Исследование Vit Registry Fix 12.3

Сейчас на форуме: asfa, bartolomeo (+6 невидимых)

Посл.ответ	Сообщение
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 06 августа 2012 02:19 · Поправил: Flasher-11 · Личное сообщение · #1 Начал исследовать Vit Registry Fix 12.3, упакован UPX'ом и написан на VB. Распаковал, запустил, а программа не показывает мне окошко программы, а в процессах висит. Очевидно проверка размера файла, попробовал пофиксить CRC, не помогло.Возможно просто стоит проверка размера файла, а может еще что. Закинул в ольгу, попробовал запустить. Code: 0041BA54 PUSH 1.0041C74C 0041BA59 CALL <JMP.&MSVBVM60.#100> 0041BA5E ADD BYTE PTR DS:[EAX],AL 0041BA60 DEC EAX 0041BA61 ADD BYTE PTR DS:[EAX],AL 0041BA63 ADD BYTE PTR DS:[EAX],DH 0041BA65 ADD BYTE PTR DS:[EAX],AL 0041BA67 ADD BYTE PTR DS:[EAX],AL 0041BA6A ADD BYTE PTR DS:[EAX],AL Далее идет мусор, думаю файл покриптован,только вот чем? Сканил DiE - прога нативная Программа начинает стартовать только CALL <JMP.&MSVBVM60.#100> и все больше ничего, запустилась и висит, смысла я не видел трассировать вбэшную библиотеку хоть и пробовал. Кто мне сможет дать вспомогательный пендль на путь к финишу? На всякий - http://www.vitsoft.org.ua/Download/Vit%20Registry%20Fix%20Professional%20Setup.exe NikolayD,ZaZa, спасибо, буду разбираться. Статьи я читал, но видать невнимательно, буду перечитывать

NikolayD Ранг: 189.9 (ветеран), 334thx Активность: 0.3↘0 Статус: Участник	Создано: 06 августа 2012 04:58 · Личное сообщение · #2 Статьи Рикардо прочитаны видимо не были, тогда шуруй читать ))) Кроме Ольги есть ещё программы всякие, но ты это потом узнаешь ) Учись пользоваться поиском, например введи в ключ поиска Fit-->Искать в темах-->В течение последних 9999 дней. По идее кейген нужен, потому что патчить придёться все программы которые входят в комплект.
ZaZa Ранг: 158.5 (ветеран), 219thx Активность: 0.12↘0.01 Статус: Участник	Создано: 06 августа 2012 06:04 · Поправил: ZaZa · Личное сообщение · #3 Flasher-11 MSVBVM60 (MicroSoft Visual Basic Virtual Machine v6.0) Перевести сможешь? Нет? Тогда помогу... Это библиотека от компании MicroSoft для/от среды программирования Visual Basic, а точнее виртуальная машина, на которой происходит разбор всех написанных тобой команд, версии 6.0... Flasher-11 пишет: CALL <JMP.&MSVBVM60.#100> Это есть не что иное, как вход в ядро этой виртуальной машины... С него и надо начинать, если ты разбираешь программу, написанную на VB в отладчике. А обычно используют связку: отладчик/VB декомпилятор (VB Decompiler, VBReformer и т.д.) - так проще! Дерзай! И удачи в твоих начинаниях... ----- One death is a tragedy, one million is a statistic. \| Сообщение посчитали полезным: Flasher-11
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 07 августа 2012 15:30 · Поправил: Flasher-11 · Личное сообщение · #4 Пока на работе было свободное время, чуток разобрал. Поставил бряк на GetFileSize. Code: 00535B9F MOV DWORD PTR SS:[EBP-6AC],EAX 00535BA5 FILD DWORD PTR SS:[EBP-6AC] 00535BAB FSTP QWORD PTR SS:[EBP-6B4] 00535BB1 FLD QWORD PTR DS:[402180] 00535BB7 FSUB QWORD PTR DS:[402178] 00535BBD FSTSW AX 00535BBF TEST AL,0D 00535BC1 JNZ 1.0054794B В EAX находится размер распакованного файла. Думаю я в верном направлении Maximus пишет: Не открываться может из-за неправильной распаковки, либо из-за того что ты мог прибить оверлей. Запакован он Upx'ом, мне кажется маленькая вероятность что распакован неправильно. Открываться-то открывается, только окошко не показывает, а в процессе висит. Оверлей вроде в порядке.
VodoleY Ранг: 488.1 (мудрец), 272thx Активность: 0.35↘0 Статус: Участник	Создано: 07 августа 2012 16:40 · Личное сообщение · #5 Flasher-11 имхо зря ты с ВБ начал.. не самый это удачный выбор для начала... говна много и без базовых навыков будет тяжко. поищи в интернете технологию dll wraping, глядишь как нибуть полегчает. ----- Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....
Maximus Ранг: 392.8 (мудрец), 108thx Активность: 0.26↘0.01 Статус: Участник REVENGE сила, БеХоЦе могила	Создано: 07 августа 2012 18:39 · Личное сообщение · #6 VodoleY почему зря то, чем проги на VB сложнее других? Flasher-11 открываешь прогу в VBDecompiler, идешь в раздел Code, ищешь главную форму и ставишь бряк на Form_Load и начинаешь трейсить. Не открываться может из-за неправильной распаковки, либо из-за того что ты мог прибить оверлей. ----- StarForce и Themida ацтой! \| Сообщение посчитали полезным: igorca, Flasher-11
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 08 августа 2012 11:16 · Поправил: Flasher-11 · Личное сообщение · #7 Интересная картина, распаковывал с помощью UPX, распаковалась, запускается но без окна, а процесс висит. Потом попробовал снять упаковщик руками, снял дамп и запустил, попросил нормальную таблицу, восстановил с помощью ImportRec. Запустил, а она мне аварийное завершение программы. Может руками IAT восстановить и из-за чего такое может быть? Еще программа сверяет размер файла с плавающей точкой с еще каким-то. Пытался подменить распакованный размер который хранится в EAX на запакованный. Но тут он мне пишет INVALID_HANDLE и умирает. И вот еще что, программа показывает окошко если упакована, причем любой степенью сжатия.
Maximus Ранг: 392.8 (мудрец), 108thx Активность: 0.26↘0.01 Статус: Участник REVENGE сила, БеХоЦе могила	Создано: 08 августа 2012 13:52 · Поправил: Maximus · Личное сообщение · #8 Flasher-11 Code: 00A1F0C4 B8 00001000 MOV EAX,100000 00A1F0C9 C2 0400 RETN 4 И прога отлично запускается. Находится элементарно через бряк CreateFileA / GetFileSize ----- StarForce и Themida ацтой!
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 08 августа 2012 14:34 · Личное сообщение · #9 Maximus пишет: И прога отлично запускается. Находится элементарно через бряк CreateFileA / GetFileSize Как я понимаю MOV EAX,100000 надо воткнуть?
Flasher-11 Ранг: 11.2 (новичок), 9thx Активность: 0.03↘0 Статус: Участник	Создано: 09 августа 2012 22:58 · Поправил: Flasher-11 · Личное сообщение · #10 Шляпа какая-то! Втыкаю MOV EAX,100000, затем опять INVALID_HANDLEи с подменом размера тоже самое. Maximus, спасибо Исправленный файл-то у меня запускается, а вот в ольге нет Из-за чего такое может быть?
Maximus Ранг: 392.8 (мудрец), 108thx Активность: 0.26↘0.01 Статус: Участник REVENGE сила, БеХоЦе могила	Создано: 10 августа 2012 10:19 · Поправил: Maximus · Личное сообщение · #11 Нда... предлагаю топ закрыть, а стартопа отправить в запросы на взлом. --> Пропатченное файло <-- >Исправленный файл-то у меня запускается, а вот в ольге нет Очевидно надо обойти антиотладку ----- StarForce и Themida ацтой! \| Сообщение посчитали полезным: Flasher-11

Для печати