Тренировался на всяких Crackme, читал до 8-й головы Нарваха, в общем имею общие представление что чему.
Тут решил себе приверить силы, да и заодно полезный софт вроде..
вот сам виновник торжества: --> Телефонный справочник (Сочи) <--
Ну как положено - для начало прогонял по PEiD и как я понял - НЕ упакована программа:
Microsoft Visual Basic 5.0 / 6.0

Запускаю через ollydbg и находит сразу точку входа:

Но вот потом запускаю программу, пробую зайти в раздел регистрации программы, вводить случайные значение, чтоб посмотреть где идет проверка, но не показывает ничего, только когда закрываю, тогда уже переходит в конец:

И все..
Код очень глинный и не смотреть все по строчно, как в случае Crackme.

С чего посоветуйте начать ?

P.S. Кода не надо, хочу сам понять что к чему.

| Сообщение посчитали полезным:

можно начать с прогона проги через VbDecompiler

| Сообщение посчитали полезным:

Это ты зря так рано бросил читать ))) Читай там дальше про Microsoft Visual Basic.

| Сообщение посчитали полезным:

tihiy_grom
NikolayD

ага, получается все же упакован это? ))) а я думал это просто поакзывает, что написано на языке VB.
ну вот открыл через VbDecompiler, там как ResHacker отображает иерархия кодулей.
но заметил, что вроде показывает и код в дизассемблированном виде.

И что делать потом? он же не как дебаггер ))
хотя вот нашел "интересный арздел"


Но не знаю как там "трассировать"

| Сообщение посчитали полезным:

ContrafackContrafack пишет:
С чего посоветуйте начать ?
Прислушаться к тому, что уже советовали в предыдущих постах...
Ставь bp на rtcMsgBox, дальше думай сам...

-----
We do what we want because we can.

| Сообщение посчитали полезным:

>> ага, получается все же упакован это? )))
нет
почитай хотя бы википедию
https://ru.wikipedia.org/wiki/VB_Decompiler
для VB есть специализированные инструменты

| Сообщение посчитали полезным:

verdizela

Похожу цеплялся ))))))
вот останавливается на этом: (при вводе кода - 123456)

P.S. хотя тут не понял как и чем "шифрован" rtcMsgBox.

потом нажимаю F7, и перейду в этот модуль:


Тут как я вижу много CMP и даже XOR(один раз).
искл в стеке текст, что я вводил(123456), но не нашел..

| Сообщение посчитали полезным:

Фэйк какой-то =)
Contrafack пишет:
хотя вот нашел "интересный арздел"
Более интересный раздел --> rint_click_9F68E0
При сообщении о верном рег. коде программа сама создаёт правильные рег. файлы infokey.sys и inforeg.sys

| Сообщение посчитали полезным:

Не совсем понятно где там чтото типа vbaStrCmp в момент сравнения правильного номера с неправильным)

| Сообщение посчитали полезным:

Contrafack пишет:
Тут как я вижу много CMP и даже XOR(один раз).
Не смешите людей...
Contrafack пишет:
читал до 8-й головы Нарваха
Начинайте опять сначала и внимательно.

-----
We do what we want because we can.

| Сообщение посчитали полезным: DimitarSerg, plutos

hlmadip

ну можно создать ручной эти файлы )))) только там ведь инфо генерируется (по идее должен), а что за инфо - ХЗ


verdizela

Не надо троллить опять. пиши по делу или ничего не пиши вообще.

| Сообщение посчитали полезным:

Contrafack пишет:
только там ведь инфо генерируется
программа сама генерирует необходимое и при последующих запусках считает себя зарегистрированной

| Сообщение посчитали полезным:

Contrafack
..."Вы, профессор, воля ваша, что-то нескладное придумали! Оно, может, и умно, но больно непонятно. Над вами потешаться будут".
Contrafack пишет:
Не надо троллить опять. пиши по делу или ничего не пиши вообще.
Это не тот форум, где позволят троллинг, если вы, конечно понимаете сами смысл троллинга...

-----
We do what we want because we can.

| Сообщение посчитали полезным:

hlmadip

Ну и как "заставить", чтоб генерировались эти файлы?

| Сообщение посчитали полезным:

Я конечно, понимаю, что ТС написал ерунду, вывалив листинг системной библиотеки и разглядывая там CMP, пытаясь искать там сравнение серийного номера. Но всё же желательно воздержаться от ржаки/аналогичных постов и оффтопа.

| Сообщение посчитали полезным:

Archer

Ну как бы думал, что как в Crackme идет сравнение тот, что было введено и после этого переход на другие модули. Откуда я мог узнать, что там вс сосем по-другому ?

| Сообщение посчитали полезным:

Contrafack пишет:
Ну и как "заставить", чтоб генерировались эти файлы?
.text:009F6A14 jz loc_9F6BBF

| Сообщение посчитали полезным: Contrafack

Ничего другого тут нет, всё точно так же. А что это системная библиотека-олька (оттуда ведь листинг был взят) прекрасно это показывает. А знать откуда-статьи почитать, как многие настойчиво советовали выше, а потом уже на форуме спрашивать.

| Сообщение посчитали полезным: plutos, verdizela

verdizela wrote:

"Начинайте опять сначала и внимательно. "

Вполне разумный совет. От себя добавлю: "... и до конца все tutorials".
Т.е. Начинайте опять сначала и внимательно читайте до конца все tutorials.
Тогда многие вопросы отпадут сами собой.

-----
Give me a HANDLE and I will move the Earth.

| Сообщение посчитали полезным:

Этот фейк уже тут проскакивал
http://forum.xakep.ru/m_2577570/tm.htm

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным: Contrafack

а какое там смещение адресов между VbDecompiler и Olly и как его вычислить?

| Сообщение посчитали полезным:

hlmadip

О, спасибо. забил NOP_ом этот переход и все заработало ))))
только вот Flint может быть прав, фейл. Спасибо за подсказку.
А как нашли этот переход?


Flint

жаль конечно, что фейковые

| Сообщение посчитали полезным: