Оригинальный DVD-ROM: eXeL@B DVD !
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 3 апреля!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

АРХИВ ФОРУМА eXeL@B
https://exelab.ru/f/

   

Yraevtys Вопрос Прогу(Restore Data 1.01 с сайта http://2dsoft.nm.ru//...


Yraevtys Вопрос Прогу(Restore Data 1.01 с сайта http://2dsoft.nm.ru// упакованная UPX) в соответствии с инструкциями я вроде бы распаковал, создался Dumped._xe, но он не запускается и зависает в Аice, и листинг проги в w32dasm не полный. Как действовать дальше? Как найти и снять защиту на запись в память?
Runtime_err0r :: Могу выложить распакованный EXE’шик (рабочий)

Kerghan :: Yraevtys пишет:

цитата:
я вроде бы распаковал, создался Dumped._xe, но он не запускается


значит не распаковал :)

Если руками распаковать хочешь, то возми Olly и делай так:
popad
jmp xxx ‹---бряк сюда
00
00
...

Снимай дамп, восстанавливай импорт и ломай дальше

ЗЫ xxx как раз и будет твоим OEP (тока 40000 отнять нужно будет)

MozgC [TSRh] :: Runtime_err0r
Судя по вопросу, ты лучше ему минитутор на страничку выложи =)

Yraevtys :: Если не трудно то пришли рабочий exe на Yraevtys@mail.ru

Runtime_err0r :: MozgC [TSRh]

цитата:
Судя по вопросу, ты лучше ему минитутор на страничку выложи =)


Вот наваял тут на досуге:
-------------------------------------------------- -------------------------------------------------- ------------------
Tools: SoftICE Driver Suite v3.0, LordPE, ImpRec v1.6, HiEW, stripper 2.03, WinXP.
Запускаем SoftICE, вводим команду i3here on, запускаем stripper жмём кнопку Reversing и выбираем пункт Break on Enter, брякаемся тут:
0167:0051E3FE ADD [EAX],AL
0167:0051E400 PUSHA
0167:0051E401 MOV ESI,004B1000
0167:0051E406 LEA EDI,[ESI+FFF50000]
0167:0051E40C MOV DWORD [EDI+000E84D4],D16246B6
0167:0051E416 PUSH EDI
0167:0051E417 OR EBP,BYTE -01
0167:0051E41A JMP SHORT 0051E42A
0167:0051E41C NOP
0167:0051E41D NOP
Крутим вниз, пока не увидим:
0167:0051E562 JMP SHORT 0051E545
0167:0051E564 CALL NEAR [ESI+0012070C]
0167:0051E56A PUSHA
0167:0051E56B JMP 004E5B0C - прыжок на OEP
0167:0051E570 MOV CH,AH
0167:0051E572 PUSH ECX
0167:0051E573 ADD [EDI+D40051E5],AH
0167:0051E579 XCHG EAX,ESP
0167:0051E57A DEC ESI

Ставим бряку на 51E56B, брякаемся, жмём F10 и попадаем сюда:
0167:004E5B0C PUSH EBP
0167:004E5B0D MOV EBP,ESP
0167:004E5B0F ADD ESP,BYTE -0C
0167:004E5B12 PUSH EBX
0167:004E5B13 MOV EAX,004E5784
0167:004E5B18 CALL 004070E8
0167:004E5B1D MOV EBX,[004E7E60]
0167:004E5B23 MOV EAX,[EBX]
0167:004E5B25 CALL 0044D584

Это и есть наш OEP, зацикливаем (e eip, EB FE) жмём F5, запускаем LordPE, дампим, открываем дамп чрез PE EDitor и исправляем зничение EP на 4E5B0D, открываем dumped.exe в HiEW и меняем два байта на OEP на 55 8B. Теперь Ctrl+D в SoftICE меняем два байта обратно: e eip, 55 8B, жмём F5, прога запускается, запускаем ImpREC, выбираем процесс, вводим OEP=4E5B0D, жмём IAT AutoSearch, GetImports и Fix Dump.
Теперь запускаем dumper_.exe - не работает :( ничего страшного - в LordPE делаем Rebuild PE - теперь всё работает :)

Nitrogen :: открываем ехе в hiew.. переходим к секции .rsrc и скролимся вверх пока не увидим

0051E564: FF960C071200 call d,[esi][0012070C]
0051E56A: 60 pushad
0051E56B: E99C75FCFF jmp .0004E5B0C -----ch8593; (5) ‹-- это прижек на oep

меняем jmp oep на jmp eip (eb fe)

запускаем прогу.. дампим процес с помощью lordpe.. запускаем imprec и выбираем нужный процесс..
в поле oep пишем E5B0C.. iat auto search, get imports, fix dump. прибиваем процесс. все. распаковали

SavagE :: Ломаю тут один скринсейвер,3D-шный,использует Direct3D
после некоторого времени вылезает наг
на всякие функции типа getsystemtime и прочую х.. не ловится
нашел в листинге IDA основную процедуру рендера, но там можно свободно ковырятся неделю и ничего толкового не найти
может кто подскажет какие-нибудь D3d-шные функции типа прорисовки rectangl’а или типа того,на что можно поймать эту пакость
а то неохота хелп по д3д искать,потом ковырятся в нем
и вообще что в такой ситуации лучше делать ?
з.ы. только не пишите чтобы ломал регистрацию - пробовал уже, там какой-то криптографический отстой типа RSA,мне это пока не по зубам :(

Nitrogen :: SavagE
ссылку дай






   
Оригинальный DVD-ROM: eXeL@B DVD !


Вы находитесь на EXELAB.rU
Проект ReactOS