eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 12 ноября!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: rmn
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Протекторы —› Steam CEG
Посл.ответ Сообщение

Ранг: 19.7 (новичок)
Статус: Участник

Создано: 2 апреля 2013 20:43 New!
Цитата · Личное сообщение · #1

Всем привет! Интересна защита CEG, которая встречается только в играх от Steam. Кто нибудь её ломал? Насколько я знаю, там ищутся Stollen Calls и патчатся... Но делать это вручную проблема. Кто нибудь ломал эту защиту? Если да, то подскажите, в каком направлении копать... Может есть какие нибудь скрипты для ольки, чтоб автоматизировать процесс?


Ранг: 240.2 (наставник)
Статус: Участник

Создано: 2 апреля 2013 22:56 New!
Цитата · Личное сообщение · #2

Скриптов в паблике нет, но сигнатурно вроде неплохо ищется. В вызовах есть переход "сработал триггер или нет", "вызвать проверку триггера или нет". Они и патчатся. (Сейчас может что-то новое придумали)

Ранг: 19.7 (новичок)
Статус: Участник

Создано: 2 апреля 2013 23:37 · Поправил: Phantom007 New!
Цитата · Личное сообщение · #3

Nightshade
Хмм... А как именно патчатся?


Ранг: 990.3 (! ! !)
Статус: Модератор
Author of DiE

Создано: 3 апреля 2013 08:48 New!
Цитата · Личное сообщение · #4

Phantom007 в чем проблема самому в отладчике посмотреть? открыть старую версию, глянуть, что это за сигны. потом новую версию


Ранг: 240.2 (наставник)
Статус: Участник

Создано: 3 апреля 2013 09:26 New!
Цитата · Личное сообщение · #5

Найди лиандри. Он на кеге 2 собаки съел

Ранг: 19.7 (новичок)
Статус: Участник

Создано: 3 апреля 2013 12:51 New!
Цитата · Личное сообщение · #6

Nightshade
Я ему написал, но не думаю, что он ответит.. Все таки занятой человек =)

Я посмотрел, как патчатся новые версии CEG, и вроде понял ) Там ищутся по определённым сигнатурам некоторые строчки, в основном это:
0052CC31: B840754D00 mov eax, 004D7540h
0052CC36: FFD0 call eax

и патчатся (последнее заменяется нопами, а предыдущее - хз, как. Там адрес меняется как то, и я понятия не имею, по какому принципу этот адрес берется)

По сути берем сигнатуру (\xB8\x00\x00\x00\x00\xFF\xD0, её маску x????xx) и ищем, потом патчим. Но.. Там еще что то меняется, и я понятия не имею, что...


Ранг: 990.3 (! ! !)
Статус: Модератор
Author of DiE

Создано: 3 апреля 2013 12:54 New!
Цитата · Личное сообщение · #7

ну посмотри, что по новому адресу храниться в примере - 004D7540h

Ранг: 19.7 (новичок)
Статус: Участник

Создано: 3 апреля 2013 13:08 New!
Цитата · Личное сообщение · #8

Hellspawn
Я ступил Заменяется на адреса, которых просто не существует ) Теперь все становиться более менее ясно. Осталось разобрать, что еще нужно патчить, чтобы работало нормально


Ранг: 515.2 (!)
Статус: Участник
Победитель турнира 2010

Создано: 3 апреля 2013 13:32 New!
Цитата · Личное сообщение · #9

Hellspawn пишет:
Заменяется на адреса, которых просто не существует

Phantom007 пишет:
call eax


и дальше?????

Ранг: 19.7 (новичок)
Статус: Участник

Создано: 3 апреля 2013 13:36 New!
Цитата · Личное сообщение · #10

OKOB
О_о что дальше? call eax затирается nop'ами, я же писал.


Ранг: 515.2 (!)
Статус: Участник
Победитель турнира 2010

Создано: 3 апреля 2013 13:45 New!
Цитата · Личное сообщение · #11

Phantom007 пишет:
mov eax, 004D7540h


тогда значение в ЕАХ или вообще не трогать (в случае если функция проверяет валидность и отваливает процес) либо помещать необходимое возвращаемое значение - результат работы функции от вызова которой отказываются (в случае если проверка значения в основном потоке), но никак ни случайное значение.

Ранг: 19.7 (новичок)
Статус: Участник

Создано: 3 апреля 2013 14:43 New!
Цитата · Личное сообщение · #12

OKOB
Я думаю, что достаточно будет затереть call eax, авось сработает

Ранг: 7.9 (гость)
Статус: Участник

Создано: 3 апреля 2013 15:29 New!
Цитата · Личное сообщение · #13

Phantom007 пишет:
Я посмотрел, как патчатся новые версии CEG, и вроде понял

Новые версии, все сценовые группы, эмулируют вообще-то.
И кроме stolen calls там еще много чего есть, проверки crc, привязка к ПК, проверки реестра.
Судя по твоим вопросам, твой уровень знаний не позволит сломать защиту. В сети как раз была статья о сабже, в ней автор как раз показывает как можно сэмулировать. Ищи, авось поможет.


Ранг: 240.2 (наставник)
Статус: Участник

Создано: 3 апреля 2013 15:29 · Поправил: Nightshade New!
Цитата · Личное сообщение · #14

если зайти в этот call eax то попадем в функу проверки. Там нас ждет ветвление вызвать код проверки, а потом ориг функу.
0052CC31: B840754D00 mov eax, 004D7540h заменяют на call origaddress.

http://sendfile.su/787083
попробуй это глянуть. Там вроде сырки эмуля стима. Может поможет.

Ранг: 19.7 (новичок)
Статус: Участник

Создано: 3 апреля 2013 15:45 · Поправил: Phantom007 New!
Цитата · Личное сообщение · #15

random
Видел я эту статью на кс рине... Эмуляция, это конечно хорошо, но есть еще патчин (один чел с группы COGENT сделал такую штуку, без всякой эмуляции и пр. фигни). Про проверку CRC, привязки и пр. знаю, но сейчас хотя бы с этим разобраться

Ранг: 72.1 (постоянный)
Статус: Участник

Создано: 3 апреля 2013 22:39 · Поправил: yagello New!
Цитата · Личное сообщение · #16

Nightshade пишет:
http://sendfile.su/787083

Можно ее на rghost перелить, а то сендфайл не отвечает что-то (прокси пробовал)?
Все, отбой, уже сайт попустило

Ранг: 366.5 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 27 декабря 2014 15:29 New!
Цитата · Личное сообщение · #17

Если запустить ексешник, привязанный к стиму напрямую, то перед тем, как процесс закроется, вызывается стим-клиент. а вот через стим-клиент, файл уже в нормальном режиме запускается. он через WriteProcessMemory заправляет в процесс данные или через ивенты?

Ранг: 488.4 (мудрец)
Статус: Участник

Создано: 27 декабря 2014 18:55 New!
Цитата · Личное сообщение · #18

ELF_7719116 ты че эльфийских пиченюшек под новый год обкушался?)) 1.5 года топ валяется))


Ранг: 315.6 (мудрец)
Статус: Участник
born to be evil

Создано: 10 января 2015 14:27 New!
Цитата · Личное сообщение · #19

любителям дельфей --> Link <--

| Сообщение посчитали полезным: ClockMan, unknownproject

 eXeL@B —› Протекторы —› Steam CEG

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS