Сейчас на форуме: cppasm, asfa (+6 невидимых)

 eXeL@B —› Вопросы новичков —› Не могу сохоанить в ollydbg 2.01
Посл.ответ Сообщение

Ранг: 0.6 (гость)
Активность: 0=0
Статус: Участник

Создано: 29 марта 2016 14:56
· Личное сообщение · #1

Ребят у меня не выходит сохранить исправленный файл в Ольке.

Делал по этой статье: https://exelab.ru/art/?action=view&id=465

Только я взял калькулятор стандартный, винда ХП сп2.
http://prntscr.com/ali8gu
С помощью CFF Explorer сделал как описано в статье.

Зашел в ольку версия 2.01
Открыл измененный калькулятор. Вышла ошибка:
http://prntscr.com/aliade
Нажал ок, открылась программа. Но как по описанию там нету нулевых строк, а вот только это:
http://prntscr.com/aliaur

Нажмиаю F11 и только тогда попадаю в созданную секцию:
http://prntscr.com/alidl8
Подставляю фек сигнатуру и пытаюсь проделать сохранения, но хоть убейти нету этих пунктов. Как в описание статьи.
http://prntscr.com/alie53

Ребят я новенький в этом деле, прошу строго не судить.

Добавлено спустя 1 час 44 минуты
29 просмотров и не кто не может помочь

Добавлено спустя 2 часа 21 минуту
опечатался, хп сп3 винда.




Ранг: 56.2 (постоянный), 14thx
Активность: 0.120
Статус: Участник

Создано: 29 марта 2016 17:34 · Поправил: script_kidis
· Личное сообщение · #2

открываем calc.exe в cff идём в Section Headers жмём правую кнопку мыши Add Section (Empty Space)
ставим размер 1 и окей. кликаем по пустой секции вводим Warez жмем Inter
смотрим виртуальный адрес секции Warez он равняется 000EE000
Переходим в Optional Header видим AddressOfEntryPoint жмём на Value и меняем на 000EE000 в Meaning запись Warez
File>Save As WarezCalc.exe

Открываем Olly нажимаем ок (если ошибка )кидаем туда WarezCalc.exe

выделяем код курcором мыши от 010EE000 до 010EE1FE жмём правую кнопку мыши Edit>Fill with zeros

далее берем выделяем код от 010EE002 до 010EE08A и нажимаем ctrl+e и вводим в окно HEX+00 текст сигнатуры паковшика
например [UPX 0.50 - 0.70]
signature = 60 E8 00 00 00 00 58 83 E8 3D


в адрес 010EE000 нужно добавить прыжок на EP , открываем еще один ollydbg и открываем в нём calc.exe мы стоим на 0101E23A
запоминаем закрываем Ollydbg Calc.exe

Открываем наш Ollydbg WarezCalc.exe
в адрес 010EE000 добавляем jmp 0101E23A или через ctrl+e E9 35 02 F3 FF

выделяем код курcором мыши от 010EE000 до 010EE015 жмём правую кнопку мыши Edit>Copy To Executable
открывается окно жмём правую кнопку мыши на окне Save file... да сохраняем под именем WarezCalc 2.exe проверяем пейдом и вместо
Microsoft Visual C++ 7.0 Method2 [Debug] [Overlay] увидем yoda's Protector v1.02 (.dll,.ocx) -> Ashkbiz Danehkar (h) [Overlay] * и имя секци Warez.

вот калькулятор из windows xp pro SP3 v 2002 57e0_29.03.2016_EXELAB.rU.tgz - Calc.7z

| Сообщение посчитали полезным: Bastler1980

Ранг: 0.6 (гость)
Активность: 0=0
Статус: Участник

Создано: 29 марта 2016 18:07
· Личное сообщение · #3

все проделал, ну не выходит Edit>Copy To Executable, и не могу не чего сделать. Олька последняя, может где в настройках надо подключить чего. Если можете, скинте свою настроенную.
И еще не ясно, прыжок делать перед фейковой сигнатурой то зачем? Или ее тоже дедектят?




Ранг: 56.2 (постоянный), 14thx
Активность: 0.120
Статус: Участник

Создано: 29 марта 2016 18:09 · Поправил: script_kidis
· Личное сообщение · #4

вот мой деблохер 2.01 (alpha 1) от бэдгая , я на нём работаю http://rghost.ru/8lxVrVQnC
а на счёт где делать переход можно и в конце главное чтобы в фейковой сигнатуре небыло перехода или вызова в несуществующую область,В начале 100% работать будет , и сигнатуру если подделывать то лучше под старика или обсидиум,да и еще еcть один неплохой отладчик 1.10 XP Style BoomBox TRSH с ARTeam-ollydbg.ini
зы. Вот можете посмотреть как реализованы фейковые сигнатуры x-lock в upx 07f0_13.12.2015_EXELAB.rU.tgz - Crackme.exe
а тут как реализован фейковый StarFоrce3 7603_27.12.2015_EXELAB.rU.tgz - KeyGenMe_2010_task2.zip


 eXeL@B —› Вопросы новичков —› Не могу сохоанить в ollydbg 2.01
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати