Пытаюсь сломать анпакми автора MozgC [TSRh], по его же статье, но понятия не имею, как поставить бряк "bpm esp-4" в ольке. насколько я понимаю, данный бряк съедается только айсом. может есть какой-нибудь аналог для оли? пытался использовать комманду MR (ведь bpm это бряк на чтение памяти в айсе, насколько я понял), ан-нет! синтаксис отличается. И судя по данной статье этот бряк - некий стандартный оеп файнд для упаковщиков.

Айсом не пользуюсь, ибо страшный интерфейс... да и пугает управлением, не для новичка это...
но насколько понял, это не имеет значения - ломаю я ведь не хай-энд протекторы (не дорос ;)). Которые имеют более низкий уровень, чем уровень оли. Поэтому для протекторов, типа аспры, армы, а также упаковщиков, должна сойти и олька. Пока я только UPX и aspack могу распаковать, но только ручным поиском OEP (позор то какой ), частичная автоматизации поиска OEP (не без помощи этого бряка) должна многократно мне помочь.
надеюсь на помощь и понимание.

| Сообщение посчитали полезным:

"bpm esp-4"
Это случаем не hr esp-4 в оле? О_о
Приатачь анпакми от MozgC интересно посмотреть

| Сообщение посчитали полезным:

для автоматизации процесса поиска ОЕР в Оlly в случае с простыми пакерами можно написать скрипт. Принцип тот, что УПХ, aspack, fsg, mew и проч. первым делом заносят в стек адрес ОЕР. Нужно чтобы программа остановилась в тот момент, когда происходит обращение к соответсвующему адресу в стеке.

| Сообщение посчитали полезным:

hel пишет:
ведь bpm это бряк на чтение памяти в айсе, насколько я понял
Бряком на чтение в айсе называется бряк хардварных регистров.
А вот аналога бряка на память в понимании оли (выставление атрибута PAGE_NO_ACCESS) у сайса, насколько я знаю, нет.

El_Diablo пишет:
Это случаем не hr esp-4 в оле?
Оно самое.

| Сообщение посчитали полезным:

Ес! хард бряк "HR esp-4" проканал! %)
Огромный сенькс, El_Diablo!
Нет, немного ошибся, анпакмисы распаковывал не от MozgC'а, я лишь следовал его тутору... А распаковывал я 3-й крякмис (он же первый анпакми) Lord Alukard'а.
Да и это не имеет значение, можно просто использовать пакеры и самому запаковать какую-нибудь прогу а потом поисследовать, я так и делаю.

Satyr, спасибо за объяснение, вроде уловил мысль.
значит для оперирования со стеком нужно использовать хард бряк?

Оба анпакмиса (UPX,aspack) удачно распакованы. я щаслиф. :,)

HoBleen:
спасибо за поправку

| Сообщение посчитали полезным:

такой вот простенький скрипт, например, находит OEP в прогах, запакованных простыми пакерами:

var counter
mov counter, esp
next:
sto
cmp esp, counter
je next
mov counter,esp
bphws counter, "r"
run
sto
msg "OEP found!"
проверял на UPX, Mew, Crypkey, eXpressor 1.3 demo %-)) для Aspack нужно еще два sto добавить перед msg

| Сообщение посчитали полезным:

hel пишет:
есть ли аналог "bpm esp-4" в оле?
gambit.bos.ru/olice.shtml

-----
программистом не рождаются - им умирают

| Сообщение посчитали полезным:

Gambit пишет:
gambit.bos.ru/olice.shtml

Предлагаю тебе добавить в эту таблицу, ещё и Syser Debugger. Ну или сделать отдельной табличкой.

| Сообщение посчитали полезным:

А что, его часто используют? Чем он лучше, скажем, Оли?

-----
программистом не рождаются - им умирают

| Сообщение посчитали полезным:

Gambit пишет:
А что, его часто используют?
Как я понимаю, он плохо подходит под крякерские нужды.

Gambit пишет:
Чем он лучше, скажем, Оли?
Тем, что сидит в ядре

| Сообщение посчитали полезным:

Gambit пишет:
Чем он лучше, скажем, Оли
это ринг0 отладчег, вот чем он лучше сайса - вот вопрос.. но не стОит поднимать эту тема здесь, т.к. подобных на форуме уже несколько.

-----
invoke OpenFire

| Сообщение посчитали полезным:

HoBleen пишет:
Как я понимаю, он плохо подходит под крякерские нужды.
HoBleen пишет:
сидит в ядре
О! Значит, дровишки на нем отлаживать будет удобно)
Amok пишет:
Предлагаю тебе добавить в эту таблицу, ещё и Syser Debugger. Ну или сделать отдельной табличкой.
Думаю, из этого что-нибудь получится))
Учитывая, что вроде ни у кого не возникало проблем с установкой...

-----
программистом не рождаются - им умирают

| Сообщение посчитали полезным:

а как сделать в Olly "bp int3"? в таблице нету

ой как удалить сообщение?
Оказуется все намного проще
1. В сайсе: всякие манипуляции, потом bpm esp-4*[i/] <----------> В Ольке: просто hr esp-4[i]*
2. Ставим бряк (чтоб вывалиться из проги в сайс), потом трейсим по коду <----------> Сразу трейсим по коду
3. Зациклить прогу, потом снять дамп <----------> Те же операции, но зацикливать не надо
4. Остальное есть в таблице (если нет – задавайте вопросы |=8~))

| Сообщение посчитали полезным: