всем привет, хочу разобраться с этой dll (в прицепе)
peid говорит , что это execrypt версии 2.1

вообще ломается ли execrypt ? универсального туториала я так понял не существует..

55ef_22.02.2007_CRACKLAB.rU.tgz - 1dll.zip

| Сообщение посчитали полезным:

При распаковке выдает ошибку.

| Сообщение посчитали полезным:

внутри tgz - лежит 1dll.zip
а уже в нем мой.dll

| Сообщение посчитали полезным:

У меня PEiD 0.94 говорит что это - PEtite 1.3 -> Ian Luck
и проблем с распаковкой я не обнаружил : OEP 1001eec3

| Сообщение посчитали полезным:

shishkin пишет:
вообще ломается ли execrypt ?
ломается, если у тебя много опыта, он не последней версии и нет обфускации

| Сообщение посчитали полезным:

при запущенной вместе с этим плагином программе
олли говорит : access violation
а вот если без этой dll запускать - все нормально программа отлаживается.

Tolkin пишет:
и проблем с распаковкой я не обнаружил :

не могу понять как ты распаковал??

| Сообщение посчитали полезным:

Во первых я просто нашел OEP - дамп не снимал и импорт не восстанавливал, так как все равно проверить негде работоспособность. А находил OEP так:
-смотрим в PEiD какие секции:
UPX0
UPX1
y3fgzmp1
8hdhqbat ---> в этой секции точка входа
it.6a8e3

На вид получается, что прога сначала запакована UPX а затем и другой хренью.
Запускаем dll в OllyDbg и ставим точки останова на доступе к секциям UPX0 и UPX1 b и запускаем.
Брякаемся в UPX1
1002E92B 60 PUSHAD
1002E92C BE 00E00110 MOV ESI,RBRTM.1001E000
1002E931 8DBE 0030FEFF LEA EDI,DWORD PTR DS:[ESI+FFFE3000]
1002E937 57 PUSH EDI
1002E938 83CD FF OR EBP,FFFFFFFF
1002E93B EB 0D JMP SHORT RBRTM.1002E94A



Видим что это стандартный распаковщик UPX, смотрим ниже

1002EAA7 8BAE 44E50200 MOV EBP,DWORD PTR DS:[ESI+2E544]
1002EAAD 8DBE 00F0FFFF LEA EDI,DWORD PTR DS:[ESI-1000]
1002EAB3 BB 00100000 MOV EBX,1000
1002EAB8 50 PUSH EAX
1002EAB9 54 PUSH ESP
1002EABA 6A 04 PUSH 4
1002EABC 53 PUSH EBX
1002EABD 57 PUSH EDI
1002EABE FFD5 CALL EBP
1002EAC0 80A7 2F020000 7F AND BYTE PTR DS:[EDI+22F],7F
1002EAC7 58 POP EAX
1002EAC8 50 PUSH EAX
1002EAC9 54 PUSH ESP
1002EACA 50 PUSH EAX
1002EACB 53 PUSH EBX
1002EACC 57 PUSH EDI
1002EACD FFD5 CALL EBP
1002EACF 58 POP EAX
1002EAD0 61 POPAD
1002EAD1 8D4424 80 LEA EAX,DWORD PTR SS:[ESP-80]
1002EAD5 6A 00 PUSH 0
1002EAD7 39C4 CMP ESP,EAX
1002EAD9 ^75 FA JNZ SHORT RBRTM.1002EAD5
1002EADB 83EC 80 SUB ESP,-80
1002EADE ^E9 E003FFFF JMP RBRTM.1001EEC3 --- переход на OEP



а вот приведенный код до перехода на OEP левый - он по ходу либо коцает импорт (или восстанавливает) - я не вникал.

Доходим до OEP

1001EEC3 837C24 08 01 CMP DWORD PTR SS:[ESP+8],1
1001EEC8 75 05 JNZ SHORT RBRTM.1001EECF
1001EECA E8 65040000 CALL RBRTM.1001F334
1001EECF FF7424 04 PUSH DWORD PTR SS:[ESP+4]
1001EED3 8B4C24 10 MOV ECX,DWORD PTR SS:[ESP+10]
1001EED7 8B5424 0C MOV EDX,DWORD PTR SS:[ESP+C]
1001EEDB E8 CDFEFFFF CALL RBRTM.1001EDAD
1001EEE0 59 POP ECX
1001EEE1 C2 0C00 RETN 0C



Это стандартное начало DLL для VC++8

| Сообщение посчитали полезным:

спасибо за ответ! я попробую снять , надеюсь проблем не возникнет

| Сообщение посчитали полезным:

снял дамп на jmp 1001EEC3 (пробовал и дальше в уже распакованной программе) -
imprec и lord не видят IAT про адресу 1EEC3 (-10000000 Image), видимо импорт завален?
Что делать?

кстати программы , запакованные PEtite 1.3 -> Ian Luck выглядят иначе.
(я уж нашел пакер petite 1.3)
Даже пробовал upx + petite тоже выглядят по другому... хм
petite не переименовывает секции и пишет в заголовке packed by petite.

| Сообщение посчитали полезным:

shishkin Скорее всего это execrypt замаскированный под petite. Первые две секции UPX, но дальше явно что-то серьезное.

| Сообщение посчитали полезным:

Пакер использует IsDebuggerPresent, поэтому я включил анти-отладку в олли
и копаюсь по тихоньку в памяти

Если сдампить так и не удастся - сделаем лоадер !!

| Сообщение посчитали полезным:

Попробуй в точке 1002EAA7 сразу перейти на OEP и затем снимать дамп

| Сообщение посчитали полезным:

Ребята,
Что-то опять меня не отпускает ))) Криво работает пофиксенный dll.

Делал дамп pstools и LorPE (резалт один). Запускаю imprec.
Импорт определился автоматом с RVA OEP = 1EEC3.
Все функции - YES.
По адресу RVA я прошелся hex-редактором и глянул - да действительно
адрес и размер совпадают, тут лежит типичный импорт.
Ладно , делаю [fix] - и запускаю в отладчике (олли) посмотреть что там.

И тут Олли показывает warning:

Module 'RBRTM_' has entry point outside the code )as specified in the PE header).
Maybe this file is self-extracting or self-modifying. Please keep it in mind when setting breakpoints! [OK]

в логе видим сообщение:
Address=10030000
Message= Code size in header is 00011000, extending to size of section '8hdhqbat'
Message= Import Lookup Table outside .idata

Правда после этого все работает точно также как бы я запустил нераспакованную dll.
То естьв принципе все работает.

Но! в моей программе эта dll не подгружается вообще (лога там нет).

Задницей чую что-то я не так сделал при фиксе в imprec )))
Галочка "fix ep to oep" стоит.

Секции в начале файла как были такие и остались:
UPX0 UPX1 y3fgzmp1 8hdhqbat it.6a8e3

Правда в середине есть типичные секции rdata reloc rsrc и тп.

PEiD теперь пишет что у меня запаковано :
UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo )))))

Подскажите, как надо правильно dll восстанавливать?
Может быть прибить секции пакера, и мне настанет счастье?
Спасибо!

| Сообщение посчитали полезным:

У меня обычно стоит галочка на "Add new section" и в прогу добавляется секция с импортом.
Попробуй, может поможет.

Для проверки еще поставь бряки на секции y3fgzmp1 8hdhqbat it.6a8e3 в распакованой dll.
По идее на секции пакера обращений быть не должно (хотя может они и не все - пакера, может просто переименованы?)

| Сообщение посчитали полезным:

Ок, попробую вечерком, а куда секция добавляется? В конец файла?

| Сообщение посчитали полезным:

Уррааа распаковка закончена!
Пришлось правда восстановить export table (специально прочитал про стуктуру export в dll).
Потом в отладчике увидел INT3 и заменил CC на 83
в точке EP (так как я дампил стоя прямо на OEP).

| Сообщение посчитали полезным:

Маладэц

| Сообщение посчитали полезным:

Энто я еще не маладэц был
Оказывается работало только на моей винде
Вчера пришлось быстро почитать про релоки, и восстановить их программой ReloX.
Оригинальный метод загрузки одной и той же dll в разные имейдж базы и создание на этой основе релоков.

Ущас наконец то всё с распаковкой. Столько нового узнал! Tolkin сильно помог вначале, а дальше я сам доделал.
Далее код буду вставлять в нее.

| Сообщение посчитали полезным: