Оригинальный DVD-ROM: eXeL@B DVD !
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 3 апреля!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

АРХИВ ФОРУМА eXeL@B
https://exelab.ru/f/

   

J0rDan Распаковка Advanced MP3 Catalog Pro 3.09 Помогите пожалуйста...


J0rDan Распаковка Advanced MP3 Catalog Pro 3.09 Помогите пожалуйста распаковать программу
Advanced MP3 Catalog Pro
http://wizetech.com/ru/download/amcpro-ru.exe
Весит 1183 килобайта.

Запакована
ASProtect 1.23 RC4 - 1.3.08.24
Я никак не могу найти OEP действуя по статьям.

Если вы поможете мне её распаковать (может просто расскажете,
как найти в ней OEP и как грамотно снять дамп), то сниму остальные
ограничения сам.
Jackasm :: В айсе вводишь
bpx GetModuleHandleA if (*(esp+4)==0)
dex 0 esp
Запускаешь прогу и пару-тройку раз жмешь на F5, при этом следишь за окном данных, (данные должны показываться как dword) Как только увидишь что третье значение равно 407579, нажимаешь F11 пока не окажешься на 5D742D. По адресу 5D7428 будет функция из которой ты только что вышел, а выше нули, туда нужно будет вставить байты которые спер аспр.
Дальше используй статью «Распаковка и регистрация Net Vampire 4».

XoraX :: грузишь файл в OllyDbg, жмешь F9. Потом 27 раз жмешь Shift+F9.
потом Alt+M, ставишь бряк на «AMC3 code». потом Alt+C, Shift+F9.
И дампишь плагином.

метода бу MC707 / BugZ TeaM

J0rDan :: Когда я на 5d742d, я сдампил прогу, потом а где взять спертые байты ?
Просто стандартный Дельфи OEP попытаться туда дописать ?
Я так сделал, потом гружу в imprec - не хочет искать IAT
Помнится, когда я распаовывал старый аспр таких маразмов не было.
А в статье про Net Vampire 4 что-то я вообще про эти байты ничего не нашел.

Jackasm а ты до конца распаковал ? - расскажи что надо делать мне дальше: как искать эти байты и как потом IAT найти. И какие ещё фокусы могут быть дальше ?

Kerghan :: XoraX пишет:

цитата:
метода бу MC707 / BugZ TeaM


это не его метода. Способ известен давно.

odIsZaPc :: J0rDan пишет:
цитата:
Просто стандартный Дельфи OEP попытаться туда дописать ?


Нет.

push ebp
mov ebp,esp
add esp, xxxx или sub esp, xxxxx
mov eax, yyyy - это надо искать
call zzzzz

XoraX :: Kerghan , просто я нигде не видел, рассказал мне он.

Mario555 :: XoraX пишет:
цитата:
Потом 27 раз жмешь Shift+F9.
потом Alt+M, ставишь бряк на «AMC3 code». потом Alt+C, Shift+F9.
И дампишь плагином.


Ага, а потом запускаешь айс и уже в нём ищеш краденые байты... геморно получается... Так что лучше использовать Hardware breakpoint !!!

To J0rDan

Краденые байты:

005D741B › $ 55 PUSH EBP // OEP
005D741C . 8BEC MOV EBP,ESP
005D741E . 83EC 10 SUB ESP,10
005D7421 . B8 BC6D5D00 MOV EAX,dumped2_.005D6DBC
005D7426 . 90 NOP
005D7427 . 90 NOP

IAT RVA: 1e11f4

Эту прогу дампить нужно после создания импорта !
Чтоб в olly попасть на цикл создания iat нужно поставить memory breakpoint на секцию в которой будет эта самая iat. Тогда после нескольких Shift-F9, остановишься :

00E632B4 E8 47FCFFFF CALL 00E62F00
00E632B9 E8 7EFEFFFF CALL 00E6313C
00E632BE 8B17 MOV EDX,DWORD PTR DS:[EDI]
00E632C0 8902 MOV DWORD PTR DS:[EDX],EAX ‹-- тут
00E632C2 EB 7E JMP SHORT 00E63342

Ну а дальше, как обычно...

Кто-нить делал прогу для восстановления импорта в Aspr 1.3 ?

The DarkStranger :: Mario555 пишет:
цитата:
Кто-нить делал прогу для восстановления импорта в Aspr 1.3


а что ручками не как ??? все халяву ищем ???

infern0 :: Mario555 пишет:
цитата:
Кто-нить делал прогу для восстановления импорта в Aspr 1.3 ?


stripper 2.11

Bad_guy :: Кто-нибудь может сказать. Вот появляются всё сообщения: stripper 2.08, stripper 2.11 - на сайте лежит stripper 2.03.
Вы просто шутите или это приватные версии ?

MozgC [TSRh] :: приватные версии

J0rDan :: Спасибо, Mario за помощь, но мне нужно научится самому, поэтому вопросы:
1. как ты нашел украденые байты ?
2. Я сдампил прогу находясь на 00E63550 (там была команда popad)
после цикла создания импорта, потом вставил украденные байты в дамп, а ImpRec вот мне что выдаёт, то есть якобы только Kernel программа использует ну и естественно запускается распакованная прога без окна и висит себе в памяти. Что я сделал не так ?
3. Еще вот к примеру пытаюсь ставить Hardware breakpoint на 407594 и прога просто запускается (после нескольких нажатий Shift-f9), не прерываясь на нём. Что тут ?
4. А у тебя распакованная прога работает ?

OEP: 001D741B IATRVA: 001E11F4 IATSize: 000000B4
Вроде бы OEP и IATRVA такие и должны быть, а вот IATSize правильно ?
А ещё, когда нажимаю IAT AutoSearch - пишет, что в этом OEP ничего хорошего нет.

FThunk: 001E11F4 NbFunc: 0000002D
1 001E11F4 kernel32.dll 00D6 DeleteCriticalSection
1 001E11F8 kernel32.dll 0228 LeaveCriticalSection
1 001E11FC kernel32.dll 00E1 EnterCriticalSection
1 001E1200 kernel32.dll 020A InitializeCriticalSection
1 001E1204 kernel32.dll 031B VirtualFree
1 001E1208 kernel32.dll 0319 VirtualAlloc
1 001E120C kernel32.dll 0235 LocalFree
1 001E1210 kernel32.dll 01E6 GlobalAlloc
1 001E1214 kernel32.dll 015D GetCurrentThreadId
1 001E1218 kernel32.dll 020D InterlockedDecrement
1 001E121C kernel32.dll 0210 InterlockedIncrement
1 001E1220 kernel32.dll 0320 VirtualQuery
1 001E1224 kernel32.dll 032B WideCharToMultiByte
1 001E1228 kernel32.dll 02C1 SetCurrentDirectoryA
1 001E122C kernel32.dll 0252 MultiByteToWideChar
1 001E1230 kernel32.dll 035F lstrlen
1 001E1234 kernel32.dll 035C lstrcpyn
1 001E1238 kernel32.dll 022A LoadLibraryExA
1 001E123C kernel32.dll 01D1 GetThreadLocale
1 001E1240 kernel32.dll 01B9 GetStartupInfoA
1 001E1244 kernel32.dll 01A3 GetProcAddress
1 001E1248 kernel32.dll 018D GetModuleHandleA
1 001E124C kernel32.dll 018B GetModuleFileNameA
1 001E1250 kernel32.dll 0183 GetLocaleInfoA
1 001E1254 kernel32.dll 0181 GetLastError
1 001E1258 kernel32.dll 0158 GetCurrentDirectoryA
1 001E125C kernel32.dll 0149 GetCommandLineA
1 001E1260 kernel32.dll 0133 FreeLibrary
1 001E1264 kernel32.dll 011C FindFirstFileA
1 001E1268 kernel32.dll 0118 FindClose
1 001E126C kernel32.dll 00F8 ExitProcess
1 001E1270 kernel32.dll 00F9 ExitThread
1 001E1274 kernel32.dll 00CD CreateThread
1 001E1278 kernel32.dll 0336 WriteFile
1 001E127C kernel32.dll 0310 UnhandledExceptionFilter
1 001E1280 kernel32.dll 02CF SetFilePointer
1 001E1284 kernel32.dll 02C6 SetEndOfFile
1 001E1288 kernel32.dll 0291 RtlUnwind
1 001E128C kernel32.dll 027E ReadFile
1 001E1290 kernel32.dll 0273 RaiseException
1 001E1294 kernel32.dll 01BB GetStdHandle
1 001E1298 kernel32.dll 0177 GetFileSize
1 001E129C kernel32.dll 01C6 GetSystemTime
1 001E12A0 kernel32.dll 0179 GetFileType
1 001E12A4 kernel32.dll 00B9 CreateFileA

odIsZaPc :: infern0 пишет:
цитата:
stripper 2.11


А откуда его взять можна? Может пришлешь?

Bad_guy :: stripper 2.11 я бы тоже поглядел. Ага, догадался - надо к автору обратиться...
в документации Angor, gAnZ, BruceLee, EliCZ, Averyan, Morfika, Mac, Soldat, YURETS! - вроде всё русские крэкеры, а я ни одного не знаю лично, вроде они все с форума реверсинга...

Кстати odIsZaPc я тебе исходники скоро вышлю крякмиса.

MozgC [TSRh] :: BruceLee русский ? =)) Хм.. он же в нашей тиме, а я с ним по английски пиздел =)

Bad_guy :: MozgC [TSRh] пишет:
цитата:
а я с ним по английски пиздел


Хорошо хоть не по-китайски...

Runtime_err0r :: Bad_guy
Сдаётся мне, что не стОит здесь t-mail автора постить ... стёр бы ты его от греха подальше - чем меньше народу про stripper Знают, тем дольше он продержится ... IMHO

MozgC [TSRh] :: Bad_guy пишет:
цитата:
Хорошо хоть не по-китайски...


Так ты уверен что он русский?

odIsZaPc :: J0rDan пишет:
цитата:
1. как ты нашел украденые байты ?


Тут в каком-то смысле чутье на них нужно :). Находятся они в мусорном коде - трейсить по F8 который глюк - самомодифицируется... Однако там все можно найти. А вообще в Delphi они стандартные:

push ebp
mov ebp,esp
add esp, xxxx или sub esp, xxxxx
mov eax, yyyy
call zzzzz

Ну по крайней мере, первые 3 инструкции...
В данном случае:

push ebp
mov ebp,esp
sub esp, 10
mov eax, yyyy

Эти 4 инструкции занимает 11 байт, вроде как 2 байта остаются после них: 90 90. Ну и хрен с ними...
J0rDan пишет:
цитата:
2. Я сдампил прогу находясь на 00E63550 (там была команда popad)
после цикла создания импорта, потом вставил украденные байты в дамп, а ImpRec вот мне что выдаёт, то есть якобы только Kernel программа использует ну и естественно запускается распакованная прога без окна и висит себе в памяти. Что я сделал не так ?


А ты за’nop’ил функцию (CALL по адресу 00BD32B9), которая берет адресок api-функции и возвращает адрес переходника?
Вообще, вначале я восстановил импорт (вручную), а уж потом брался за краденые байты и OEP.

цитата:
2. Я сдампил прогу находясь на 00E63550 (там была команда popad)


Уж не знаю че ты там делал, но у меня адрес этого POPAD такой - 00BD360D - с него и дампил...
Я распаковал ее - если очень надо - забирай отсюда:
http://odiszapc.nm.ru/my_cracks
Естественно, пока не ломаная - времени нет разбирать, завтра посмотрю че там такое...

Bad_guy :: Runtime_err0r
Однако может ты и прав, посему мэйл Сида я убрал.

MozgC [TSRh] пишет:
цитата:
Так ты уверен что он русский?


Нет, просто это шутка. Ну понимаешь был такой боец Брюс Ли кажется китаец - вот я и пошутил.

Madness :: Mario555
›Кто-нить делал прогу для восстановления импорта в Aspr 1.3 ?
Так это чего, 1.3? Я думал что 1.3 еще не встречал :(

odIsZaPc
›Эти 4 инструкции занимает 11 байт, вроде как 2 байта остаются после них: 90 90. Ну и хрен с ними...
Остается 1 байт и он push esi.

ЗЫ. готовое на kpnemo есть.

MozgC [TSRh] :: Madness пишет:
цитата:
Так это чего, 1.3? Я думал что 1.3 еще не встречал :(


Если ты быстро восстановил импорт и не восстанавливал таблицу инита (в случае дельфи проги) то это не 1.3

Madness :: MozgC [TSRh]
Вот и я так подумал, а на какой проге точно 1.3 стоит? Хочется не только распаковать попробовать, но и пропатчить тоже ;)

-= ALEX =- :: Madness ну давай я тебе крякми сделаю со всеми опциями, ты попробуешь сделать патч, или распаковать...

Madness :: -= ALEX =-
Давай, 1.3 и выше.
+ еще надо 1 файл без всех опций и такой же с аспровым ограничением по времени (чтоб сам аспр ругался и закрывал прогу), желательно эти 2 файла поменьше (ну или если знаешь, подскажи где оно прописывается, jmp мне неинтересен, я его нашел, мне хочется причину найти). :)

MozgC [TSRh] :: Madness
Вот ты расстроишься когда увидишь =)






   
Оригинальный DVD-ROM: eXeL@B DVD !


Вы находитесь на EXELAB.rU
Проект ReactOS