Русский / Russian English / Английский

Сейчас на форуме: spinz (+4 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS ·

 eXeL@B —› Основной форум —› Можете посоветовать? Hardlock + под dos/win95 = как убрать? :)
<< . 1 . 2 . 3 . 4 . 5 . 6 . >>
Посл.ответ Сообщение

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 23 января 2007 09:27 New!
Цитата · Личное сообщение · #1

Есть программа, старезная, 97 года выпуска. Защищена Hardlock. В главном екзешнике по обьяснения ИДЫ есть 2 хедера - NE и для ДОСа. Кажется есть встроеная защита, в сам ехе. Для ДОСа наверное. Только наверно, сам код не нашел. И обращения к драйверу HARDLOCK.VXD для Видны. На этом мои познание в этой проге заканчиваются С чего начать ее взлом? Сори за тупую постановку вопроса. Просто поиском интересных мест по коду, и копанию там не получилось ничего...


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 31 января 2007 03:10 · Поправил: Chingachguk New!
Цитата · Личное сообщение · #2

А в момент запуска (и вообще в системе) у тебя установлен сам драйвер (хардлокк.vxd)? Если установлен, попробуй поставить бряк на вход (по-идее - на точку входа для DOS-вызова). Также: еще раз bpio 0x278, bpio 0x378, bpint 2F if (ax==0x1684) - ? После запуска: что пишет сайс на: vxd hardlock.vxd?

----- added -------

Запустил, на bpio или int 2F с ax=1684 - не брякается. Не совсем понял что пускать чтобы увидеть что была попытка проверки ключа - запускаю brs.exe и вижу только в первом окне "Демо-версия" и проч. Может это и есть демо - в ней и не предусмотрена проверка ключа?

----- added next -----

Ага Нашел. Если пускать imm.exe и вызывать контекстное меню "об аффторах", то работает бряк bpio 0x278! Только сайс не управляецца с изображением и на мониторе каша, но ведь это уже совсем другое дело!


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 31 января 2007 03:53 New!
Цитата · Личное сообщение · #3

Или же этот порт ему просто для работы нужен?...


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 31 января 2007 04:27 New!
Цитата · Личное сообщение · #4

Не, вроде бы все честно. При работе с imm.exe реально используецца порт 0x278. Также нашел типично хасповский цикл:

048F:1C56:

xor si,si
xor cx,cx
mov bx,1989h
mov ax,ds:[bp+01C0h]
mul bx
add ax,5
...

Это ихний генератор из функции 2 хаспа (может он еще в хардлоке был?!) - функции GetSeeds (по 16-ти битовому запросу вернуть 4 16-ти битовых слова (обычно в AX:BX:CX:DX)). Ниже там также характерная строка:

; Комментарий из статьи Бьяуни 6094: MOV WORD PTR DS:[BP+008E], 1DE3; дефолт-сиид
mov word ptr ds:[bp+01C0h],1DE3h

Так что это хазп?!... непонятно еще что у меня сайс показывает будто код размещен в GDI (!).

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 31 января 2007 05:22 New!
Цитата · Личное сообщение · #5

Chingachguk
Почитал твои последние посты - сам запутался То что это не демо, уверен, быть по другому не может. Та же версия, что и там, куда фтыкаеш ключь и все начинает чудесным образом работать. А если и дкмо версия(ну если это допустить чисто теоретически :s6 - то что тут делает типичая на вид работа с ключами?
Chingachguk пишет:
imm.exe

Насколько я видел, этот екзе вообще без ограничений. Тоесть я их там не нашел, ничего залоченого и т.д. Насколько я помню, только brs.exe есть урезаный, хотя в дебрях imm.exe небыл, этот ехе мне был тогда не нужен, а оказывается он даже интересный. И еще - если бы brs.exe был полной демой - зачем туда пихать хасп-защиту так явно? что этому коду делать в демо? Я кстати хотел проверить, может и демо (что ну так врядли, что я быстрее готов поверить что эта прога ставит вирус, который при копировании оригинального brs.exe дает мне демо :s6, найти обработчики меню. Менюха там реализована не "вшыто", а "функционально", есть файлы с посторением меню, их видом и т.д...Chingachguk пишет:
А в момент запуска (и вообще в системе) у тебя установлен сам драйвер (хардлокк.vxd)? Если установлен, попробуй поставить бряк на вход (по-идее - на точку входа для DOS-вызова). Также: еще раз bpio 0x278, bpio 0x378, bpint 2F if (ax==0x1684) - ? После запуска: что пишет сайс на: vxd hardlock.vxd?

Таких драйверов у меня в системе нету, как я уже говорил, они почемуто с инсталом не идут
Chingachguk пишет:
Только сайс не управляецца с изображением и на мониторе каша, но ведь это уже совсем другое дело!

Аналогично было, но с brs.exe. Если просто цвета сыплются, попробуй альтабнутся и обратно. Ты на ВМ или на реальной системе?

Интересно что защите делать в imm.exe если вроде все есть там (вот нелюблю когда я даже не представляю что и как в проге работает когда она правильно "зарегана"..)

GDI?? Ну если сайс не глючит, ты открыл америку - мелкомягкие свой ГДИ хотели хаспом защищать )))

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 31 января 2007 05:23 New!
Цитата · Личное сообщение · #6

Chingachguk
А, еще хохма, посмотри экспорт таблицу BGI16.DLL Поищи там смешную функцию для проверки правильности ДЛЛки

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 31 января 2007 05:26 New!
Цитата · Личное сообщение · #7

Вопрос на засыпку: подгрузил я символы в сайс, но через такую что сам бы и не додумался. тоесть на команду SYM мне он теперь всю таблицу послушно выводит, вопрос: как мне правильно SYMLOC ему сказать? как не колдовал, правильно он ее воспринимать не хочет, как базы были начиная с 0001 так и остаются ((


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 31 января 2007 05:57 · Поправил: Chingachguk New!
Цитата · Личное сообщение · #8

Нащот символов - не знаю, не пользую, насчет цветов - разобрался - поменял в imm настройки монитора. Работаю "вживую". Не понял насчет "втыкаю ключ и все работает". Можешь показать что задизейблено, недоступно и т.п. (кроме надписи в первом "мессаджбоксе" у brs.exe) - ? - а то не могу понять чего защищает она?

Откуда данные что прога была в 94-м защищена? Тот код (цикл с 0x1989) вроде бы только к хазпу относицца. Что за ключ - может хазп все же?

Если потрейсить тот код, что я нашел, то там должно быть предъявление паролей ключа (сначала развертка GetKeyExtension - у меня в статейке есть), потом уже в порт. Если пароли найдешь, считай ST нашел... Или смотреть с чем ответы сравниваюцца...

PS Начет GDI - возможно, это фича - может можно как-то приаттачицца к ней/разместить callback/хз чего еще. Может просто сайс тупит.


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 31 января 2007 06:11 New!
Цитата · Личное сообщение · #9

PPS А ты-то видишь обращения к порту и потом - тот цикл что я привел? А то может правда у меня глюкан?

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 31 января 2007 07:05 New!
Цитата · Личное сообщение · #10

Chingachguk
В brs.exe проявления защиты - "месажбокс", дизейблнутые пункты "записать/записать все", возможное криптования самого сейва по ключю (просто слухи, не могу проверить, но скорее всего нет, потому что тогда бы небыло смысла делать поддержку загрузки файлов в демке, если они шифрованые). Дизейб на эти пункты меню можно снять через флаг
dseg196:28A0 wStrange1_if_noPROCTECT dw 1
посмотри у меня в дизасме. Вроде все.

Вживую? Класно тебе А то я себе не смог потавить Вынь98 на 64-битную машыну ((

Chingachguk пишет:
Откуда данные что прога была в 94-м защищена?

Непонял... Я же не говорил что именно в 94 была защищена.. Хотя я сомневаюсь что сильно поздно, потому что юзает LPT ключ, тоесть старая защита, тем более если недавно ставили, то ставили бы новую, потому что на других продуктах этой же конторы уже стоят USB ключи... То что это Хардлокк сужу только по названию драйвера, да и еще и tundra37 говорил что это
**CPG_HK_AK_HV_MAZ_GBS_TS_TC_HG*14-Apr-1998*V3.68**
правда я не понял откуда он это взял.

Chingachguk пишет:
PPS А ты-то видишь обращения к порту и потом - тот цикл что я привел? А то может правда у меня глюкан?

Ща посмотрю )) Интересно ведь, я не слышал про колбэки в ГДИ..

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 31 января 2007 07:06 New!
Цитата · Личное сообщение · #11

Chingachguk
А где этот цыкл? Какой ехе и какой адрес?


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 31 января 2007 07:18 · Поправил: Chingachguk New!
Цитата · Личное сообщение · #12

Да нету такого кода в EXE - он скорее всего расшифровываецца Ставь bpio.

А хазп также обрабатываецца hardлокк.vxd/sys (в NT-системах).

ps вроде бы 1C79/460C. У MeteO такого нету.

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 31 января 2007 08:46 New!
Цитата · Личное сообщение · #13

На imm.exe бряка не сработала...


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 31 января 2007 08:52 New!
Цитата · Личное сообщение · #14

Глючи получаюцца вроде бы так (перед передачей "драйверу"): 7EFD^6284->1C79, (~6284)^DB77=460C. Наверное, они должны быть в открытом виде. Вызов вида: call GDI!CREATEDIBSECTION. А Вы говорите - майкрософфт

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 31 января 2007 09:10 New!
Цитата · Личное сообщение · #15

Chingachguk
Где ты там ГДИ нашел?


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 31 января 2007 13:07 New!
Цитата · Личное сообщение · #16

Расскажу-ка я что видел... Итак, я: устанавливаю в Ice'е bpio 278 - запускаю imm - вызываю меню "файл->об аффторах"-> появляется "мессаджебокс" и кнопка выхода -> нажимаю кнопку(или таб) -> срабатывает бряк. I can give you the oath that I saw this!

ps GDI видно в айсе когда срабатывает бряк. Указанное мной имя видно когда я возвращаюсь назад из кода что работает с портами и ключом.

pps Возможно я глючу но код что я видел - я уверен на 99% что это то, о чем я писал.

Ранг: 310.8 (мудрец)
Статус: Участник

Создано: 31 января 2007 23:50 New!
Цитата · Личное сообщение · #17

Spry пишет:
**CPG_HK_AK_HV_MAZ_GBS_TS_TC_HG*14-Apr-1998*V3.68**
А где эты это взял? Просто интересно, можеш рассказать вкратце?

Любым вьювером смотришь экзешник и ищешь CPG - эта общая рекомендация по поиску версии и точки входа. Иногда CPG много бывает, тогда **CPG
Ну вообще всегда тексты полезно внутри посмотреть - сразу видно, что русифицирована прога.


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 1 февраля 2007 00:01 New!
Цитата · Личное сообщение · #18

Мда, да модуль просто overstuffed такими вызовами, вот мой к примеру:

cseg02:05D2 push ax
cseg02:05D3 mov ax, word_94EFC
cseg02:05D6 xor ax, word_94F00
cseg02:05DA push ax
cseg02:05DB push word_94EFA
cseg02:05DF push word_98CC4
cseg02:05E3 push 2
cseg02:05E5 call sub_5396B
cseg02:05EA add sp, 1Ah

Если что - я искал по байтикам Data=50,A1,9C,37,33,06,A0,37,50,FF,36.

Строку, указанную tundra37, также вижу.

Вообще непонятно зачем в "brs" куски кода для работы с непонятным(? - как сказал tundra37 - это хардлокк) ключом, который реально не вызываецца (?), зато есть работа с хазп лпт (кто-нибудь может сказать что-то по паролям которые я привел выше?).

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 1 февраля 2007 00:29 New!
Цитата · Личное сообщение · #19

tundra37
Угу, нашел )) Я ее не заметил

Chingachguk
brs.exe? Про пароли я слегка не понял..
Всмысле он реально не вызывается? Както же она проверяет что не зарегана... Правда я не могу понять как. Может это стоит поискать? Может те 2 сергмента странных забить инт 3 )) и запустить тест довольно крепкий ;)


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 1 февраля 2007 01:24 New!
Цитата · Личное сообщение · #20

Spry

Нет! И еще раз нет! Все это в imm.exe. Пароли к хазпу (Lpt глюч, 2xword). Те сегменты скорее всего ф топку. Или - возможно - они вызываюцца при каком-то определенном выборе пункта меню (ведь в imm никто глюч не читает ПОКА я не нажму определенный пункт меню).

Скорее всего в самой brs нет явного обращения к ключу, просто она вызвает МОДУЛИ (тот же imm) с необходимой полной функциональностью - а те уже ругаюцца... Но это только гипотеза.

Так у тебя вызываюцца упомянутые мной места с хазп ключом? А то возможно что у нас проги почему-то работают по-разному.

ОФФ: (возможно баян) кто видал картинку "Подвег розведчега" (стилизованное из "Казино Ройяль")? Я до сих пор угораю ))

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 1 февраля 2007 02:01 New!
Цитата · Личное сообщение · #21

Chingachguk
ОФФ: Неа )) Где смотреть?

Chingachguk пишет:
просто она вызвает МОДУЛИ (тот же imm)

Притом весьма правдоподобная. Она для работы так точно это делает (уверен). Посмотрю ИММ...

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 1 февраля 2007 02:58 New!
Цитата · Личное сообщение · #22

Chingachguk
Блин, много ехе с почти одинаковым набором функций..

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 1 февраля 2007 02:59 New!
Цитата · Личное сообщение · #23

INT.EXE - жутко похож на BRS.EXE


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 1 февраля 2007 03:07 New!
Цитата · Личное сообщение · #24

ОФФ: ugolock.ru/modules/news/article.php?storyid=5891 (или в яндексе "подвег розведчега")

Ну как же там?! Нашел в imm вызовы?

Опиши еще раз флажок который ты заметил в brs - попробую глянуть.

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 1 февраля 2007 04:53 New!
Цитата · Личное сообщение · #25

Флаг по адресу
dseg196:28A0 wStrange1_if_noPROCTECT dw 1
Если он 0 - то появляется надпись noPROCTECT в боксе (brs.exe) и пункты меню активируются, но при клике ничего не происходит, обработку клика так найти и не удалось ((
Если есть мой дизасм, там этот флаг хорошо помечен. Я думаю начну смотреть чего интересного во всех ехе, но еще не знаю зачем


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 1 февраля 2007 07:12 New!
Цитата · Личное сообщение · #26

У меня флаг виден вот так:

dseg196:28A0 dword_13C340 dd 10001h ; DATA XREF: sub_273E0+17r
dseg196:28A0 ; sub_2A577+4Br ...

Вроде бы ничего (по дизассму) не видно.

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 1 февраля 2007 08:34 New!
Цитата · Личное сообщение · #27

dd 10001h?
гммм, странно... у меня вообще не так
блин, понял
у меня вот так:
dseg196:28A0 wStrange1_if_noPROCTECT dw 1 ; DATA XREF: INTERESTING1+17r
dseg196:28A0 ; sub_2A577:loc_2A5C2r
dseg196:28A0 ; sub_3087A+4C2r
dseg196:28A0 ; INTERESTING2:loc_4A49Ar
dseg196:28A0 ; sub_4A714:loc_4A773r
dseg196:28A0 ; sub_99E06:loc_99F30r
dseg196:28A0 ; DrawAbout+B0r
dseg196:28A0 ; DrawAbout+271r
dseg196:28A0 ; sub_AEC0C+7r
dseg196:28A0 ; sub_B019D+7r
dseg196:28A0 ; more_someIntearDB+8r
dseg196:28A0 ; sub_E9608+35r
dseg196:28A0 ; sub_E996E+41r
dseg196:28A0 ; sub_EBA89+4r
dseg196:28A0 ; sub_EBBAA+4r
dseg196:28A0 ; sub_F1B20+149r ...
dseg196:28A2 wStrange2_seems_must_be_1 dw 1 ; DATA XREF: sub_B019D+Er

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 1 февраля 2007 08:35 New!
Цитата · Личное сообщение · #28

32бита? нюню.. Гм, ладно, я пока что в остальных жкзешниках копаюсь, как будет чтото, сразу сюда напишу

Ранг: 41.1 (посетитель)
Статус: Участник

Создано: 1 февраля 2007 08:39 New!
Цитата · Личное сообщение · #29

Chingachguk
Гмм, brs.exe может быть вызывает другие модули из этого места
cseg01:1849 sub_1849 proc near ; CODE XREF: sub_5B8+17p
cseg01:1849 ; sub_18D8+14Ep
cseg01:1849

Ранг: 6.9 (гость)
Статус: Участник

Создано: 1 февраля 2007 09:53 New!
Цитата · Личное сообщение · #30

Chingachguk пишет:
cseg189:1E7D mov edx, 378h
cseg189:1E83 mov eax, 4350472Ah
cseg189:1E89 mov ebx, 4D415A2Ah
cseg189:1E8F mov ecx, 0BAFFBABEh
cseg189:1E95 mov ebp, 46415354h
cseg189:1E9B sub esi, esi
cseg189:1E9E stc
cseg189:1E9F in al, dx ; Printer Data Latch:
cseg189:1E9F ; fetch last byte sent

Не знаю, может ли это как-то помочь. Но слово 46415354h - это FAST. Не означает ли это, что ключ - FAST? Aladdin купила FAST в 1996 г., так что может API для HASP и FAST, даже и в 1998 г., не одно и то же?
И снова оговорюсь, не имею понятия, есть ли пользы от такой инхормации.


Ранг: 113.0 (ветеран)
Статус: Участник

Создано: 1 февраля 2007 11:09 New!
Цитата · Личное сообщение · #31

Ох, теперь еще и FAST ;) Такое ощущение что внутри присобачено множество оберток для двух? трех? ключей. Правда, пока я видел попытки использования только хазп.

Spry А скажи еще раз - что именно запрещает прога творить без ключа? Есть ли связь того флага с надписью "Демо-версия"?
<< . 1 . 2 . 3 . 4 . 5 . 6 . >>
 eXeL@B —› Основной форум —› Можете посоветовать? Hardlock + под dos/win95 = как убрать? :)

Видеокурс ВЗЛОМ