Оригинальный DVD-ROM: eXeL@B DVD !
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 3 апреля!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

АРХИВ ФОРУМА eXeL@B
https://exelab.ru/f/

   

FEUERRADER ASProtect 2.0 has been released...


FEUERRADER ASProtect 2.0 has been released http://www.exetools.com/f...rum/showthread.php?t=4518
Штампует как арму уже :)
DFC :: FEUERRADER пишет:

цитата:
Штампует как арму уже :)


Блин, запарил AS...

newborn :: FEUERRADER пишет:
цитата:
ASProtect 2.0 has been released


А как бы это добро скачать, мож кто поможет ? и выложит где небудь

FEUERRADER :: newborn
К вечеру, думаю, будет уже на васме - жди.

ilya :: когда же эта сука солод перестанет

Mario555 :: ilya пишет:
цитата:
когда же эта сука солод перестанет


А он не перестанет, он этим деньги зарабатывает...

-= ALEX =- :: весело. надо будет занятся им....

deep lamer :: -= ALEX =- пишет:
цитата:
весело. надо будет занятся им....


Сначала бы 1.31 осилил кто .. чего ж перепрыгивать то ?

GPcH :: FEUERRADER пишет:
цитата:
http://www.exetools.com/f...rum/showthread.php?t=4518
Штампует как арму уже :)


Солод мастер! Крут как всегда

-= ALEX =- :: deep lamer я лично уже его осилил без распаковки... так что смело перехожу на следующий уровень :)

AlexZ CRaCker :: -= ALEX =-
Когда справишся с v2, в about, в гритсах впиши солода! (Чтоб его инфаркт миокарда скосил)
---
Похоже, всякие статьи по распаковке нельзя выкладывать. Слишком шустро AS реагирует.

DFC :: AlexZ CRaCker пишет:

цитата:
Похоже, всякие статьи по распаковке нельзя выкладывать. Слишком шустро AS реагирует.


Однозначно реагирует, и не токо на этом форуме. Еще в 2002-ом на реверсинг.нет я с этим столкнулся.

WELL :: Ну на васме уже можно скачать...

-= ALEX =- :: гы. солод-то молодец. но это тока с виду. код остался прежним %) итог - снова я пропатчил... нет чтоб ему заново весь код начальный переписать, именно код протектора и код распаковки... дак нет, какие-то извращенные ключики придумывает :) ну и флаг ему в руки...

Halt ::
-= ALEX =-

цитата:

так что смело перехожу на следующий уровень


Это не следующий уровень, а следующая серия в бееееесконечном бразильском сериале.
пошел смотреть

Danger :: Офтоп: Чувствую форум затихнет на время...

-= ALEX =- :: да я уже понял, что уровень тот же.... обидно :(

FEUERRADER :: Я что-то пропустил?
Где можно почитать/обучится патчиньем аспра нового?

DFC :: FEUERRADER .
Наврядли дождешься как и я...:(

ilya :: AlexZ CRaCker пишет:
цитата:
Похоже, всякие статьи по распаковке нельзя выкладывать. Слишком шустро AS реагирует.


мне тоже так кажется что он по этому ариентируется,а сейчас сидит на этом форуме
и судорожно ждёт когда загнут его защиту,напишут статью,а он в свою очередь
исправит ошибки и замутит навый релиз

Grim Fandango :: ilya пишет:
цитата:
мне тоже так кажется что он по этому ариентируется,а сейчас сидит на этом форуме
и судорожно ждёт когда загнут его защиту,напишут статью,а он в свою очередь
исправит ошибки и замутит навый релиз


Если бы и другие разработчики так делали, то жизнь бы малиной не казалась.

Aster!x :: -= ALEX =-
› дак нет, какие-то извращенные ключики придумывает :)

Твой патч устраняет возможную шифрацию кода?

Не нужно считать Солодовникова дураком.
Нормально заАСПротекченая прога ломается только с валидным ключём, так что только кардить ключики ;-)

Grim Fandango :: Aster!x пишет:
цитата:
› дак нет, какие-то извращенные ключики придумывает :)


Ну для него это наверное легче.

Halt :: Нароод ПАМАГИТЕ где взять IceExt новый - старый уже не помогает - дожили

Grim Fandango :: Halt пишет:
цитата:
Нароод ПАМАГИТЕ где взять IceExt новый - старый уже не помогает - дожили


Го на protools.cjb.net. Смотри в новостях.

Halt :: Grim Fandango
спасибо

volodya :: ›Го на protools.cjb.net. Смотри в новостях.

Чепуха это все. Sten работает напрямую со мной, поэтому САМЫЙ новый IceExt всегда будет на wasm.ru или сайте автора.

Runtime_err0r :: На сайте автора (h**p://stenri.pisem.net/) оно как-то надёжнее
А вообще интересно, syd сумеет победить эту бяку или проект загнулся ???

Grim Fandango :: volodya пишет:
цитата:
Чепуха это все. Sten работает напрямую со мной, поэтому САМЫЙ новый IceExt всегда будет на wasm.ru или сайте автора.


иии? от того, что он с тобой работает на протулз его не будет? он там есть. вот и всё. =)

DFC :: Halt .
Вообщето со Sten’ом точно надо на прямую общаться :)

Grim Fandango :: DFC, так никто и не разъяснил про патчинг?

ilya :: Halt пишет:
цитата:
Нароод ПАМАГИТЕ где взять IceExt новый - старый уже не помогает


олька хорошо прячется

DFC :: Grim Fandango .

цитата:
DFC, так никто и не разъяснил про патчинг?


Grim, ты видишь ни кто, мало того удалили мой последний пост...:(

DFC :: Grim Fandango .
Ты знаешь, может не в тему...каюсь...честное слово...
Когда ты задавал вопрос по патчмейкерам...для коллекции, я не стал отвечать, негодяй я такой :)
Вобщем сходи на www.hanmen.com
Там есть такая фича - как PatchWise Free, мне этот патчмейкер нравится, я давно в нем работаю, двойной интерфейс, поддержка многих языков, ну и т.д. сам почитаешь :)
Плюс - абсолютно бесплатный :)

Grim Fandango :: Едрить тебя в перец. Чего молчал? =)))
Пасиб.

правда 2.5 метра имхо многовато.

Mario555 :: Гм... странный какой-то этот «новый» аспр.

MozgC [TSRh] :: DFC
Что у тебя удалили? Пост или тему? Какое было содержание?

DFC :: MozgC [TSRh] .
Да ладно, фиг с ним, в данном случае я не в обиде...если товарисчи зохотят ответить, то ответ дадут.

-= ALEX =- :: где бы хоть парочку прог встретиться с новым аспром, ну или хотябы с 1.31... очень надо. да и вообще любые проги с аспром....

MC707 :: -= ALEX =-
а самому запаковать?

-= ALEX =- :: MC707 паковал, патчил... не интересно. охота дело сделать, т.е. прогу сломать :)

SIM :: -= ALEX =-
http://desofto.com/myproxy.exe 850kb

Не знаю какой версией аспра упакована, но AsLoad ее уже не патчит

ZX :: SIM пишет:
цитата:
Не знаю какой версией аспра упакована, но AsLoad ее уже не патчит


она уже пропатчена и поломана недели три назад :)

SIM :: ZX пишет:
цитата:
она уже пропатчена и поломана недели три назад :)


Как раз 3 недели назад ее AsLoad патчил и Striper распаковывал, а щас ни тот ни другой и размер проги изменился (версия та же осталась)

GRADY$ :: Можеть кто знает как AntiDebugger ( ASProtector ) снять,
ато IsDebuggerPresent не берют...

SLV :: GRADY$ , www.xtin.org

GRADY$ :: SLV
Там только для старого ASProtector - а.

Ну всё же спасибо!

Halt :: Народ уменя IceExt 0.64 - непомогает от aspra последней версии, че делать-то
Debugger detected

sanniassin :: -= ALEX =- пишет:
цитата:
где бы хоть парочку прог встретиться с новым аспром, ну или хотябы с 1.31


ISO Commander 1.4 смотрел (ASPR 1.31)?

-= ALEX =- :: нет. не смотрел. гляну.

CReg [TSRh] :: Halt
цитата из version history:

цитата:
- I decided to turn off most of the antidebugging protection by default.
Use !PROTECT ON command to turn it on when you need it.


Halt :: CReg [TSRh]
Санкс конечно, но I speek deutch
немецкий тоесть.
где бы перевод взять?

-= ALEX =- :: перевод «Я решил вырубить нах все антидебагерские фичи по дефолту. Юзай !PROTECT ON , чтобы включить эту фичу, когда тебе это понадобиться...»

Halt :: Санкс учу англицкий язык

bi0w0rM[AHT] :: Распаковать аспр 2.0 вполне реально, распаковка ничем не отличается от других версий. OEP найти точно так же. Правда при юзании опции Emulate standart functions возникнут проблемы. дофига же функций аспр поспирал себе! Просто весь код из kernel32.dll выудил :) так что надо как-то новый плугин делать! в конце концов там все шаблонно! :)) // все делал в Olly
2-=ALEX=-: а ты опять через API запатчил или как в патчере - с добавлением новой секции и другими извращениями? :)

ilya :: а я вот с олькой запарился уже!аспр там где должен быть переход на оепв сегда выкидывает не на оеп а чуть ниже и причём каждый раз на разные адреса.

Mario555 :: bi0w0rM[AHT] пишет:
цитата:
OEP найти точно так же


Там OEP то в принципе нет, оно по аспру размазано...

bi0w0rM[AHT] пишет:
цитата:
так что надо как-то новый плугин делать!


Какой ещё плагин ? Где ты там iat в аспре нашёл ?

Да, и самое главное - каким образом ты смог восстановить (или проэмулировать выполнение) stolen code ?

bi0w0rM[AHT] :: Mario555 пишет:
цитата:
Какой ещё плагин ? Где ты там iat в аспре нашёл ?

Да, и самое главное - каким образом ты смог восстановить (или проэмулировать выполнение) stolen code ?


стоп, не шуми! :) лучше вышли мне свою пакованную прогу.

ilya :: Mario555 пишет:
цитата:
Там OEP то в принципе нет, оно по аспру размазано


так и я про тоже.
ilya пишет:
цитата:
а я вот с олькой запарился уже!аспр там где должен быть переход на оеп всегда выкидывает не на оеп а чуть ниже и причём каждый раз на разные адреса.


я с этим аспром *аебался уже!

Mario555 :: bi0w0rM[AHT] пишет:
цитата:
лучше вышли мне свою пакованную прогу.


А зачем ?
Просто я вначале тоже запаковал какую-то прогу (все опции защиты проставил), а аспр чего-то там матюгнулся во время запаковки, и в результате получилась прога, которую я минут за 5~10 распаковал...
Потом уже запаковал другую прогу (PEBrowsePro), так вот её аспр уже по полной программе поимел :)
Этот PEBrowsePro на wasm’е есть, так что можешь оттуда скачать и сам запаковать. И наверно уж PEBrowsePro не единственная такая прога, которую аспр паковать умеет ;)

bi0w0rM[AHT] :: ааа!! я то паковал кракми, а ты сам аспр копал. Там-то мало че поделаешь, раз все обфускано. ты это имел ввиду?

bi0w0rM[AHT] :: Mario555 пишет:
цитата:
Просто я вначале тоже запаковал какую-то прогу (все опции защиты проставил), а аспр чего-то там матюгнулся во время запаковки, и в результате получилась прога, которую я минут за 5~10 распаковал...


вот!! и че ты делал с импортом?

ilya :: извеняюсь что не удержался
вот как я распаковывал crackme

Загружаем программу в OLLYDBG,
Нажимаем Shift+F9 29 раз и оказываемся здесь:

00926807 C700 7F0677B9 MOV DWORD PTR DS:[EAX],B977067F ‹--здесь стоим мы
0092680D FB STI
0092680E 2D F8868BEF SUB EAX,EF8B86F8

Снимаемся с Access violation.Ставим брейкпоинт(F2) на адрес 00926815
и нажимаем Shift+F9.Теперь идём по коду программы по F8

00926878 2945 F8 SUB DWORD PTR SS:[EBP-8],EAX
0092687B E8 18CFFFFF CALL 00923798

.
Нажимаем F7 несколько раз и оказываемся здесь

00B50000 BB 9A35A007 MOV EBX,7A0359A ‹--здесь стоим мы
00B50005 E8 10000000 CALL 00B5001A

Если сейчас нажать F8 то программа запустится а нам это
не надо.Поэтому нажимаем F7 на адресе 00B50005.И долго
идём по F7 пока не окажемся здесь

00B501A1 83E8 60 SUB EAX,60 ‹--здесь стоим мы
00B501A4 F2: PREFIX REPNE:
00B501A5 EB 01 JMP SHORT 00B501A8
00B501A7 F2: PREFIX REPNE:
00B501A8 2BC3 SUB EAX,EBX
00B501AA 5C POP ESP
00B501AB FFE0 JMP EAX ‹--переход на ОЕП
00B501AD 72 23 JB SHORT 00B501D2
00B501AF 37 AAA
00B501B0 0000 ADD BYTE PTR DS:[EAX],AL
00B501B2 0000 ADD BYTE PTR DS:[EAX],AL
00B501B4 0000 ADD BYTE PTR DS:[EAX],AL
00B501B6 0000 ADD BYTE PTR DS:[EAX],AL

по адресу 00B501AB переход на бешенный оеп и он всегда РАЗНЫЙ!!!

bi0w0rM[AHT] :: кстати, в самом аспре 2.0 есть секция JCLDEBUG на ряду с .data и .adata... тоже самое было в альфаклок и в нем тоже все обфускано было.

Mario555 :: bi0w0rM[AHT] пишет:
цитата:
в самом аспре 2.0 есть секция JCLDEBUG на ряду с .data и .adata


В самом аспре ASPack ;)

bi0w0rM[AHT] :: Mario555 пишет:
цитата:
В самом аспре ASPack ;)


да что ты говоришь! :))

deep lamer :: Насколько я понял, aspr защищает импорт .exe по разному, в зависимости от какого-то условия (не опции). И если условие не выполнилось, то в aspr’е можно указать кажись «force adv. import protection».
Так вот если кому-то удалось распаковать его за 5 минут, то это от того, что юзался старый импорт (не advanced) + OEP
не был защищен. Есть догадка, что OEP при старом импорте вообще не защищается

bi0w0rM[AHT] :: deep lamer
старо защищенный импорт, говоришь? то есть импорт, который можно восстановить плугином и трейсером? неее. в моем кракмисе OEP тоже не защитился, мне это подозрительно было - вроде врубал опцию спертых байтов! так импорт там не старый. там почти все функции kernel32 сперты из него самого, полная эмуляция их короче! и тут плагин конечно же не помог, ну и трейсер соответственно. а в случае с полным obfuscation’ом(как в PEBrowse) лучше как -=алекс=- найти способ запатчить.

я такой obfuscation видел в ACProtect - там тоже первые байты с OEP размазаны. Но адреса первых процедур(как там в делфе - Application.Initialize, Run и пр.) там были такие же, а в аспре вроде нет! надо бы еще смотреть.

Mario555 :: deep lamer пишет:
цитата:
юзался старый импорт (не advanced) + OEP не был защищен


Дык я об этом и говорю, только вот почему аспр так странно пакует - это не понятно...
Прога, которую аспр хреново защитил была обычная дельфи, а аспр выдал «File is probably already packed/protected!», и при этом запаковал со старым импортом (ну там конечно были переходники, но это правилось парой nop в цикле формирования iat), OEP было незащищено и даже размер файла неизменился.

Mario555 :: bi0w0rM[AHT] пишет:
цитата:
я такой obfuscation видел в ACProtect


Ну в ACProtect краденые байты выполняются в секции протектора, так что там это не проблема.
В аспре 1.30 тоже была obfuscation, но там краденые байты выполнялись хоть и вне exe, но обычным образом, а с версии 1.31 RC 05.18 они стали выполнятся через функцию интерпритатора - тоесть псевдокод :(

deep lamer :: Mario555 пишет:
цитата:
аспр выдал «File is probably already packed/protected!


Аа.. ну это то логично - уже запакован, значит импорт и OEP не пакуется и не защищается. Наверно aspr неправильно определил

цитата:
obfuscation видел в ACProtect - там тоже первые байты с OEP размазаны


Не, в ACProtect попроще все будет. Окромя OEP, можно защитить неограниченное число функций, вот блин гимора будет

цитата:
через функцию интерпритатора - тоесть псевдокод :(


Да, какая-то мутная функция :( Хотя, в принципе, должно быть возможно ее всю (вместе с dll аспра) вырезать и вставить в последнюю/нокую секцию, поменяв у dll адрес загрузки на правильное значение

-= ALEX =- :: bi0w0rM[AHT] насчет патча, никаких извращений, никаких секций etc. чисто инлайн. 233 байта. писал в HIEW.

Mario555 :: deep lamer пишет:
цитата:
Не, в ACProtect попроще все будет. Окромя OEP, можно защитить неограниченное число функций, вот блин гимора будет


В аспре тоже можно... там в папке Examples лежит много всяких гадостей включая callmark UserBuffer, а про него в readme:

цитата:
The code fragment from this mark to the end of this function will be erased and replaced on the polymorphic analogue. ASProtect will change its content throw emulation (like for the EntryPoint Protection), so it will be impossible to restore or even to understand the work principles of the original code.


ну и про саму EntryPoint protection:

цитата:
this version EntryPoint protection uses a Virtual Machine, which makes the removal or recovering of original code practically impossible


bi0w0rM[AHT] :: -= ALEX =- пишет:
цитата:
bi0w0rM[AHT] насчет патча, никаких извращений, никаких секций etc. чисто инлайн. 233 байта. писал в HIEW.


извращения там по-любому есть. :)

bi0w0rM[AHT] :: 2-=ALEX=-: к примеру об извращениях - скажи, сколько раз твой патч перенаправлялся из аспра в твой код? :))

-= ALEX =- :: bi0w0rM[AHT] пожалуйста 4 раза.

bi0w0rM[AHT] :: охх :) 4 раза еще нормально. а ты там что ли checksum подтасовал или что? уж немного то поделись плззз!

-= ALEX =- :: bi0w0rM[AHT] запаришься checksum подсовывать, там дохренища проверок на валидность файла. так что единственный способ это привести файл в первоначальный вид... ну а там уж дело техники...

-= ALEX =- :: :) мне кстати идейка восстановления CRC пришла чуть ли не во сне, прям как менделееву :)

Mario555 :: Импорт в 2.0 восстанавливается точно так же, как и в 1.31, тоесть со скриптом 30 секунд на формирование iat.
А вот с долбаным интерпритатором все гораздо сложнее... основа его функции находится в dll аспра, но оттуда идут обращения ещё к одной странице памяти...

bi0w0rM[AHT] :: -= ALEX =- пишет:
цитата:
bi0w0rM[AHT] запаришься checksum подсовывать, там дохренища проверок на валидность файла. так что единственный способ это привести файл в первоначальный вид... ну а там уж дело техники...


и ваще, куда ты вогнал 233 байта? Везде, где много нулей, аспр проверяет, причем он шарит не по памяти процесса, а по самому файлу.

bi0w0rM[AHT] :: Mario555 пишет:
цитата:
Импорт в 2.0 восстанавливается точно так же, как и в 1.31, тоесть со скриптом 30 секунд на формирование iat.


это ты имеешь ввиду в случае без обфускивания, когда аспр говорит, что типа файл уже packed/protected?

Mario555 :: bi0w0rM[AHT] пишет:
цитата:
это ты имеешь ввиду в случае без обфускивания, когда аспр говорит, что типа файл уже packed/protected?


Нет, это в случае где изначально нет iat, тоесть с максимальной защитой импорта.

-= ALEX =- :: bi0w0rM[AHT] вообще-то не все проверяет аспр... границы секций не проверяет, бери туда и пиши... а вообще пиши хоть куда, CRC ж потом восстановишь :)

rok :: Прошу прощения за то, что вытащил эту тему. Но не мог бы кто выкинуть ASProtect 2.0 на все общее скачивание, а то на exetoolz тольки при наличии регистрации.

bi0w0rM[AHT] :: rok пишет:
цитата:
Прошу прощения за то, что вытащил эту тему. Но не мог бы кто выкинуть ASProtect 2.0 на все общее скачивание, а то на exetoolz тольки при наличии регистрации.


wasm.ru.....

bi0w0rM[AHT] :: var nick=new Array(’DarKSiDE’,’Danger’,’бара’,’EGOiST[TSRh]’,’M ozgC [TSRh]’,’SerGik’,’Ри’,’Mafia32’,’Styx’,’specz’,’[C hG]EliTe’,’bUg.’,’Grim Fandango’,’MC707’,’odIsZaPc’,’Kerghan’,’-= ALEX =-’,’Mario555’,’dMNt’,’KLAUS’,’Runtime_err0r’,’ily a’,’GL#0M’,’[RU].Ban0K!’,’ViViseKtor’,’AlexZ CRaCker’,’DillerXX’,’XoraX’,’WELL’,’CReg [TSRh]’,’FEUERRADER’,’RottingCorpse’,’SLV’,’CHEST’ ,’Halt’,’GPcH’,’TITBIT’,’sanek’,’Bad_guy’);

AlexZ CRaCker :: Прикольно

Grim Fandango :: ээээ, это что такое?

SGA :: люди на форуме, у которых есть аватары.

bi0w0rM[AHT] :: дада :))) пароль я знаю.

The DarkStranger :: мдя темку то закрыли похоже ы мдя так и не разобравшись с protect oep алЯ вирт машина
в опревых oep не размазанно и вся главная ветка легко востанавливается во вторых а че сехи отубили в этом аспре ??? ну нету чтоли seh хиадер или чето там ???
странно я с этим больше всего в 1.3 долбался даже прогу писал ....

Mario555 :: The DarkStranger пишет:
цитата:
вся главная ветка легко востанавливается


Как думаешь, что быстрее делать - восстанавливаеть байты или просто сдампить всю функцию и прилепить её к exe ? :)) Хотя вот написать аналог этой функции и подсовывать ей только специфичные для каждой проги данные было бы наилучшим вариантом...

The DarkStranger пишет:
цитата:
а че сехи отубили


Угу, они видать работу проги сильно тормозили.

The DarkStranger пишет:
цитата:
долбался даже прогу писал ....


Гм... я функцию обработки и таблицы из аспра рипнул и обработчики на них перенаправил.
А как там вообще можно прогу написать ? ведь в таблицах есть «левые» адреса... или ты анализатор кода написал ?

The DarkStranger :: Mario555 пишет:
цитата:
или ты анализатор кода написал ?


угу
Mario555 пишет:
цитата:
Как думаешь, что быстрее делать - восстанавливаеть байты или просто сдампить всю функцию и прилепить её к exe ?


востановить все байты
Mario555 пишет:
цитата:
Угу, они видать работу проги сильно тормозили


хз хз .....
в общем мое имхо надо делать так чтобы после распаковки файл стал как до упаковки !!!

Mario555 :: The DarkStranger пишет:
цитата:
востановить все байты


Ну не знаю, у меня на прикрепление секций уйдёт 10~20 минут, а байты восстанавливать явно дольше, хотя конечно это красивее и правильнее.
Функция вообще мутная какая-то... вот например за что в ней цикл отвечает ?






   
Оригинальный DVD-ROM: eXeL@B DVD !


Вы находитесь на EXELAB.rU
Проект ReactOS