eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 12 ноября!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме:
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Вопросы новичков —› не могу распаковать UPX
Посл.ответ Сообщение

Ранг: 0.4 (гость)
Статус: Участник

Создано: 16 января 2018 00:48 · Поправил: alexbond01 New!
Цитата · Личное сообщение · #1

Прошу подсказать, если можно.
пытаюсь распаковать файл, упакован UPX 3.91, перебрал вроде все, до чего смог дойти самостоятельно. Еще усложняет то, что программа для x64. После всех моих попыток - результат неработоспособен. Может тут не все просто ? Спасибо за любую помощь и советы

https://yadi.sk/d/L3mbvYMQ3RV6FR

| Сообщение посчитали полезным: ap0stol


Ранг: 0.0 (гость)
Статус: Участник

Создано: 16 января 2018 01:34 New!
Цитата · Личное сообщение · #2

распаковывается самим upx https://github.com/upx/upx/releases/download/v3.94/upx394w.zip
upx -d exe_name

Ранг: 0.4 (гость)
Статус: Участник

Создано: 16 января 2018 01:52 · Поправил: alexbond01 New!
Цитата · Личное сообщение · #3

да, upx я первым делом проверил. после этого программа не работает


Ранг: 1964.0 (!!!!)
Статус: Модератор
retired

Создано: 16 января 2018 11:38 New!
Цитата · Личное сообщение · #4

Не работает-это не значит, что неудачно распакована. Может проверки стоят на анпак. Брать и разбираться, иначе топик-кандидат на закрытие.

Ранг: 366.5 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 16 января 2018 12:13 New!
Цитата · Личное сообщение · #5

Archer пишет:
Может проверки стоят на анпак.

Програ сама по себе специфическая - с вагоном криптоалго (OpenSSL 1.1.0g 2 Nov 2017)
некоторые инструкции на свежих процах только перевариваются:
Code:
  1. sha256msg1 xmm3, xmm4
  2. sha256rnds2 xmm1, xmm2

приставка bnd
Code:
  1. bnd jnz 0x000000013FCB5521

всякие:
Code:
  1. xgetbv
  2. rdrand rax
  3. rdseed r10

+ NVIDIA Cuda SDK

Ранг: 0.4 (гость)
Статус: Участник

Создано: 16 января 2018 16:19 New!
Цитата · Личное сообщение · #6

Archer пишет:
Может проверки стоят на анпак

Тогда она должна после обратной запаковки снова работать ? (нет, не работает)


Ранг: 1964.0 (!!!!)
Статус: Модератор
retired

Создано: 16 января 2018 16:26 New!
Цитата · Личное сообщение · #7

Нет, не обязательно должна работать.
Может хватит гадать и уже листинги и наработки в студию?

Ранг: 95.7 (постоянный)
Статус: Участник

Создано: 16 января 2018 16:28 New!
Цитата · Личное сообщение · #8

alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ? (нет, не работает)

Вот это хохма. С какой вообще стати ? Там проверка целостности сделана на запакованный вариант, потому и не работает после распаковки. Может проверяться размер, какая-то структура внутренняя.

Ранг: 366.5 (мудрец)
Статус: Участник
"Тибериумный реверсинг"

Создано: 16 января 2018 16:39 New!
Цитата · Личное сообщение · #9

alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ?

Нет, не должна! Хотя бы по именам секций это можно увидеть - уже другой PE-хидер будет:
В оригинальном варианте zm_dist.exe названия секций
Code:
  1. "UPX0"
  2. "UPX1"
  3. "UPX2"

UPX, по дефолту
Code:
  1. "UPX0"
  2. "UPX1"
  3. ".rsrc"

Ранг: 9.7 (гость)
Статус: Участник

Создано: 16 января 2018 23:23 · Поправил: Adler New!
Цитата · Личное сообщение · #10

ELF_7719116, а вы какой версией UPX жали?
Скачал 3.91w, распаковал им и этот же распакованный файл с разными параметрами (--brute, --lzma, --best, -9, их комбинация и без доп параметров ). Во всех случаях названия секций такие же как и у оригинального сжатого файла, но размер файла во всех случаях отличный от оригинала. Возможно изначально файл сжимали с какими то "редкими" параметрами (типа --filter=...) или специально как то модифицировали. Разбираться в хедере лень.

Ранг: 382.5 (мудрец)
Статус: Участник

Создано: 16 января 2018 23:41 · Поправил: dosprog New!
Цитата · Личное сообщение · #11

Adler пишет:
Разбираться в хедере лень.

И не нужно. Угадывать - это зря потраченное время.
Его никто не вернёт

Алгоритм такой - если хватает времени, сил и желания, тогда разбираемся.
Нет - откладываем на потом [которое, правда, может и не наступить].

Это работает.



Добавлено спустя 12 минут
alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ?


Такое будет работать, только если стоит проверка на запакованность
путём сравнения размера файла с каким-то экспериментально выбранным числом.
Такое случается редко, в чистом виде тем более.

 eXeL@B —› Вопросы новичков —› не могу распаковать UPX

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS