eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 2 августа!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: LoxmatbIj (+5 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Крэки, обсуждения —› CFF Explorer
<< . 1 . 2 .
Посл.ответ Сообщение


Ранг: 240.4 (наставник)
Статус: Участник

Создано: 23 апреля 2009 07:35 New!
Цитата · Личное сообщение · #1

В CFF Explorer есть ограничение на размер файлов в 40 мб
Если файл больше то он спрашивает грузить его или нет
Но даже если загрузить такой файл, то он неправильно работает с секциями,
импортом и не показывает содержимое последних секций.
Кто-нибудь сталкивался с этой проблемой?
И есть ли пути обхода?
(а то неудобно дампить некоторые ВМ )


Ранг: 1117.7 (!!!!)
Статус: Участник

Создано: 25 апреля 2009 03:45 New!
Цитата · Личное сообщение · #2

Nightshade пишет:
но почему-то на ХХХ...


потому, что круче старовской вм только яйца секьюр рядом не лежал.


Ранг: 240.4 (наставник)
Статус: Участник

Создано: 25 апреля 2009 07:26 New!
Цитата · Личное сообщение · #3

Кто-нить знает что в ВМ стара за - jmp edx
Крутится большое крипто алго вокруг него, а потом он выполняется.
Похоже на расшифровку параметров и выбор куска который их будет обрабатывать...

Ранг: 30.2 (посетитель)
Статус: Участник

Создано: 28 апреля 2009 11:34 · Поправил: undb New!
Цитата · Личное сообщение · #4

jmp edx это переход от одной выполненной команды к другой, вродь или jmp ebx переход а jmp edx так внутрений прыжок от одного модуля кода к другому , как и jmp eax, не помню я точно, но что то прыгает когда он смулит команду и начинает готовится к выполнению следующей.


Ранг: 240.4 (наставник)
Статус: Участник

Создано: 28 апреля 2009 23:23 · Поправил: Nightshade New!
Цитата · Личное сообщение · #5

Почитал доки yAtEs про ВМ
Неужели ВМ не менялась с лета 2004 го...
Код очень похож
Придется разбирать новую ВМ...
только уже на World of Goo - там кода ВМ в разы меньше
+есть версия без старика
--------------------------------------------------------
Позже:
Посмотрел World of Goo от Акеллы
Там какая-то говноВМ, которая кроме эмуляции jmp нифига не делает...
Снял за пару часов с написанием скриптов
Если задуматься - идеальная вещь для изучения старфорса теми,
кто его ни разу не снимал(с простой ВМ)

Ранг: 35.8 (посетитель)
Статус: Участник

Создано: 29 апреля 2009 14:53 New!
Цитата · Личное сообщение · #6

Неужели ВМ не менялась с лета 2004 го...
Кое-какие изменения все же были, но основной код интерпретатора не изменился.

Там какая-то говноВМ, которая кроме эмуляции jmp нифига не делает...
А я думал что это называется "редирект"... Появился он, кажется, с 5.х версии стара и используется во всех версиях защиты от бэйсика до про.


Ранг: 240.4 (наставник)
Статус: Участник

Создано: 29 апреля 2009 15:40 New!
Цитата · Личное сообщение · #7

Как это называется я не знаю... Если бы я видел сам прот с опциями типа
виртуализация кода, редирект прыжков, защита импорта, кража байтов
я бы называл это по другому.
Кстати не понял зачем вызывается код ВМ перед выполнением "редиректа"
Code:
  1. 00652000  - FF25 00E06400   JMP DWORD PTR DS:[64E000]                ; dump5_.00771682 - вызов ВМ
  2. 00652006    53              PUSH EBX                                                         ; сам редирект
  3. 00652007    C7C3 78E72FF2   MOV EBX,F22FE778
  4. 0065200D    9C              PUSHFD
  5. 0065200E    51              PUSH ECX
  6. 0065200F    81F3 78E72F64   XOR EBX,642FE778
  7. 00652015    C1C3 00         ROL EBX,0
  8. 00652018    C1CB 11         ROR EBX,11
  9. 0065201B    E8 00000000     CALL 00652020
  10. 00652020    59              POP ECX
  11. 00652021    81E9 20202500   SUB ECX,252020                         
  12. 00652027    01CB            ADD EBX,ECX
  13. 00652029    59              POP ECX
  14. 0065202A    9D              POPFD
  15. 0065202B    871C24          XCHG DWORD PTR SS:[ESP],EBX
  16. 0065202E    C3              RET

Ранг: 35.8 (посетитель)
Статус: Участник

Создано: 29 апреля 2009 15:50 New!
Цитата · Личное сообщение · #8

Прыжок в ВМ здесь - основа редиректа, т.к. мы (как бы ;)) не знаем куда ВМ вернет управление, а остальное так, небольшой довесок, его можно даже не восстанавливать.
Довольно много таких редиректов используют лишь прыжок в ВМ.
<< . 1 . 2 .
 eXeL@B —› Крэки, обсуждения —› CFF Explorer

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS