Проблемы с распаковкой ASProtect

Сейчас на форуме: Adler, asfa, bartolomeo (+8 невидимых)

Посл.ответ	Сообщение
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 21 июня 2012 22:13 · Личное сообщение · #1 ASPrINF показывает, что программа упакована ASProtect 1.56 build 03.17. DecomAS распаковывает, однако полученный файл не запускается. В Olly он загружается, но при запуске в какой-то момент уходит в аут, а ручная трассировка непременно зацикливается. Пытаюсь распаковать вручную с помощью скриптов в Olly. Поиск ОЕР проходит нормально. Запускаю скрипт "Восстановление таблицы IAT и вызовов APIs". Работа скрипта останавливается на сообщении: "Ошибка!!! Base Relocation Table: инструкции 'mov dword[const],ebp \| cmp ebp.dword[esp+??]' не найдены". В туториале vnekrilov'a (выпуск 2, 16 частей) выход из подобного тупика не увидел. Как выплыть из этой ситуации? Программа DVDFab 8.1.8.5 Qt. Оригинальный экзешник: http://rghost.ru/38798893

AKAB Ранг: 79.4 (постоянный), 183thx Активность: 0.11↘0 Статус: Участник	Создано: 21 июня 2012 22:28 · Личное сообщение · #2 Unpacking DVDFab 8.1.xxx by new tiger part1 http://ar.rghost.net/38799599 part2 http://ar.rghost.net/38799634 pas=asprotect1.4 \| Сообщение посчитали полезным: Chris
schokk_m4ks1k Ранг: 31.0 (посетитель), 70thx Активность: 0.14↘0 Статус: Участник	Создано: 21 июня 2012 22:40 · Личное сообщение · #3 Chris попробуй еще плагин CodeDoctor для ольки, вэтом плаге есть распаковка Asprotect, может и поможет!
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 22 июня 2012 11:31 · Личное сообщение · #4 AKAB Спасибо! После знакомства с роликом (просмотр без остановок) стало очевидно, что разобраться в этом материале будет очень сложно. Однако, попытаюсь. Может всё-таки есть возможность приспособить скрипты vnekrilov'a для распаковки сабжа?..
NikolayD Ранг: 189.9 (ветеран), 334thx Активность: 0.3↘0 Статус: Участник	Создано: 22 июня 2012 11:54 · Личное сообщение · #5 Chris, хм, про анпакер PE_Kill'a не слышали? Что касаемо скриптов, берёте и дорабатываете ))) Скрипты уже обсуждали, можете на форуме почитать. \| Сообщение посчитали полезным: TLN
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 22 июня 2012 12:16 · Личное сообщение · #6 NikolayD Хм-м... Про попытку использования unpacker'a PE_Kill'a (DecomAS) я написал в первом сообщении.
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 22 июня 2012 14:01 · Поправил: ClockMan · Личное сообщение · #7 Chris Да прога на самом минемале упакованна найдите oep,снимите дамп. В импорте спёрта всего одна функа, восстановите её и спомощью империка прикрутите импорт и пользуйтесь на здоровье... ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли. \| Сообщение посчитали полезным: TLN
NikolayD Ранг: 189.9 (ветеран), 334thx Активность: 0.3↘0 Статус: Участник	Создано: 22 июня 2012 14:37 · Личное сообщение · #8 Хммм, точно ))) Странно, что не взял. Ну в любом случае доработать скрипт это уже ваша забота ))) \| Сообщение посчитали полезным: TLN
Konstantin Ранг: 42.9 (посетитель), 33thx Активность: 0.04↘0 Статус: Участник	Создано: 23 июня 2012 16:15 · Поправил: Konstantin · Личное сообщение · #9 Chris пишет: Может всё-таки есть возможность приспособить скрипты vnekrilov'a для распаковки сабжа?. Скрипт работает. Пользуете StrongOD? Отключите его и всё заработает как надо. Либо обратите внимание на следующий код скрипта: Code: ////////////////////////////////////// // ---------------------------------------------------------------------------- // Получение ImageBase и ImageSize AsProtect.dll // ---------------------------------------------------------------------------- get_ImageBase_ImageSize_AsProtect_dll: gpa "GetSystemTime","kernel32.dll" // Получаем адрес API GetSystemTime на нашей машине bp $RESULT esto bc eip rtu // Выполняем API GetSystemTime, и переходим в код программы Последнюю команду - rtu, замените на следующие две: Code: RTR STI ClockMan пишет: В импорте спёрта всего одна функа, восстановите её и спомощью империка прикрутите импорт и пользуйтесь на здоровье... А как же stolen code? Ну, и фиг с ним, всё равно работает? Chris пишет: DecomAS распаковывает, однако полученный файл не запускается. В DOS Header-е в поле Bytes on last page пропишите значение - 90 (там будет - 5344). И распакованный файл запустится. \| Сообщение посчитали полезным: Chris
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 23 июня 2012 17:26 · Личное сообщение · #10 Konstantin пишет: А как же stolen code? Ну, и фиг с ним, всё равно работает? где вы там столен коде увядили? ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
Konstantin Ранг: 42.9 (посетитель), 33thx Активность: 0.04↘0 Статус: Участник	Создано: 23 июня 2012 17:44 · Поправил: Konstantin · Личное сообщение · #11 ClockMan Code: 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00A7BECB * Дистанция прыжка: 03360000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00A7C14E * Дистанция прыжка: 03360195 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00A7C0E7 * Дистанция прыжка: 033600F2 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00A7C120 * Дистанция прыжка: 033603D1 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00A7C144 * Дистанция прыжка: 03360228 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B1FCDC * Дистанция прыжка: 033B0000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B1FD77 * Дистанция прыжка: 033B01DD 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B1FD9E * Дистанция прыжка: 033C0000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B1FF31 * Дистанция прыжка: 033C0276 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B201AA * Дистанция прыжка: 033D0000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2064F * Дистанция прыжка: 033E0000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B20680 * Дистанция прыжка: 033E0199 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B206E3 * Дистанция прыжка: 033F0000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B20714 * Дистанция прыжка: 033F0530 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B207F8 * Дистанция прыжка: 033F054B 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B211C7 * Дистанция прыжка: 03600000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21938 * Дистанция прыжка: 036010A9 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21938 * Дистанция прыжка: 036010A9 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21938 * Дистанция прыжка: 036010A9 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21938 * Дистанция прыжка: 036010A9 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21938 * Дистанция прыжка: 036010A9 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21938 * Дистанция прыжка: 036010A9 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21390 * Дистанция прыжка: 03600549 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21390 * Дистанция прыжка: 03600549 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21944 * Дистанция прыжка: 0360168E 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2193F * Дистанция прыжка: 036010B0 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21944 * Дистанция прыжка: 0360168E 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2193F * Дистанция прыжка: 036010B0 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2156C * Дистанция прыжка: 036012E8 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21944 * Дистанция прыжка: 0360168E 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2152C * Дистанция прыжка: 0360266D 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21576 * Дистанция прыжка: 03601171 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B217D0 * Дистанция прыжка: 036011BD 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B217E4 * Дистанция прыжка: 0360073B 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2195D * Дистанция прыжка: 03602686 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21944 * Дистанция прыжка: 0360168E 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21993 * Дистанция прыжка: 036020C2 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B21944 * Дистанция прыжка: 0360168E 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B22012 * Дистанция прыжка: 03700000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B22104 * Дистанция прыжка: 037003CA 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B220E8 * Дистанция прыжка: 03700220 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B221F9 * Дистанция прыжка: 03700229 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B222E6 * Дистанция прыжка: 037005C0 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B222FB * Дистанция прыжка: 037002CF 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B22314 * Дистанция прыжка: 037008DB 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2232C * Дистанция прыжка: 03700476 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2233A * Дистанция прыжка: 03700D41 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2234F * Дистанция прыжка: 0370047B 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2240F * Дистанция прыжка: 0370035B 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B226CA * Дистанция прыжка: 03710000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B22725 * Дистанция прыжка: 03710014 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2275A * Дистанция прыжка: 03720000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B2276F * Дистанция прыжка: 03720019 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00B22844 * Дистанция прыжка: 0372011E 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00CE6C59 * Дистанция прыжка: 03A10000 01882EE7 Breakpoint at DVDFab_d.01882EE7 * Адрес прыжка в области кода: 00CE6E27 * Дистанция прыжка: 03A100F7 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03588BC4 * Область со Stolen Code: 03360000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03588C58 * Область со Stolen Code: 033B0000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03588CEC * Область со Stolen Code: 033C0000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03588D80 * Область со Stolen Code: 033D0000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03588E14 * Область со Stolen Code: 033E0000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03588EA8 * Область со Stolen Code: 033F0000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03588F3C * Область со Stolen Code: 03600000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03588FD0 * Область со Stolen Code: 03700000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 03589064 * Область со Stolen Code: 03710000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 035890F8 * Область со Stolen Code: 03720000 0188332B Breakpoint at DVDFab_d.0188332B * Адрес массива данных: 0358918C * Область со Stolen Code: 03A10000 018738AC Breakpoint at DVDFab_d.018738AC 018860B4 Hardware breakpoint 1 at DVDFab_d.018860B4 01883E8C Hardware breakpoint 1 at DVDFab_d.01883E8C 00CB994D Conditional pause: eip < 03330000 * OEP: 00CB994D 019C00BC Breakpoint at 019C00BC 019C0048 Breakpoint at 019C0048 * OEP (SBOEP): 00000000 * RVA OEP для ImpRec: 00000000 Это лог работы скрипта vnekrilov-а. И в файле, распакованном DecomAS-ом, наличие секции stolen вас не смущает?
ClockMan Ранг: 568.2 (!), 464thx Активность: 0.55↗0.57 Статус: Участник оптимист	Создано: 24 июня 2012 01:50 · Поправил: ClockMan · Личное сообщение · #12 Konstantin Есть там столен коде или нет его там всё настолько просто. Konstantin пишет: скрипта vnekrilov-а. И в файле, распакованном DecomAS-ом Ну вам то видней вы то привыкли пользоватся чужими скриптами тузлами а потом кричать какой вы мегаанпакер , ----- Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.
vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 24 июня 2012 07:28 · Личное сообщение · #13 Не понял ошибки работы скриптов. У меня скрипты нормально отработали. В OllyDBG я применяю следующие настройки плагинов: Code: [Plugin StrongOD] CreateProcessMode=2 HidePEB=1 IsPatchFloat=0 IsAdvGoto=1 KernelMode=1 KillPEBug=0 SuperEnumMod=0 AdvAttach=0 SkipExpection=0 OrdFirst=0 BreakOnLdr=0 BreakOnTls=0 RemoveEpOneShot=1 ShowBar=16 LoadSym=0 HideWindow=1 HideProcess=1 ProtectProcess=1 DriverKey=-82693034 DriverName=fujitsu AutoUpdate=0 UpdateURL=http://www.safengine.com/download/update/update.txt Code: [Plugin PhantOm] PEB=0 GETCOUNT=0 DRX=1 SETCONTEXT=0 DEBSTRING=1 WINVER=0 GETTIMES=0 REMOVEEP=0 HANDLE=0 WINDOWS=0 DRIVER=0 CAPTION=1 RDTSC=0 VERSION=154 DELTARDTSC=99988 HIDENAME=Paliha RDTSCNAME=Queen CAPTEXT=Enigma PRETEXT=LTD SINGLE=0 BLOCK=0 Chris Просто внимательно прочитайте мои туториалы, и нужно немного подумать, что нужно делать. Можно, конечно, распаковывать автоматом. Но это не всегда можно сделать, особенно при запуске распакованной программы, когда скрипты не записывают адреса подпрограмм, связанных с триальными версиями. \| Сообщение посчитали полезным: Chris
Konstantin Ранг: 42.9 (посетитель), 33thx Активность: 0.04↘0 Статус: Участник	Создано: 24 июня 2012 12:12 · Поправил: Konstantin · Личное сообщение · #14 vnekrilov Так ведёт себя скрипт под Win7 x64. Точнее глючит команда скрипта - rtu.
vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 24 июня 2012 12:54 · Личное сообщение · #15 Konstantin пишет: Так ведёт себя скрипт под Win7 x64. Спасибо за пояснение. Реверсинг программ я провожу только под WinXP, поэтому с проблемами такого типа я не встречался.
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 25 июня 2012 15:56 · Личное сообщение · #16 Konstantin пишет: В DOS Header-е в поле Bytes on last page пропишите значение - 90 Оказывается так просто! - Спасибо за науку. Сказалось отсутствие опыта: не пришло в голову глянуть на DOS Header. В результате имею рабочий распакованный файл. vnekrilov пишет: Просто внимательно прочитайте мои туториалы, и нужно немного подумать, что нужно делать. Ваш туториал изучил почти наизусть. Он построен в ключе, когда процесс идёт "как надо". Если же возникает нештатная ситуация, то выкарабкиваться приходится уже самому. Бывает, что не получается, тогда и появляются вопросы в этом разделе. Извините.
MasterSoft Ранг: 281.8 (наставник), 272thx Активность: 0.25↘0.01 Статус: Участник Destroyer of protectors	Создано: 25 июня 2012 16:00 · Личное сообщение · #17 Chris пишет: Ваш туториал изучил почти наизусть. Он построен в ключе, когда процесс идёт "как надо". так устроенна вся документация. Chris пишет: Если же возникает нештатная ситуация, то выкарабкиваться приходится уже самому. как бэ намекает, что нужны мозги для этого.
Chris Ранг: 26.9 (посетитель), 1thx Активность: 0.05↘0.01 Статус: Участник	Создано: 25 июня 2012 16:29 · Личное сообщение · #18 MasterSoft пишет: так устроенна вся документация. Извините, не вся. Строится в зависимости от поставленной задачи и требований. А намёк понял.
vnekrilov Ранг: 329.6 (мудрец), 192thx Активность: 0.14↘0.01 Статус: Участник	Создано: 26 июня 2012 08:57 · Личное сообщение · #19 Chris пишет: Если же возникает нештатная ситуация, то выкарабкиваться приходится уже самому При отработке скриптов мной было распаковано более сотни разных программ, упакованных Asprotect. Казалось бы, что сбоев быть не должно, но иногда появляются программы, которые подбрасывают задачки. Для этих целей я ввел в скрипты диагностические сообщения, которые показываются во внештатных ситуациях, и предлагают включить серое вещество. Это, как правило, связано с отсутствием какой-то последовательности байтов, которые ищет скрипт. Поэтому Вам и предлагается найти нужную цепочку байтов, и откорректировать скрипт.

Для печати