Русский / Russian English / Английский

Сейчас на форуме: CDK1234 (+3 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS ·

 eXeL@B —› Протекторы —› EXECryptor (Туторы, скрипты, плагины, ...)
<< 1 ... 9 . 10 . 11 . 12 . 13 . 14 . 15 . 16 . 17 . 18 . 19 ... 25 . 26 . >>
Посл.ответ Сообщение

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 20 сентября 2006 18:14 · Поправил: Модератор New!
Цитата · Личное сообщение · #1

[url=http://rapidshare.de/files/33519198/Unpacking___Cracking_RAR_Repa ir_Tool_3.0.rar
]http://rapidshare.de/files/33519198/Unpacking___Cracking_RAR_Repair_T o ol_3.0.rar
[/url]
http://rapidshare.de/files/30412021/OllyDbg_Execryptor.7z http://rapidshare.de/files/30412021/OllyDbg_Execryptor.7z

Ранг: 78.8 (постоянный)
Статус: Участник

Создано: 15 сентября 2007 21:03 New!
Цитата · Личное сообщение · #2

sniperZ

а вот и не баян...

Ранг: 284.8 (наставник)
Статус: Участник

Создано: 16 сентября 2007 12:01 New!
Цитата · Личное сообщение · #3

LazyCat пишет:
Именно это я и хочу сделать, а отрезание секций - это моя проблема


насчет записи импорта, чем тут обяснять, скачай статью PE_Kill из раздела Rar статьи, там это есть...

А насчет обрезания секций, то я использую PETools или CFF Explorer, ну или иногда сливаю эти секции в одну...

Ранг: 10.1 (новичок)
Статус: Участник

Создано: 16 сентября 2007 16:28 New!
Цитата · Личное сообщение · #4

RSI

мой вопрос то ты совсем не понял да и скрипт похоже не запускал, а раздаешь бесполезные советы !!!

Ранг: 260.2 (наставник)
Статус: Участник

Создано: 16 сентября 2007 16:51 New!
Цитата · Личное сообщение · #5

LazyCat пишет:
а раздаешь бесполезные советы !!!

+1...
LazyCat пишет:
Найдя свободное место в дампе, хотелось бы переместить туда импорт и отрезать ненужные секции криптора.

прогу для перемещения импорта я ещё не встречал...да и зачем? проще сразу писать куда надо...


Ранг: 274.2 (наставник)
Статус: Участник
Advisor

Создано: 16 сентября 2007 17:47 New!
Цитата · Личное сообщение · #6

sniperZ пишет:
для перемещения импорта я ещё не встречал

Насколько понял нужно создание новой базы ИАТ.
ArmInline с этой задачей справляется лЁгко
Укажи только куда и размер,под Ольгой заинлайнит куда надо.

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 17 сентября 2007 03:59 New!
Цитата · Личное сообщение · #7

LazyCat пишет:
мой вопрос то ты совсем не понял да и скрипт похоже не запускал, а раздаешь бесполезные советы !!!

Хм вопрос вообще странный LazyCat пишет:
Стандартные многошаговые приемы(с импреком) не предлагать - ведь так неинтересно и неудобно !

Ты или сам не понимаешь о чем спрашиваешь или не понимаешь что делает импрек

Ранг: 329.6 (мудрец)
Статус: Участник

Создано: 17 сентября 2007 09:35 New!
Цитата · Личное сообщение · #8

LazyCat пишет:
хотелось бы переместить туда импорт и отрезать ненужные секции криптора


Импорт нужно сразу писать на свободное место в программе. Для программ, написанных на Delphi, предварительно, перед записью IAT, надо очистить в дампе секцию IAT (в полученном дампе заполнить эту секцию нолями), иначе ImpREC почему-то дает сбой. В других программах надо найти свободное место (предварительно проверив, чтобы туда программа ничего не писала во время своей работы), и на чистое место вставлять IAT. У криптора можно отрезать последние две секции, а первые две секции нужны для работы программы, поскольку из секции кода туда идет много прыжков.

Ранг: 260.2 (наставник)
Статус: Участник

Создано: 17 сентября 2007 09:43 New!
Цитата · Личное сообщение · #9

люди, у кого есть IAT Rebuilder от пе кила версии старше 1.9?

Ранг: 10.1 (новичок)
Статус: Участник

Создано: 17 сентября 2007 10:34 New!
Цитата · Личное сообщение · #10

Большое спасибо Bronco & vnekrilov

Вы и мне ответили, а заодно и pavke
А вопрос, действительно, в создании новой базы ИАТ(точнее в ее ремапинге). Это нужно довольно часто при оптимизации дампа после нерадивых хакеров и некоторых анпакеров, когда импорт записан в конце дампа(например импреком). Уточняю для павки, что это для УЖЕ существующих прог, а не сдампленных мною

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 17 сентября 2007 11:24 New!
Цитата · Личное сообщение · #11

LazyCat пишет:
Вы и мне ответили, а заодно и pavke

Я вопросов глупых не задавал и прекрасно знаю как работает Импрек
LazyCat пишет:
Это нужно довольно часто при оптимизации дампа после нерадивых хакеров

Дискуссия совершенно лишена смысла ты не понимаешь простых вещей а уже берешься клейть ярлыки
Да и похоже что оптимизация для тебя темное пятно ...
vnekrilov пишет:
ImpREC почему-то дает сбой.

Импрек не дает сбой а таблица оказывается испорченой оставшимися записями ...

Ранг: 10.1 (новичок)
Статус: Участник

Создано: 17 сентября 2007 21:37 New!
Цитата · Личное сообщение · #12

pavka пишет:
Я вопросов глупых не задавал ...

Лично от Вас я и умных ответов не услышал. Другие, без выяснения отношений, хоть что-то ответили !!!
pavka пишет:
ты не понимаешь простых вещей а уже берешься клейть ярлыки

Ярлык профана ко мне ты приклеил первый, что неповолительно гуру(коим я теперь Вас не считаю)


Ранг: 274.2 (наставник)
Статус: Участник
Advisor

Создано: 17 сентября 2007 21:47 New!
Цитата · Личное сообщение · #13

LazyCat
Без обид,но вопрос надо правильно поставить,так чтобы не угадывать "мелодию"
Павыч кстати эту тему открыл,и нароботки и свои,и со всего нэта сюда сливает,так что рычать на него не стоит.

Ранг: 195.8 (ветеран)
Статус: Участник

Создано: 17 сентября 2007 23:30 New!
Цитата · Личное сообщение · #14

Bronco пишет:
Павыч кстати эту тему открыл,и нароботки и свои,и со всего нэта сюда сливает,так что рычать на него не стоит

Да и смысл в рычании.Поверь мне иногда и хорошая взбучка не помешает


Ранг: 274.2 (наставник)
Статус: Участник
Advisor

Создано: 17 сентября 2007 23:37 New!
Цитата · Личное сообщение · #15

Djeck пишет:
мне иногда и хорошая взбучка не помешает

Гладиолусов не жалко

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 18 сентября 2007 04:03 New!
Цитата · Личное сообщение · #16

LazyCat пишет:
рлык профана ко мне ты приклеил первый, что неповолительно гуру(коим я теперь Вас не считаю)

Я не гуру я простой участник форума А вопросы твои даже для сабфорума новичков откровено слабые При этом ты важно надуваешь щеки и шевелишь ушами придавя себе многозначительности изрекая при этом откровенные глупости. В этой ветке обсуждают конкретные вещи по криптору и браться за криптор нужно по крайне мере представлять некоторые элементарные вещи!


Ранг: 391.8 (мудрец)
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 18 сентября 2007 06:41 New!
Цитата · Личное сообщение · #17

Bronco пишет: Павыч кстати эту тему открыл

О великий и ужасный pavka прекланяюсь пред вами, и с радостью даю вам испить чарку высококачественного йаду... травитесь на здоровье

Ранг: 195.8 (ветеран)
Статус: Участник

Создано: 18 сентября 2007 07:29 New!
Цитата · Личное сообщение · #18

Maximus пишет:
О великий и ужасный pavka прекланяюсь пред вами, и с радостью даю вам испить чарку высококачественного йаду

О Maximus уже видать курнул с утраСчастливый человек

Ранг: 329.6 (мудрец)
Статус: Участник

Создано: 18 сентября 2007 08:38 · Поправил: vnekrilov New!
Цитата · Личное сообщение · #19

pavka пишет:
Импрек не дает сбой а таблица оказывается испорченой оставшимися записями


Это не совсем так. Если в секции что-то записано, а ImpREC пытается поверху записать таблицу IAT, он перезаписывает имеющиеся байты в секции, но при этом пишет неизвестно что. По этой причине я и написал, что ImpREC дает сбой.

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 18 сентября 2007 08:40 New!
Цитата · Личное сообщение · #20

Maximus пишет:
и с радостью даю вам испить чарку высококачественного йаду... травитесь на здоровье

Ну я бы сильно удивился если бы эта вонючка не повякала! Жаль есть такое неприятное приложение к форуму ; ( Выделили тебе что ли отдельную ветку для даунов и назначачили тебя там модератором и резвился бы ты там со своим красноречием , шепелявил и фыкал да франкенштен твой хоть бы словарный запас тебе пополнил а то как заеженая пластинка.


Ранг: 391.8 (мудрец)
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 18 сентября 2007 09:01 New!
Цитата · Личное сообщение · #21

pavka пишет: Жаль есть такое неприятное приложение к форуму ; (
Йа рад что порчу вам жизнь, надеюсь буду доставать вашу нервную систему и дальше...


Ранг: 1288.1 (!!!!)
Статус: Участник

Создано: 18 сентября 2007 09:05 New!
Цитата · Личное сообщение · #22

Закругляйтесь разбирайтесь в ЛС чтоли.

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 18 сентября 2007 09:27 New!
Цитата · Личное сообщение · #23

vnekrilov пишет:
Если в секции что-то записано, а ImpREC пытается поверху записать таблицу IAT, он перезаписывает имеющиеся байты в секции, но при этом пишет неизвестно что.

О.К Обьясняю на пальцах ;) Смотри я пробую записать табличку поверх существующей в проте который использует оригинальную иат! Импрек просто не будет этого делать выдаст мессагу
Invalid RVA, it does not match a section
Пробую записать в проте что не использует оригинальную иат на пример после криптора импрек все делает получаем испорченую иат Обнуляем значение иат и грузим в олю! видим
0047020C 0007101C
00470210 7C80B529 kernel32.GetModuleHandleA <----
00470214 0007103C
00470218 0007104E

00470314 0007149C
00470318 000714B0
0047031C 77BF18BA <---
00470320 000714C6
00470324 000714D8
00470328 000714EA
0047032C 000714F8

004705C0 00071F94
004705C4 77D5749F <---
004705C8 00071FBC
004705CC 77D6EEE8 <----
004705D0 00071FD2
004705D4 00071FE8
004705D8 00071FFE
004705DC 00072014
004705E0 00072026
004705E4 0007203A
004705E8 00072048
004705EC 00072058
004705F0 77D6F3D4 <-----
004705F4 00072074
004705F8 0007208C
004705FC 000720A4

00470640 77D5DA71 <----
00470644 00000000
00470648 00000000
0047064C 00000000
00470650 0007075C
00470654 00070000
00470658 00000000


обнуляем оставшиеся не заполненые нулями значения сохраняем восстанавливаем значения иат и получаем нормальную табличку ;)

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 18 сентября 2007 09:38 New!
Цитата · Личное сообщение · #24

Maximus пишет:
Йа рад что порчу вам жизнь, надеюсь буду доставать вашу нервную систему и дальше...

Забавный ты все же парень ;) при всех пукаешь и наивно полагаешь что это только меня касается! воздух то ты для всех портишь..

Ранг: 10.1 (новичок)
Статус: Участник

Создано: 18 сентября 2007 09:56 New!
Цитата · Личное сообщение · #25

Bronco пишет:
Без обид,но вопрос надо правильно поставить,так чтобы не угадывать "мелодию"

Да я и не обижаюсь, просто делаю из этого выводы. А вместо оскорблений нужно было просто поправить "вопрос". Я так понял, что смысл его так ни до кого не дошел
Павыч кстати эту тему открыл,и нароботки и свои,и со всего нэта сюда сливает
Вообще-то и я хотел поучавствовать, тем более, что есть чем поделиться. И опыта по слому криптора у меня хватает(пусть pavka думает иначе).

pavka пишет:
Я не гуру я простой участник форума

А я обращался именно к гуру(читай внимательно пост) и не понимаю, почему ты отозвался ?
А вопросы твои даже для сабфорума новичков откровено слабые
Если ты вопрос не понял, то это не значит, что вопрос слабый !
В этой ветке обсуждают конкретные вещи по криптору и браться за криптор нужно по крайне мере представлять некоторые элементарные вещи
Я и попытался это сделать, но увы не дали


Ранг: 274.2 (наставник)
Статус: Участник
Advisor

Создано: 18 сентября 2007 10:22 New!
Цитата · Личное сообщение · #26

Чо то у мну,причино-следственные связи теряются,при чтении вольнодумства.
А воз то и по ныне там//я про криптор,точнее про полиморф
---------
Ну и так на злобу дня,....учитесь своё дерьмо,держать при себе."Пылесосить" - не мужская забава.!!!!
Если у кого то,дома теливизор поломался,это не значит,что здесь, можно погоняловом мести.


Ранг: 154.2 (ветеран)
Статус: Участник
REVENGE Crew

Создано: 18 сентября 2007 11:23 New!
Цитата · Личное сообщение · #27

Bronco,

ну почему же, еще в 2005 году softworm частично описал принцип работы полиморфа, а softbihu слегка дополнил его. Просто никто особо в этом направлении не копает или на паблике не распространяется.

1. softworm: EXECryptor 2.2.6 VM incomplete analysis http://bbs.pediy.com/showthread.php?t=17763
2. softbihu: EXECryptor 2.X.X VM incomplete analysis http://bbs1.pediy.com/showthread.php?t=29537

Ранг: 63.1 (постоянный)
Статус: Участник

Создано: 18 сентября 2007 11:33 New!
Цитата · Личное сообщение · #28

kioresk пишет:

Просто никто особо в этом направлении не копает или на паблике не распространяется.

+1

Действительно, до х... тучи статей и туторов по дампу и восстановлению импорта говнопрота, масса частных примеров, а метаморф так и не проанализирован.

Ранг: 284.8 (наставник)
Статус: Участник

Создано: 18 сентября 2007 12:09 New!
Цитата · Личное сообщение · #29

OFFTOP

LazyCat пишет:
мой вопрос то ты совсем не понял да и скрипт похоже не запускал, а раздаешь бесполезные советы !!!


Ебть! а как же твои глупые вопросы то понимать.... такой флуд из-за тебя начался!

LazyCat пишет:
Я так понял, что смысл его так ни до кого не дошел


А ты сначала подумай может ты долбоеб и тупишь по-страшному, а все другие нормальные.

Мля терпеть не могу выскачек................

OFFTOP

Все больше не буду тут и так хватает, если человек не понимает это его проблемы....

Теперь по теме:
Sey
и какую статью ты представляешь при анализе метаморфа, мне кажется что бы человеку обьяснить надо листов 100 + исходники декриптора

ИМХО почти ни кто такую писать не будет...

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 18 сентября 2007 12:46 New!
Цитата · Личное сообщение · #30

RSI пишет:
и какую статью ты представляешь при анализе метаморфа

видимо два поста на китайском форуме kioresk пишет:
Просто никто особо в этом направлении не копает или на паблике не распространяется.

Или не дают какLazyCat

Ранг: 10.1 (новичок)
Статус: Участник

Создано: 18 сентября 2007 19:54 New!
Цитата · Личное сообщение · #31

1. не дождавшись помощи и понимания, выкроил время и сам написал прогу для автоматического
ремапинга импорта, так что тема закрыта
2. kioresk - молодец, именно эти статьи меня толкнули на написание деморфера(кстати, принцип
там очень прозрачен, но я натолкнулся на 2 маленьких проблемы, по поводу которых и хотел в
дальнейшем посоветоваться)
3. но в свете тотального хамского отношения к чужому мнению на этом форуме, я думаю обсуждать здесь
что-либо бесполезно, да и вредно для нервной системы !!!

За сим откланиваюсь.
НАВСЕГДА.
<< 1 ... 9 . 10 . 11 . 12 . 13 . 14 . 15 . 16 . 17 . 18 . 19 ... 25 . 26 . >>
 eXeL@B —› Протекторы —› EXECryptor (Туторы, скрипты, плагины, ...)

Видеокурс ВЗЛОМ