Может ли прога вешать отладчик?

Сейчас на форуме: tyns777, cppasm, dutyfree (+7 невидимых)

Посл.ответ	Сообщение
egorus2010 Ранг: 5.8 (гость), 2thx Активность: 0.04↘0 Статус: Участник	Создано: 25 октября 2017 14:08 · Личное сообщение · #1 Вот такой софт (что-то с электроникой...) http://rgho.st/7sP7NxHHH 3 Mb. Почему-то все эксперименты заканчиваются зависанием и Olly, и IDA. Можете глянуть - это защита такая?

Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 25 октября 2017 14:28 · Поправил: Kindly · Личное сообщение · #2 да ниче она не вешает, там считать, имхо, надо для разблокировки, так в лоб сходу не запатчишь. код формируется на основе GetVolumeInformation. если есть валидная пара, то самый простой вариант volume id запатчить с ключом. egorus2010 пишет: Можете глянуть - это защита такая? может сразу в запросы? ----- Array[Login..Logout] of Life
egorus2010 Ранг: 5.8 (гость), 2thx Активность: 0.04↘0 Статус: Участник	Создано: 25 октября 2017 14:37 · Поправил: egorus2010 · Личное сообщение · #3 Мне оно не нужно. Это на другом сайте оно в запросах лежит. А я так, пробую, для себя... PS. НУ вот, ввел цыфири в окно регистрации, зашел в Олю, нашел в памяти свою строку, поставил бряк на чтение из памяти. И всё - висит... Может, я совсем не так все делаю, в принципе выбора правильного пути. Но почему зависает-то? Или это только у меня проблема?
ksol Ранг: 102.0 (ветеран), 18thx Активность: 0.07↘0.02 Статус: Участник	Создано: 25 октября 2017 18:19 · Поправил: ksol · Личное сообщение · #4 А может быть вы попробуете проанализировать её в статике, не запуская процесс. Это не консольное приложение, а оконное? Начните с локализации в коде строки запроса. Что она запрашивает - имя, а затем пароль? Если так, то что с ними потом делает? И, конечно, предварительно надо знать упакована программа или нет, и на чём она написана.
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 25 октября 2017 19:22 · Личное сообщение · #5 egorus2010 пишет: зашел в Олю, нашел в памяти свою строку, поставил бряк на чтение из памяти. Не зависает ничего! Там даже ничем не накрыто - обычный MFC 6.0 с отдельными либами (он strlen даже в библе считает). Зачем бряки на память? GetWindowTextA - на буфере норм всё срабатывает. начиная отсюда: Code: 0046AEF0 \|. 81F9 F4010000 CMP ECX,1F4 0046AEF6 \|. 8BC7 MOV EAX,EDI 0046AEF8 \|. 7E 0B JLE SHORT 0046AF05 потом Code: 0046B087 \|. C74424 6C 8D75 MOV DWORD PTR SS:[ESP+6C],99EF758D ; \| 0046B08F \|. C74424 68 F1BA MOV DWORD PTR SS:[ESP+68],A96CBAF1 ; \| 0046B097 \|. C74424 64 01BC MOV DWORD PTR SS:[ESP+64],F916BC01 ; \| 0046B09F \|. C74424 60 D72D MOV DWORD PTR SS:[ESP+60],1C782DD7 ; \| 0046B0A7 \|. C74424 5C F664 MOV DWORD PTR SS:[ESP+5C],68E364F6 ; \| 0046B0AF \|. C74424 58 EDD9 MOV DWORD PTR SS:[ESP+58],2CCD9ED ; \|ASCII "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"... 0046B0B7 \|. C74424 54 A460 MOV DWORD PTR SS:[ESP+54],62E460A4 ; \| 0046B0BF \|. C74424 50 6737 MOV DWORD PTR SS:[ESP+50],ACFA3767 ; \| 0046B0C7 \|. C74424 4C 34DB MOV DWORD PTR SS:[ESP+4C],7A6FDB34 ; \| 0046B0CF \|. C74424 48 9E9E MOV DWORD PTR SS:[ESP+48],16419E9E ; \| 0046B0D7 \|. C74424 44 6A87 MOV DWORD PTR SS:[ESP+44],68C1876A ; \| 0046B0DF \|. C74424 40 9477 MOV DWORD PTR SS:[ESP+40],F6C37794 ; \| 0046B0E7 \|. C74424 3C F186 MOV DWORD PTR SS:[ESP+3C],C26986F1 ; \| А это не DES? Что-то похожее... Kindly пишет: самый простой вариант volume id запатчить с ключом. Да нах саму WinAPI патчить - он HWID с самого начала формирует и пихает его в textbox и оттуда уже читает ИМХО, там должно одним битхаком всё работать - прога древняя, при форсинге мусора через криптоалго ничего не фолтит.
difexacaw Ранг: 337.5 (мудрец), 348thx Активность: 2.11↗2.42 Статус: Участник	Создано: 25 октября 2017 19:32 · Личное сообщение · #6 ELF_7719116 Так у тс виснет скорее всего из за антидебага, отключается от отладки процесс/поток, что приводит к висяку отладчика. Вангую что именно так, тоесть это самая основная причина висяка. А у вас не виснет, так эти сервисы фиксятся плагинами. ----- vx
ELF_7719116 Ранг: 419.0 (мудрец), 647thx Активность: 0.46↗0.51 Статус: Участник "Тибериумный реверсинг"	Создано: 25 октября 2017 19:36 · Личное сообщение · #7 difexacaw пишет: Так у тс виснет скорее всего из за антидебага Ну да DENUVO накрыто Инфа 146% Code: [VersionInfo] Original FileName : SimPLL.exe [VersionInfo] Internal Name : SimPLL [VersionInfo] Legal Copyrights : Copyright (C) 2000.2010 Нет там никакого антидебага и плагинами я не пользуюсь. Нечему там виснуть.
difexacaw Ранг: 337.5 (мудрец), 348thx Активность: 2.11↗2.42 Статус: Участник	Создано: 25 октября 2017 19:42 · Поправил: difexacaw · Личное сообщение · #8 ELF_7719116 Смотрите, виснут два инструмента, которые связаны лишь отладочным портом. Тоесть логично что причина зависания - прекращение доставки событий на порт. Этому одна причина - отключение процесса/потока от порта, логично ? Удалите плаги с олли и посмотрите зависнет ли, думаю что так и будет, точнее я даже уверен. Есть конечно один есчо вариант - загрузка левых фильтров, типо ав. Изначально следовало привести список модулей и плагинов, но как тут принято - будем гадать. ----- vx
Lambda Ранг: 18.3 (новичок), 6thx Активность: 0.03↘0.02 Статус: Участник	Создано: 25 октября 2017 20:26 · Личное сообщение · #9 Какие API используются для отключения потока/процесса от отладки?
difexacaw Ранг: 337.5 (мудрец), 348thx Активность: 2.11↗2.42 Статус: Участник	Создано: 25 октября 2017 20:28 · Личное сообщение · #10 Lambda NtRemovePsDebug/NtSetThInfo(HideThrFromDbg). И это первое что фильтрует любой плагин. ----- vx \| Сообщение посчитали полезным: Lambda
Kindly Ранг: 275.9 (наставник), 340thx Активность: 0.22=0.22 Статус: Участник RBC	Создано: 25 октября 2017 21:38 · Поправил: Kindly · Личное сообщение · #11 ELF_7719116 пишет: Да нах саму WinAPI патчить - он HWID с самого начала формирует и пихает его в textbox и оттуда уже читает эм... америку мне открыл я сказал про самый простой вариант: ключ + патч volume id, к которому он вяжется. будет читать эту апи при наличии ключа, никуда не денется, там аж три вызова. иначе как прога сверять ключ будет? добавлено топикстартер, проделанную работу давай, если хочешь, чтобы тебе подмогли. ломать за тебя мало кто станет. а переминать как ты отладчик запускаешь и с какими плагами, лишь добавит к кондидату на закрытие, имхо. ----- Array[Login..Logout] of Life
egorus2010 Ранг: 5.8 (гость), 2thx Активность: 0.04↘0 Статус: Участник	Создано: 25 октября 2017 21:41 · Поправил: egorus2010 · Личное сообщение · #12 На другом компе не виснет. Нужно проверять разницу. Или плаги, или в опциях что-то навертел... Добавлено[t][/t] В общем, это что-то странное. Я перенес папку Оли с "рабочего" на "зависающий" - вроде заработало, потом снова начало подвисать. Я сюда ответ даже не мог вписать - курсор моргает, а символы не печатаются. Пока принудительно Олю не завершил. Так что вопрос, наверное, снят. Ну или напоследок. Оля лезла в Интернет. Файер ее заблокировал. А чего она лезла - не должна вроде?
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 25 октября 2017 22:31 · Личное сообщение · #13 Хотите дзен-вариант - берёте второй инстанс отладчика и отлаживаете им первый и разбираетесь, где зависло и почему. \| Сообщение посчитали полезным: difexacaw
egorus2010 Ранг: 5.8 (гость), 2thx Активность: 0.04↘0 Статус: Участник	Создано: 26 октября 2017 08:27 · Поправил: egorus2010 · Личное сообщение · #14 Всем спасибо. Направление понятно.
bartolomeo Ранг: 42.8 (посетитель), 16thx Активность: 0.02↗0.06 Статус: Участник	Создано: 26 октября 2017 14:38 · Личное сообщение · #15 также если используется блокирующий сокет и сервер не отвечает.
SDK Ранг: 54.0 (постоянный), 49thx Активность: 0.72↗1.1 Статус: Участник	Создано: 27 октября 2017 00:07 · Личное сообщение · #16 egorus2010 пишет: Это на другом сайте оно в запросах лежит. а что за сайтец если не секрет ? а то тоже хочится полистать кто чего запрашивает по мимо exelaba)
VOLKOFF Ранг: 173.8 (ветеран), 208thx Активность: 0.12↗0.36 Статус: Участник	Создано: 27 октября 2017 00:18 · Личное сообщение · #17 SDK пишет: а что за сайтец если не секрет ? запрос на сабж \| Сообщение посчитали полезным: SDK

Для печати