eXeL@B —› Вопросы новичков —› Не могу сохоанить в ollydbg 2.01 |
Посл.ответ | Сообщение |
|
Создано: 29 марта 2016 14:56 · Личное сообщение · #1 Ребят у меня не выходит сохранить исправленный файл в Ольке. Делал по этой статье: https://exelab.ru/art/?action=view&id=465 Только я взял калькулятор стандартный, винда ХП сп2. http://prntscr.com/ali8gu С помощью CFF Explorer сделал как описано в статье. Зашел в ольку версия 2.01 Открыл измененный калькулятор. Вышла ошибка: http://prntscr.com/aliade Нажал ок, открылась программа. Но как по описанию там нету нулевых строк, а вот только это: http://prntscr.com/aliaur Нажмиаю F11 и только тогда попадаю в созданную секцию: http://prntscr.com/alidl8 Подставляю фек сигнатуру и пытаюсь проделать сохранения, но хоть убейти нету этих пунктов. Как в описание статьи. http://prntscr.com/alie53 Ребят я новенький в этом деле, прошу строго не судить. Добавлено спустя 1 час 44 минуты 29 просмотров и не кто не может помочь Добавлено спустя 2 часа 21 минуту опечатался, хп сп3 винда. |
|
Создано: 29 марта 2016 17:34 · Поправил: script_kidis · Личное сообщение · #2 открываем calc.exe в cff идём в Section Headers жмём правую кнопку мыши Add Section (Empty Space) ставим размер 1 и окей. кликаем по пустой секции вводим Warez жмем Inter смотрим виртуальный адрес секции Warez он равняется 000EE000 Переходим в Optional Header видим AddressOfEntryPoint жмём на Value и меняем на 000EE000 в Meaning запись Warez File>Save As WarezCalc.exe Открываем Olly нажимаем ок (если ошибка )кидаем туда WarezCalc.exe выделяем код курcором мыши от 010EE000 до 010EE1FE жмём правую кнопку мыши Edit>Fill with zeros далее берем выделяем код от 010EE002 до 010EE08A и нажимаем ctrl+e и вводим в окно HEX+00 текст сигнатуры паковшика например [UPX 0.50 - 0.70] signature = 60 E8 00 00 00 00 58 83 E8 3D в адрес 010EE000 нужно добавить прыжок на EP , открываем еще один ollydbg и открываем в нём calc.exe мы стоим на 0101E23A запоминаем закрываем Ollydbg Calc.exe Открываем наш Ollydbg WarezCalc.exe в адрес 010EE000 добавляем jmp 0101E23A или через ctrl+e E9 35 02 F3 FF выделяем код курcором мыши от 010EE000 до 010EE015 жмём правую кнопку мыши Edit>Copy To Executable открывается окно жмём правую кнопку мыши на окне Save file... да сохраняем под именем WarezCalc 2.exe проверяем пейдом и вместо Microsoft Visual C++ 7.0 Method2 [Debug] [Overlay] увидем yoda's Protector v1.02 (.dll,.ocx) -> Ashkbiz Danehkar (h) [Overlay] * и имя секци Warez. вот калькулятор из windows xp pro SP3 v 2002 57e0_29.03.2016_EXELAB.rU.tgz - Calc.7z | Сообщение посчитали полезным: Bastler1980 |
|
Создано: 29 марта 2016 18:07 · Личное сообщение · #3 |
|
Создано: 29 марта 2016 18:09 · Поправил: script_kidis · Личное сообщение · #4 вот мой деблохер 2.01 (alpha 1) от бэдгая , я на нём работаю http://rghost.ru/8lxVrVQnC а на счёт где делать переход можно и в конце главное чтобы в фейковой сигнатуре небыло перехода или вызова в несуществующую область,В начале 100% работать будет , и сигнатуру если подделывать то лучше под старика или обсидиум,да и еще еcть один неплохой отладчик 1.10 XP Style BoomBox TRSH с ARTeam-ollydbg.ini зы. Вот можете посмотреть как реализованы фейковые сигнатуры x-lock в upx 07f0_13.12.2015_EXELAB.rU.tgz - Crackme.exe а тут как реализован фейковый StarFоrce3 7603_27.12.2015_EXELAB.rU.tgz - KeyGenMe_2010_task2.zip |
eXeL@B —› Вопросы новичков —› Не могу сохоанить в ollydbg 2.01 |