E \|.^ 74 B8 \JE SHORT GetFLV.004890E8 00489130 \|. 8945 F8 MOV DWORD PTR SS:[EBP-8],EAX ставишь бряк ниже цикла и закрываешь наг, ну а дальше трассируешь по F8 пока не найдешь как это обойти. ЗЫ - Это на примере первого нага, остальные могут отличаться.
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 25 марта 2012 12:25 · Поправил: Kindly · Личное сообщение · #3 Chris - рой в сторону CodeSetting - там проверок несколько. Далее ограничения загрузки с нагом, отсюда смотри со скольки колов вызывается: 006F28C8 Пропатчишь и будет тебе счастье. ----- Array[Login..Logout] of Life
schokk_m4ks1k Ранг: 31.0 (посетитель), 70thx Активность: 0.14↘0 Статус: Участник	Создано: 25 марта 2012 13:55 · Поправил: schokk_m4ks1k · Личное сообщение · #4 Chris подправ переход с условного на безусловный по адресу 006F28EB
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 25 марта 2012 14:02 · Поправил: Kindly · Личное сообщение · #5 schokk_m4ks1k - садись два То что ты патчишь, это только наг, лимит в 10 мег и 50% остается. schokk_m4ks1k пишет: ну я думаю от того места можно отловить и подправить! Kindly пишет: отсюда смотри со скольки колов вызывается:006F28C8 schokk_m4ks1k пишет: ну так возьми и вылечи прогу, или ты только чужие кряки обсуждать можешь??? главная цель направить новичка в нужное русло, а не сломать за него. ты вот только с толку его сбиваешь. ----- Array[Login..Logout] of Life \| Сообщение посчитали полезным: Chris
schokk_m4ks1k Ранг: 31.0 (посетитель), 70thx Активность: 0.14↘0 Статус: Участник	Создано: 25 марта 2012 14:10 · Поправил: schokk_m4ks1k · Личное сообщение · #6 Kindly та я просто даже не проверял! а в теме было написано убрать наг или я не прав??? ну я думаю от того места можно отловить и подправить! Kindly ну так возьми и вылечи прогу, или ты только чужие кряки обсуждать можешь??? взял бы и помог человеку) Kindly по моему я назвал адресс откуда нужно отлавливать! вот пусть и отлавливает \| Сообщение посчитали полезным: Chris
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 25 марта 2012 14:54 · Поправил: Chris · Личное сообщение · #7 Kindly schokk_m4ks1k Стоп, стоп... Не хочу быть яблоком раздора. Для меня на самом деле важно понять, как найти решение, а не только поиметь готовое. Kindly Вы правильно сказали, что убирается только наг. Более того, этот путь для нахождения лимита тупиковый, анализ всех call этой функции ничего не даст. Я уже успел к этому разговору проделать: 6F28С8 55 8B EC --> B0 01 C3 - убирается только наг. Копать надо где-то в другом месте.
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 25 марта 2012 14:58 · Личное сообщение · #8 Chris - нет. На этот адрес программа не должна попадать, нужно чтобы джампы перепрыгивали ее. ----- Array[Login..Logout] of Life
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 25 марта 2012 15:07 · Поправил: Chris · Личное сообщение · #9 Kindly Дык, B0 01 C3 - это и есть переход сразу в RET. Просто так править меньше. Можно, например, весь этот блок занопить или с его начала написать JMP в самый конец - результат будет один.
hlmadip Ранг: 58.1 (постоянный), 42thx Активность: 0.06↘0.01 Статус: Участник	Создано: 25 марта 2012 15:22 · Личное сообщение · #10 Chris пишет: Дык, B0 01 C3 - это и есть переход сразу в RET. Просто так править меньше. Ищи откуда вызывается 006F28C8 и правь там так, что бы не наг вызывался, а прога "исполняла свои обязанности" \| Сообщение посчитали полезным: Chris
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 25 марта 2012 16:18 · Личное сообщение · #11 hlmadip Пришёл и я к этому же выводу. Надо анализировать то, что делается непосредственно перед вызовом нага, и там копать.
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 25 марта 2012 16:28 · Поправил: Kindly · Личное сообщение · #12 Chris - не самая удачная прога для успешного слома Там потом при работе будут проверки, что-то типа обновите флеш плеер, а также вылеты при конвертировании, но может это только у меня так Глубже не копал, но предположение, что там еще проверочные таймеры задействованы. ----- Array[Login..Logout] of Life
hlmadip Ранг: 58.1 (постоянный), 42thx Активность: 0.06↘0.01 Статус: Участник	Создано: 25 марта 2012 17:04 · Поправил: hlmadip · Личное сообщение · #13 всё вертится от данных по адресу 007287F4. Ставь бряк на чтение и вперёд. Ключ из реестра, кажись, в открытую сравнивается с правильным. Осталось только интернет проверку одолеть
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 25 марта 2012 18:17 · Поправил: Chris · Личное сообщение · #14 Kindly Проверка CRC, проверка версии Flash плеера, обход регистрации, очистка Licensed to - это всё уже было пропатчено, оставался только этот хитрый момент. А поскольку он напрямую связан с онлайн режимом, то это напрочь сбивало с толку, т.к. должного опыта у меня нет. Kindly schokk_m4ks1k hlmadip Спасибо всем за наводку! Пропатчил в семи местах. Всё работает, файлы загружаются нормально.

Для печати