eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
обновлён 2 декабря!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: rmn (+1 невидимый пользователь)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Протекторы —› Crack SecuROM & DENUVO
<< 1 ... 36 . 37 . 38 . 39 . 40 . 41 . 42 . 43 . 44 . 45 . 46 ... 47 . 48 . >>
Посл.ответ Сообщение

Ранг: 390.3 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 28 марта 2012 14:24 · Поправил: 21 июля 2016 20:02 ELF_7719116 New!
Цитата · Личное сообщение · #1


CODEX UNVIRTUALIZE DENUVO/VMProtect
Code:
  1. Release Notes:
  2.  
  3. This is an experimental Proof of Concept release where the Denuvo DRM
  4. and VMProtect have been removed completely from the main executable.
  5. The main idea of this project was to verify whether Denuvo affects
  6. CPU usage and overall performance of this game. We noticed faster
  7. loading times but will leave the rest of the performance comparison
  8. battle to others.
  9.  
  10. Here is a small tech summary of what has been done:
  11.  
  12. - VMProtect is fully removed (30 VM entry points)
  13. - Denuvo is fully removed (104 VM entry points)
  14. - All required PE directories are fully restored
  15. (exports, imports, exceptions, TLS)
  16. - Fixed around 500k absolute & relative code and data pointers
  17.  
  18. The team would like to send out special thanks to our hard working mate who is responsible for this huge project. This would not have been possible without you! You rock man!


**************

В связи со стремительно развивающимися событиями, данный топик будет реформирован. Перечень тем, на которые ведется обсуждение:

░▒▓▓-SecuROM 7/8 common (VM research; disk-check bypass attack; find OEP & dumping; cumulative attack...)
░▒▓▓-- SPR I (profiles; updates)
░▒▓▓-Requests for generation SecuROM PA Unlock code (SecuROM PA Online-activation) WOW! Only on EXELAB.RU
░▒▓▓-Denuvo ("surface" questions)
░▒▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓

SPR I - Fight against the virtual machines (VM) of all SecuROM 7-8 versions (Подробности в 20, 23 посте.)


80_PA - SecuROM (PA) Online-Activation keygen! Holy shit!
[/url]
the list of programs (games), which can now be activated using 80_PA:
https://pastebin.com/Hy4i9A1x or --> pastebin primary link <--

>>>>>>>> (!) Send me more games with SecuROM PA (!) >>>>>>>>>>>>

Denuvo Profiler (DProfiler)


------------
1.04.2012
Собственно я не сказал самого главного. SecuRom_Profiler 7 v1.0(SPR I) - часть большого зеленого пирога, под названием "ТИБЕРИУМНЫЙ РЕВЕРСИНГ" (статья опубликована в 159 номере ][. А позже, ещё одна итоговая статья - 199 ][), включает в себя собственно статью в журнале, ПОЛНУЮ техническую статью, материалы по SecuROM 7.33.0017, исходники X-кода и видео. Технический вариант статьи с приложениями можно брать отсюда:
Статья
Видео
Видео 2 (Продолжение)
Видео 3 (Окончательный разгром)
Видео 4 (В погоне за взломом DENUVO)
Имеет косвенное отношение к статье:
Видео косвенное

Хроники битвы при DENUVO 19.04.19
https://xakep.ru/2019/04/19/denuvo/

tags: SecuROM crack, VM, секуром взлом; кейген для SecuROM PA, 80_PA, DENUVO

Message for the companies(etc) using this protection: we can buy SecuROM/DENUVO SDK & sources. Сontact me according to the personal message. Сonfidentiality is guaranteed!!! The bought files will be used for private research!

░░░░░░░░░░
См. также:
diff_trace

▓▓
{ Атач доступен только для участников форума } - Sony DADC SecuROM vulnerability.zip
{ Атач доступен только для участников форума } - PATENT DENUVO.pdf (притащил v00doo)


▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
80_PA update 1.3.5 (REVIEW + DENUVO leak content activation ). Official links (mirrors):
https://mega.nz/#!ijZhlARI!rbWfBRkGZJNnCzYKTlBZ5rqRnO6kQs50b3DPQgdB228 (или --> 80_PA keygen link <--)
https://dropmefiles.com/cZeKS or https://we.tl/t-c751qzs5Ha or --> 80_PA keygen alternative mirror #1 <-- or --> 80_PA keygen alternative mirror #2 <--


▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
DENUVO Leak content
обращайтесь в личку - скину.

▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓▒▓
Denuvo Profiler (DProfiler) - test version 0.3 "INSPIRE"
https://mega.nz/#!DLwExKya!kCyFXw1roY3MkFaTO56LJAd-amc2yXWVerV2ic38bgs (или --> DProfiler link <--)

| Сообщение посчитали полезным: yanus0, obfuskator, Vovan666, MasterSoft, slick, hlmadip, ClockMan, Nightshade, Dart Raiden, Bronco, BAHEK, SReg, [Nomad], DimitarSerg, verdizela, yagello, OnLyOnE, FrenFolio, daFix, VodoleY, gena-m, m0bscene, Gideon Vi, ff0h, zeppe1in, antipod, huckfuck, kioresk, aRiX, 4kusNick, Ara, d0wn, Smon, audiofeel, zNob, cypherpunk, zzzombie1989, MarcElBichon, v00doo, DenCoder, nick7, Haoose-GP, arnix, Qbik, serilo, s2003r, DICI BF, Kindly, PavelDAS, HandMill, VanHelsing, random, TrueLies, warezhunter_, denfil777, alx30721, omeh2003, asm-jaime, WildGoblin, mushr00m, Flippy1801, KOTwasya, r3n5m388, chegevara, Groul, dnv83, kassane, ==DJ==[ZLO], red0x, HAOSov, rootkid, DirtyHarry, MacTep, kurorolucifer, s0cpy, aire1, ReloadUGunz, tRuNKator, Cherbet, RmK-FreE, Pringell, IHateInventNicknames, go2crck, mak, Dimosz, Creckerhack, zd0x, Mustafa_Dev007, UnnyBolt, Isaev, Astap1516


Ранг: 441.1 (мудрец)
Статус: Участник

Создано: 31 января 2018 19:12 New!
Цитата · Личное сообщение · #2

samTheXAKEP пишет:
Все сценовые релизы (кромей кейгенов STP) это не отлом денувы это подсовывания ей правильных данных для считывания в определённый момент. До сих пор не видел не одного отлома на паблик хотя бы сдампленного файла, я уже не говорю про полную деобфускацию кода. Сцена уже та

толстовато


Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 31 января 2018 22:49 New!
Цитата · Личное сообщение · #3

tihiy_grom пишет:
толстовато

+1, чел на диалог вытягивает, чтобы ему обратное доказывали
форма-мысли та же, а акк ньюбовский, опять твинки.
samTheXAKEP пишет:
хотя бы сдампленного файла

дамп с образа снимают, когда в загрузчике протектора юзают упаковщик. тут зачем?


Ранг: 61.8 (постоянный)
Статус: Участник

Создано: 3 февраля 2018 16:38 New!
Цитата · Личное сообщение · #4

Assassins.Creed.Origins-CPY
--> NFO <--

Ранг: 245.9 (наставник)
Статус: Участник

Создано: 3 февраля 2018 18:10 New!
Цитата · Личное сообщение · #5

Мог бы сразу так написать

Ранг: 12.7 (новичок)
Статус: Участник

Создано: 3 февраля 2018 18:21 · Поправил: aire1 New!
Цитата · Личное сообщение · #6

Хочется написать про иерархию версий Denuvo. В NFO'шке CPY написано, мол используется микс защит Denuvo V4.9 + VMP + Uplay. Все бы ничего, но откуда уже девятка взялась? Да и вышла ACO до релиза игр с Denuvo 4.8


Ранг: 61.8 (постоянный)
Статус: Участник

Создано: 3 февраля 2018 18:32 New!
Цитата · Личное сообщение · #7

aire1
Не буду говорить о номерах версий, всем и так понятно что никаких 4.8, 4.9 и т.п. не существует. Но ты не забывай что это последняя версия игры, которая обновлялась 4 дня назад. Там могли и обновить защиту.
TryAga1n
Не мог бы. Когда появилась NFO, никаких релизов, естественно, на рутрекере еще не было.

| Сообщение посчитали полезным: aire1


Ранг: 12.7 (новичок)
Статус: Участник

Создано: 3 февраля 2018 18:38 New!
Цитата · Личное сообщение · #8

Haoose-GP пишет:
никаких 4.8, 4.9 и т.п. не существует

Ну это понятно, просто обозначают более-менее крупные изменения в дуньке для удобства.

Haoose-GP пишет:
Но ты не забывай что это последняя версия игры, которая обновлялась 4 дня назад. Там могли и обновить защиту.

Спасибо за пояснение.


Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 3 февраля 2018 22:08 · Поправил: Bronco New!
Цитата · Личное сообщение · #9

aire1 пишет:
обозначают более-менее крупные изменения в дуньке для удобства.

спай на правах инсайдера такого события, могут обозначать развитие дуньки, как им удобно.
но подозреваю, что деление на версии это просто стёб
----
для моей периферии пока самым удачным апдейтом была 1.10,из за длц пришлось обновиться до 1.20
обновление до 1.21 как то пропустил. что там в самой игре изменили?


Ранг: 539.6 (!)
Статус: Участник
оптимист

Создано: 4 февраля 2018 05:01 New!
Цитата · Личное сообщение · #10

5 версия денувы видел кто в игре на паблике


Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 4 февраля 2018 08:24 · Поправил: Bronco New!
Цитата · Личное сообщение · #11

ClockMan пишет:
5 версия денувы видел кто в игре на паблике

....а она есть...
а ваще дунька однозначно в двух вариациях для каждой архитектуры, есть лайт, это когда просто фарш на стеке, и основная задача кода усложнить разбор трассы, и есть ещё комби = лайт+ "вирта", тут и булевая матрица, и шлака больше.


Ранг: 61.8 (постоянный)
Статус: Участник

Создано: 4 февраля 2018 12:43 New!
Цитата · Личное сообщение · #12

Bronco пишет:
что там в самой игре изменили?

--> 1.2.1 Patch Notes <--


Ранг: 539.6 (!)
Статус: Участник
оптимист

Создано: 4 февраля 2018 12:55 · Поправил: ClockMan New!
Цитата · Личное сообщение · #13

Bronco пишет:
....а она есть..

Ну как бы новость проходила


Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 4 февраля 2018 14:26 · Поправил: Bronco New!
Цитата · Личное сообщение · #14

ClockMan пишет:
Ну как бы новость проходила

лучше скажи как в статике свернуть SBB и ADC, а то это тянет уже на 6 версию...)))
и ваще, "товарищи", крепко на сдвиги подсели rol-ror;shl_shr;shld_shrd;rcl_rcr, полный комплект bt(?), итп

Ранг: 12.7 (новичок)
Статус: Участник

Создано: 6 февраля 2018 18:40 · Поправил: aire1 New!
Цитата · Личное сообщение · #15

Voksi из REVOLT выложил "гайд по взлому Denuvo"
"Я решил выложить в сеть свои знания по взлому защиты. Я кратко опишу то (из самого выжного), что вы увидите в видео."

Denuvo v3 и v4 выполняет следующие проверки оборудования:

#1 CPUID хеш 0x1, 0x8000002, 0x8000003 и 0x8000004

#2 Хеш данных образов из файла kernel32.dll, ntdll.dll и kernelbase.dll

#3 kuser_shared_data хеш из NtMajorVersion, NtMinorVersion, NtSystemRoot, NumberOfPhysicalPages, ProcessorFeatures, TimeSplip и CryptoExponent

#4 Окружение блока обработки процессора (PEB)

Patching the following checks is harder on V3 because of the integrity checks of VMProtect.



"Начиная с v4.8, они добавили больше проверок, которые я не смог найти из-за виртуализации и прочего г-на. Но я узнал кое-что: в некоторых билдах v4.8 проверки каталога данных изображения присутствуют, а в других нет. Еще интересно то, что некоторые из билдов 4.8 получают текущее время в kuser + 0x8 и kuser + 0x18, и в соответствии с текущим временем они запускают различные проверки".

--> Видео <--


Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 7 февраля 2018 01:53 New!
Цитата · Личное сообщение · #16

гугл-брат транслировал в русский неверно. из выше перечисленного, точны только названия переменных, не прошло и года, молодец. последние 30 страниц топа можно удалять., цель достигнута
что касается "проверок", вы когда кушать хотите, вы как то это проверяете?
я уверен что нет, так и дунька "кушает" то что ей надо, и если числа не те, то "запор". и выходит из этого весьма оригинально, передавая управление на джамп, который ведёт в тело инструкции стыренного метода, в итоге эксепшен и падение.
если стала "кушать чаще", это нормально и прогнозируемо.

Ранг: 12.7 (новичок)
Статус: Участник

Создано: 7 февраля 2018 15:16 New!
Цитата · Личное сообщение · #17

Bronco пишет:
из выше перечисленного, точны только названия переменных

Попрошу указать на неверный перевод, с радостью исправлю.

Ранг: 15.1 (новичок)
Статус: Участник

Создано: 7 февраля 2018 16:08 New!
Цитата · Личное сообщение · #18

aire1 пишет:
Попрошу указать на неверный перевод, с радостью исправлю.

Хеш каталогов данных изображений из файла kernel32.dll, ntdll.dll и kernelbase.dll
ну наверное не изображений, а образов (IMAGE).
остальное не знаю, оригинал не читал.

| Сообщение посчитали полезным: aire1



Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 7 февраля 2018 16:17 New!
Цитата · Личное сообщение · #19

aire1 пишет:
Попрошу указать на неверный перевод, с радостью исправлю

ок., из того что явно не точно.
термин "хэш" вообще неуместен, раньше все данные тупо суммировали, сейчас к общей сумме каждой "зависимости" лепят константу. приблизительно так:
Code:
  1. LEA RSI, QWORD PTR DS:[RAX + 1]
  2. MOV RAX, RSI
  3. PUSH R8
  4. PUSH R9
  5. LEA R9, QWORD PTR DS:[145D8CA7B]
  6. MOV DWORD PTR DS:[R9], R8D
  7. POP R9
  8. ADD R8D, 983C5DF1< !!!
  9. PUSH R12
  10. ADD DWORD PTR DS:[145D8CA7B], R12D
  11. ADD R12D, R8D
  12. SUB DWORD PTR DS:[145D8CA7B], R12D
  13. POP R12
  14. POP R8
  15. PUSH R15
  16. LEA R15, QWORD PTR DS:[1463196C7]
  17. XCHG QWORD PTR SS:[RSP], R15
  18. CPUID 
  19. PUSH R15
  20. MOV DWORD PTR DS:[145D8CA7B], R15D
  21. ADD R15D, 8D746593 < !!!
  22. SUB DWORD PTR DS:[145D8CA7B], R15D
  23. POP R15

или так
Code:
  1. PUSH R14
  2. MOV R14, R13
  3. XOR R14, QWORD PTR GS:[60]
  4. AND R13, QWORD PTR GS:[60]
  5. ADD R13, R14
  6. POP R14
  7. PUSH RDX
  8. MOV RDX, R13
  9. MOV R13, R10
  10. MOV R10, RDX
  11. POP RDX
  12. PUSH R14
  13. MOV R13D, 133C21FF
  14. MOV R14D, AF34A739
  15. PUSH RAX
  16. MOV EAX, R13D
  17. PUSH R13
  18. MOV R13D, EAX
  19. MOV EAX, R14D
  20. AND EAX, R13D
  21. POP R13
  22. OR R13D, R14D
  23. SUB R13D, EAX
  24. POP RAX

размер не больше дворда, но назвать это хэшем можно с натяжкой.
каталогов данных изображений
пойди догадайся что это из пе_хидера, раздел директории..
aire1 пишет:
Хеш блока обработки процессора

что такое пеб --> сюда <--

aire1 пишет:
усиленной виртуализации

есть два варианта,выше уже писал, дуня_лайт, это когда тело стыренной функи типо под вм, но практически целое, за исключением пары статических указателей, и дуня_лайт + псевдо_вм, тут что то доступно, что то размазано по стеку.
в целом кумарит не столько "вирта" или обфускация, сколько откровенно наглый мусор, его просто тонны.

| Сообщение посчитали полезным: aire1



Ранг: 334.1 (мудрец)
Статус: Участник
born to be evil

Создано: 7 февраля 2018 16:19 New!
Цитата · Личное сообщение · #20

kernel32.dll, ntdll.dll и kernelbase.dll
Bronco нахрена, если это правда? они ж меняться могут от фиксов ms


Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 7 февраля 2018 16:23 · Поправил: Bronco New!
Цитата · Личное сообщение · #21

ajax пишет:
они ж меняться могут от фиксов ms

ну так, с каждым обновлением винды или даже переустановкой, в поле колво физ страниц, в шаре_дата меняется, и лицуха то же слетает. тут у дуньки наглый перегиб

Ранг: 8.0 (гость)
Статус: Участник

Создано: 7 февраля 2018 17:13 · Поправил: Pu3Ho New!
Цитата · Личное сообщение · #22

Bronco пишет:
есть два варианта,выше уже писал, дуня_лайт, это когда тело стыренной функи типо под вм, но практически целое, за исключением пары статических указателей, и дуня_лайт + псевдо_вм,

Неужто.. за пару лет дуню_хэви так и не придумали?


Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 8 февраля 2018 02:39 New!
Цитата · Личное сообщение · #23

Pu3Ho пишет:
Неужто.. за пару лет дуню_хэви так и не придумали?

это каждый оценивает по своим способностям.
помниться что у тебя нет даже времени взглянуть на это, зачем тогда участвовать в диалоге?

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 8 февраля 2018 11:39 · Поправил: unknownproject New!
Цитата · Личное сообщение · #24

aire1 пишет:
#4 Хеш блока обработки процессора (PEB)

PEB - это блок окружения процесса, а не обработки процессора. Одна из структур, находящихся в раме, пока процесс запущен. Покуда процесс запущен, то можно манипулировать любым блоком (страницей, массивом, зоной) памяти, которая с ним связана (при наличии соответствующих прав). Просто взлолило.

aire1 пишет:
каталога

Каталог - это тоже самое, что папка или директория. К памяти процесса вообще никакого отношения не имеет.

| Сообщение посчитали полезным: aire1


Ранг: 12.7 (новичок)
Статус: Участник

Создано: 8 февраля 2018 15:13 · Поправил: aire1 New!
Цитата · Личное сообщение · #25

Bronco пишет: термин "хэш" вообще неуместен
Ну т-к сам Voksi писал "hash", это уже не я придумал)
А все остальное более-менее поправил, всем спасибо

Ранг: 390.3 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 26 апреля 2018 22:36 New!
Цитата · Личное сообщение · #26

Собственно несмотря на то, что День Рожденья был чуть более месяца назад (доброй традицией стало вносить к этому времени что-то новое в серию «Тибериумный реверсинг»), релиз вышел на сегодня (32 годовщина аварии на ЧАЭС. Вечная память тем, кто отдал свои жизни при ликвидации этой страшной аварии!). Работа продолжается, возможно не так быстро, как хотелось бы. Впрочем, приватные результаты достаточно впечатляющие. Реализ состоит из двух частей: капитально новая версия DENUVO_Profiler ("INSPIRE") и обновление 80_PA keygen по текущим заявкам на взлом.

░▓▓▓▓▓▓ DENUVO_Profiler "INSPIRE" (DProfiler) ░▓▓▓▓▓▓
Официально похороны VMProtect 2.x вместе с его авторами в саркофаге начинаются сегодня. Для 3.x в этой версии необходимый модуль отсутствует - можно только искать VM_ENTER (Denuvo 4.x CPS так же). Самое главное новшевство DProfiler "INSPIRE" - программируемый движок, основанный на описателях (descriptors) хендлов "островков" виртуальной машины (VM). Пробегаете по списку хендлов контекста - задаёте асм инструкции (пресказываемые, критические, после, распаковочные) - при необходимости (CS) вносите контрольные символы в мнемонику инструкции и через пару кликов и несколько мгновений (отличная оптмизация + многопоточное распараллеливание, и это при самых не быстрых BeaEngine и XEDParse) перед Вами открывается расклад по контекстам виртуальной машины VMProtect 2.x (DENUVO 1-3.x). ТЕПЕРЬ и НАВСЕГДА нам плевать, сколько КОНТЕКСТОВ у VMProtect 2.x (забегая немножко вперёд - по 3.x аналогично) - 10, 20, 400, 900... Они будут проанализированы и ... за очень короткий промежуток времени - т.е. НЕ нужно повторять подвиг болгарина Voksi с патчингом каждого R/W "островка" в DOOM (2016). Стратегия развития программы - 15 минут на взлом виртуальной машины VMProtect 2.x/3.x в DENUVO (кто бы мог подумать такое в далёком 2014 г.)
Вышеуказанный концепт поддержал mak, за что ему и спасибо!
Благодаря автоматическому поиску и распознаванию типа шифрования хранилища хендлов (Supply15), первое, что можно сделать и это РЕАЛЬНО интересно всем - собрать информацию о том, как разработчики DENUVO (привет, Рейнгард Блаукович) меняли количество контекстов от игры к игре, от взлома к взлому. У меня не все выпущенные игры - однако забавная тенденция очевидна! Если кому-то не лень - используя DENUVO_Profiler, сделайте более полный список (хотя всё и так понятно!). Картинка есть в аттаче, в оффициальном kit'е (ссылка в первом сообщении) и на хостинге изображений:

Честно говоря, я ПРОСЛЕЗИЛСЯ, когда построил график и увидел закономерность. И это самая крутая™ и невзламываея™ защита в мире!!! В DENUVO сплошные инновации... да! Вообщем у нас 7 стадий:
Code:
  1. 1. Добавим 10 контекстов VMP 2.0 для начала. НЕ ВЗЛОМАЮТ!
  2. 2. ВЗЛОМАЛИ 10! Увеличиваем в ДВА раза!!! x2
  3. 3. АААААА! Дерьматолог продай VMP 3.0. Пихаем 18 контекстов тех и 16 тех!
  4. 4. ВСЁ РАВНО ВЗЛОМАЛИ! Увеличиваем СНОВА в ДВА РАЗА количество контекстов VMP 2.0 и в полтора VMP 3.0
  5. 5. Выкидываем VMP 2.0, который попросту стал страшно неэффективен
  6. 6. Накидываем ещё несколько VMP 3.0 (больший слой виртуализации)
  7. 7. Пишем (в смысле - покупаем, воруем) малоизвестную технологию защиты от взлома (можно несколько штук), с минимальными изменениями втюхиваем это забагованное фуфло покупателям, выжимаем все соки (goto 1)...while()

С профессиональной точки зрения, это даже не смешно - это печально! Тупое увеличение брони без принципиальных переделок. Вы можете сами убедиться в этом наглядно, запустив программу DProfiler и просканировав многомегабайтные секции PE-файла. Это пока всё, что касается VM.
Другие возможности DProfiler в исследовании DENUVO:
-трейсер VMP 2.x (был раньше, допилен в плане корректного подсчета данных и сравнения трейс-логов)
-HWID array инспектор (был раньше)
-DLC Lic files (НОВЫЙ! ЕСЛИ ПОВЕЗЁТ, МОЖЕТЕ РАСШИФРОВАТЬ файлы лицензии EA Origin и своими глазами увидеть секретную таблицу DENUVO, состоящую из DWORD. Штук 200-250 примерно)
-Compare master (переписан, стал более адекватным и функциональным)
DENUVO_Profiler может работать не стабильно и с ошибками. Ещё ОЧЕНЬ МНОГО предстоит сделать/написать. Всё решится с patch-модулем... Вообщем, если желаете помочь проекту - пишите свои идеи (предложения, багрепорты, код). Я так же теперь приветсвую donate (кошельки прописаны в readme guide файлах проекта)! - желающие помочь финасово в борьбе с этим трешем были.


░▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓
***************************************
80_PA update #9 (review edition)
***************************************
☠ version 1.3.3

kill-streak по нарушению авторского права в одном кейгене перевалил за 100 и продолжает увеличиваться

[!] Напоминаю, что key kits из 80_PA DE (special release, DENUVO leak content) теперь перешли в официальный билд 80_PA. Начиная с этой версии (v.1.3.1) будут находиться там.
[*] Мелкие исправления
[*] Добавлены новые наборы:
[
Code:
  1.  A Farewell To Dragons (preview)
  2.     King's Bounty - Armored Princess (preview)
  3.     Men of War: Red Tide (preview)
  4.     NecroVisioN: Lost Company (preview)
  5.     Real Warfare: 1242 (preview)
  6.     Reign: Conflict of Nations (preview)

thx unknownproject (https://exelab.ru/f/index.php?action=vthread&forum=13&topic=19719&page=38#27)
░░░░░░░░░░░░░░░░░░░

☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠☠
↑↑↑ по дефолту, ссылки на скачивание ОБНОВЛЕНЫ и находятся в первом посте (direct download links in first post) ↑↑↑

{ Атач доступен только для участников форума } - denuvo_lol_xd.jpg

| Сообщение посчитали полезным: VOLKOFF, RoKZaR, SReg, LinXP, s0cpy, HandMill, mak, forever_, bizkitlimp



Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 27 апреля 2018 07:41 New!
Цитата · Личное сообщение · #27

"...полуфриц, а полу кто, но на Александр-плац, каждый знает, что у Пастера, всегда есть, что сказать..."
окей. тулзу не смотрел, пока не интересно, да и впечатление от чтива и оформления , практически оставлю при себе.
поехали...))
во первых, какого то оссобого политеса на форуме нет, я не один раз, у модераторов спрашивал.
сорянов не увидел, посты псевдо-"школьников" в топе, в большинстве своём на месте.
топ закрыли, тор открыли, чего это за цирк?
аргументы в пользу мониторящей конторы, мной не принмаются. форум не для этого создан.
"...умерла, так умерла..."
во вторых. если уж открыли, то закогнамерный вопрос. а на долго ли? и что первопричина, для очередного закрытия?
в третьих, млять, фабула понятна, но с такими терминами полный ппц. островки, контексты и пр. чего за отсебятина? и ведь не первый год.
большинстьво "конекстов" имеют локальные свойства. в конце концов, есть макросы, вложения, или как у Вамита, пакетгые вызовы.
в третьих, даже я уже знаю, что длц это доп медиа контент. может за кеш, а может и на шару.
в заключение, пользуясь случаем. выскажу своё мнение.
под слоем гавнопрота, та же дунька, что и сейчас. отличия только в коде булевой матрицы, которую в целом запатентовали хз когда, и новых патентов вроде нет.
в массивах таргетов, те же таблицы индексов, и дистанций. под виртой то же обработчик, правда в исходнике не было морфа,мутации и обффускаци, вот как самый яркий пример:
Code:
  1. под виртуализацикй
  2.     mov rax, qword ptr ds:[rdx+0x70]
  3.          mov r8, qword ptr ds:[rdx+0x20]
  4. на онлайн при передаче управоения, из вм, в глобал контекст цпу.
  5.          lock cmpxchg dword ptr ds:[0x000000014999C9D8], r8d
  6. под виртуализацикй         
  7.          mov qword ptr ds:[rdx+0x70], rax
  8.          mov qword ptr ds:[rdx+0x20], r8
  9.          pushfq
  10.          pop r14
  11.          test r14, 0x1
  12.          mov byte ptr ds:[rdx+0x148], 0x0
  13.          je short @L00000001
  14.          mov byte ptr ds:[rdx+0x148], 0x1
  15. @L00000001:
  16.          test r14, 0x4
  17.          mov byte ptr ds:[rdx+0x48], 0x0
  18.          je short @L00000002
  19.          mov byte ptr ds:[rdx+0x48], 0x1
  20. @L00000002:
  21.          mov byte ptr ds:[rdx+0x48], 0x1
  22.          test r14, 0x10
  23.          mov byte ptr ds:[rdx+0x28], 0x0
  24.          je short @L00000003
  25.          mov byte ptr ds:[rdx+0x28], 0x1
  26. @L00000003:
  27.          test r14, 0x40
  28.          mov byte ptr ds:[rdx+0x1B0], 0x0
  29.          je short @L00000004
  30.          mov byte ptr ds:[rdx+0x1B0], 0x1
  31. @L00000004:
  32.          test r14, 0x80
  33.          mov byte ptr ds:[rdx+0x208], 0x0
  34.          je short @L00000005
  35.          mov byte ptr ds:[rdx+0x208], 0x1
  36. @L00000005:
  37.          test r14, 0x800
  38.          mov byte ptr ds:[rdx+0x170], 0x0
  39.          je short 0x00000001300179EE
  40.          mov byte ptr ds:[rdx+0x170], 0x1

если глазки не печёт, подобного могу ещё накидать, там правда кода без вирты, будет побольше.

| Сообщение посчитали полезным: v00doo, mkdev



Ранг: 656.8 (! !)
Статус: Участник
CyberMonk

Создано: 27 апреля 2018 13:56 New!
Цитата · Личное сообщение · #28

Bronco Да нормально всё, меньше спамят, больше желания что-то делать Не загоняйся

Bronco пишет:
полный ппц. островки, контексты и пр. чего за отсебятина? и ведь не первый год


Это же не отсебятина, а теоретический разбор на логику. У Вамита тоже термины свои, там не всё так сложно как выглядит на первый взгляд. Пакетный вызов это такие же - VM Superinstruction, а ранее было замечено, что есть отличие от простой superinstruction, поэтому предположили, что передача управления происходит через "Островки", эти островки называются Simple VM Object-ами, т.к. VM Object более сложная часть интерпретатора, а это частный способ применения, то здесь приписывают слово Simple, хочу заметить, что это академический термин, я его не придумал

Разница между "Пакетным вызовом" и "Передачей управления" в том, что в Передаче управления, выполнение инструкций никогда не возвращается в точку вызова, в Пакетном вызове это не так. Передача управления может иметь VM Superinstruction (вложенные пакеты), но вложенный пакет не может иметь Передачу управления.

Simple VM Object профайлер позволяет анализировать ВМку на символьном уровне. Стоит заметить, что набор выглядит примерно так:

VM Register File (Context) - Смена при разрыве кода, смена при изменении Виртуальной машины, смена при мутации, смена при вложенной процедуре.
Simple VM Object (CPS) - Инициализация на каждый Объект, Пролог и Эпилог (Диспетчер переходников), малое количество вмЕнтер как признак.

Таким образом VM Handler=Simple VM Object (CPS) с отличием в работе с VM Register File, а островком он назван на этапе унификации как обоснование ПСЕВДО ПСЕВДО синтаксиса в самодостаточных полных объектах. После унификации можно сделать универсальную утилиту, что и было сделано =) Это очень круто, т.к. позволяет работать с наборами и отслеживать сразу серии защит

| Сообщение посчитали полезным: v00doo, VOLKOFF


Ранг: 0.5 (гость)
Статус: Участник

Создано: 27 апреля 2018 15:32 New!
Цитата · Личное сообщение · #29

Видео смотрел, но осуждаю. Китайских субтитров нет...

Ранг: 77.9 (постоянный)
Статус: Участник

Создано: 27 апреля 2018 17:27 · Поправил: v00doo New!
Цитата · Личное сообщение · #30

mak, хоть кто-то в сторону объяснения терминологии посмотрел, уже лучше, думаю, этого реально не хватает сейчас.


Ранг: 274.0 (наставник)
Статус: Участник
Advisor

Создано: 29 апреля 2018 05:02 · Поправил: Bronco New!
Цитата · Личное сообщение · #31

mak пишет:
Инициализация на каждый Объект, Пролог и Эпилог (Диспетчер переходников)

отличный термин, мне нравится, короче и доступней. лучше чем обработчик индексов и дистанций.
поздравляю, это дуня стандарт., что и требовалось доказать..
в дунька лайт, нет диспетчера. а таблицы, их 2, скорее всего под криптой гавнопрота.
так что рано гавнопрот похоронили... закати губу
(ASO)
mak пишет:
Пролог

я называю это макросы контекста
Code:
  1.          sub rsp, 0x428 
  2.          mov qword ptr ss:[rsp+0x48], rdx
  3.          mov rdx, rsp
  4.          mov qword ptr ds:[rdx+0xF8], rbx
  5.          mov qword ptr ds:[rdx+0x100], rbp
  6.          mov qword ptr ds:[rdx+0x10], rsi
  7.          mov qword ptr ds:[rdx+0x188], r11
  8.          mov qword ptr ds:[rdx+0xD0], r13
  9.          mov qword ptr ds:[rdx+0xA0], r14
  10.          mov qword ptr ds:[rdx+0xB0], r9
  11.          mov qword ptr ds:[rdx+0x1D8], r15
  12.          mov qword ptr ds:[rdx+0x1D0], rdi
  13.          mov qword ptr ds:[rdx+0x70], rax
  14.          mov qword ptr ds:[rdx+0x180], r12
  15.          mov qword ptr ds:[rdx+0x80], r10
  16.          mov qword ptr ds:[rdx+0x1C8], rcx
  17.          mov qword ptr ds:[rdx+0x20], r8
  18.          pushfq
  19.          pop r12
  20.          xor rcx, rcx
  21.          inc rcx
  22.          bt r12, 0x0
  23.          mov dword ptr ds:[rdx+0x148], ecx
  24.          mov byte ptr ds:[rdx+0x148], 0x0
  25.          jae short @L00000001
  26.          mov byte ptr ds:[rdx+0x148], 0x1
  27. @L00000001:
  28.          clc
  29.          pushfq
  30.          test r12, 0x4
  31.          je short @L00000002
  32.          or qword ptr ss:[rsp], 0x1
  33. @L00000002:
  34.          popfq
  35.          mov dword ptr ds:[rdx+0x48], ecx
  36.          mov byte ptr ds:[rdx+0x48], 0x0
  37.          jae short @L00000003
  38.          mov byte ptr ds:[rdx+0x48], 0x1
  39. @L00000003:
  40.          mov dword ptr ds:[rdx+0x28], ecx
  41.          mov byte ptr ds:[rdx+0x28], 0x0
  42.          jae short @L00000004
  43.          mov byte ptr ds:[rdx+0x28], 0x1
  44. @L00000004:
  45.          clc
  46.          pushfq
  47.          test r12, 0x40
  48.          je short @L00000005
  49.          or qword ptr ss:[rsp], 0x1
  50. @L00000005:
  51.          popfq
  52.          mov dword ptr ds:[rdx+0x1B0], ecx
  53.          mov byte ptr ds:[rdx+0x1B0], 0x0
  54.          jae short @L00000006
  55.          mov byte ptr ds:[rdx+0x1B0], 0x1
  56. @L00000006:
  57.          mov dword ptr ds:[rdx+0x208], ecx
  58.          mov byte ptr ds:[rdx+0x208], 0x0
  59.          jae short @L00000007
  60.          mov byte ptr ds:[rdx+0x208], 0x1
  61. @L00000007:
  62.          clc
  63.          pushfq
  64.          test r12, 0x400
  65.          je short @L00000008
  66.          or qword ptr ss:[rsp], 0x1
  67. @L00000008:
  68.          popfq
  69.          mov dword ptr ds:[rdx+0x178], ecx
  70.          mov byte ptr ds:[rdx+0x178], 0x0
  71.          jae short @L00000009
  72.          mov byte ptr ds:[rdx+0x178], 0x1
  73. @L00000009:
  74.          bt r12, 0x0b
  75.          mov dword ptr ds:[rdx+0x170], ecx
  76.          mov byte ptr ds:[rdx+0x170], 0x0
  77.          jae short @L00000010
  78.          mov byte ptr ds:[rdx+0x170], 0x1
  79. @L00000010:
  80.          mov dword ptr ds:[rdx+0x1E8], ecx
  81.          mov byte ptr ds:[rdx+0x1E8], 0x0
  82.          jae short @L00000011
  83.          mov byte ptr ds:[rdx+0x1E8], 0x1
  84. @L00000011:
  85.          mov qword ptr ds:[rdx+0x18], rsp
  86.          sub rsp, 0x1A8
  87.          lea rsi, ss:[rsp+0x5D0]
  88.          and rsp, 0xFFFFFFFFFFFFFFF0
  89.          push rax
  90.          mov qword ptr ds:[rdx+0x138], rsi

mak пишет:
(Диспетчер переходников)

раньше их было 2, стартовый и основной, сейчас к стартовому добавили ещё 15
Code:
  1.          lea r11, ds:[0x00000001480ED575]
  2.          lea rax, ds:[0x000000014745B271]
  3.          movzx r9, word ptr ds:[r11]
  4.          xor r13, r13
  5.          push r9
  6.          ror r9, 0x10
  7.          pop r9
  8.          cmovb r13w, word ptr ds:[rdx+0x8]
  9.          and r9w, 0x7FFF
  10.          xor r9w, r13w
  11.          add r11, 0x2
  12.          push r9
  13.          add qword ptr ss:[rsp], r9
  14.          shl qword ptr ss:[rsp], 0x1
  15.          add qword ptr ss:[rsp], rax
  16.          pop r9
  17.          movsxd r9, dword ptr ds:[r9]
  18.          lea r13, ds:[0x0000000149283F51]
  19.          add r9, r13
  20.          jmp r9

mak пишет:
Эпилог

код матрицы очень большой, не влезет, а на макрос ресторе контекста места достаточно
Code:
  1.          mov ecx, dword ptr ds:[rdx+0x1E8]
  2.          push rcx
  3.          popfq
  4.          mov rbx, qword ptr ds:[rdx+0xF8]
  5.          mov rbp, qword ptr ds:[rdx+0x100]
  6.          mov rsi, qword ptr ds:[rdx+0x10]
  7.          mov r11, qword ptr ds:[rdx+0x188]
  8.          mov r13, qword ptr ds:[rdx+0xD0]
  9.          mov r14, qword ptr ds:[rdx+0xA0]
  10.          mov r9, qword ptr ds:[rdx+0xB0]
  11.          mov r15, qword ptr ds:[rdx+0x1D8]
  12.          mov rdi, qword ptr ds:[rdx+0x1D0]
  13.          mov rax, qword ptr ds:[rdx+0x70]
  14.          mov r12, qword ptr ds:[rdx+0x180]
  15.          mov r10, qword ptr ds:[rdx+0x80]
  16.          mov rcx, qword ptr ds:[rdx+0x1C8]
  17.          mov r8, qword ptr ds:[rdx+0x20]
  18.          mov rsp, qword ptr ds:[rdx+0x138]
  19.          mov rdx, qword ptr ds:[rdx+0x40]
  20.          ret
  21.          xor dword ptr ds:[0x000000014676C58A], 0x46F0B368
  22.          nop
  23.          nop
  24.          cpuid 
  25.          add dword ptr ds:[0x000000014676C58A], 0x42EF9368
  26.          ret

циклическим сдвигом проверяют бит, могут влево могут в право
Code:
  1. push r9
  2. ror r9, 0x10
  3. pop r9

по сути логики это аналог "bt r9,??", но как в морфе свести дельту пока не вкурил, для рфлага подобрал,с остальными хз, сдвигами(весь набор,включая двойной точности) ваще кошмарят весь пром код, куча фейковых, зачищать кучеряво.
<< 1 ... 36 . 37 . 38 . 39 . 40 . 41 . 42 . 43 . 44 . 45 . 46 ... 47 . 48 . >>
 eXeL@B —› Протекторы —› Crack SecuROM & DENUVO

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS