Распаковка CapturePad v1.04 EXECryptor v2.x

Сейчас на форуме: vsv1, _MBK_ (+4 невидимых)

Посл.ответ	Сообщение
Pafnutiy761 Ранг: 0.4 (гость) Активность: 0=0 Статус: Участник	Создано: 20 сентября 2007 19:13 · Личное сообщение · #1 Ни как не могу распаковать (дамп работает нормально но через секции пакера) вот мой корявый дамп ifolder.ru/3420813 Сама прога ifolder.ru/3420867 ОЕР я думаю должен быть где-то здесь: 00444FDA - FF25 6CD74400 JMP DWORD PTR DS:[44D76C] ; CaptureP.005FD764 00444FE0 - E9 D38A1D00 JMP 0061DAB8 00444FE5 8BFE MOV EDI,ESI ; CaptureP.0047EF74 00444FE7 5E POP ESI ; kernel32.7C80AC87 00444FE8 E8 4FBA1A00 CALL 005F0A3C 00444FED ED IN EAX,DX 00444FEE 9D POPFD 00444FEF 89A6 509CE9DD MOV DWORD PTR DS:[ESI+DDE99C50],ESP 00444FF5 EA FDFF5F16 305 JMP FAR 5330:165FFFFD 00444FFC 1F POP DS 00444FFD 229B 958B8B48 AND BL,BYTE PTR DS:[EBX+488B8B95] 00445003 3C 03 CMP AL,3 00445005 C8 813950 ENTER 3981,50 00445009 45 INC EBP 0044500A 0000 ADD BYTE PTR DS:[EAX],AL 0044500C 75 12 JNZ SHORT 00445020 0044500E 0FB741 18 MOVZX EAX,WORD PTR DS:[ECX+18] 00445012 3D 0B010000 CMP EAX,10B 00445017 74 1F JE SHORT 00445038 00445019 3D 0B020000 CMP EAX,20B 0044501E 74 05 JE SHORT 00445025 00445020 895D E4 MOV DWORD PTR SS:[EBP-1C],EBX 00445023 EB 27 JMP SHORT 0044504C 00445025 83B9 84000000 0> CMP DWORD PTR DS:[ECX+84],0E 0044502C ^ 76 F2 JBE SHORT 00445020 0044502E 33C0 XOR EAX,EAX 00445030 3999 F8000000 CMP DWORD PTR DS:[ECX+F8],EBX 00445036 EB 0E JMP SHORT 00445046 00445038 8379 74 0E CMP DWORD PTR DS:[ECX+74],0E 0044503C ^ 76 E2 JBE SHORT 00445020 0044503E 33C0 XOR EAX,EAX 00445040 3999 E8000000 CMP DWORD PTR DS:[ECX+E8],EBX 00445046 0F95C0 SETNE AL 00445049 8945 E4 MOV DWORD PTR SS:[EBP-1C],EAX 0044504C 895D FC MOV DWORD PTR SS:[EBP-4],EBX 0044504F 6A 02 PUSH 2 00445051 FF15 DCD64400 CALL DWORD PTR DS:[44D6DC] ; MSVCR71.__set_app_type 00445057 59 POP ECX ; kernel32.7C80AC87 00445058 830D 78FB4700 F> OR DWORD PTR DS:[47FB78],FFFFFFFF 0044505F 830D 7CFB4700 F> OR DWORD PTR DS:[47FB7C],FFFFFFFF 00445066 FF15 D8D64400 CALL DWORD PTR DS:[44D6D8] ; MSVCR71.__p__fmode 0044506C 8B0D 28FB4700 MOV ECX,DWORD PTR DS:[47FB28] 00445072 8908 MOV DWORD PTR DS:[EAX],ECX ; kernel32.7C80AC87 00445074 FF15 D4D64400 CALL DWORD PTR DS:[44D6D4] ; MSVCR71.__p__commode Но ни как не могу сообразить что делаю не так, читал мануалы, просто первый раз распаковываю этот пакер) скиньте пошагово как ее распаковать или видеотутор

RSI Ранг: 284.8 (наставник), 6thx Активность: 0.15↘0 Статус: Участник	Создано: 21 сентября 2007 11:19 · Личное сообщение · #2 Pafnutiy761 пишет: просто первый раз распаковываю этот пакер) Нифиговый ты себе пакер нашел для первого раза... С OEP ты почти угадал, OEP = 00444FE0 Pafnutiy761 пишет: скиньте пошагово как ее распаковать 1) Берешь из этой темы дампер для криптора ( http://exelab.ru/f/action=vthread&forum=1&topic=6273&page= 11 ) делаешь им дамп своей проги. 2) Затем либо скриптом либо руками восстановливаешь импорт ( если что я его приаттачил ) 3) Запускаешь ImpRec и фиксишь дамп! после этого (по крайней мере у меня ) все работает! d913_21.09.2007_CRACKLAB.rU.tgz - IAT.rar
RSI Ранг: 284.8 (наставник), 6thx Активность: 0.15↘0 Статус: Участник	Создано: 21 сентября 2007 14:32 · Личное сообщение · #3 Нашел баг в дампере что бы файл работал на разных осях надо по адресу 5EF8B0 вписать адресс GetModuleHandleA из новой IAT, тогда будет все ОК. До этого такой фишки не встречал, достаточно было его занулить.
Pafnutiy761 Ранг: 0.4 (гость) Активность: 0=0 Статус: Участник	Создано: 22 сентября 2007 08:26 · Личное сообщение · #4 Спасибо RSI Все вроде разобрался. И тулза отличная ExeCryptor_Dumper Тему можно закрыть.

Для печати