Upx блин.. NeatImage'вский.. патченный..

Сейчас на форуме: bartolomeo (+3 невидимых)

Посл.ответ	Сообщение
-Xlat- Ранг: 1.8 (гость) Активность: 0=0 Статус: Участник	Создано: 13 марта 2006 01:06 · Личное сообщение · #1 Скачал из сети NeatImage, не ломанный. Гружу в olly... смотрю, все на месте.. по коду вроде пакер UPX.. В нех редакторе названия секций изменены.. UPX0, UPX1 на rr01, rr02 и дальше.. Раньше, я не распаковывал, но уж время появилось - захотелось поковыряться.. а то достало.. Изучил статьи - проштудировал PE заголовок, почитал про восстановление импорта, насколько смог - понял Гружу в olly. Дохожу до OEP равной 401000. в LordPE правый клик -> Full Dump. options: [x]Section Table: autofix size of image [x] Full Dump: paste header from disk [x] Full Dump: rebuld image [x] Dumpfix [x] Wipe reloactions [x] Rebuild ImportTable [x] Validate PE Полученный файл не запускается.. хотя, в туториалах написано, что по идее должен.. Ну думаю, фиг.. доведу до конца, таблицу импорта надо вставить. ImpRec... выбираю задачу.. OEP = 1000 RVA = 400000 Че писать в size нигде не описано.. в туториалах есть указание жать на IAT Autosearch, и типа все должно оказаться в шоколаде. Че-то находится.. но не то.. какой-то огрызок от kernel32.dll.. Если сайз сделать примерно в 10000 то находится побольше.. и даже похоже на то, что надо.. В общем, кнопка автосерч.. находит вроде бы импорты в RVA=1a3000 c size=b7000 Секции neatimage.exe выглядят так Name: rr01 VirtualSize: 0x001A2000 VirtualAddress: 0x00001000 SizeOfRawData: 0x00000000 PointerToRawData: 0x00000400 PointerToRelocations: 0x00000000 PointerToLinenumbers: 0x00000000 NumberOfRelocations: 0x0000 NumberOfLinenumbers: 0x0000 Characteristics: 0xE0000080 (UNINITIALIZED_DATA, EXECUTE, READ, WRITE) 2. item: Name: rr02 VirtualSize: 0x000B7000 VirtualAddress: 0x001A3000 SizeOfRawData: 0x000B6400 PointerToRawData: 0x00000400 PointerToRelocations: 0x00000000 PointerToLinenumbers: 0x00000000 NumberOfRelocations: 0x0000 NumberOfLinenumbers: 0x0000 Characteristics: 0xE0000040 (INITIALIZED_DATA, EXECUTE, READ, WRITE) В общем, предлагает imprec другие значения, их вставляет на места, жмыканье в GetImport отдает только фтунки 78 функций kernel32.dll, больше ничего,ни user32.. нихрена.. Понятное дело FixDump ни к чему не приводит. Дамп не заводится... Я точно знаю, что это UPX версии 1.24w. потому что он после манипуляций с upx им распаковывается нормально. Но я хочу распаковать в ручную. Что я сделал не так ? или что не сделал вообще ? пысы: NeatImageSetup здесь: db.inform.az/soft/neatsetup5_2.exe

ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 13 марта 2006 08:43 · Личное сообщение · #2 -Xlat- Скорми импреку файл из аттача (это импорт). А вообще OEP: 00001000 IATRVA: 001CA310 IATSize: 00000C50 fc94_tree.txt.zip ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
Ara Ранг: 1288.1 (!!!!), 273thx Активность: 1.29↘0 Статус: Участник	Создано: 13 марта 2006 08:46 · Личное сообщение · #3 -Xlat- пишет: Че писать в size нигде не описано.. в туториалах есть указание жать на IAT Autosearch, и типа все должно оказаться в шоколаде. Пост длинный ниасилил. В Size выстави размер побольше, например 1000, будет тебе счастье.
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 13 марта 2006 08:47 · Личное сообщение · #4 -Xlat-, а это мои настройки LordPE 6ea5_LordPE_opt.PNG.zip ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
Ara Ранг: 1288.1 (!!!!), 273thx Активность: 1.29↘0 Статус: Участник	Создано: 13 марта 2006 09:41 · Личное сообщение · #5 Для дампа OllyDump - оптимальный вариант. Делал косячный дамп на поей памяти всего пару раз.
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 13 марта 2006 10:34 · Личное сообщение · #6 Странно, у меня процентов 70 дампов от OllyDump косячат. Wrong version? ----- Yann Tiersen best and do not fuck
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 13 марта 2006 10:44 · Личное сообщение · #7 PE_Kill пишет: Странно, у меня процентов 70 дампов от OllyDump косячат. Wrong version? хм.... не разу не косячил, правда я щас его обновил, 3.00.110 - пока не дампил ничего... может эта версия будет подглючивать.. хз.. ----- [nice coder and reverser]
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 13 марта 2006 10:54 · Личное сообщение · #8 ValdiS пишет: а это мои настройки LordPE Читать PETools Очепятка... PE_Kill пишет: Странно, у меня процентов 70 дампов от OllyDump косячат Тоже пробовал, ерунда получается. Поэтому пользуюсь лордом да петулзом... Hellspawn пишет: правда я щас его обновил, 3.00.110 Ссылкой поделись. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
Ara Ранг: 1288.1 (!!!!), 273thx Активность: 1.29↘0 Статус: Участник	Создано: 13 марта 2006 12:50 · Личное сообщение · #9 ValdiS пишет: Странно, у меня процентов 70 дампов от OllyDump косячат Тоже пробовал, ерунда получается. Поэтому пользуюсь лордом да петулзом... Пример проги в студию...
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 13 марта 2006 13:48 · Личное сообщение · #10 Ara Давно это было... Сейчас эти программы не найду, лежат где-то. Посмотрю. "Если с первого раза не получилось - значит парашютный спорт не для вас". Поэтому и пользуюсь лордом да петулзом... ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 13 марта 2006 18:29 · Поправил: Hellspawn · Личное сообщение · #11 ValdiS пишет: Ссылкой поделись. да без проблем 76f3_ollydump300110.zip.zip ----- [nice coder and reverser]
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 13 марта 2006 18:30 · Личное сообщение · #12 и вот ешё один дампер, вроде тоже версия последняя... 0c43_ollydbgpedumpur3.3.rar.zip ----- [nice coder and reverser]
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 13 марта 2006 18:39 · Личное сообщение · #13 Hellspawn Спасибо, в хозяйстве пригодится... ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
Klajnor Ранг: 50.7 (постоянный) Активность: 0.06↘0 Статус: Участник	Создано: 13 марта 2006 18:56 · Личное сообщение · #14 Hellspawn, за дамперы спасибо
-Xlat- Ранг: 1.8 (гость) Активность: 0=0 Статус: Участник	Создано: 13 марта 2006 21:57 · Личное сообщение · #15 ValdiS пишет: Скорми импреку файл из аттача (это импорт). А вообще OEP: 00001000 IATRVA: 001CA310 IATSize: 00000C50 Как ты получил эти числа ? Скармливать ничего не буду.. Хочется понять, а не решить.. (в конце концов то я ее решил.. upx-ом) Кстати, dump. пофиксился.. И завелся.. сильно не проверял, но вроде рабатает.
-Xlat- Ранг: 1.8 (гость) Активность: 0=0 Статус: Участник	Создано: 13 марта 2006 22:11 · Личное сообщение · #16 Ага написал: Пост длинный ниасилил. В Size выстави размер побольше, например 1000, будет тебе счастье. Почему 1000 ? Хочу понять есть какая нить математика, потому что пробовал.. 1000 - да находит.. и с 1500 находит, список такой-же, что и при 1000, и при 1700. По логике, вроде понятно, что импорты закончились, раз не меняются. Но а если поставить 10000, то находится много, которые valid: No имеют.. В общем, непонятно. И еще в оригинале дофига секций, rdata, idata, tls.. В распакованном их нет. Есть шансы, их восстановить или нет ?
cadet Ранг: 120.2 (ветеран), 8thx Активность: 0.12↘0 Статус: Участник	Создано: 13 марта 2006 22:47 · Поправил: cadet · Личное сообщение · #17 -Xlat- размер таблицы IAT больше 1000. Большая редкость..... кстати плагин 0c43_ollydbgpedumpur3.3.rar.zip на этой проге глючит что-то
ValdiS Ранг: 420.3 (мудрец) Активность: 0.24↘0 Статус: Участник	Создано: 14 марта 2006 09:39 · Личное сообщение · #18 -Xlat- 1. Доходишь до перехода на ОЕР: `006592FB .^\EB D8 JMP SHORT NeatImag.006592D5 006592FD > FF96 A4BA2500 CALL DWORD PTR DS:[ESI+25BAA4] 00659303 > 61 POPAD 00659304 .- E9 F77CDAFF JMP NeatImag.00401000` - переход на ОЕР Снимаешь дамп в этом месте. 2. В Olly, стоя по адресу 00659304, нажимаешь Enter. Видишь: 00401000 /EB 10 JMP SHORT NeatImag.00401012 00401002 \|66:623A BOUND DI,DWORD PTR DS:[EDX] 00401005 \|43 INC EBX 00401006 \|2B2B SUB EBP,DWORD PTR DS:[EBX] 00401008 \|48 DEC EAX 00401009 \|4F DEC EDI 0040100A \|4F DEC EDI 0040100B \|4B DEC EBX 0040100C \|90 NOP 0040100D -\|E9 14555800 JMP 00986526 00401012 \A1 07555800 MOV EAX,DWORD PTR DS:[585507] 00401017 C1E0 02 SHL EAX,2 0040101A A3 0B555800 MOV DWORD PTR DS:[58550B],EAX 0040101F 52 PUSH EDX 00401020 6A 00 PUSH 0 00401022 E8 B9261800 CALL NeatImag.005836E0; JMP to kernel32.GetModuleHandleA 00401027 8BD0 MOV EDX,EAX 00401029 E8 5E2C1600 CALL NeatImag.00563C8C 0040102E 5A POP EDX 0040102F E8 BC2B1600 CALL NeatImag.00563BF0 ... Мышкой переходишь по адресу 00401022, нажимаешь Enter. Видишь: `... 005836E0 - FF25 C4A35C00 JMP DWORD PTR DS:[5CA3C4] ; kernel32.GetModuleHandleA 005836E6 - FF25 C8A35C00 JMP DWORD PTR DS:[5CA3C8] ; kernel32.GetOEMCP 005836EC - FF25 CCA35C00 JMP DWORD PTR DS:[5CA3CC] ; kernel32.GetProcAddress ...` 3. Мышкой переходишь по адресу 005836E0, нажимаешь ПКМ->Follow in Dump->Memory Address, видишь в окне дампа: ... 005CA3C4 29 B5 80 7C 2A E8 81 7C 28 AC 80 7C 49 AA 80 7C )µЂ\|иЃ\|(¬Ђ\|IЄЂ\| 005CA3D4 47 2D 82 7C EE 1E 80 7C A9 2C 81 7C B9 8C 83 7C G-‚\|оЂ\|©,Ѓ\|№Њѓ\| 005CA3E4 80 A4 80 7C 35 E8 81 7C C6 2A 81 7C 05 A4 80 7C Ђ¤Ђ\|5иЃ\|ЖЃ\|¤Ђ\| 005CA3F4 AC 92 80 7C AE 94 83 7C C0 9F 80 7C AB 14 81 7C ¬’Ђ\|®”ѓ\|АџЂ\|«Ѓ\| 005CA404 51 28 81 7C 39 30 82 7C 2D FF 80 7C 9A E1 81 7C Q(Ѓ\|90‚\|-яЂ\|љбЃ\| 005CA414 2F FE 80 7C 36 8F 83 7C 19 01 81 7C C9 25 81 7C /юЂ\|6Џѓ\|Ѓ\|Й%Ѓ\| 005CA424 66 91 83 7C 82 00 81 7C D4 05 91 7C 3D 04 91 7C f‘ѓ\|‚.Ѓ\|Ф‘\|=‘\| ... Это и есть IAT. 4. Скролом в окне дампа полистай вверх до адреса 005CA110 и вниз до адреса 005CAF5C. Это и будут границы IAT. 5. Т.о. OEP: 00001000 IATRVA: 001CA110 IATSize: 00000E50 Потом GetImports, Fix Dump. Вроде все. Дамп должен работать... ----- Сколько ни наталкивали на мысль – все равно сумел увернуться
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 14 марта 2006 20:38 · Личное сообщение · #19 cadet пишет: кстати плагин 0c43_ollydbgpedumpur3.3.rar.zip на этой проге глючит что-то возможно, потому что он не делает фикс дампу? ----- [nice coder and reverser]

Для печати