 |
eXeL@B —› Вопросы новичков —› Распаковка ASPack 2.12 (самой проги) |
| . 1 . 2 . >> |
| Посл.ответ | Сообщение |
|
|
Создано: 14 ноября 2006 13:24 · Личное сообщение · #1 Короче, распаковываю я ASPAck 2.12. 
Там висит ASProtect 1.22 - 1.23 Beta 21 -> Alexey Solodovnikov. 
Нашел я OEP=44289C.
Дамплю PETools.
Запускаю ImprREc, нахожу импорт, Fix Dump (Add new section).
Запускаю дамп, он падает на первом калле. (CALL call 004033F4). 
Смотрю чё в калле , а он падает на ret.
Посмотрел в запакованном EXE - там ret возвращает на 4428A7. 
А в распакованном - на 12FFE0. 
Чё за фишка? Наверно ламерский вопрос.  |
|
|
Создано: 15 ноября 2006 00:13 · Личное сообщение · #2 sniperZ пишет: Нашел я OEP=44289C OEP 442CE8 .Еще кое что подправить и работает |
|
|
Создано: 15 ноября 2006 02:21 · Личное сообщение · #3 sniperZ пишет: Нашел я OEP=44289C Все правильно. Мой импорт в аттаче, сравни со своим. После распаковки 2-ды упадет, потрассируй, разберешься. Если нет, подскажу...  cf82_15.11.2006_CRACKLAB.rU.tgz - tree.rar
----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 15 ноября 2006 06:20 · Личное сообщение · #4 ValdiS пишет: sniperZ пишет: Нашел я OEP=44289C Все правильно. если OEP 44289C- у меня лажа и импорт здесь равен 0. если 442CE8 импорт такой же. Скрин OEp приатачте плиз сравню. |
|
|
Создано: 15 ноября 2006 06:38 · Личное сообщение · #5 Нефиг вам делать, маетесь ерундой, почитали бы лучше статью какую-нибудь и прошлись по коду аспра, а то ваши диалоги непонять - как импорт может от ОЕП зависеть? Да и по импреку непомешало бы уяснить что-нибудь о его работе. ----- Само плывет в pуки только то, что не тонет. |
|
|
Создано: 15 ноября 2006 06:47 · Личное сообщение · #6 DrFits пишет: диалоги непонять - как импорт может от ОЕП зависеть? Да и по импреку непомешало бы уяснить что-нибудь о его работе. Мое OEP 442ce8 импорт нормальный если OEP 44289C пишет что импорт найден но там лажа а че непонятно(вот что имел ввиду), то вот и непойму может сборка какая то другая бог его знает. А как импрек работает и так неплохо знаю. |
|
|
Создано: 15 ноября 2006 09:59 · Личное сообщение · #7 Импорт восстанавлевается нормально.
sniperZ пишет: Смотрю чё в калле, а он падает на ret. Посмотрел в запакованном EXE - там ret возвращает на 4428A7. А в распакованном - на 12FFE0. А вот почему ret в call 44289C выводит не туда.
Этот call идёт сразу после OEP(где-то рядом). 
|
|
|
Создано: 15 ноября 2006 13:04 · Личное сообщение · #8 sniperZ пишет: Этот call идёт сразу после OEP(где-то рядом). Это не ответ. Давай с кусками кода. И подробнее. ----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 15 ноября 2006 23:53 · Личное сообщение · #9 Dark Star пишет: Мое OEP 442ce8 импорт нормальный если OEP 44289C пишет что импорт найден но там лажа а че непонятно(вот что имел ввиду), то вот и непойму может сборка какая то другая бог его знает. И только из за этого ты выбрал другое ОЕП? Бу го го, метод поиска импорта от ОЕП еще для UPX писался, тогда и протов то нормальных не было. А если ты ОЕП = 0 сделаешь и импорт найдется, то нулем и оставишь? ----- Yann Tiersen best and do not fuck |
|
|
Создано: 16 ноября 2006 03:41 · Личное сообщение · #10 PE_Kill пишет: А если ты ОЕП = 0 сделаешь и импорт найдется, то нулем и оставишь Да ни че я не выбипрал я только проверил.У меня тоже ASPACK 2.12 тоже на нем висит ASProtect1.22-1.23 beta 21. Почему OEP разное. Да бог с ним он у меня всеравно уже ломаный да и им не пользуюсь. Все больше не кидайтесь камнями хорош. |
|
|
Создано: 16 ноября 2006 09:32 · Личное сообщение · #11 ValdiS пишет: Это не ответ. Давай с кусками кода. И подробнее. OK. 004033F4: E8B3FFFFFF CALL 004033AC 004033F9: 6A00 PUSH 00000000 004033FB: E8D0DEFFFF CALL 004012D0 00403400: 890514504400 MOV [00445014], EAX 00403406: E8ADDEFFFF CALL 004012B8 0040340B: 89051C504400 MOV [0044501C], EAX 00403411: C705185044000A000000 MOV [00445018], 0000000A 0040341B: B84C314000 MOV EAX, 0040314C 00403420: C3 RET Вот на этом ret распакованная прога прыгает на 12FFE0.
А запакованная - на 4428A7.
Так понятно? 
|
|
|
Создано: 17 ноября 2006 00:28 · Личное сообщение · #12 sniperZ пишет: Вот на этом ret распакованная прога прыгает на 12FFE0. А запакованная - на 4428A7. - у тебя стэк не сбалансирован ----- Само плывет в pуки только то, что не тонет. |
|
|
Создано: 17 ноября 2006 04:25 · Личное сообщение · #13 sniperZ А подумать не пробовал. Раз работает по разному - значит на стеке разное содержимое. Либо один из этих call-ов сработал неправильно, либо сам call 4033F4. Как вариант - неправильно распаковал и от OEP по разному прога работает в нормальном и распакованном варианте. DrFits Про баланс стека ошибочка, т.к. команды одни и те же. |
|
|
Создано: 17 ноября 2006 23:58 · Личное сообщение · #14 tundra37 пишет: Раз работает по разному - значит на стеке разное содержимое. Это понятно.
А по конкретнее, как это исправить?
|
|
|
Создано: 18 ноября 2006 00:22 · Личное сообщение · #15 sniperZ ASProtect SDK -> ASP_DecryptProc ----- Yann Tiersen best and do not fuck |
|
|
Создано: 18 ноября 2006 03:34 · Личное сообщение · #16 PE_Kill пишет: ASProtect SDK -> ASP_DecryptProc Ага я тебя понял. 
Отвечай по внятнее.
|
|
|
Создано: 18 ноября 2006 03:39 · Личное сообщение · #17 sniperZ пишет: А по конкретнее, как это исправить? Сначала найти причину путем трассировки и сравнения работы пакованной и непакованной проги. Есть метод проще : попробовать другие методы распаковки. PETools ведь не дампит - дампит плугин, где гарантия ? Я бы использовал автоматический распаковщик или олли - надежнее. |
|
|
Создано: 18 ноября 2006 09:51 · Личное сообщение · #18 tundra37 пишет: Я бы использовал автоматический распаковщик А какой именно эту версию аспра берет? |
|
|
Создано: 19 ноября 2006 00:16 · Личное сообщение · #19 sniperZ пишет: 004033F4: E8B3FFFFFF CALL 004033AC 004033F9: 6A00 PUSH 00000000 004033FB: E8D0DEFFFF CALL 004012D0 00403400: 890514504400 MOV [00445014], EAX 00403406: E8ADDEFFFF CALL 004012B8 0040340B: 89051C504400 MOV [0044501C], EAX 00403411: C705185044000A000000 MOV [00445018], 0000000A 0040341B: B84C314000 MOV EAX, 0040314C 00403420: C3 RET У тебя 004033FB |. E8 D0DEFFFF CALL <JMP.&kernel32.GetModuleHandleA> ; GetModuleHandleA и 00403406 |. E8 ADDEFFFF CALL <JMP.&kernel32.GetCommandLineA> ; [GetCommandLineA? sniperZ пишет: Дамплю PETools. В каком месте дамп снимал? ----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 19 ноября 2006 01:12 · Личное сообщение · #20 ValdiS пишет: В каком месте дамп снимал? DumpFull
|
|
|
Создано: 19 ноября 2006 01:14 · Личное сообщение · #21 sniperZ пишет: DumpFull Адрес? Я не спрашивал чем. А call совпали? ----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 19 ноября 2006 04:37 · Личное сообщение · #22 ValdiS пишет: А call совпали? Да. Вот линк на мой дамп. h_t_t_p://rapidshare.com/files/3980357/Dumped_.rar.html Глянь плиз. 
|
|
|
Создано: 19 ноября 2006 04:38 · Личное сообщение · #23 ValdiS пишет: Адрес? Я не спрашивал чем. Стоя на OEP.
|
|
|
Создано: 19 ноября 2006 07:48 · Личное сообщение · #24 А че сам не видеш 4033FB GetModuleHandleA и 403406 GetModuleHandleA (здесь должна быть GetCommandLineA) |
|
|
Создано: 19 ноября 2006 09:50 · Поправил: sniperZ · Личное сообщение · #25 Dark Star пишет: А че сам не видеш 4033FB GetModuleHandleA и 403406 GetModuleHandleA (здесь должна быть GetCommandLineA) Дырявые глаза.
А чё ImprRec в этом аспре импорт прохо берёт? Плагины тоже GetCommandLineA не находят.
|
|
|
Создано: 19 ноября 2006 10:14 · Личное сообщение · #26 У меня все четко нашел может глюк просто.
Будут вопросы задавай. |
|
|
Создано: 19 ноября 2006 22:07 · Личное сообщение · #27 sniperZ пишет: Плагины тоже GetCommandLineA не находят. Пробуй 222d_19.11.2006_CRACKLAB.rU.tgz - Plugins.rar
----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 19 ноября 2006 23:49 · Личное сообщение · #28 Я к своей статье прикладывал плагин, тот четко работает... ----- Yann Tiersen best and do not fuck |
|
|
Создано: 20 ноября 2006 00:19 · Личное сообщение · #29 PE_Kill К какой из статей? Что за плаг? ----- Сколько ни наталкивали на мысль – все равно сумел увернуться |
|
|
Создано: 20 ноября 2006 00:23 · Личное сообщение · #30 Распаковка ASProtect 2.xx (Декомпиляция VM) (1197 Кб) http://www.exelab.ru/rar/dl/CRACKLAB.rU_32.rar Там плагин для распознавания заэмуленых АПИ старых версий аспра, в 2.xx аспр только GetProcAddress и RaiseException эмулит. ----- Yann Tiersen best and do not fuck |
| . 1 . 2 . >> |
|
eXeL@B —› Вопросы новичков —› Распаковка ASPack 2.12 (самой проги) |
Для печати