eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 2 июля!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: deniskore (+2 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Протекторы —› Ошибка при снятии Темиды.
<< . 1 . 2 .
Посл.ответ Сообщение

Ранг: 9.0 (гость)
Статус: Участник

Создано: 10 сентября 2018 03:22 New!
Цитата · Личное сообщение · #1

Снимаю Темиду 2.x.x версии с помощью скрипта (прикреплён).

{ Атач доступен только для участников форума } - Themida - Winlicense Ultra Unpacker 1.4.txt

Добавлено спустя 0 минут
Выдаёт ошибку:

{ Атач доступен только для участников форума } - 1.png

Добавлено спустя 2 минуты
Заметил, что во время исполнения скрипта один из плагинов говорит, что не работает на x64. Запустил всё это дело в виртуально

Добавлено спустя 4 минуты
Во время исполнения скрипта один из плагинов, а точнее strongod говорит, что не работает в x64 системах. Запустил всё это тело в виртуальной x32 машине - плагин работает, но скрипт стопорится на том же, как я понял, месте, но есть одно отличие - другая ошибка и вообще вся оля вылетает нафиг.

Добавлено спустя 5 минут
Прикрепляю скрин:

Добавлено спустя 7 минут
Эм, почему-то он не прикрепляется)))

Ладно, может кто знает, что делать?

P.S. Господа админы, добавьте на форум возможность добавления и просмотра пикчи непосредственно в сообщение, скачивать архивом, что бы посмотреть - это ж прошлый век.


Ранг: 472.8 (мудрец)
Статус: Участник
_Вечный_Студент_

Создано: 15 сентября 2018 06:09 · Поправил: plutos New!
Цитата · Личное сообщение · #2

Belg пишет:
тему можно закрывать


ну сам и закрой: кнопка "Закрыть тему" находится внизу страницы.


Ранг: 117.9 (ветеран)
Статус: Участник

Создано: 15 сентября 2018 09:40 New!
Цитата · Личное сообщение · #3

Belg пишет:
тему можно закрывать.

атак же Belg пишет:
Ждите, я ща начну гуглить как делать инлайн патч и вернусь

неоднозначный малый...
<<Соломою своею Я думать не умею, Хотел бы попросить я У Гудвина ума>>


Ранг: 472.8 (мудрец)
Статус: Участник
_Вечный_Студент_

Создано: 15 сентября 2018 10:15 New!
Цитата · Личное сообщение · #4

SDK пишет:
неоднозначный малый...


возможно чел вообще троллит, а мы, дураки, ведемся.

| Сообщение посчитали полезным: SDK


Ранг: 9.0 (гость)
Статус: Участник

Создано: 15 сентября 2018 18:17 New!
Цитата · Личное сообщение · #5

SDK пишет:
неоднозначный малый...


Вернусь уже в другую, новую тему)

Ранг: 9.0 (гость)
Статус: Участник

Создано: 17 сентября 2018 22:22 · Поправил: Belg New!
Цитата · Личное сообщение · #6

Поторопился я с закрытием беседы. Обнаружилось вот что, файл, распакованный ClockMan'ом занимает 6,5 МБ, а распакованный скриптом 13,2, при размере упакованного файла в 4,1 МБ. При этом нареканий в работе ни к одному из файлов нет, оба нормально открываются, detectiteasy темиды ни на одном не видит. Хотя, с моим файлом есть всё-таки пара небольших "но". Если попытаться зашифровать его Темидой, то она откажется это делать, так как по её мнению он уже зашифрован. Плюс, при загрузке в дизассемблер вылезает ошибка "stream read error", которая, собственно, ни на что не влияет - процесс успешно завершается.
Так что есть большая просьба к более опытным товарищам - чекнуть мой файл на предмет "нормальности" и пригодности к дальнейшему его исследованию на предмет взлома лицензии. 6 лишних или недостающих метров не шутка всё-таки. Заранее спасибо.

Ссылка: https://cloud.mail.ru/public/GqUC/myfxiSZYP


Ранг: 117.9 (ветеран)
Статус: Участник

Создано: 18 сентября 2018 00:47 New!
Цитата · Личное сообщение · #7

rebuil pe в петулзе попробуй но бэкапни.

Ранг: 9.0 (гость)
Статус: Участник

Создано: 18 сентября 2018 01:14 New!
Цитата · Личное сообщение · #8

SDK пишет:
rebuil pe в петулзе попробуй но бэкапни.


Было 13,2 - стало 12,7. Смысл?

Мне на самом деле на размер плевать, главное убедиться, что файл не битый какой-нибудь. Просто... Там человек явно больше меня соображает и у него 6, а у меня 13. Чисто из-за такой логики снова разворошил тему, повторюсь, работает нормально, за исключением вот этих незначительных "но".


Ранг: 117.9 (ветеран)
Статус: Участник

Создано: 18 сентября 2018 02:11 New!
Цитата · Личное сообщение · #9

автоматика в дамп много мусора суёт особенно если там вм
это уже обсуждалось у кого то 750 кб лишних у кого то 1.5мб

Ранг: 9.0 (гость)
Статус: Участник

Создано: 18 сентября 2018 02:18 New!
Цитата · Личное сообщение · #10

SDK пишет:
автоматика в дамп много мусора суёт


Но работать дальше с этим мусором можно или его обязательно как-то вычищать надо?


Ранг: 117.9 (ветеран)
Статус: Участник

Создано: 18 сентября 2018 02:24 · Поправил: SDK New!
Цитата · Личное сообщение · #11

чтоб вычищать надо трассу сокращать в вм опкоды разкрутить ,
понимать как оно работает,поэтому и советуют читать про ручную распаковку,работать без скриптов этих.
а для работы например, малварь изучить или понять алго хватает в 90% случая и простого дампа не работоспособного.

Ранг: 9.0 (гость)
Статус: Участник

Создано: 18 сентября 2018 02:26 New!
Цитата · Личное сообщение · #12

А то, я, конечно, распаковал бы в ручную (нет), но ЕДИНСТВЕННОЕ, что мне удалось обнаружить на счёт ручного снятия Темиды - это вот эта несчастная статья https://www.evilfingers.com/publications/research_RU/dump.lite.pdf . Ни видео, ни гайдов - нихрена, а тема не то, чтобы лёгкая для вникания с нуля. Так шо, хотелось бы всё же пока автоматику поюзать, тем более, что работает, вроде как.


Ранг: 117.9 (ветеран)
Статус: Участник

Создано: 18 сентября 2018 02:31 · Поправил: SDK New!
Цитата · Личное сообщение · #13

ручную распаковку на паблик не кидают так же как и софт,
во первых это отбирает хлеб во вторых паблик статьи и авторы защит читают))
если хочешь получать инструменты знания то надо сильно постараться писать статьи,
делать интересные ключиделки,или писать инструменты ,
на специальных Irc каналах вести беседы сейчас может это телеграмм или твитер
у ребят 0-Day все это есть но с ними так просто не пообщаешься)

Ранг: 9.0 (гость)
Статус: Участник

Создано: 18 сентября 2018 02:39 New!
Цитата · Личное сообщение · #14

Короче, постараюсь работать с этим своим файлом, надеюсь, норм. Если кто-то чекнет и подтвердит, что так - буду благодарен, а то и так нихрена не понятно, что с этим распакованным гадом делать, так ещё и на битым файлом корячиться не хватало))))


Ранг: 581.6 (!)
Статус: Модератор
Research & Development

Создано: 18 сентября 2018 10:19 New!
Цитата · Личное сообщение · #15

Belg

Достаточно сравнить секции в двух файлах:

Файл на 6 метров:
Code:
  1. Number  Name   VirtSize   RVA    PhysSize  Offset    Flag
  2.     1 .text    00515000 00001000 00515000 00001000 60000020
  3.     2 .itext   00006000 00516000 00006000 00516000 60000020
  4.     3 .data    00016000 0051C000 00016000 0051C000 C0000040
  5.     4 .bss     0005A000 00532000 0005A000 00532000 C0000000
  6.     5 .idata   00006000 0058C000 00006000 0058C000 C0000040
  7.     6 .tls     00001000 00592000 00001000 00592000 C0000000
  8.     7 .rdata   00001000 00593000 00001000 00593000 50000040
  9.     8 .reloc   0006D000 00594000 0006D000 00594000 50000040
  10.     9 .rsrc    00059000 00601000 00058800 00601000 50000040


Файл на 13 метров:
Code:
  1. Number  Name   VirtSize   RVA    PhysSize  Offset    Flag
  2.     1          00600000 00001000 00600000 00001000 E0000020
  3.     2 .rsrc    00059000 00601000 00058800 00601000 C0000040
  4.     3 .Tut4you 00001000 0065A000 00001000 0065A000 C0000040
  5.     4          004A9000 0065B000 004A9000 0065B000 E0000040
  6.     5 dwrciobe 001D6000 00B04000 001D6000 00B04000 E0000040
  7.     6 vdkgjtsh 00646000 00CDA000 00001000 00CDA000 E0000040
  8.     7 PE_ADS   00012000 01320000 00011656 00CDB000 E00000E0


Обрати внимание на PhysSize, посчитай разницу.
У тебя в первой секции всё слито в один большой блок, в котором дофига нулей по факту.
В этой же секции лежит и DelayLoad импорт.

Представь, что у тебя есть несколько сдутых шариков, но ты их кладёшь в коробку для такого же количества, но только надутых шариков. В нашем случае "сдутый шарик" - это секция на диске, а "надутый шарик" - это секция в памяти процесса. У тебя в файле все шарики - "сдутые", но занимают место как "надутые", между ними куча ненужного воздуха. Это если образно.

По факту файл от ClockMan тоже можно ужать с 6502 KB до 5688 KB:

Code:
  1. Number  Name   VirtSize   RVA    PhysSize  Offset    Flag
  2.     1 .text    00515000 00001000 00514600 00001000 60000020
  3.     2 .itext   00006000 00516000 00005600 00515600 60000020
  4.     3 .data    00016000 0051C000 00015200 0051AC00 C0000040
  5.     4 .bss     0005A000 00532000 00000000 0052FE00 C0000000
  6.     5 .idata   00006000 0058C000 00005800 0052FE00 C0000040
  7.     6 .tls     00001000 00592000 00000000 00535600 C0000000
  8.     7 .rdata   00001000 00593000 00000200 00535600 50000040
  9.     8 .reloc   0006D000 00594000 00000000 00535800 50000040
  10.     9 .rsrc    00059000 00601000 00058800 00535800 50000040

Ранг: 9.0 (гость)
Статус: Участник

Создано: 18 сентября 2018 16:25 New!
Цитата · Личное сообщение · #16

Понятно, спасибо. А этот "ненужный воздух" будет в дальнейшем как-то мешаться или на него можно просто забить?


Ранг: 581.6 (!)
Статус: Модератор
Research & Development

Создано: 18 сентября 2018 19:21 New!
Цитата · Личное сообщение · #17

Если размер файла не парит, то можно забить

Ранг: 9.0 (гость)
Статус: Участник

Создано: 18 сентября 2018 21:05 New!
Цитата · Личное сообщение · #18

Jupiter пишет:
Если размер файла не парит, то можно забить


Ок, спасибо большое. Размер не парит, смущала лишь stream read error при загрузке в дизассемблер, но как я нагуглил, это какая-то фигня с переполнением памяти, а не с самим файлом, так что фиг с ним, тем более, что потом всё загружается
<< . 1 . 2 .
 eXeL@B —› Протекторы —› Ошибка при снятии Темиды.
Эта тема закрыта. Ответы больше не принимаются.

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS