Алгоритм распаковки

Сейчас на форуме: bartolomeo, -Sanchez- (+4 невидимых)

Посл.ответ	Сообщение
Black9_Byte Ранг: 36.9 (посетитель) Активность: 0.05↘0 Статус: Участник	Создано: 19 апреля 2006 15:12 · Личное сообщение · #1 Народ, подскажите универсалный метод нахожления OEP для различных пакеров и протекторов.Надо кажется ставить бряк на первую секцию, или нет?

Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 19 апреля 2006 19:22 · Личное сообщение · #2 ну универсального... снять дамп проги, и потом по сигнам найти там ОЕР... ну можно ещё попробовыть HR ESP-4 (бряк в олли на доступ) и отслеживать каждое срабатывание... и если опыт позволяет, то можно будет визуально определить прыжок на ОЕР. ----- [nice coder and reverser]
Black9_Byte Ранг: 36.9 (посетитель) Активность: 0.05↘0 Статус: Участник	Создано: 20 апреля 2006 21:17 · Личное сообщение · #3 Hellspawn пишет: ну можно ещё попробовыть HR ESP-4 (бряк в олли на доступ) Не всегда срабатывает. А опыт еще не позволяет - не очень часто занимаюсь распаковкой, но иногда надо распаковать неизвестные пакеры...
Hellspawn Ранг: 990.2 (! ! !), 380thx Активность: 0.68↘0 Статус: Модератор Author of DiE	Создано: 20 апреля 2006 23:50 · Личное сообщение · #4 а что я могу ещё посоветовать... ну тогда трейс! обходи все циклы, проверки (если есть) и будет тебе счастье... ----- [nice coder and reverser]
Jupiter Ранг: 605.2 (!), 341thx Активность: 0.47↘0.25 Статус: Модератор Research & Development	Создано: 21 апреля 2006 02:58 · Личное сообщение · #5 методов масса, например: - бряк на одну из АПИ функций, обычно вызываемых при запуске проги (GetCommandLine\|ModuleHandle,InitCommonControls etc) - бряк на диапазон адресов, в которые попадает секция кода - убирание аттрибуте writable у секций, не относящихся к пакеру - тут вообще раздолье, сразу видно, куда пакер пытается писать, что поритит и т.п. Для примера: аспр затирает 12 байт на точке входа, соответственно, если аттрибуты секции "только чтение" произойдёт останов в том месте, где аспр пытается зптирать байты, а после этого места идёт распаковка аспровой ДЛЛ, т.о. не нужно тупить с "как бараны давим Shift-F9" - отлов запуска user32.dll (любой ф-ции) - если прога с GUI, то без неё никак - значит где-то в окрестностях можно искать точку входа проги - трэйс (когда eip проверяется на соответствие определённому диапазону - убирание нужной проге ДЛЛки: тогда ДЛЛ не будет найдена и будет выдано сообщение - поиск явных следов компилятора (если прога MS VC, Dekphi etc) - бряк на ThunRTMain если прога на VB - использование скриптов для OllyScript - проявляй фантазию ----- EnJoy!

Для печати