Русский / Russian English / Английский

Сейчас на форуме: Bad_guy
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS ·

 eXeL@B —› Софт, инструменты —› Hex-Rays IDA Pro 6.8 и 7.0 скачать бесплатно
<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 34 . 35 . >>
Посл.ответ Сообщение

Ранг: 0.3 (гость)
Статус: Участник

Создано: 18 декабря 2009 00:50 · Поправил: Модератор New!
Цитата · Личное сообщение · #1

IDA Pro 6.8 + All Decompilers Full Leak
https://mega.nz/#!3wsXSSqR!hDLuTpwk4jE8Wguwt-ohlyE_3ZlxOfZ4MX_TpN048K8
http://forum.exetools.com/showthread.php?t=17269

Релиз дистрибутивов из компаний, занимающихся безопасностью (APTguy, IDA 6.1 OS X, IDA 5.7 linux):
New IDA, please (re)distribute ASAP:
http://pastebin.com/r8fA3Vta
Ссылка больше не работает. Релиз можно найти в Google по ключевым словам: apt-surprise ida

Пароль: APT-APT_fuck_the_world_security!

От модератора: для особо непонятливых вынесено отдельно: не надо здесь канючить новые версии, как будут, так и появятся, персонально их вам никто не выкатит


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 01:56 · Поправил: reversecode New!
Цитата · Личное сообщение · #2

все, разобрался
из за того что ключа нет, не сохраняется в idb базу информация о idainfo стутруктуре
тоесть тип процессора итд
все это в ida.wll

вариант 1)
или нужно заполнить фейком $ user1
привожу нужное место, дальше сами))

add лучше все таки сразу вариант2
Code:
  1. .text:10022C93                 mov     ebp, [esp+864h+ptrKeyv58]
  2. .text:10022C97                 test    ebp, ebp
  3. .text:10022C99                 jz      short loc_10022CBF
  4. .text:10022C9B                 push    1               ; char
  5. .text:10022C9D                 push    0               ; int
  6. .text:10022C9F                 push    offset aUser1   ; "$ user1"
  7. .text:10022CA4                 lea     ecx, [esp+870h+ptrKeyv58]
  8. .text:10022CA8                 push    ecx             ; int
  9. .text:10022CA9                 call    netnode_check
  10. .text:10022CAE                 mov     edx, [esp+864h+ptrKeyv58]
  11. .text:10022CB2                 push    53h             ; a5
  12. .text:10022CB4                 push    7Fh             ; a4
  13. .text:10022CB6                 push    ebp             ; a3
  14. .text:10022CB7                 push    0               ; a2
  15. .text:10022CB9                 push    edx             ; a1
  16. .text:10022CBA                 call    netnode_supset
  17. .text:10022CBF


или
вариант 2) запатчить проверку $user1 что бы сохранялась инфо, тоесть потереть if-ы
Code:
  1. char __thiscall set_user1_sub_1006A520(_idainfo_t *inf)
  2. {
  3.   signed int v1; // eax@1
  4.   _idainfo_t *inf_; // esi@1
  5.   char v3; // bl@5
  6.   int v5; // [sp+4h] [bp-9Ch]@1
  7.   char m127keyv6[127]; // [sp+8h] [bp-98h]@2
  8.   int Src; // [sp+88h] [bp-18h]@2
  9.   int v8; // [sp+8Ch] [bp-14h]@2
  10.   unsigned int v9; // [sp+9Ch] [bp-4h]@1
  11.  
  12.   v9 = (unsigned int)&v5 ^ dword_1014B7DC;
  13.   inf_ = inf;
  14.   LOBYTE(v1) = netnode_inited();
  15.   if ( (_BYTE)v1 )
  16.   {
  17.     v8 = '1re';
  18.     Src = 'su $';
  19.     netnode_check((int)&v5, (const char *)&Src, 0, 0);
  20.     v1 = netnode_supval(v5, 0, m127keyv6, 127, 83);
  21.     if ( v1 > 0 )
  22.     {
  23.       if ( *(_QWORD *)&m127keyv6[8] )
  24.       {
  25.         if ( *(_WORD *)&m127keyv6[2] > 599u )
  26.         {
  27.           v3 = inf_->s_cmtflg;
  28.           inf_->s_cmtflg = v3 & 0xEF;
  29.           netnode_supset(RootNode, 0x41B994u, (int)inf_, 0x100u, 83);
  30.           inf_->s_cmtflg = v3;
  31.           netnode_supset(RootNode, 0x515u, (int)&dto, 0xEu, 83);
  32.           LOBYTE(v1) = netnode_supset(RootNode, 1300, (int)&dto.graph, 0xEu, 83);
  33.         }
  34.       }
  35.     }
  36.   }
  37.   return v1;
  38. }

потерет три последних if-a, на nop-ы



ps никто не хочет md5 на cuda покрутить?
очень инетересно что там за строка под тем хешем unk_1011D958

| Сообщение посчитали полезным: 4kusNick



Ранг: 462.8 (мудрец)
Статус: Участник
Only One!

Создано: 13 июня 2011 02:10 New!
Цитата · Личное сообщение · #3

r_e пишет:
Она работает с Intel/Motorola без проблем.

В таком случае в чем затык? Если все соответствует спецификации?
Как задизассмить файл?


Ранг: 564.2 (!)
Статус: Участник
оптимист

Создано: 13 июня 2011 04:50 New!
Цитата · Личное сообщение · #4

ида диззасемблирует hex прошивки если они соответствуют требованиям и всписке сигнатур есть нужный проц.

Ранг: 456.3 (мудрец)
Статус: Участник
Android Reverser

Создано: 13 июня 2011 08:32 New!
Цитата · Личное сообщение · #5

reversecode
пропатчил по твоему методу - теперь просто датабэйз корруптед

у кого есть куда - запускайте барса с таким конфигом:
charset=aA0~
hash=fcae5fc8bae1104be126e5d1289a0a81


Ранг: 462.8 (мудрец)
Статус: Участник
Only One!

Создано: 13 июня 2011 10:20 New!
Цитата · Личное сообщение · #6

ClockMan пишет:
ида диззасемблирует hex прошивки если они соответствуют требованиям и всписке сигнатур есть нужный проц.

Другими словами нужного проца нет в списке и прошивка не соответствует требованиям...
ARM проц не катить, ошибка на 38 линии..

OnLyOnE пишет:
Тип процессора - Intel® Xscale™ PXA 270 312 Mhz

Какой из списка иды соответствует данному типу процессора?


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 11:07 · Поправил: reversecode New!
Цитата · Личное сообщение · #7

SaNX
ну я думал остальные ограничения все уже и так поснимали?)
оставалось только сохранение

ida.wll

.text:100E0320 xor eax,eax retn
датабейс корруптед убрать

.text:10014360 mov eax,1 retn
что бы idc можно было дампить, а так же другие форматы asm lst итд, все что завязаны за лицензией

ps я 6.1 все равно пользоватся не буду, у меня вся линейка демо 6.0, 6.1 глючит, виснет "иногда" при загрузке анализа файлов

SaNX пишет:
у кого есть куда - запускайте барса с таким конфигом:
charset=aA0~
hash=fcae5fc8bae1104be126e5d1289a0a81


там вроде хеш поболее будет
224 dw

add можно сделать проще, у кого лицензионная 6.0 или 6.1
скажите какая там строка хешится в md5 для сравнения
.text:100E0320 в функцию сразу приходит char *

Ранг: 456.3 (мудрец)
Статус: Участник
Android Reverser

Создано: 13 июня 2011 11:27 New!
Цитата · Личное сообщение · #8

reversecode пишет:
там вроде хеш поболее будет

md5 бывает больше 16 байт?


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 11:31 · Поправил: reversecode New!
Цитата · Личное сообщение · #9

SaNX
)) вот это я туплю
точно
там несколько наборов md5 блоков
которые проверяются после хеша строки

тогда я думаю, зная примерно хотя бы одной строки
можно будет понять ихнюю вариацию

вполне возможно что там серийники лицензии, утекшие на паблик
но я не уверен

Ранг: 301.4 (мудрец)
Статус: Участник

Создано: 13 июня 2011 11:32 New!
Цитата · Личное сообщение · #10

Эти md5 - черный список. Если грузить в 6.0 idb от 5 ломаной версии то она ругается на то что не будет грузить базы от пиратской версии.

Ранг: 456.3 (мудрец)
Статус: Участник
Android Reverser

Создано: 13 июня 2011 11:33 · Поправил: SaNX New!
Цитата · Личное сообщение · #11

reversecode пишет:
.text:100E0320 xor eax,eax retn
датабейс корруптед убрать

не помогает

выложите уже ктонить нормально пропатченный файл


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 11:35 · Поправил: reversecode New!
Цитата · Личное сообщение · #12

Veliant пишет:
Эти md5 - черный список. Если грузить в 6.0 idb от 5 ломаной версии то она ругается на то что не будет грузить базы от пиратской версии.

это понятно, но мне интересен формат строки
это лицензия? xx-xxxx-xxxx-xx ? что там за строка входит в md5 генерацию?

что ни у кого сохранение не заработало?
ajax?

Ранг: 301.4 (мудрец)
Статус: Участник

Создано: 13 июня 2011 11:39 New!
Цитата · Личное сообщение · #13

Как понимаю xx-xxxx-xxxx-xx и есть id-шники, но смысловой нагрузки не несут. Но md5 берется от всех текстовых строк в ключе кроме тех что после S:


Ранг: 335.5 (мудрец)
Статус: Участник
born to be evil

Создано: 13 июня 2011 11:42 · Поправил: ajax New!
Цитата · Личное сообщение · #14

reversecode пишет:
ps никто не хочет md5 на cuda покрутить? очень инетересно что там за строка под тем хешем unk_1011D958

Там несколько хэшей от имен юзеров на которых зареганы иды, которые утекли в паблик.
что ни у кого сохранение не заработало?
У мну - нет, хотя с тобой одной дорогой вродь идем...


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 11:54 New!
Цитата · Личное сообщение · #15

а кто хорошо знает RSA?
насколько я помню, то ключ которым можно дешифровать
им же можно и зашифровать
функция одна и таже, только експонента и ключ меняются местами

в ida вроде ключ для дешифровки, вот только с rsa не совсем понятно
она стандартная? может кто знает исходный код открытой реализации именно этого варианта что в Ida?


Ранг: 2013.1 (!!!!)
Статус: Модератор
retired

Создано: 13 июня 2011 12:00 New!
Цитата · Личное сообщение · #16

РСА асимметричен, и местами там числа не меняются. По открытому ключу закрытый не узнаешь при должной длине ключа.


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 12:02 · Поправил: reversecode New!
Цитата · Личное сообщение · #17

открытым ключем можно только шифровать
но ida то дешифрует из хеша, значит в ней уже закрытый ключ?
а значит можно и обратную операцию провести тем же ключем?

ajax пишет:
У мну - нет

хм, вечерком перепроверю у себя еще значит
но место где сохраняется в базу инфо, уже найдено
попробуй от него оттолкнутся

ajax пишет:
В данном случае шифруется закрытым. А в ней самой - открытый.

%) видимо я чего то не понимаю в rsa
я считал что публичный ключ раздается всем для шифрования, и дешифровать им нельзя
а вот приватным ключем дешифруют и читают то что зашифрованое
и приватным же ключем можно и шифровать


Ранг: 335.5 (мудрец)
Статус: Участник
born to be evil

Создано: 13 июня 2011 12:05 New!
Цитата · Личное сообщение · #18

В данном случае шифруется закрытым. А в ней самой - открытый.


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 12:33 · Поправил: reversecode New!
Цитата · Личное сообщение · #19

SaNX пишет:
reversecode пишет:
.text:100E0320 xor eax,eax retn
датабейс корруптед убрать
не помогает

sub_100E0480
mov eax,1 retn

залейте патченые куда то на шару, кто уже все пропатчит и загрузка заработает
я со своим тырнетом не смогу залить


Ранг: 335.5 (мудрец)
Статус: Участник
born to be evil

Создано: 13 июня 2011 12:46 · Поправил: ajax New!
Цитата · Личное сообщение · #20

reversecode
.text:100E0480 mov eax, [esp+arg_4]
.text:100E0484 push esi
.text:100E0485 mov esi, [esp+4+arg_0]
.text:100E0489 push 0
.text:100E048B push offset RSA_N
.text:100E0490 push offset RSA_E
Тут патчил по-другому, внутри вызываемой процедуры. Этот код вызывается при просмотре хеадера (мд5, лайсенсед ту, итп) продизасмленного. База сохраняется, но без проца.

> я считал что публичный ключ раздается всем для шифрования, и дешифровать им нельзя
> а вот приватным ключем дешифруют и читают то что зашифрованое и приватным же ключем можно и шифровать
Это для схемы обмена мессагами. Для цифроподписи делается декрипт приватом, а при проверке енкрипт пабликом. Как-то так


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 12:49 · Поправил: reversecode New!
Цитата · Личное сообщение · #21

ajax
что бы проц сохранялся в базе
патчишь три последних if-а, на NOP в sub_1006A520
пост выше, где листинг этой процедуры смотри


Ранг: 529.0 (!)
Статус: Участник
5KRT

Создано: 13 июня 2011 13:09 New!
Цитата · Личное сообщение · #22

--> вкусняшка <--

Восстановлен оригинальный idaq.exe, пропатчен IDA.WLL. Следил за релоками, поэтому должно работать
и на семёрке с вистой. Потестите

Ранг: 301.4 (мудрец)
Статус: Участник

Создано: 13 июня 2011 13:19 · Поправил: Veliant New!
Цитата · Личное сообщение · #23

daFix пишет:
Восстановлен оригинальный idaq.exe, пропатчен IDA.WLL. Следил за релоками, поэтому должно работать
и на семёрке с вистой. Потестите

Показал пару окон начальных и вылетел. До окна выбора файла или главного даже не дошел


Да 7ка 64бит.


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 13:25 New!
Цитата · Личное сообщение · #24

убитую китайцами первую процедуру лучше восстановить, ебаут все таки приятно
а релоки не использовать вообще
xor_key и isregd нужно запатчить сразу в ida.wll
что бы из под ксор буффера сразу _idainit заполнялся
ну а дальше там по мелочам

Ранг: 112.9 (ветеран)
Статус: Участник

Создано: 13 июня 2011 13:29 · Поправил: vden New!
Цитата · Личное сообщение · #25

.


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 13:39 · Поправил: reversecode New!
Цитата · Личное сообщение · #26

http://rghost.ru/10616471
мой вариант, но я себе много оставил для отловли самого формата key и что там куда заполняется
но в целом должно работать на всех win
key файл тоже обязательный

add license.txt тоже обязательный) патчить было лень. там одна процедура если кому это окно надоест
хотя это окно должно исчезать после accept, и в реестре взводится нужный флаг, но реестр чист, ибо ида портеибл а не инсталирована

add нужно занопить ida.wll с .text:100B450C до .text:100B453C
что бы небыло "The processor module is prohibited by the key" на процессорах отличных от x86


Ранг: 529.0 (!)
Статус: Участник
5KRT

Создано: 13 июня 2011 13:40 · Поправил: daFix New!
Цитата · Личное сообщение · #27

reversecode пишет:
убитую китайцами первую процедуру лучше восстановить, ебаут все таки приятно

Восстановил ведь. xor_key и isregd восстанавливаю в ida.wll в get_license_info, где эти флаги и должны
возводиться. idaq.exe сейчас полностью в оригинальном состоянии, как до китайцев.
Хотя конечно может быть не весь код, запатченный ими удалось найти.

Veliant
Семёрка?

Отпишитесь у кого какая система, и как работает.
Удалите все старые базы, создайте новые, попробуйте их открыть.
Кстати, создайте файл license.txt. После эбаута, айда показывает содержимое файла


ADDED1: *Тут был тупняк*
ADDED2: Какой-то добряк уже успел оставить коментарии на rghost. Потролить кому-то неимётся


Ранг: 1044.8 (!!!!)
Статус: Участник

Создано: 13 июня 2011 13:45 · Поправил: reversecode New!
Цитата · Личное сообщение · #28

daFix пишет:
get_license_info, где эти флаги и должны
возводиться

зачем?) их можно сразу на месте где они используются указать
в процедуре которая _idainit скрипт выполняет

кстати а что там под ксор буффером?что бы лишний раз ольку не грузить

daFix пишет:
ADDED1: Блин, забыл сказать чтобы кинули key файл от версии 5.5

у них форматы абсолютно разные


Ранг: 529.0 (!)
Статус: Участник
5KRT

Создано: 13 июня 2011 13:50 · Поправил: daFix New!
Цитата · Личное сообщение · #29

До
Code:
  1. 1014B7B0  A2 06 07 AD F7 07 07 47 E6 67 AF 03 07 73 62 74  ў­чGжgЇsbt
  2. 1014B7C0  73 F3 AD 76 C9 87 58 B0 AA 04 07 07 07 E5 B9 A8  sу­vЙ‡X°Єе№Ё
  3. 1014B7D0  A6 16 06 A8 07 07                                ¦Ё


После
Code:
  1. 1014B7B0  A5 01 00 AA F0 00 00 40 E1 60 A8 04 00 74 65 73  Ґ.Єр..@б`Ё.tes
  2. 1014B7C0  74 F4 AA 71 CE 80 5F B7 AD 03 00 00 00 E2 BE AF  tфЄqОЂ_·­...вѕЇ
  3. 1014B7D0  A1 11 01 AF 00 00                                ЎЇ..


Слово test и несколько dword-ов

Ранг: 49.6 (посетитель)
Статус: Участник

Создано: 13 июня 2011 13:50 · Поправил: huckfuck New!
Цитата · Личное сообщение · #30

Пробуйте мою сборку

http://rghost.ru/10619091

Сохранение базы пропатчил по методу reversecode

| Сообщение посчитали полезным: vptrlx



Ранг: 529.0 (!)
Статус: Участник
5KRT

Создано: 13 июня 2011 13:56 · Поправил: daFix New!
Цитата · Личное сообщение · #31

Несу тупняк, ключ не нужен
<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 34 . 35 . >>
 eXeL@B —› Софт, инструменты —› Hex-Rays IDA Pro 6.8 и 7.0 скачать бесплатно
Эта тема закрыта. Ответы больше не принимаются.

Видеокурс ВЗЛОМ