| Сейчас на форуме: bartolomeo, -Sanchez- (+4 невидимых) |
 |
eXeL@B —› Вопросы новичков —› Ы |
| << . 1 . 2 . |
| Посл.ответ | Сообщение |
|
|
Создано: 09 апреля 2006 18:24 · Поправил: Everlust · Личное сообщение · #1 Ы  |
|
|
Создано: 12 апреля 2006 20:38 · Личное сообщение · #2 Мда... там присудствует такая строчка shutdown -s -f -t 0 и WinExec... Слушай, скажи пожалуйста, что я тут делаю не так, а то у файла новая вкрсия вышла, а тебя дёргать каждый раз как-то не удобно... Я делаю так: 1 В OllyDbg в command line ставлю hr esp-4 далее F9 и останавливаюсь на jmp; 2 Открываю Pe Editor и там нажимаю Full Dump; 3 Далее всё закрываю; 4 Открываю ImpREC 1.6 и там ставлю OEP = найденый адрес - ImageBase, RVA = IAT - ImageBase и size как я понял не важно.... далее fix dump И в теории всё должно работать, но на практике не пашет... 
|
|
|
Создано: 12 апреля 2006 21:01 · Личное сообщение · #3 Я делаю немного по другому: Everlust пишет: 1 В OllyDbg в command line ставлю hr esp-4 далее F9 и останавливаюсь на jmp; После этого делаю 1 шаг по F7. Тогда оказываюсь тут: 004576E0 /. 55 push ebp Everlust пишет: 2 Открываю Pe Editor и там нажимаю Full Dump; Дамп снимаю прямо в Olly плагином OllyDump, предварительно сняв галку Rebuild Import Everlust пишет: 3 Далее всё закрываю; 4 Открываю ImpREC 1.6 и там ставлю OEP = найденый адрес - ImageBase, RVA = IAT - ImageBase и size как я понял не важно.... далее fix dump Всё делаю не закрывая Olly(прога в это время стоит на OEP). Запускаю ImpRec, ввожу(чисто по превычке OEP, потому что в опциях ImpRec я отключил исправление EP. Это у меня делает OllyDump). Импорт нахожу так: Листаю код немного ниже. Там будет вызов MessageBoxA. Навожу на него, LMB, Enter Переходим на такой код: 00407404 $- FF25 60E94500 jmp dword ptr ds:[45E960] ; USER32.MessageBoxA Смотрим в окне дампа адрес 45E960. Далее определяем начало IAT (я ленивый поэтому обычно ввожу адрес на 1000h меньше, просто на всякий случай), а size я наоборот ввожу побольше. В данной проге лучше ввести начало секции (это минимальный адрес показываемый Olly в окне дампа), т.е. 45E000 (т.е. RVA=5E000). Size я вводил 2000h. Нажимаю Get Imports, затем Show Invalid,затем RMB на выделенном и Delete Thunk(s). Потом fix dump Вроде довольно подробно всё описал... OllyDump на всякий случай в аттаче...  9f87_12.04.2006_CRACKLAB.rU.tgz
|
|
|
Создано: 12 апреля 2006 21:02 · Личное сообщение · #4 |
|
|
Создано: 12 апреля 2006 23:10 · Личное сообщение · #5 Странно, но твой распакованный файл PeId в продвинутом моде, распознаёт как запакованный... |
|
|
Создано: 13 апреля 2006 08:52 · Личное сообщение · #6 навернон он ищет сигнатуры во всём файле, а ведь секция с распаковщиком остается... Или по имени этой секции. Хотя у меня PEiD запакованный файл вообще не распознаёт =) , а распакованный - вроде дельфи... |
|
|
Создано: 13 апреля 2006 09:55 · Личное сообщение · #7 Это на 100% Делфи я там нашёл список объектов. |
|
|
Создано: 13 апреля 2006 18:55 · Поправил: Klajnor · Личное сообщение · #8 Klajnor пишет: а распакованный - вроде дельфи... Everlust пишет: Это на 100% Делфи Просто я не дома был. По памяти всё говорил... Кстати, моё описание распаковки помогло? |
|
|
Создано: 13 апреля 2006 19:26 · Личное сообщение · #9 Вообщем да, но вот ещё вопрос, как распаковать Dll? |
|
|
Создано: 13 апреля 2006 19:35 · Личное сообщение · #10 Everlust пишет: как распаковать Dll? Непомню... Не разу мне это не было нужно. Что-то рампаковывал,но по туториалу(тупому, т.е. сделать то, а потом сделать то...) поэтому уже на помню... Выложи где-нибудь dll. Посмотрю, самому интересно |
|
|
Создано: 13 апреля 2006 19:53 · Личное сообщение · #11 Нашёл Dll с UPX. OEP находится легко(так-же, как и в случае Exe)? а вот как импорт востанавливать пока не понимаю |
|
|
Создано: 13 апреля 2006 20:16 · Личное сообщение · #12 |
|
|
Создано: 13 апреля 2006 21:02 · Личное сообщение · #13 Тут посложнее, чем UPX. Незнаю OEP это был или нет, но попробуй то, что в аттаче. Хотя я сомневаюсь, что dll будет нормально работать 75be_13.04.2006_CRACKLAB.rU.tgz
|
|
|
Создано: 14 апреля 2006 12:06 · Личное сообщение · #14 Это PECompact 2.x Вот здесь я писал как это дело снимать. Даже ImpREC юзать не надо http://www.exelab.ru/art/?action=view&id=325 Правда руками пришлось искать релоки. Вот распакованая. 026f_14.04.2006_CRACKLAB.rU.tgz - htopr_.rar
----- Yann Tiersen best and do not fuck |
| << . 1 . 2 . |
|
eXeL@B —› Вопросы новичков —› Ы |
Для печати