В дебаггере есть полезный регистр EIP - показывает следующую команду,но мне понадобилось наоборот узнать предыдущую. Имеется ооочень большая процедура в виде CALL хххххххх, которая по команде F8 проходится за секунду. Но вот оттрассировать её как выяснилось хз как. Внутри код упаковщика,прыгающий туда-сюда между 5-6 разными блоками памяти. По F8 гнал минут 5,запутался. CTRL+F8 гнало минут 5,тоже самое - не видно ни конца ни края. Журнал трассировки переполняется на 65535 команде.
Т.е. я точно знаю что у нее есть выход,но не могу на него выйти.

| Сообщение посчитали полезным:

yagello пишет:
Возможно, просто криво распаковали/восстановили неправильно импорт. И всё.
Когда неправильно восстановлен импорт (например ошибка в деморфированной API-шке) то валится эксепшен,а в стеке как правило название неправильной функции. Я уже делал так)
У нас New Thread ID бла бла Created ,процесс запущен - при неправильном импорте такое практически невозможно.
Единственное,что мне непонятно:


| Сообщение посчитали полезным:

Кусочек из давних наблюдений

вот хотя бы так. Где оригинальный файл, зачем нам распакованные?

Мельком посмотрел распакованное. Был старфорс, ха-ха. Наверняка остались еще какие-то проверки, хотя бы на размер файла.
И с TLS лажа какая-то, и указатель на цифровую подпись болтается неприкаянный.

| Сообщение посчитали полезным:

Ребята бросьте вы это дело. Это хрю-хрю старфорсу сломлю... Балаболка

| Сообщение посчитали полезным:

tundra37 пишет:
Ребята бросьте вы это дело. Это хрю-хрю старфорсу сломлю... Балаболка
Почему балаболка,работает же.. Я уже 9 штук поломал,осталось 2 экземпляра с SFFS и 1 с запакованной либой. Старфорс реально лажовая защита,если даже я с нулевым профитом смог его снять
Скоро буду пробовать снимать что-нибудь более сложное,например SolidShield

| Сообщение посчитали полезным:

Lumpy пишет:
Скоро буду пробовать снимать что-нибудь более сложное,например SolidShield
Да ну нах.... Это ж сколько еще топиков наплодится? А имен то новых сколько будет?

Ну да ладно, будем делать как всегда: терпеть, ругаться, игнорировать, банить, прощать, ждать, закрывать, открывать, наталкивать, ПОМОГАТЬ...

И повторится все как встарь:
Пустая банка вазелина,
Аптека. Улица. Фонарь!

-----
One death is a tragedy, one million is a statistic.

| Сообщение посчитали полезным:

ZaZa пишет:
Да ну нах.... Это ж сколько еще топиков наплодится?
Ну это не ко мне претензии. Был топик по распаковке Стара 4.70, он подвергся атаке троллей и его закрыли.
А вопросов ещё уйма.Мы так и не узнали как пофиксить привязку к CPUID (мне ща приходится делать 4 разных дампа для всех компов,а когда куплю ноут ещё 5-й надо будет клепать :s16.
Мы не узнали,как сделать либу для оптимизации и обрезки виртуальной памяти Стара. Какой-то товарищ с форума полгода назад пытался её написать,но ничего у него не получилось.
Но это всё впереди.
Мы не узнали,чем отлаживать 3-й Старфорс, который не пашет в 3-кольце. И 4.0 на его базе.
Ну и наконец выделенную память стара я тоже не понял как найти с помощью VirtualAlloc, поэтому тупо смотрю на кучу идущих друг за другом секций Private RWE и дамплю всё в один блок. Может быть это дурной тон,но рабочий дамп 10-15 МБ имею легко.

| Сообщение посчитали полезным:

Солид без патча привязок дампился намного проще стара. Думаю будет меньше идиотских вопросов.

| Сообщение посчитали полезным:

Тогда Obsidium буду ломать. Там тоже импорт погажен, спертый код, ВМ с шифрованием.
Жертвы тут:
http://www.bolidesoft.com/rus/products.html
ПеИд правда пишет SysPack v0.1 [Overlay] *

| Сообщение посчитали полезным:

Obsidium хорошая весч.. правда сам не щупал. но ваши обильные каллы.. это видимо либо вызовы примитивов, либо обфусцированный вызовы апи. скорее второе

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

Lumpy пишет:
ПеИд правда пишет SysPack v0.1 [Overlay] *
бугага.
глянь СЮДА и узнаешь, почему

/ADD
Lumpy пишет:
Но другие анализаторы не лучше
и какой из этого вывод?
походу, ProtectionId таки рулит..

| Сообщение посчитали полезным:

-=AkaBOSS=-
Я читал это, бугага то что ПеИдом рекомендуют пользоваться чайникам в запросах на взлом. Странно,не правда ли?
Но другие анализаторы не лучше:




А хваленый ExeInfo даже Старфорс не знает :


| Сообщение посчитали полезным:

Собственно, Nuff said.

| Сообщение посчитали полезным: