Оригинальный DVD-ROM: eXeL@B DVD !
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 3 апреля!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

АРХИВ ФОРУМА eXeL@B
https://exelab.ru/f/

   

bi0w0rM SVKP 1.3 Кто сабж ковырял??


bi0w0rM SVKP 1.3 Кто сабж ковырял??
test :: по статье juan jose пробовал.Антидебаг,порча импорта,stolen bites,полиморф.Похож на аспр новый но посложнее для
неопытных вроде меня.

Runtime_err0r :: test
Дай ссылку на статью pliz

angel_aka_k$ :: bi0w0rM
давай ссылку на этот сабж посмотрим

Madness :: bi0w0rM
Ковырял, хз какую версию.

test :: Сейчас уточню!Вообщем анпак на примере Registry Medic,я потом пробовал по статье HEX-а SEPP не смог Там прога
автора(ов?) этогоже пакера круто защищена но HEX ее уложил,Если интересно на xing лежит с 2002 года а я сейчас
линк проверю и выложу а то там сайт обновлялся если что выложу где нибудь.

test :: Вот там статья после переводчика и оригинал.Я ничего не крректировал но разобрать можно.Иногда регистр AL переводит как букву «В» http://user.rol.ru/~num111/

bi0w0rM :: http://www.anticracking.sk

Лежит последняя версия. Я сам временно блин не могу исследовать - софтайс не пашет!

bi0w0rM :: Блин, а нет у кого нормального тутора? Перевод аЦЦтойный

angel_aka_k$ :: bi0w0rM пишет:
цитата:
Я сам временно блин не могу исследовать


и не надо не чего интересного не увидешь посмотрел я не каких сюрпризов не чего интересного .............. антидебуг с полиформом мы уже сто раз видели остальное все также только oep запарно искать

Guest :: гы...да оеп свкп прячет покруче аспра.... а дальше и вправду неинтересно...
всем H N Y

bi0w0rM :: А кто может свой нормальный тутор написать??

test :: Прошу прощения.Сейчас проверил.Stolen bytes не присутствует в SVKP.Так что желающие могут и по этой статье
попробовать.Так же рассматривается способ определения отсутсвующих функций!

bi0w0rM :: Можно в общих чертах объяснить, как до ОЕП добрацца? А то такой перевод кривой, нификак непонятно

Runtime_err0r :: bi0w0rM
Если он не ворует байты с OEP то проще всего добраться до OEP с помощью плагина для PEiD’а Generic OEP Finder

test :: Во-первых мы загружаем RegMedical.exe в olly и даем Run, или F9 чтобы видеть загружается

или есть какой-то трюк с antidebugging. Прога не загрузилась, используем, pluggin olly

IsDebugPresent, его устанавливаем в hide.
Снова загружаем прогу в отладчик.Скрывая присутствие дебагера прога загрузилась.

OEP – ищется с методом исключений. А именно, загрузив прогу в olly и активизировав pluggin

IsDebugPresent жмем Run, сработает excpecion ,жмем Shift + F9, столько раз,чтобы
Прога запустилась(считая число нажатий Shift + F9). Я думаю, что это – четыре(бывает и больше).

Теперь снова грузим прогу в отладчик и повторяем все снова .Снова в excpecion
жмем Shift + F9, но три раза,остановились на последнем исключении НЕ нажимая Shift + F9 смотрим

в View Memory, и мы помещаем бряк bpm on access в секцию CODE.

После установки bpm on access, проводим последнее исключение (жмем Shift + F9) и olly остановится

вот здесь: 08AFB181 LODS BYTE PTR DS:[ESI]

если мы посмотрим немного ниже мы можем видеть, что мы находимся в цикле, чтобы
не трейсить его, снимаем бряк bpm on access CODE и помещаем bpx в RETN, после
цикла. Так: …………..
08afb216 popad
08afb217 RETN - cюда
жмем Run, остановились на BPX . Сейчас уже мы пропустили цикл, так что снимаем bpx и давайте

снова помещать bpm on access в секцию CODE и снова Run:
И мы на OEP. 004debb8

bi0w0rM :: До двух часов ночи ковырял СВКП и OEP-таки накопал. Распаковывал специальный крякмис на асме с мессагбоксом, на который

навешан svkp. Естественно EP изначально был 00401000, но после SVKP там были одни ноли. Потом, после снятия дампа, там были

нужные байты. Это меня наводит на мысль, что SVKP ниче даже и не пакует, а скорее наоборот, но это скорее всего неправильное

утверждение, так как в проге на асме и сжимать нечего, надо еще делфу попробовать пожать. До OEP добраться в Olly не

получилось по тутору, совсем другая какая-то бодяга там, может версия у меня новее, т.к. самую свежую скачал. А вот с

софтайсом(+iceext) у меня получилось по bpm esp-4, несколько раз брякнецца и попадет на OEP. Дамп снял, все ОК, только с

импортом проблемы, почему-то процесс не отображается у некоторых Task-viewer’ов, например в ProcDump и в ImpREC(что важно), а

вот PE Tools и LordPE его видят. Еще почему-то LordPE дампить его не может, а PE-тулсы умеют. Как с этим бороться(с

импортом)? Можно конечно и пораньше сдампить - байты на OEP есть уже после первого срабатывания bpm esp-4, но я попробовал

!SUSPEND и софтайс упал :( мож еще попробую. Может EB FE поможет.

MozgC [TSRh] :: bi0w0rM
Посмотри насчет восстановления импорта на сайте у Хекса.

bi0w0rM :: Дык а там написано, как сделать, чтоб оно в таск-вьювере появилось?

Madness :: bi0w0rM
В импреке галочку поставь дебажные привелегии.

ЗЫ. че та нифига тег bold не работает в опере.

RideX :: 1) Поиски ОЕР:
ОЕР очень часто легче искать в дампе, когда-то на wasm.ru NEOx/[uinC] давал сборничек РЕ-файлов разных компиляторов, они могут помочь в поиске, а для Delphi программ ищите по сигнатурам в InitExe, потому что, например, ASProtect может украсть начальные байты с OEP, но только до этого call’а.

CODE:005E4D94 push ebp
CODE:005E4D95 mov ebp, esp
CODE:005E4D97 add esp, 0FFFFFFF4h
CODE:005E4D9A mov eax, offset dword_5E468C
CODE:005E4D9F call @Sysinit@@InitExe$qqrv ; Sysinit::__linkproc__ InitExe(void)

2) Импорт:
Проблему с восстановлением импорта не решил :( Рассматривал прогу Download Accelerator Plus 7.0 (http://www.speedbit.com/), SVKP 1.3x

Легко можно восстановить вручную или с помощью плагина SvkpIAT, функции, которые начинаются с адресов 00Сххххх, они имеют вид:

00C00001: jmp 00C00005
00C00003: xxxxxxxx
00C00005: push ebp
00C00006: jmp 00C0001A
...

00C0001A: mov ebp,esp
00C0001C: jmp 00Cxxxxx
...

Не восстанавливаются 4 функции с адресов 00BFxxxx:
00BF33FC
00BF5A78
00BF721E
00BF988B

Без них дамп не работает :(

MozgC [TSRh] :: Имхо надо по нормальному ОЕП искать а не по сигнатурам да и плагинами не пользоваться...

Madness :: RideX
›функции, которые начинаются с адресов 00Сххххх, они имеют вид...
Такие функции импрек сам может восстановить трейсером.

›Не восстанавливаются 4 функции
Если они идут подряд, то это функции из svkp_dll (мелкая, в ultrafxp оно называлось ultrafxp.dll).

MozgC [TSRh]
›да и плагинами не пользоваться...
А мне мой плагин к аспру нравится ;) Ни одного сбоя кста не было с полгода уже...

UnKnOwN :: Для Madness :

Какой плагин, если секрет, ещё и к аспру ???

Madness :: UnKnOwN
Импорт восстанавливать (обновленный стандартный плагин), старая версия есть на wasm.ru

UnKnOwN :: Madness

Понял спасибо...

Mario555 :: MozgC [TSRh] пишет:
цитата:
плагинами не пользоваться


Дык там штук 30 этих функций. Причем большинство такие как RideX написал, определяются не сложно, но долго и муторно.
Madness пишет:
цитата:
Такие функции импрек сам может восстановить трейсером


У меня почемуто их даже плагин не востанавливает (SVKP скачан сегодня).
Madness пишет:
цитата:
), старая версия есть на wasm.ru


А новая ?

Madness :: Mario555
›У меня почемуто их даже плагин не востанавливает
RideX привел вид функций, которые получаются спиранием куска кода с начала функций до первой неперемещаемой и добавлением всяких jmp и в конце прыжок на продолжение, по-моему мне тогда хватило trace level 1 (disasm).

›А новая ?
На wasm нету, он только переделан для импрека 1.6 (сменился интерфейс плагинов) и добавлено определение пары функций-переходников аспра.

XoraX :: Madness , дай пожалуста.

Madness :: XoraX
http://kpteam.com/index.php?show=tools
Скоро будет.
PS. [_b_] - не пашет.

XoraX :: ок, ждем

RideX :: Madness пишет:
цитата:
[_b_] - не пашет


Скоро будет ;), вот что пишут:
Вы можете вставлять картинки, если Ваш ранг от 50
Смайлики от 0, шрифты от 50, без антифлуда от 100

-= ALEX =- ::

-= ALEX =- :: круто






   
Оригинальный DVD-ROM: eXeL@B DVD !


Вы находитесь на EXELAB.rU
Проект ReactOS