eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС
выпущен 4 ноября!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: (+2 невидимых)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Крэки, обсуждения —› Крякми.
<< . 1 . 2 . 3 . >>
Посл.ответ Сообщение


Ранг: 72.3 (постоянный)
Статус: Участник

Создано: 26 августа 2013 23:22 New!
Цитата · Личное сообщение · #1

Сабж. Там гдето есть холст в png формате, он полностью декриптуется. На холсте изображён код. Код нужно этот достать.

Код чистый, нет ни обфускации, ни тайминга, ни вирт машин.

Если у вас получится достать код, не выкладывайте его сюда, он вам понадобится ;)

{ Атач доступен только для участников форума } - Crmy.zip

| Сообщение посчитали полезным: Abraham


Ранг: 23.2 (новичок)
Статус: Участник

Создано: 31 августа 2019 08:27 · Поправил: user99 New!
Цитата · Личное сообщение · #2

Red October, base64 декодер показывает:
{"data_version":1,"parameters":{"revocation_counter":65,"expiration":{"type":"relative","value":"15"}},"ln_hash":"BDF23C1213A4BF7DAF33C44366F06DB417AED3DD","server_cookie":"filedir-707-65"};SHA1;863636e5;MCwCFA92vufjd1xuN86FkDWXhyfCZksVAhRYutJZNHJxUeVn0RNIvy5mltWk3A==

| Сообщение посчитали полезным: Red October


Ранг: 0.7 (гость)
Статус: Участник

Создано: 31 августа 2019 16:08 New!
Цитата · Личное сообщение · #3

r_e:Хорошо если это параметры то какок-то шифрованы или...
А если подпись то где-то по дате есть ограничение ??
Ковыряю AVG Tune UP 2018 ключи вдруг стали не валидны и установщик не хочет работать сегодня (пишет продукт устарел) хотя по декларации корпорации АVG ключ и продукт на 4 года а отработал год.
Есть трудности :
Нет вообще ничего (никакой информации) по ихней разработке AVG FrameWork которая служит основой (коркасом ) приложений.
Приложение написано на смеси С++ и Delphi ( а я как-то плохо знаком с Delphi)
Активация приложения привязана к серверу продукта и личному аккаунту на AVG.com
Довольно легко справился с временными ограничениями подменив значение возвращаемое GetLokalTime тем при котором валидация ключей успешна.
Параллельно изучаю крек старой версии (tulic.dll (2014)) но похоже зря защита продукта кардинально изменена .
Что посоветуете ??


Ранг: 1993.2 (!!!!)
Статус: Модератор
retired

Создано: 31 августа 2019 17:12 New!
Цитата · Личное сообщение · #4

Посоветую не лезть в чужой топик, не имеющий отношения к авг.


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 3 сентября 2019 18:41 · Поправил: difexacaw New!
Цитата · Личное сообщение · #5

Копался в сервисном механизме, пока решил собрать антидебаг для тестов. Получается вот что.

NtCallbackReturn весьма полезный сервис в плане обхода отладки. На 86 аналог INT 0x2B. Был мой топик когда то на васме по этому поводу.

Для посылки гую сообщений поточный контекст сохраняется в сдерном стеке, его нельзя получить из юм, так же нет способа узнать что контекст был сохранён(только если исчерпать лимит вложенности). Уровень рекурсии разный, примерно 30.

Этот сервис загружает контекст из теневого стека, при этом восстанавливает TF и IP. До возврата происходит выборка(R) из ядра к аргументу сервиса и возвращается либо прочитанное значение, либо ноль если память NA. Отличный способ сбросить guard_page до передачи управления(те до возврата через этот сервис). Точку останова на область памяти снимает ядро до возврата. Получается аналогично как с ключами выше - ключ для дальнейшей расшифровки сохранён в ядре и не доступен из юм, так же как и адрес возврата

В режиме совместимости(wow) из за выравнивания на 8(x64) при передаче не выравненного указателя возвращается андок статус 0xC000041D, иначе можно было бы читать память из ядра до возврата и проверять код.

Интересно как это отлаживать в юм, позже мб семпл выложу.

| Сообщение посчитали полезным: SDK



Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 8 сентября 2019 06:18 New!
Цитата · Личное сообщение · #6

Потестите плз семпл на 10-ке у кого имеется. Там нэйтив, может криво работать.

{ Атач доступен только для участников форума } - cb.7z


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 8 сентября 2019 17:25 New!
Цитата · Личное сообщение · #7

на висте так же.

Code:
  1. Сигнатура проблемы:
  2.   Имя события проблемы:    APPCRASH
  3.   Имя приложения: cb.exe
  4.   Версия приложения:       0.0.0.0
  5.   Штамп времени приложения:         5d746fac
  6.   Имя модуля с ошибкой:    ntdll.dll
  7.   Версия модуля с ошибкой: 6.0.6001.18538
  8.   Штамп времени модуля с ошибкой:   4cb733dc
  9.   Код исключения: c0000005
  10.   Смещение исключения:     0003ce36
  11.   Версия ОС:      6.0.6001.2.1.0.768.2
  12.   Код языка:      1049
  13.   Дополнительные сведения 1:        bfef
  14.   Дополнительные сведения 2:        e8adce1c2b9e7be834b4063ac3c53863
  15.   Дополнительные сведения 3:        bfef
  16.   Дополнительные сведения 4:        e8adce1c2b9e7be834b4063ac3c53863

| Сообщение посчитали полезным: difexacaw



Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 8 сентября 2019 17:46 · Поправил: difexacaw New!
Цитата · Личное сообщение · #8

SDK

Можете отладчиком запустить и показать дебаг вывод ?

Иначе нельзя понять причину крэша, экспортный нэйтив вообще не вызывается, кроме дебаг принтов. Всё что я хотел что бы запустили олькой и сюда лог показали.

Сначала нужно довести до ума нэйтивные шлюзы, через них далее вся обработка пойдёт. Этот turbodispatch и защита могут сбоить, у меня нет всего набора ос для тестов.


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 8 сентября 2019 18:23 · Поправил: SDK New!
Цитата · Личное сообщение · #9

Бряк на 10003336



Code:
  1. 10003336   . CC             INT3
  2. 10003337   . EB 3B          JMP SHORT cb.10003374
  3. 10003339   . 8D85 6CFFFFFF  LEA EAX,DWORD PTR SS:[EBP-94]
  4. 1000333F   . 50             PUSH EAX                                 ; /Arg4
  5. 10003340   . 68 282F0010    PUSH cb.10002F28                         ; |Arg3 = 10002F28
  6. 10003345   . FFB3 84000000  PUSH DWORD PTR DS:[EBX+84]               ; |Arg2
  7. 1000334B   . FF73 7C        PUSH DWORD PTR DS:[EBX+7C]               ; |Arg1
  8. 1000334E   . E8 D3EFFFFF    CALL cb.10002326                         ; \cb.10002326
  9. 10003353   . C3             RETN
  10. 10003354   $ E8 00000000    CALL cb.10003359
  11. 10003359   $ 59             POP ECX
  12. 1000335A   . 2B8D 70FFFFFF  SUB ECX,DWORD PTR SS:[EBP-90]
  13. 10003360   . 81E9 00100000  SUB ECX,1000
  14. 10003366   . 038B 80000000  ADD ECX,DWORD PTR DS:[EBX+80]
  15. 1000336C   . 81C1 E0FFFFFF  ADD ECX,-20
  16. 10003372   . FFE1           JMP ECX
  17. 10003374   > C9             LEAVE
  18. 10003375   . C3             RETN
  19. 10003376     6A             DB 6A                                    ; CHAR 'j'
  20. 10003377     00             DB 00
  21. 10003378     68             DB 68                                    ; CHAR 'h'
  22. 10003379   . 922F0010       DD cb.10002F92                           ; ASCII "OK"
  23. 1000337D     68             DB 68                                    ; CHAR 'h'
  24. 1000337E   . 922F0010       DD cb.10002F92                           ; ASCII "OK"
  25. 10003382     6A             DB 6A                                    ; CHAR 'j'
  26. 10003383     00             DB 00
  27. 10003384     E8             DB E8
  28. 10003385     4D             DB 4D                                    ; CHAR 'M'
  29. 10003386     00             DB 00
  30. 10003387     00             DB 00
  31. 10003388     00             DB 00
  32. 10003389     00             DB 00
  33. 1000338A     00             DB 00
  34.  


{ Атач доступен только для участников форума } - log.txt


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 8 сентября 2019 18:28 · Поправил: difexacaw New!
Цитата · Личное сообщение · #10

SDK

Успешно отработало, это точка останова в конце. Спасибо, хотелось бы на 10 посмотреть и на 6.1.7601.


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 8 сентября 2019 18:36 New!
Цитата · Личное сообщение · #11

10-ки у меня нет и не было никогда.подождём у кого есть.difexacaw


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 11 сентября 2019 01:50 · Поправил: difexacaw New!
Цитата · Личное сообщение · #12

Может захочет кто антидебаг потестить.

{ Атач доступен только для участников форума } - dbg.7z vx

| Сообщение посчитали полезным: SDK



Ранг: 1120.2 (!!!!)
Статус: Участник

Создано: 11 сентября 2019 03:45 · Поправил: Gideon Vi New!
Цитата · Личное сообщение · #13

10 x64 1809

cb
olly
100029E5 Access violation when reading [000000CC]
Thread 0000097C terminated, exit code C0000005 (-1073741819.)
Thread 00001B10 terminated, exit code C0000005 (-1073741819.)
Thread 000028A4 terminated, exit code C0000005 (-1073741819.)
Process terminated, exit code C0000005 (-1073741819.)


x64dbg
EXCEPTION_DEBUG_INFO:
dwFirstChance: 1
ExceptionCode: C0000005 (EXCEPTION_ACCESS_VIOLATION)
ExceptionFlags: 00000000
ExceptionAddress: 100029E5 cb.100029E5
NumberParameters: 2
ExceptionInformation[00]: 00000000 Read
ExceptionInformation[01]: 000000CC Inaccessible Address
First chance exception on 100029E5 (C0000005, EXCEPTION_ACCESS_VIOLATION)!
Thread 2140 exit
Thread 2AE8 exit
Thread 2298 exit
Process stopped with exit code 0xC0000005


dbg
olly
004036C3 Program entry point
Analysing dbg
77 heuristical procedures
2 calls to known, 50 calls to guessed functions
33 loops, 1 switches
Thread 00001640 terminated, exit code 0
Thread 000017B8 terminated, exit code 0
Thread 00002A5C terminated, exit code 0
77170000 Module C:\Windows\System32\IMM32.DLL
Debugging information (Microsoft format) available
Process terminated, exit code 0


x64dbg
Thread 12D8 exit
Thread 8DC exit
Process stopped with exit code 0x0

| Сообщение посчитали полезным: difexacaw



Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 11 сентября 2019 17:57 New!
Цитата · Личное сообщение · #14

отлаживать можно если сменить оеп на 00001E7C


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 11 сентября 2019 20:21 New!
Цитата · Личное сообщение · #15

Gideon Vi

Спс, а без отладчика сообщение выводит ?

Ранг: 23.2 (новичок)
Статус: Участник

Создано: 11 сентября 2019 21:42 New!
Цитата · Личное сообщение · #16

у меня на виртуалке 10 x64 1703 крякми и без отладчика падает

Ранг: -1.9 (нарушитель)
Статус: Участник

Создано: 11 сентября 2019 22:25 New!
Цитата · Личное сообщение · #17

user99 пишет:
у меня на виртуалке 10 x64 1703 крякми и без отладчика падает

половина примеров Нарвахи падает, кто сказал что этот К-Ми должен работать?


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 11 сентября 2019 22:26 New!
Цитата · Личное сообщение · #18

запускайте на пк с виндовс хп и вистой всё работать будет


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 11 сентября 2019 22:45 New!
Цитата · Личное сообщение · #19

Это не крэкми, а антидебаг к нему, я пока только это написал.

Походу на 8-ке тоже нестабильность. Во первых трабла с файловыми путями(под wow), надо изменить. Есчо по времени анстаб, это можно коэффициентами зафиксить. Есчо лог рвётся на turbothunk иногда(w8), может там фаулт.., короче нужно немного отладить и пофиксить.

Вот сурки кому интересно.

{ Атач доступен только для участников форума } - anti.7z


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 11 сентября 2019 22:51 New!
Цитата · Личное сообщение · #20

а кейгенми будет с этой антиотладкой ?
потому что крякми крякнется за 5 минут


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 11 сентября 2019 23:16 New!
Цитата · Личное сообщение · #21

SDK

Каким же образом ты это всё пройдёшь, кернел дебаг ?


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 11 сентября 2019 23:31 New!
Цитата · Личное сообщение · #22

скинь нормальный кейген ми чтоб была генерация sn От name там хоть интересно будет.
пройду старым способом отлаживая не запуская пейд rdg die cff hxd мне помогут.


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 11 сентября 2019 23:45 · Поправил: difexacaw New!
Цитата · Личное сообщение · #23

SDK

> пройду старым способом отлаживая

Так вот выше антидебаг, попробуй пройди

Если дебаг не запалился, по идеи должно вернуться три ключа, для дальнейшей дешифровки. А в конце антидебага идёт серия ядерных обратных вызовов гуя. Эти вызовы в юзермод нельзя отлаживать. Контекст потока хранится в ядре и не доступен в юм. Куда полетит управление не известно, а ключи так же в контексте ядерном хранятся. Есчо при этом сбрасывается TF и guard_page ядром. Варианта два - либо юзать виндебаг, либо как то дойти до NTCB и установить TF. Есть есчо третий вариант - сделать всё АП не исполняемым, но для этого придётся юзать и пилить сложные тулзы.


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 12 сентября 2019 00:00 New!
Цитата · Личное сообщение · #24

я его обошел прыжком оеп и уже можно смотреть тело дебагер не выбивает .
окно выскакивает из под отладчика.\поэтому антиотладка должна мне мешать достичь цели
надо сделать именно крекми чтоб задача была получить ключ для своего имени и там была эта антиотладка.\
задача решена после получения ключа или создания кг вот такое я бы хотел увидеть от вас.


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 12 сентября 2019 00:09 · Поправил: difexacaw New!
Цитата · Личное сообщение · #25

SDK

Какое есчо тело, там после отработки прямой вывод сообщения об успешной отработке. Ты его нашёл в статике, по импорту к примеру, а не дошел до него отлаживая.

> поэтому антиотладка должна мне мешать достичь цели

Так не пройдя антидебаг ты не получишь ключи к расшифровке тела/строк/etc и не найдёшь нужное место. В этом примере ссылок на вывод сообщения нет, адрес этой функции криптофункция от антидебаг в целом.


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 12 сентября 2019 00:38 New!
Цитата · Личное сообщение · #26

я незнаю я запустил оно выдало апп гуд
запустил в отладчике вылет ошибка доступа
нашел строку с месаджбоксом и сменил оеп на него
получил окно без заголовка апп но с гуд и правильным звуком\
и уже можно спокойно ковырятся отладчиком редактировать и сохранять дамп.
поэтому надо сделать вам именно крек ми и кейген ми
иначе upx мешает отладке сильнее.


Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 12 сентября 2019 00:45 New!
Цитата · Личное сообщение · #27

SDK

Я же говорил, это часть для будущего крэкми именно по антидебаг, а не крэкми с антидебаг

Это самая сложная, нэйтив как никак. Вот нужно это доработать, затем можно уже основную часть пилить.


Ранг: 127.8 (ветеран)
Статус: Участник

Создано: 12 сентября 2019 00:50 New!
Цитата · Личное сообщение · #28

понял будем ждать .


Ранг: 1120.2 (!!!!)
Статус: Участник

Создано: 12 сентября 2019 03:26 New!
Цитата · Личное сообщение · #29

difexacaw пишет:
Спс, а без отладчика сообщение выводит ?


cb просто завершается, dbg падает после запуска второго процесса



Ранг: 316.1 (мудрец)
Статус: Участник

Создано: 12 сентября 2019 12:02 New!
Цитата · Личное сообщение · #30

Gideon Vi

Попробуйте этот, лог идёт в файл.

{ Атач доступен только для участников форума } - test.7z


Ранг: 1120.2 (!!!!)
Статус: Участник

Создано: 12 сентября 2019 15:36 · Поправил: Gideon Vi New!
Цитата · Личное сообщение · #31

difexacaw

Setup.RPL 0x3
Setup.RPLDF
Setup.PeGetNativeBase 0x77A30000
NtGateInit.PTR 0x77AA0905
Setup.NtGateInit 0x77AA0905
Setup.ENV 0x00030000
Setup.NTCRC 0x2144DF1C
Setup.TLS 0x00560000
Setup.TsGet 0x00560000
TmInit.TmCreateTimer 0x0
TmInit.TmSetTimer 0x0
TmInit.TmAccessFile 0x0
TmInit.TmAccessFile 0x0
TmInit.TmNewObject 0x0
Setup.StkTrap 0xC0000353 STKCRC 0xBADC0DE
Setup.Key 0xE144DC4F
NtReTree.PeMapView 0x40000003
NtReTree.NTQUERY 0x0
NtReTree.NtFree 0x0
NtReTree.NtTree 0x1E2
NtReTree.NTUNMAP 0x0
Setup.STKCRC 0xBADC0DE
Setup.NtReTree 0x1E2
Setup.TrIsDebug 0xC0000353


далее вылет

olly
Setup.RPL 0x3
Setup.RPLDF
Setup.PeGetNativeBase 0x77A30000
NtGateInit.PTR 0x77AA0905
Setup.NtGateInit 0x77AA0905
Setup.ENV 0x02250000
Setup.NTCRC 0x2144DF1C
Setup.TLS 0x02280000
Setup.TsGet 0x02280000
TmInit.TmCreateTimer 0x0
TmInit.TmSetTimer 0x0
TmInit.TmAccessFile 0x18A440AA
Start.Setup 0x0


выход по exit code 0

| Сообщение посчитали полезным: difexacaw

<< . 1 . 2 . 3 . >>
 eXeL@B —› Крэки, обсуждения —› Крякми.

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS