Посл.ответ |
Сообщение |
Ранг: 0.4 (гость) Статус: Участник
|
Создано: 16 января 2018 00:48 · Поправил: alexbond01 New! Цитата · Личное сообщение · #1
Прошу подсказать, если можно. пытаюсь распаковать файл, упакован UPX 3.91, перебрал вроде все, до чего смог дойти самостоятельно. Еще усложняет то, что программа для x64. После всех моих попыток - результат неработоспособен. Может тут не все просто ? Спасибо за любую помощь и советы https://yadi.sk/d/L3mbvYMQ3RV6FR
| Сообщение посчитали полезным: ap0stol |
|
Ранг: 0.0 (гость) Статус: Участник
|
Создано: 16 января 2018 01:34 New! Цитата · Личное сообщение · #2
распаковывается самим upx https://github.com/upx/upx/releases/download/v3.94/upx394w.zip upx -d exe_name
|
Ранг: 0.4 (гость) Статус: Участник
|
Создано: 16 января 2018 01:52 · Поправил: alexbond01 New! Цитата · Личное сообщение · #3
да, upx я первым делом проверил. после этого программа не работает
|
 Ранг: 1973.6 (!!!!) Статус: Модератор retired
|
Создано: 16 января 2018 11:38 New! Цитата · Личное сообщение · #4
Не работает-это не значит, что неудачно распакована. Может проверки стоят на анпак. Брать и разбираться, иначе топик-кандидат на закрытие.
|
Ранг: 373.4 (мудрец) Статус: Участник "Тибериумный реверсинг"
|
Создано: 16 января 2018 12:13 New! Цитата · Личное сообщение · #5
Archer пишет: Может проверки стоят на анпак. Програ сама по себе специфическая - с вагоном криптоалго (OpenSSL 1.1.0g 2 Nov 2017) некоторые инструкции на свежих процах только перевариваются:
приставка bnd
всякие:
+ NVIDIA Cuda SDK
|
Ранг: 0.4 (гость) Статус: Участник
|
Создано: 16 января 2018 16:19 New! Цитата · Личное сообщение · #6
Archer пишет: Может проверки стоят на анпак Тогда она должна после обратной запаковки снова работать ? (нет, не работает)
|
 Ранг: 1973.6 (!!!!) Статус: Модератор retired
|
Создано: 16 января 2018 16:26 New! Цитата · Личное сообщение · #7
Нет, не обязательно должна работать. Может хватит гадать и уже листинги и наработки в студию?
|
Ранг: 95.7 (постоянный) Статус: Участник
|
Создано: 16 января 2018 16:28 New! Цитата · Личное сообщение · #8
alexbond01 пишет: Тогда она должна после обратной запаковки снова работать ? (нет, не работает)  Вот это хохма. С какой вообще стати ? Там проверка целостности сделана на запакованный вариант, потому и не работает после распаковки. Может проверяться размер, какая-то структура внутренняя.
|
Ранг: 373.4 (мудрец) Статус: Участник "Тибериумный реверсинг"
|
Создано: 16 января 2018 16:39 New! Цитата · Личное сообщение · #9
alexbond01 пишет: Тогда она должна после обратной запаковки снова работать ? Нет, не должна! Хотя бы по именам секций это можно увидеть - уже другой PE-хидер будет: В оригинальном варианте zm_dist.exe названия секций
UPX, по дефолту
|
Ранг: 9.7 (гость) Статус: Участник
|
Создано: 16 января 2018 23:23 · Поправил: Adler New! Цитата · Личное сообщение · #10
ELF_7719116, а вы какой версией UPX жали? Скачал 3.91w, распаковал им и этот же распакованный файл с разными параметрами (--brute, --lzma, --best, -9, их комбинация и без доп параметров ). Во всех случаях названия секций такие же как и у оригинального сжатого файла, но размер файла во всех случаях отличный от оригинала. Возможно изначально файл сжимали с какими то "редкими" параметрами (типа --filter=...) или специально как то модифицировали. Разбираться в хедере лень.
|
Ранг: 390.7 (мудрец) Статус: Участник
|
Создано: 16 января 2018 23:41 · Поправил: dosprog New! Цитата · Личное сообщение · #11
Adler пишет: Разбираться в хедере лень. И не нужно. Угадывать - это зря потраченное время. Его никто не вернёт
Алгоритм такой - если хватает времени, сил и желания, тогда разбираемся. Нет - откладываем на потом [которое, правда, может и не наступить].
Это работает.
Добавлено спустя 12 минут alexbond01 пишет: Тогда она должна после обратной запаковки снова работать ?
Такое будет работать, только если стоит проверка на запакованность путём сравнения размера файла с каким-то экспериментально выбранным числом. Такое случается редко, в чистом виде тем более.
|