Оригинальный DVD-ROM: eXeL@B DVD !
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 3 апреля!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

АРХИВ ФОРУМА eXeL@B
https://exelab.ru/f/

   

F Keyboard Spectator Pro 3.0 Собственно третью версию этой проге крякал...


F Keyboard Spectator Pro 3.0 Собственно третью версию этой проге крякал ктонить а то по нету валяются кряки только до второй версии?
Mario555 :: После распаковки триал отвалился (почему-то вместе с функцией прятания от диспетчера задач...)

-= ALEX =- :: Mario555 дак ты дальше ковыряй...

MC707 :: Линк надо, чтоб что то сказать.

Gloomy :: Уже версия 3.01 есть. Смотреть тут: http://www.refog.com/files/keyspectpro_30.exe (1 Мб)

MC707 :: Не, я так не играю . Тут аспр 1.3 навешан. Я еще только учусь с ним разбираться...

-= ALEX =- :: MC707 главное чтоб там не было спизженной структуры, а так можно распаковать...

MC707 :: Мне IAT руками что-то не в кайф восстанавливать. А импрек не находит.

Mario555 :: MC707 пишет:
цитата:
А импрек не находит


Находит, только неправильно...
IAT FE168 size ~900 OEP 000EF1BB
Краденые байты:
PUSH EBP
MOV EBP,ESP
MOV ECX,7
NOP

MC707 пишет:
цитата:
Тут аспр 1.3 навешан


Это почему (как ты это определил) ?

-= ALEX =- пишет:
цитата:
главное чтоб там не было спизженной структуры


А шо это ?

XoraX :: Mario555 пишет:
цитата:
А шо это ?


это спижженые байты.

MC707 :: 2 Mario555: А глаза на что? Хотя бы PEiD возьми...
Mario555 пишет:
цитата:
Находит, только неправильно...


Дык я это и имел ввиду

-= ALEX =- :: XoraX пишет:
цитата:
это спижженые байты.


Неее братцы, это покруче будет ! Все наверное знают как выглядит начало к примеру дельфи прог... call’ы всякие и т.д. в пердпоследнем прога запускается.... дак вот эта вся структура в теле аспра щас с мусором находитья :) или :(

F :: Не знаю как насчет 3.1 а у меня при распаковке 3.0 возник вопросик:
Распаковываю Keyboard Spectator Pro 3.0 упакован ASProtect 1.23 Нашел OEP - 4EF1C4 нормально подправил импорт. Запускаю прогу вылетает ошибка Программа 1 вызвала ошибку обращения к стеку
в модуле 1.EXE по адресу 0167:004ef1c6.
Лезу смотреть что там за траблы :
4EF1C2 0000 ADD[EAX],AL
4EF1C4 6A00 PUSH 00 ??
4EF1C6 6A00 PUSH 00 ??
4EF1C8 49 DEC ECX ??
4EF1C9 JNZ 004EF1C4 ??
4EF1CB PUSH ECX
4EF1CC PUSH EBX
4EF1CD 56 PUSH ESI и т.д.

И вот что-то непонятно зачем служит кусок с C4 по C9??
Посмотрел в запакованной там вообще прикол:

4EF1C3 006A00 ADD[EDX+00],CH ??
4EF1C6 6A00 PUSH 00 ??
4EF1C8 49 DEC ECX
4EF1C9 JNZ 004EF1C4
4EF1CB PUSH ECX
4EF1CC PUSH EBX
4EF1CD 56 PUSH ESI и т.д.

Есть какиенить соображения?
И еще в этой проге когда искал OEP аспр часто использовал функции ReqQuery_кактотам_непомню (ну типа к реестру обращается) до полиморфного кода хотя в других прогах запакованных этой версией я что-то такого не видел? Что за хрень?

XoraX :: -= ALEX =- , гкхм.. это ты про последний аспр?

Serg :: F пишет:
цитата:
4EF1C4 6A00 PUSH 00 ??
4EF1C6 6A00 PUSH 00 ??
4EF1C8 49 DEC ECX ??
4EF1C9 JNZ 004EF1C4 ??
4EF1CB PUSH ECX
4EF1CC PUSH EBX
4EF1CD 56 PUSH ESI и т.д.

И вот что-то непонятно зачем служит кусок с C4 по C9??
Посмотрел в запакованной там вообще прикол:


А откуда ты этот код взял? Из проги? из аспра? или... ?
В Delphi такое часто встречается, например для выделения памяти
под локально объявленный буфер, заодно ее 0’м инициализирует..

br, Serg

-= ALEX =- :: XoraX да я про новый аспр

New beta version 1.3 is ready.

All options are in the beta state, so please report us about possible bugs.
We’re working on short keys version of ASProtect 2.0 too, so hope to see the
alfa version in about one month.

Thanks for your help! So now few words about new version:

It has few very important security options against manual unpacking:

1. New import table protection (protects automatically)

2. New options (Options Tab)

- Protect Delphi forms against decompilation
This options protect Delphi forms constantly in the memory,
so it’s impossible just dump all forms from memory when an
application is running.

- Improved EntryPoint protection
It’s old but improved option when a part of application -
(usually about few hundred bytes) is copied to the envelope’s
code and change its content thru emulation, so it’s not so easy
to restore the original code ever by hand.

- Emulate Exception Handlers
Very power option against manual unpacking - ASProtect removes some code from
protected application and put wrong opcodes on changed places. If the application
generates an exception (wrong opcode) ASProtect check its tables and handle the
exception then executes removed code in the memory and returns the control to the
application.

- Emulate Standard system functions
One more good option against manual unpacking - ASProtect just removes some common
functions from protected application and executes them in the envelope code.

3. New ASProtect envelope checks
In order to use new checks you need to insert one of two type of checks:

Type 1 - if ASProtect envelope was removed - it just generates an exception.
You can handle it and then do something awful.

Example for Delphi (see \Examples\Delphi\EnvelopeChecking\StandAlone):
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~
MessageBox(0,’Begin’,’’,0);
{$I DelphiCheck.inc}
MessageBox(0,’End’,’’,0);

Example for Visual C (see \Examples\VC\EnvelopeChecking\StandAlone):
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~
#include «include\aspr.h»

MessageBox(0,«Begin»,»»,0);
#include «include\cppCheck.inc»
MessageBox(0,«End»,»»,0);

Type 2 - this type works as a function that returns false if ASProtect envelope
was removed.

Example for Delphi (see Examples\Delphi\EnvelopeChecking\FunctionExm):
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~
Function EnvelopeCheck: Boolean;
{$I DelphiProcCheck.inc}

//...

If not EnvelopeCheck then // .. do something awful

Example for Visual C (see Examples\Delphi\EnvelopeChecking\FunctionExm):
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~~~~~~~~~~~~~~~~~~
BOOL EnvelopeCheck()
{
#include «include\cppProcCheck.inc»
}

if ( !EnvelopeCheck() ) // .. do something awful

4. New code sections with CRC (for EXE files only !)
Very useful against loaders. So if you want to set additional CRC check for some fragment
of your code just insert a special markers at the begin and end of this code:

Example for Delphi (see \examples\delphi\crcchecking\):
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~~~
{$I DelphiCrcBegin.inc}
// some code
{$I DelphiCrcEnd.inc}

Example for Visual C (see \examples\vc\crcchecking\):
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ ~~~
#include «include\aspr.h»

#include «include\cppCrcBegin.inc»
// some code
#include «include\cppCrcEnd.inc»

NOTE! This version doesn’t support nested marks, so please don’t use
the code like this:

{$I DelphiCrcBegin.inc}
// some code
{$I DelphiCrcBegin.inc}
// some code
{$I DelphiCrcEnd.inc}
// some code
{$I DelphiCrcEnd.inc}

-= ALEX =- :: круто да ?!

Serg ::
цитата:
1. New import table protection (protects automatically)


Это, видимо, про новые переходники для API + бряки не ставятся на используемые аспр’ом API.

цитата:
- Protect Delphi forms against decompilation
- Improved EntryPoint protection
- Emulate Exception Handlers
- Emulate Standard system functions


Воо - а это кто-нибудь видел ??

br, Serg

-= ALEX =- :: ну я видел, раз уж написал :)

Runtime_err0r :: -= ALEX =-
Да ты никак ASPRotect покупаешь ?

Mario555 :: MC707 пишет:
цитата:
Хотя бы PEiD возьми...


Пишет что ASProtect 1.23 RC4 Registered.
А адрес Iat по getprocaddress найти несложно.

F пишет:
цитата:
Нашел OEP - 4EF1C4


Это не совсем OEP, оно без краденых байт. Кстати даже после вписывания этих байтов, прога запускаться не будет, там ещё править надо...
F пишет:
цитата:
когда искал OEP аспр часто использовал функции ReqQuery


Это как ты так искал ? Там же по Esp-24 всё легко находится.

-= ALEX =- :: Runtime_err0r я его произвожу :)

Serg ::

цитата:
Runtime_err0r я его произвожу :)


Не смешно. Ты живешь в Новосибирске, скорей всего по диалапу
в инет выходишь.. через «электросвязь Новосибрска» что на Орджоникидзе 18.
Никакой ты не автор, тем более не сотрудник.

br, Serg

F :: Mario555
OEP искал посредством прохода вручную сначала бряк на мапвиеооффайл или как его там потом бряк на гетпрокадресс )) ну а потом пешочком.
2 Serg а код приведен из когда запускаю подправленный дамп просто переименован как 1.exe

-= ALEX =- :: Serg блин какой ты умный, я аж поражаюсь. Мож ты и мой адрес скажешь ? и домашний телефон ? А вообще у тебя с юмором @!#$ во....

Mario555 :: F пишет:
цитата:
ну а потом пешочком


И сколь раз начинал этот путь заново?

MC707 :: 2 Mario555
Новый PEiD возьми с сайта автора.

F :: 2 Mario
немного раза 4 =)

Mario555 :: MC707 пишет:
цитата:
PEiD возьми


У меня PEiD v0.91 build 02.01.2004...
Да и вообще, какая на х** разница, что он пишет, если бы написал что это арма, тоже бы поверил?
Ты про 1.3 на xtin статью читал? В Keyboard Spectator Pro что нибудь подобное видел?
Это не 1.3, я бы его врятли распаковал, а с этим справился.

MC707 :: 2 Mario555
Я вообще-то с самого начала говорил, что на анализаторы надеяться не стоит. Первым делом сам смотрю чем прога пакована. А ПЕиД пользуюсь, чтоб версию уточнить. Статью читал. ХЗ может это и не 1.3. Просто сказал, что ПЕиД написал. Глупо, конечно, признаю.

-= ALEX =- :: peid этот не точный, пишет вот так 1.23 rc 4 - 1.3.8.07 :) причем без разницы на самом деле чем запаковано :) АСПР 1.30 пока редко встречается я его вообще в прогах не встречал, пока только он у меня :) там вооще труба полная






   
Оригинальный DVD-ROM: eXeL@B DVD !


Вы находитесь на EXELAB.rU
Проект ReactOS