eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 8 октября!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: Lambda (+6 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Протекторы —› EXECryptor (Туторы, скрипты, плагины, ...)
<< 1 ... 18 . 19 . 20 . 21 . 22 . 23 . 24 . 25 . 26 . >>
Посл.ответ Сообщение

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 20 сентября 2006 18:14 · Поправил: Модератор New!
Цитата · Личное сообщение · #1

[url=http://rapidshare.de/files/33519198/Unpacking___Cracking_RAR_Repa ir_Tool_3.0.rar
]http://rapidshare.de/files/33519198/Unpacking___Cracking_RAR_Repair_T o ol_3.0.rar
[/url]
http://rapidshare.de/files/30412021/OllyDbg_Execryptor.7z http://rapidshare.de/files/30412021/OllyDbg_Execryptor.7z

Ранг: 32.9 (посетитель)
Статус: Участник

Создано: 15 ноября 2007 22:43 · Поправил: slackhead New!
Цитата · Личное сообщение · #2

[-]
сори =) ыы


Ранг: 266.6 (наставник)
Статус: Участник
Advisor

Создано: 16 ноября 2007 00:24 New!
Цитата · Личное сообщение · #3

sniperZ пишет:
чтоб пользовались им только довереные люди

Ну и кто к "жёлтым" в доверие втЁрся?
Будем вычеслять,или сами расколитесь?
Мну,плезир,на бенладана хотелось бы зарегить....

Ранг: 260.2 (наставник)
Статус: Участник

Создано: 16 ноября 2007 00:49 · Поправил: sniperZ New!
Цитата · Личное сообщение · #4

Bronco пишет:
Ну и кто к "жёлтым" в доверие втЁрся?

превад тайна..

никто не пробывал смотреть, как код активации генерится?
вроде cpuid юзается..


Ранг: 328.7 (мудрец)
Статус: Участник

Создано: 16 ноября 2007 01:23 New!
Цитата · Личное сообщение · #5

под чужой ник можно пропатчить - благо на unpack.cn ключи выложены для конкретных hwid

Ранг: 50.9 (постоянный)
Статус: Участник

Создано: 16 ноября 2007 04:50 New!
Цитата · Личное сообщение · #6

Volx is always opening doors to a new era of reversing. Am glad to have met him (I love EXECryptor as well). Am not that powerful as he is, but I am willing to study and learn my way ;)

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 16 ноября 2007 05:15 New!
Цитата · Личное сообщение · #7

SunBeam пишет:
Volx is always opening doors to a new era of reversing

;) Хм.. а я то думал это RSI сделал ..


Ранг: 390.8 (мудрец)
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 16 ноября 2007 07:38 New!
Цитата · Личное сообщение · #8

SunBeam
RSI for a long time has written automatic unpacker ExeCryptor.
Volx was late with opening an era

Ранг: 50.9 (постоянный)
Статус: Участник

Создано: 16 ноября 2007 12:34 · Поправил: SunBeam New!
Цитата · Личное сообщение · #9

Maximus writes:
Volx was late with opening an era


...not from where I'm seeing this

Well, you gotta admit Volx's work is unique. At least he's offering people a chance to test his theories. Am still waiting for the day RSI will release his final version of the unpacker. Maybe he won't. Who knows?


Ранг: 793.4 (! !)
Статус: Участник
Шаман

Создано: 16 ноября 2007 13:03 New!
Цитата · Личное сообщение · #10

Письками начали меряться? Харэ флудить!


Ранг: 390.8 (мудрец)
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 16 ноября 2007 13:06 New!
Цитата · Личное сообщение · #11

SunBeam this cracked with help final release ;)
www.crystalidea.com/software/wincomponents
crack
forum.ru-board.com/topic.cgi?forum=35&topic=38367#1

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 16 ноября 2007 13:39 New!
Цитата · Личное сообщение · #12

Х.з может про какие двери? пока на них висит амбарный замок в види доступа 20 вобще не о чем говорить .. А предыдущие скрипты с пракитической точки зрения малоинтерсны.

Ранг: 50.9 (постоянный)
Статус: Участник

Создано: 16 ноября 2007 13:44 · Поправил: SunBeam New!
Цитата · Личное сообщение · #13

Maximus writes:
SunBeam this cracked with help final release ;)


Remember I inlined Uninstall Tool (same soft producer). They use 2.4.0 RC1.02. Not a big deal, considering IAT is already there. You only need fixing of 10 stolen bytes (from what I know it should still be a C++ 8 app), then find is_registered flag

bbs.unpack.cn/viewthread.php?tid=18768

Also, what final release? Latest I knew of was beta 4. The only one out is beta 2. Any other?

EDIT: Heh, they kept the same structure :|



CrystalIdea softs are easy to crack :|


Ранг: 390.8 (мудрец)
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 16 ноября 2007 14:24 · Поправил: Maximus New!
Цитата · Личное сообщение · #14

SunBeam If you have access 20, please share this script for us
What cracked not easy, AnyplaceControl ;) ?

Ранг: 50.9 (постоянный)
Статус: Участник

Создано: 16 ноября 2007 14:41 New!
Цитата · Личное сообщение · #15

Maximus writes:
SunBeam If you have access 20, please share this script for us
What cracked not easy, AnyplaceControl ;) ?


Sorry, I have access 20 for a reason, and I respect those rules. Anyplace Control is interesting, I even used it back when it was protected with ASProtect. Ever since it got EXECryptor, the threads are lagging the transmission. So I still stick to latest one before they changed to eC

Oh, and it has the exact same check (is_registered flag) - only difference is that it's made in Delphi and not C++ =)

Ранг: 284.8 (наставник)
Статус: Участник

Создано: 16 ноября 2007 15:02 · Поправил: RSI New!
Цитата · Личное сообщение · #16

SunBeam пишет:
You only need fixing of 10 stolen bytes (from what I know it should still be a C++ 8 app)



Uninstall Tool 2.2.1:

OEP not stolen:

00448CBD > $ 6A 60 PUSH 60
00448CBF . 68 68B24800 PUSH utool_du.0048B268
00448CC4 . E8 5F4E0000 CALL utool_du.0044DB28
00448CC9 . 8365 FC 00 AND DWORD PTR SS:[EBP-4],0
00448CCD . 8D45 90 LEA EAX,DWORD PTR SS:[EBP-70]
00448CD0 . 50 PUSH EAX ; /pStartupinfo
00448CD1 . FF15 78F14600 CALL DWORD PTR DS:[<&KERNEL32.GetStartupInfoW>] ; \GetStartupInfoW


is_registered flag:

004085D5 . E8 C0AD0F00 CALL utool_du.0050339A <-----------
004085DA > EB 06 JMP SHORT utool_du.004085E2
004085DC >^EB FC JMP SHORT utool_du.004085DA
004085DE .^EB FC JMP SHORT utool_du.004085DC
004085E0 FF DB FF
004085E1 . F8 CLC
004085E2 > E8 7D400D00 CALL utool_du.004DC664
004085E7 . 83F8 03 CMP EAX,3
004085EA . 74 53 JE SHORT utool_du.0040863F


Ранг: 266.6 (наставник)
Статус: Участник
Advisor

Создано: 16 ноября 2007 16:06 New!
Цитата · Личное сообщение · #17

pavka пишет:
про какие двери?

Дык...мож надо свои прикрыть?
А то ещё надует...


Ранг: 266.6 (наставник)
Статус: Участник
Advisor

Создано: 16 ноября 2007 16:11 New!
Цитата · Личное сообщение · #18

У мну вопрос к спецам!!!!!
Есть адрес,есть размер данных,по этому адресу.
Как намутить (по скрипту),чтобы дампы памяти сохранять, исходя их этих данных??????
Их многовато, желательно каждый,отдельным файлом(пусть как *.bin)

Ранг: 1045.7 (!!!!)
Статус: Участник

Создано: 16 ноября 2007 16:20 New!
Цитата · Личное сообщение · #19

Bronco пишет:
Есть адрес,есть размер данных,по этому адресу.
Как намутить (по скрипту),чтобы дампы памяти сохранять, исходя их этих данных??????

DM addr, size, file
Example:
dm 401000, 1F, "c:\dump.bin"
DMA addr, size, file
dma 401000, 1F, "c:\dump.bin"


Ранг: 266.6 (наставник)
Статус: Участник
Advisor

Создано: 16 ноября 2007 17:23 New!
Цитата · Личное сообщение · #20

pavka
У мну тОж типа так:
------------
var addr
var size
var file

BPHWS offset,"x"
BPHWS offset2,"x"
@rip:
run
cmp eip,offset2
je @exit
mov addr,[esp+8]
mov size,[esp+c]
DM addr, size,"c:\zhopa.bin"
jmp @rip
@exit:
ret
----------
Для одного дампика это катит,а их много (штук 100)надо надампить.
Мну не вьедит как в это --> "c:\zhopa.bin",<---добавить ординал....))))
Чтоб было типа "c:\zhopa_01.bin"\"c:\zhopa_02.bin" и т.д.


Ранг: 390.8 (мудрец)
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 16 ноября 2007 17:51 · Поправил: Maximus New!
Цитата · Личное сообщение · #21

Bronco а типа так
mov nn,0

@huy
....
add nn,1
eval "c:\zhopa_{nn}.bin"
dm addr, size,$RESULT
jmp @huy


Ранг: 266.6 (наставник)
Статус: Участник
Advisor

Создано: 16 ноября 2007 18:08 New!
Цитата · Личное сообщение · #22

Maximus
ХА!!!!гУд!!!работаЕт!!!!
тИ молодцА,считай что наказал "Технологию ворованных ресурсов"
Меньше двух минут,на это надо.

Ранг: 32.9 (посетитель)
Статус: Участник

Создано: 16 ноября 2007 18:31 New!
Цитата · Личное сообщение · #23

если бы они навесили свой метаморф непосредственно на сам код приложения, это хоть бы и были постоянные тормоза, но анпакеров бы не было досихпор =)

Ранг: 284.8 (наставник)
Статус: Участник

Создано: 16 ноября 2007 18:46 New!
Цитата · Личное сообщение · #24

slackhead
как тебя понимать?


Ранг: 390.8 (мудрец)
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 16 ноября 2007 19:01 New!
Цитата · Личное сообщение · #25

slackhead а ОНИ и навесили... однако все равно потихоньку разгребаем.


Ранг: 500.5 (!)
Статус: Участник

Создано: 16 ноября 2007 19:12 New!
Цитата · Личное сообщение · #26

slackhead пишет:
но анпакеров бы не было досихпор =)

Причём тут анпакеры и метаморф ? Метаморф лежит в секции криптора и распаковка как таковая от него не зависит, вот взлом уже распакованной проги - тут как раз и надо разбирать морф (если конечно автор защищенной проги не ламо и сделал всё по уму)


Ранг: 266.6 (наставник)
Статус: Участник
Advisor

Создано: 16 ноября 2007 20:53 New!
Цитата · Личное сообщение · #27

Smon пишет:
распаковка как таковая от него не зависит

+1
Но под тормозами,наверное подразумевалось чтоб дамп,из-за полиморфа невалидным был.

Ранг: 32.9 (посетитель)
Статус: Участник

Создано: 16 ноября 2007 21:53 · Поправил: slackhead New!
Цитата · Личное сообщение · #28

наверно я чё-то не понимаю\мутно выражаюсь, прошу меня простить за это =) Постараюсь прояснить
RSI пишет:
как тебя понимать?

ну дык морфингу подлежит же только код протектора, оригинальный бинарник потом приводится к с своему изначальному виду и запускается.
Приведу пример, скомпиляем такое вот дерьмище:
.586
.model flat, stdcall

include windows.inc

include user32.inc
includelib user32.lib

include kernel32.inc
includelib kernel32.lib

include macros.asm


.code

get_num proc

mov eax, 123h
add eax, 321h
ret

get_num endp

start proc _dw:DWORD

LOCAL szResult[256]:BYTE

int 3

invoke get_num
imul eax, eax, 4
invoke wsprintf, addr szResult, chr$("result = %d"), eax
invoke MessageBox, 0, addr szResult, 0, 0
invoke ExitProcess, 0

ret

start endp
end start

для последующего сравнения приведём дизасм из олечки:
00401044 CC INT3
00401045 E8 E6FFFFFF CALL test2.00401030
0040104A 6BC0 04 IMUL EAX,EAX,4
0040104D 50 PUSH EAX
0040104E 68 20104000 PUSH test2.00401020 ; ASCII "result = %d"
00401053 8D85 00FFFFFF LEA EAX,DWORD PTR SS:[EBP-100]
00401059 50 PUSH EAX
0040105A E8 23000000 CALL <JMP.&user32.wsprintfA>
0040105F 83C4 0C ADD ESP,0C
00401062 6A 00 PUSH 0
00401064 6A 00 PUSH 0
00401066 8D85 00FFFFFF LEA EAX,DWORD PTR SS:[EBP-100]
0040106C 50 PUSH EAX
0040106D 6A 00 PUSH 0
0040106F FF15 08104000 CALL DWORD PTR DS:[<&user32.MessageBoxA>>; user32.MessageBoxA
00401075 6A 00 PUSH 0
00401077 FF15 00104000 CALL DWORD PTR DS:[<&KERNEL32.ExitProces>; kernel32.ExitProcess
0040107D C9 LEAVE
0040107E C2 0400 RETN 4


запротектим его 2.2.6 с этого сайта, запустим, в ольке видим:
00401044 CC INT3
00401045 E8 E6FFFFFF CALL 00401030
0040104A 6BC0 04 IMUL EAX,EAX,4
0040104D 50 PUSH EAX
0040104E 68 20104000 PUSH 401020 ; ASCII "result = %d"
00401053 8D85 00FFFFFF LEA EAX,DWORD PTR SS:[EBP-100]
00401059 50 PUSH EAX
0040105A E8 23000000 CALL 00401082
0040105F 83C4 0C ADD ESP,0C
00401062 6A 00 PUSH 0
00401064 6A 00 PUSH 0
00401066 8D85 00FFFFFF LEA EAX,DWORD PTR SS:[EBP-100]
0040106C 50 PUSH EAX
0040106D 6A 00 PUSH 0
0040106F FF15 08104000 CALL DWORD PTR DS:[401008]
00401075 6A 00 PUSH 0
00401077 FF15 00104000 CALL DWORD PTR DS:[401000]
0040107D C9 LEAVE
0040107E C2 0400 RETN 4

как видно сам код не пострадал, заменился только импорт, я не тестил ваши распаковщики :-[ т.к. мне пока это не интресно, но я почему-то подумал что они таки восстанавливают импорт
slackhead а ОНИ и навесили... однако все равно потихоньку разгребаем.
вот это интересно что именно вы разгребаете? сам мутатор которым мутирует протектящий код и сворачиваете восстанавливая логику полностью? очень интересно


Ранг: 390.8 (мудрец)
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 16 ноября 2007 22:06 · Поправил: Maximus New!
Цитата · Личное сообщение · #29

slackhead мягко говоря ты привел немного неудачный пример. в нем видно лишь один пункт защиты, а именно защиту импорта, которая у криптора не такая уж и продвинутая, по сравнению, например, с аспром.
У криптора другие сильные стороны, это антиотладка и метаморф. На сегодняшний день, крякерам удалось победить все кроме метаморфа (хотя есть люди которые потихоньку занимаются и им).

>>сам мутатор которым мутирует протектящий код
Вряд ли его получится легко разобрать, потому что в свою очередь он тоже смутирован.

Обобщить можно так: достаточно быстро можно сломать прогу под криптором, в которой стандартная схема регистрации. Если есть валидный ключ то сломать еще легче (к сожалению еще не научились делать рабочими забаненые ключи). Остальное ломается несколько тяжелее, но ничего невозможного нет.

Ранг: 32.9 (посетитель)
Статус: Участник

Создано: 16 ноября 2007 22:24 New!
Цитата · Личное сообщение · #30

Maximus
cпасибо за ответ! )
Maximus пишет:
ягко говоря ты привел немного неудачный пример. в нем видно лишь один пункт защиты, а именно защиту импорта

ну хз я паканул со всеми галочками на вкладке "protecting options". Как видно в коде выше есть процедура get_num которую при хорошем метаморфе можно было вообще свернуть...
Мораль состоит в том что возможно это даже не метаморф а просто продвинутый пермутатор с атниотдкой и прочей фигнёй стало быть зная логику можно свенуть его полностью. Верно? )

Ранг: 260.2 (наставник)
Статус: Участник

Создано: 16 ноября 2007 22:35 New!
Цитата · Личное сообщение · #31

slackhead
не верно. там ничего не измененно, кроме переходников на апи..
а чтоб глянуть на многослойный метаполиморф с вм, глянь sdk..
<< 1 ... 18 . 19 . 20 . 21 . 22 . 23 . 24 . 25 . 26 . >>
 eXeL@B —› Протекторы —› EXECryptor (Туторы, скрипты, плагины, ...)

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS