Оригинальный DVD-ROM: eXeL@B DVD !
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
обновлён 2 декабря!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

АРХИВ ФОРУМА eXeL@B
https://exelab.ru/f/

   

TankMan Восстановление импорта... не понятны некоторые функции Я тут по...


TankMan Восстановление импорта... не понятны некоторые функции Я тут по туториалу (нашел я его всетаки :) ) распаковывал файл... правда не тот что был в туториале... поэтому возникают несколько вопросов... когда я восстанавливал импорт imprect как положенно не определил несколько функций, насколько я помню, их нужно в ручную выбирать из списка, а для этого нужно определять что же за функцию туда нужно поставить, методом простого анализа возвращаемых данных... вот например если функция возвращает адресс по которому находится строка, с путем к файлу, то значит это - GetCommandLineA.... и все... это все что осталось в моем мозгу, по остальным возвращаемым данным я не могу вспомнить что за функция возвращает такое же :(....
может есть какой-то способ определения какая именно функция должна стоять на месте не определенной функции?(кроме того что предложил(повторил) я), или может есть статья с всевозможными вариантами? или еще чего-нибудь?
А если нет, то скажите что за функция возвращает:
FFFFFFFF - ?
80C800C0 -?
0A280105 - ?
И еще, откуда брать ворованные файлы? или они всегда в разных местах? или есть алгоритм их поиска?

nice :: TankMan
Эти ф-ии указывают в небо, тебе нужно их УДАЛИТЬ
00хххххх - а вот такие имеет смысл востанавливать...

DiveSlip :: FFFFFFFF - GetCurrentProcess
0A280105 - GetVersion

MoonShiner :: TankMan пишет:
цитата:
80C800C0


А вот это вродь пустышка... Но точно не уверен, надо зырить

TankMan :: А что вместо нее нужно ставить? LockResource? или еще чего?

TankMan :: Эх... распаковать распаковал... другая проблема возникла :( - почему-то выдает ошибку Internal Error...:(... отловил этот messageboxa, но ничего от туда не нарыл, функция чертзнает откуда вызывается :(... наверное он проверяет на распакованность?... а как это можно отловить? я думаю есть какие-то стандартные уловки на поиск того места где это проверяется?

nice :: TankMan
Что это за программа? Чем запакована?

DiveSlip :: А можно ли с помощью OllyDbg восстановить импорт? Имеется ввиду вручную определить те функции, которые не распознал ИмпРек или Revirgin (например, как в Айсе, ставя бряк на адрес и смотря, что является результатом функции).

nice :: DiveSlip
Смотришь CTRL+g и вводишь адрес ф-ии

TankMan :: nice
Программа LanTalk XP а запакована аспром 1.23... или что-то в этом духе (рядом)...

TankMan :: nice
Программа LanTalk XP а запакована аспром 1.23... или что-то в этом духе (рядом)...

nice :: TankMan
Дома гляну, кажется я её распаковывал

Mario555 :: TankMan пишет:
цитата:
Эх... распаковать распаковал... другая проблема возникла :( - почему-то выдает ошибку Internal Error


У меня вроде никакой ошибки не выдавал... Хотя точно уже не помню, давно было.
Ты байты то восстановил ?

00414AB7 ›/$ 55 PUSH EBP
00414AB8 ¦. 8BEC MOV EBP,ESP
00414ABA ¦. 6A FF PUSH -1
00414ABC ¦. 68 906F4300 PUSH dumped_.00436F90
00414AC1 ¦. 68 88874100 PUSH dumped_.00418788
00414AC6 ¦. 64:A1 00000000 MOV EAX,DWORD PTR FS:[0]
00414ACC ¦. 50 PUSH EAX
00414ACD ¦. 64:8925 000000›MOV DWORD PTR FS:[0],ESP
00414AD4 ¦. 83EC 58 SUB ESP,58
00414AD7 ¦. 53 PUSH EBX
00414AD8 ¦. 56 PUSH ESI
00414AD9 ¦. 57 PUSH EDI
00414ADA ¦. 8965 E8 MOV DWORD PTR SS:[EBP-18],ESP

TankMan :: Да дело в том, что она запускается, и просит выбрать язык интерфейса, т.е. стартовала она нормально, но вот после того, как язык выбран, она вылетает :(

А кстати, а вот эти байты, что ты дал, они всегда одинаковые?

Madness :: TankMan
Ссылку на reg_name поправил?

DiveSlip :: Madness , а можно про reg_name поподробнее? Просто у меня тоже иногда распакованные программы не запускаются, хотя вроде все правильно восстановил, и я никак не могу понять почему.

Madness :: DiveSlip
В программе есть адрес, по которому хранится offset имени зарегистрированного юзера или нуля в противном случае. Этот адрес указывает на код аспра, который после распаковки будет отсутствовать, соответственно получится access violation. При распаковке с валидным ключем, изменении оффсета имени, динамической раскриптовки кода возможно падение при этой самой распаковке, причина в 1 бите, из-за которого прога опять-таки лезет в код аспра, лечится его изменением и выдиранием этих самых кусков.

Madness :: TankMan
›А кстати, а вот эти байты, что ты дал, они всегда одинаковые?
Нет, конечно.

Madness :: TankMan
›А кстати, а вот эти байты, что ты дал, они всегда одинаковые?
Нет, конечно.

DiveSlip :: А как эти куски обнаружить? Как узнать адрес, где хранится имя юзера?

Madness :: DiveSlip
Ищи апи аспра.

DiveSlip :: Madness , спасибо, правда я не понял, что такое апи аспра.

-= ALEX =- :: TankMan прочитал бы хотябы мою статью www.alex2kx.nm.ru/aspr123rc4unp.html
P.S. мож кто статью подправит для сайта cracklab ? а то влом самому...

Madness :: DiveSlip
Скачай аспр, да в справке поищи что-нить типа GetRegistrationName или че-нить в этом духе.

TankMan
Насчет импорта, кста, http://kpteam.com/index.php?show=tools






   
Оригинальный DVD-ROM: eXeL@B DVD !


Вы находитесь на EXELAB.rU
Проект ReactOS