Дано: жадный Crackme
Инструменты: Olly+hideplugins, IDA, HexEditor
Найти: в долгосрочной перспективе - таблетку от жадности, в краткосрочной - Останов в начале исполнения приложения.

Предварительные исследования. IDA и PEID указывают на то,что Crackme написан на D7. При загрузке в Олю программа благополучно брякается на EP. Все ничего, да диспетчер задач показывает 2 потока!!!. Откуда 2-й поток, подумал я, если еще ни 1 инструкция еще не должна была выпониться. Значит TLS подумал я и полез HEX-Editor и PE спецификацию. HEX благополучно рассказал, что действительно, есть TLS-таблица, размещенная в секциии .tls. Ну, подумал я, сейчас найдем все каллбеки и дело в шляпе...... и обломись!!!! В TLS Нет каллбеклов.
HEX показывает нули, там где д.б. каллбеки, Olly при просмотре карты памяти тоже ,хотя и 2-й поток мог память переделать, как захочет. И IDA не нашла TLS-каллбеки, хотя таблицу представила правильно. В общем показания у всех одинаковы.

При этом OEP из PE-заголовка совпадает с точкой останова Ольги. Ладно, подумал я будем смотреть, откуда создается поток и забрякал аппаратно вход в CreateThread и выход из нее на всякий случай. Ольга тормознула на входе CreateThread, значит поток каким-то каллбеком. Анализ стека вызовов мне снес крышу: поток создается и ADVAPI, а туда он попадает wininet, а туда еще откуда-то....только не из Crackme.
Ну и черт с TLS-каллбеками, решил я, и занулил все прямо в PE-заголовке. Загружаемся в Ольге и........все те же 2 потока.

В общем я в ступоре. Подскажите в какую сторону копать, какой еще может быть способ выполнить код до входа в EP.

| Сообщение посчитали полезным:

2 потока или 2 процесса? диспетчер задач вроде не показывает количество потоков.

| Сообщение посчитали полезным:

SCAleXXX
Выкладывай файл. Поток вполне может создать любая из подгружаемых библиотек. Например, вирус или антивирусник. Проверь AppInit_DLLs в реестре

-----
Research For Food

| Сообщение посчитали полезным:

давай сюда Crackme посмотрим

| Сообщение посчитали полезным:

SCAleXXX
дллки из импорта грузятся и выполняют код до ЕР.

-----
zzz

| Сообщение посчитали полезным: NikolayD

SCAleXXX пишет:
В общем я в ступоре. Подскажите в какую сторону копать, какой еще может быть способ выполнить код до входа в EP.

Нужно смотреть сам файл. А так можно только гадать.

-----
http://ntinfo.biz

| Сообщение посчитали полезным:

Нужно смотреть сам файл. А так можно только гадать.
Я тут прозрачно намекнул что это жадный Crackme. Это приложение, которое 13 МБ только .exe весит.
дллки из импорта грузятся и выполняют код до ЕР.
Да, я тоже сразу подумал, что DLLMAIN вые...полняется, но...что-то забил на него. А можно подробнее, как перехватить DLLMAINы подгружаемых либ?

| Сообщение посчитали полезным:

SCAleXXX, вот --> тут <-- есть разбор крякмиса. Номер не помню. Олю на системный бряк переводить нужно.

| Сообщение посчитали полезным:

Вообще выложить жирный файл лучше, чем не выкладывать вообще ничего. Размер укажи, и каждый сам решит, сливать или нет.
Что касается вопроса, я не совсем улавливаю, чем тебе эти 2 потока помешали? Ну какие-то системные либы плодят поток (что сильно вряд ли, правда, ибо противоречит правилам написания DllMain). Либо какой-то корявый авер/фаер воткнул его, что более вероятно. А чем это мешает?

| Сообщение посчитали полезным:

Archer пишет:
что сильно вряд ли, правда, ибо противоречит правилам написания DllMain
в смысле из dllMain нельзя запускать процесс по правилам написания? Правила хорошего тона или в принципе нельзя никак?

-----
z+Dw7uLu5+jqLCDq7vLu8PvpIPHs7uMh

| Сообщение посчитали полезным:

Best Practices for Creating DLLs
http://msdn.microsoft.com/en-us/windows/hardware/gg487379.aspx
You should never perform the following tasks from within DllMain:
...
Call CreateThread. Creating a thread can work if you do not synchronize with other threads, but it is risky.
Если кто-то пишет длл, не зная про данный документ, то настоятельно рекомендуется ознакомиться.

| Сообщение посчитали полезным: Isaev

В общем вот жадный Crackme c минимальным набором либ для запуска. Архив на http://f-bit.ru/73013

| Сообщение посчитали полезным:

SCAleXXX
ну во-первых это не крякми, а прога
а во-вторых я хз что ты там творишь...стоя на еп - как и процесс, так и поток ОДИН.

| Сообщение посчитали полезным: