Русский / Russian English / Английский

Сейчас на форуме: _MBK_ (+8 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS ·

 eXeL@B —› Основной форум —› Нужен ACProtect 2.0
. 1 . 2 . >>
Посл.ответ Сообщение


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 3 января 2007 09:32 · Поправил: HoBleen New!
Цитата · Личное сообщение · #1

Скачал из раздела протекторов ACProtect 2.0, попробовал запаковать блокнот, но в зависимости от опций либо вообще не запускается, либо пишет что, мол, все ок (создано нное кол-во переходников), но по-настоящему опция не навесилась. Пробовал и на других файлах - результат тот же.

В связи с этим прошу дать проги (можно крякмисы) с опциями защиты "Code Replace" и "API Call into protection code".

Ранг: 309.8 (мудрец)
Статус: Участник

Создано: 3 января 2007 09:33 New!
Цитата · Личное сообщение · #2

запакуй не блокнот.. в чём проблема...


Ранг: 332.0 (мудрец)
Статус: Участник
•Pr0tEcToRs KiLLeR•

Создано: 3 января 2007 09:52 New!
Цитата · Личное сообщение · #3

Помню первые билды ацпра 2.0 даже сами незапускались, неговоря уже о запакованных ими прогах ;) Вообще ацпр дельфи любит, пакуй что-нить дельфовое.

Ранг: 260.2 (наставник)
Статус: Участник

Создано: 3 января 2007 10:00 New!
Цитата · Личное сообщение · #4

Не пакуй блокнот и calc.exe. С опцией Code Replace 0н их не берет.
Mario555 прав - с дельфовскими пр0гами 0н лучше дружит.
я на эти грабли уже наступал.


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 3 января 2007 11:05 New!
Цитата · Личное сообщение · #5

Mario555 пишет:
дельфи любит, пакуй что-нить дельфовое.

Спасибо, с дельфовыми он более приветлив, но с этими опциями все равно облом

Может быть кто-нибудь выложит запротекченную прогу? Я запарился, уже раз 40 попробовал..

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 3 января 2007 19:54 New!
Цитата · Личное сообщение · #6

HoBleen
А в чем проблемма? Хочешь поковырять Code Replace ковыряй сам ACProtect 2.0 причем лучше последней сборки! Первая сборка один в один ACProtect 1.41 с другим фейсом!
Интересно у тебя есть решение автоматического снятия Code Replace предыдушей версии ? имхо различия небольшие !


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 3 января 2007 23:25 New!
Цитата · Личное сообщение · #7

pavka пишет:
Хочешь поковырять Code Replace ковыряй сам ACProtect 2.0 причем лучше последней сборки!

Нету там нифига! Качал с сайта www.ultraprotect.com/ и лайт, и профешонал - там только защита ОЕР хардварными бряками.

Научился снимать все, кроме Code Replace - их видел только в 1-х версиях, снимаю с пом. скрипта, API Call into protection code - вообще не понял что это такое, воровство ОЕР с хардварными бряками - сейчас изучаю.

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 4 января 2007 00:20 New!
Цитата · Личное сообщение · #8

HoBleen пишет:
Нету там нифига! Качал с сайта www.ultraprotect.com/ и лайт, и профешонал - там только защита ОЕР хардварными бряками.

Ты просто не понимаешь о чем идет речь ! Там практический весь код Code Replace Если у тебя есть желание я могу тебе дать ACProtect 2.0 где премерно % 90 кода востановлено он практический распакован но без ключа там уже получается смесь распаковки и взлома сизифов труд в общем но для навыка прохождения CR полезно


Ранг: 500.5 (!)
Статус: Участник

Создано: 4 января 2007 03:07 New!
Цитата · Личное сообщение · #9

pavka пишет:
Там практический весь код Code Replace

Это то дерьмо, которое динамически расшифровывается и прыгает потом в выделенный участок памяти ? Если да, то я помнится дампил сей участок, и прикручивал его в виде отдельной секции, а указатель на него лежит в дампе и элементарно правится на нужный.


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 4 января 2007 04:00 · Поправил: HoBleen New!
Цитата · Личное сообщение · #10

pavka пишет:
Ты просто не понимаешь о чем идет речь !


Я так понимаю что CR - это спертые 5 байт, в самых первых версиях был просто call на них, в 1.3+ - на одну-единственную ф-ю, которая анализировала адрес возврата и по нему исполняла уже чуть разбавленный мусором код в опр. участке памяти (по крайней мере в анпакмисах с tut4you.com это так). Если ошибаюсь - поправь меня.

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 4 января 2007 05:03 New!
Цитата · Личное сообщение · #11

Smon
Это в старых версиях была примитивная смесь реплейса испласинга решалась элементарным копипастом
и убираним процедур записи!
А тут ну примерно так вот начало на примереACProtect 2.0
00498535 68 F4084B00 push ACProtec.004B08F4 ; ASCII "JCALG1_GetInfo"
0049853A 8B45 F4 mov eax,dword ptr ss:[ebp-C]
0049853D 50 push eax
0049853E E8 E9E9F6FF call ACProtec.00406F2C ; jmp to kernel32.GetProcAddress
00498543 A3 70E16B00 mov dword ptr ds:[6BE170],eax
00498548 60 pushad <-------- начало
00498549 F9 stc
0049854A 40 inc eax
0049854B 81E2 5B2929D8 and edx,D829295B
00498551 4F dec edi
00498552 72 0E jb short ACProtec.00498562
00498554 73 0C jnb short ACProtec.00498562
00498556 7A 76 jpe short ACProtec.004985CE
00498558 17 pop ss
00498559 77 15 ja short ACProtec.00498570
0049855B ^ 79 E8 jns short ACProtec.00498545
0049855D 07 pop es
0049855E 0000 add byte ptr ds:[eax],al
00498560 0073 EB add byte ptr ds:[ebx-15],dh
далее если в двух словах готовится служебный код который будет записывать код рабочий
вот он готов
0049A481 006D 00 add byte ptr ss:[ebp],ch
0049A484 51 push ecx
0049A485 803E 68 cmp byte ptr ds:[esi],68
0049A488 B9 25000000 mov ecx,25
0049A48D 75 1C jnz short ACProtec.0049A4AB
0049A48F 90 nop
0049A490 90 nop
0049A491 90 nop
0049A492 90 nop
0049A493 57 push edi
0049A494 8DBD 002D4000 lea edi,dword ptr ss:[ebp+402D00]
0049A49A F3:A6 repe cmps byte ptr es:[edi],byte ptr ds:[>
0049A49C 0BC9 or ecx,ecx
0049A49E 75 0A jnz short ACProtec.0049A4AA
0049A4A0 90 nop
0049A4A1 90 nop
0049A4A2 90 nop
0049A4A3 90 nop
0049A4A4 FE85 252D4000 inc byte ptr ss:[ebp+402D25]
0049A4AA 5F pop edi
0049A4AB 803E 35 cmp byte ptr ds:[esi],35
0049A4AE 75 13 jnz short ACProtec.0049A4C3
0049A4B0 90 nop
0049A4B1 90 nop
0049A4B2 90 nop
0049A4B3 90 nop
0049A4B4 B9 07000000 mov ecx,7
0049A4B9 F3:A6 repe cmps byte ptr es:[edi],byte ptr ds:[>
0049A4BB 0BC9 or ecx,ecx
0049A4BD 74 0D je short ACProtec.0049A4CC
0049A4BF 90 nop
0049A4C0 90 nop
0049A4C1 90 nop
0049A4C2 90 nop
0049A4C3 59 pop ecx
0049A4C4 46 inc esi
0049A4C5 ^ E2 BD loopd short ACProtec.0049A484
0049A4C7 EB 26 jmp short ACProtec.0049A4EF
0049A4C9 90 nop
0049A4CA 90 nop
0049A4CB 90 nop
0049A4CC 60 pushad
0049A4CD E8 1FE9FFFF call ACProtec.00498DF1
0049A4D2 B8 00010000 mov eax,100
0049A4D7 E8 22E9FFFF call ACProtec.00498DFE
0049A4DC 8BC8 mov ecx,eax
0049A4DE 8DBD 6D404000 lea edi,dword ptr ss:[ebp+40406D]
естествено каждый участок отработав превращается обратно в мусор и далее собственно из за чего весь сыр бор
00498551 B8 FF770100 mov eax,177FF
00498556 E8 E9A1F6FF call ACProtec.00402744
0049855B 8B15 D8375200 mov edx,dword ptr ds:[5237D8] ; ACProtec.0073DBCC
00498561 8902 mov dword ptr ds:[edx],eax
00498563 B8 FF310000 mov eax,31FF
00498568 E8 D7A1F6FF call ACProtec.00402744
0049856D 8B15 34345200 mov edx,dword ptr ds:[523434] ; ACProtec.0073DBD0
00498573 8902 mov dword ptr ds:[edx],eax
00498575 B8 FF4F0000 mov eax,4FFF
0049857A E8 C5A1F6FF call ACProtec.00402744
0049857F 8B15 74385200 mov edx,dword ptr ds:[523874] ; ACProtec.0073DBD4
00498585 8902 mov dword ptr ds:[edx],eax
00498587 E9 CD6C0000 jmp ACProtec.0049F259
это рабочий код его мы и искали
0049F259 90 nop
0049F25A 90 nop
0049F25B 90 nop
0049F25C 90 nop
0049F25D 90 nop
0049F25E A1 14375200 mov eax,dword ptr ds:[523714]
0049F263 33D2 xor edx,edx
0049F265 8910 mov dword ptr ds:[eax],edx
0049F267 A1 0C345200 mov eax,dword ptr ds:[52340C]
0049F26C 33D2 xor edx,edx
0049F26E 8910 mov dword ptr ds:[eax],edx
0049F270 C705 645D5200 00000100 mov dword ptr ds:[525D64],10000
Из всей этой каши нам нужно выделить только рабочий код все остальное удалить
Код криптующий обратно очень приметный идеально подходит для меток ну и совет держать окно дампа в виде диззасама
Вот из такого дерьма все основные процедуры в сабже


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 4 января 2007 05:10 New!
Цитата · Личное сообщение · #12

Пфф.. действительно дерьмо.

pavka
Спасибо большое, просветил. Буду разбираться..

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 4 января 2007 06:41 New!
Цитата · Личное сообщение · #13

HoBleen
Для начала возьми прогу какую нибудь к примеру 1ClickDvdCopy на память там 2 или 3 процедуры всего
и не очень большие ну и регистрация там простенькая заодно потренироватся в инлайне


Ранг: 500.5 (!)
Статус: Участник

Создано: 5 января 2007 00:27 New!
Цитата · Личное сообщение · #14

pavka
А смысл разбирать это дерьмо ? Если и так работает, самокриптуется и самораскриптуется. Просто выделять память под сплайс и всё, или менять указатели, они всёрно в чистом виде лежат.


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 5 января 2007 01:34 New!
Цитата · Личное сообщение · #15

Smon пишет:
А смысл разбирать это дерьмо ?

А зачем пишутся метаморфы, полиморфы? Для затруднения анализа. Тебе будет не легко разобрать процедуру регистрации, если она будет пошифрована или как-нибудь еще обработана.
Ну в конце концов для эстетики - чтоб никаких следов прота не осталось


Ранг: 500.5 (!)
Статус: Участник

Создано: 5 января 2007 03:25 New!
Цитата · Личное сообщение · #16

Самый большой плюс в том, что эта гавноопция весьма ненадёжна (большинство программ под ней не работают вообще), следовательно вероятность встречи данного прота с данной опцией на шароварке практически минимальна.

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 5 января 2007 03:44 New!
Цитата · Личное сообщение · #17

Smon
Если бы там было все так просто! Какие то процедуры действительно можно не трогать они без проблемм отработают на примере анпакми от Теди Роджерса если сдампить Unpakmee c OEP Obfucation Enabled
С точки
0048058A U> 61 popad
0048058B 56 push esi
0048058C 8F05 81B84600 pop dword ptr ds:[46B881]
00480592 FF35 81B84600 push dword ptr ds:[46B881]
00480598 890C24 mov dword ptr ss:[esp],ecx
0048059B 891C24 mov dword ptr ss:[esp],ebx
0048059E 892C24 mov dword ptr ss:[esp],ebp
004805A1 8925 89B94600 mov dword ptr ds:[46B989],esp
004805A7 FF35 89B94600 push dword ptr ds:[46B989]
004805AD 8F05 59B84600 pop dword ptr ds:[46B859]
004805B3 FF35 59B84600 push dword ptr ds:[46B859]
004805B9 8F05 E9B94600 pop dword ptr ds:[46B9E9]
004805BF 8B2D E9B94600 mov ebp,dword ptr ds:[46B9E9]
004805C5 51 push ecx
004805C6 8F05 F5B94600 pop dword ptr ds:[46B9F5]
004805CC FF35 F5B94600 push dword ptr ds:[46B9F5]
004805D2 C70424 FFFFFFFF mov dword ptr ss:[esp],-1
004805D9 90 nop
004805DA 90 nop
004805DB 60 pushad
004805DC E8 0B000000 call UnPackMe.004805EC
004805E1 ^ 77 83 ja short UnPackMe.00480566
004805E3 04 24 add al,24
004805E5 04 C3 add al,0C3
004805E7 7A 11 jpe short UnPackMe.004805FA
004805E9 7B 0F jpo short UnPackMe.004805FA
004805EB ^ 76 83 jbe short UnPackMe.00480570
004805ED C4047A les eax,fword ptr ds:[edx+edi*2]
004805F0 F67B F4 idiv byte ptr ds:[ebx-C]
004805F3 ^ 79 E8 jns short UnPackMe.004805DD
004805F5 - E9 FFFFFF71 jmp 724805F9
004805FA ^ EB F8 jmp short UnPackMe.004805F4

код нормально отработает и прога будет работать !
Другая част реплайса своебразная защита от дампа она дофига чего испольльзует для раскриптовки
и просто так в дампе работать не будет ;) И все это не выделеной памяти а в коде и правка любого байта до того как код отработает сам понимаешь к чему приведет! По этому только один способ выделить рабочий код и копипаст в дамп и занопить мусор!
Хотя я видел у китайцев исходники проги для очистки реплейса но они по моему только для конкретной проги ну и все в квадратиках в общем хрен че поймешь!

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 5 января 2007 03:48 New!
Цитата · Личное сообщение · #18

Smon пишет:
Самый большой плюс в том, что эта гавноопция весьма ненадёжна (большинство программ под ней не работают вообще)

Хм.. Наверное ты просто давно не распаковывал сабж! Я могу тебе на вскидку еше пару прог с этой фигней дать кроме 1ClickDvdCopy


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 5 января 2007 03:59 · Поправил: HoBleen New!
Цитата · Личное сообщение · #19

Smon пишет:
Самый большой плюс в том, что эта гавноопция весьма ненадёжна (большинство программ под ней не работают вообще)

Именно поэтому так мало прог, запакованных ацпром. Я его видел только два раза на шароварах, да и то первый...


Ранг: 332.0 (мудрец)
Статус: Участник
•Pr0tEcToRs KiLLeR•

Создано: 5 января 2007 13:12 New!
Цитата · Личное сообщение · #20

Гм, а что в версии 2.0 code replace`ом стали называть то что раньше было 'Embedded protector' ? Code replace эте пятибайтовые куски которые тырятся по всему коду и которые можно восстановить в оригинале 1 в 1, либо просто переделать процедуру их обработки. А 'Embedded protector' это куски кода которые динамически распаковываются и запаковываются каждый своей процедурой (т.е. листинг чего выше привёл pavka), единственная функция к которой такое прот применяет сам - это стар проги (OEP obfuscation), а чтоб такое было и в других частях кода - надо в исходники защищаемой проги вставлять call mark`и.


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 5 января 2007 13:31 · Поправил: HoBleen New!
Цитата · Личное сообщение · #21

Да бог с ним, с этим именованием, меня больше волнует вот что: в хелпе написано, что для ACProtectAPI используется MessageBoxA с параметрами -1, @some_struct, 0, (1 или 0). А в реальных прогах используется MessageBoxA с параметрами (-1, 0, 0, 5), (-1, 0, 0, 2) либо (-1, 0, 0, 3). Еще хукается RegisterHotKeyA, обычный ли это переходник или он используется для регистрации?

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 5 января 2007 21:20 New!
Цитата · Личное сообщение · #22

Mario555 пишет:
Гм, а что в версии 2.0 code replace`ом стали называть то что раньше было 'Embedded protector' ?

Там уже каша из Embedd Resort и Replace Code !Да название особо ничего не меняет ,это самая серьезная опция в проте!


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 6 января 2007 12:55 New!
Цитата · Личное сообщение · #23

У кого есть версии ацпра кроме
1.09g
1.09f
1.3c
1.32
1.41
2.0 build 06.02.06
2.0 build 0.6.03.10
выложите плз! Желательно сам прот, но можно и проги им запакованные.
Хочу сделать идентификатор версии и опций защиты (+адреса покриптованных процедур), на моих версиях метод вроде бы работает.


Ранг: 332.0 (мудрец)
Статус: Участник
•Pr0tEcToRs KiLLeR•

Создано: 7 января 2007 06:53 New!
Цитата · Личное сообщение · #24

есть 1.10, 1.22 и 1.23, если надо то гри куда лить.


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 7 января 2007 06:58 New!
Цитата · Личное сообщение · #25

Mario555
Куда угодно, хоть на slil.


Ранг: 332.0 (мудрец)
Статус: Участник
•Pr0tEcToRs KiLLeR•

Создано: 7 января 2007 07:48 New!
Цитата · Личное сообщение · #26

slil.ru/23699023


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 7 января 2007 08:01 New!
Цитата · Личное сообщение · #27

Mario555
Спасибо.
В этих версиях все осталось так же.


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 9 января 2007 08:23 New!
Цитата · Личное сообщение · #28

Кто-нибудь знает какой версией запакована AutoFlowchart 1.01? Вроде бы 1.08 или ниже (код чуть примитивнее 1.09), но точно не знаю..

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 9 января 2007 17:48 New!
Цитата · Личное сообщение · #29

HoBleen
Посмотри по форуму где то уже разбирали эту прогу!


Ранг: 240.5 (наставник)
Статус: Участник
Author of ACKiller

Создано: 9 января 2007 22:09 New!
Цитата · Личное сообщение · #30

Угу, разбирали, топик читал. Но версии там не указано, написано, что пеид вообще не увидел в проте ацпра - версия старая (я в этом уверен) и непопулярная.
. 1 . 2 . >>
 eXeL@B —› Основной форум —› Нужен ACProtect 2.0

Видеокурс ВЗЛОМ