ВИДЕОКУРС ВЗЛОМ
выпущен 8 мая!

Прошу подсказать, если можно.
пытаюсь распаковать файл, упакован UPX 3.91, перебрал вроде все, до чего смог дойти самостоятельно. Еще усложняет то, что программа для x64. После всех моих попыток - результат неработоспособен. Может тут не все просто ? Спасибо за любую помощь и советы

https://yadi.sk/d/L3mbvYMQ3RV6FR

| Сообщение посчитали полезным: ap0stol

распаковывается самим upx https://github.com/upx/upx/releases/download/v3.94/upx394w.zip
upx -d exe_name

да, upx я первым делом проверил. после этого программа не работает

Не работает-это не значит, что неудачно распакована. Может проверки стоят на анпак. Брать и разбираться, иначе топик-кандидат на закрытие.

Archer пишет:
Может проверки стоят на анпак.
Програ сама по себе специфическая - с вагоном криптоалго (OpenSSL 1.1.0g 2 Nov 2017)
некоторые инструкции на свежих процах только перевариваются:

приставка bnd

всякие:

+ NVIDIA Cuda SDK

Archer пишет:
Может проверки стоят на анпак
Тогда она должна после обратной запаковки снова работать ? (нет, не работает)

Нет, не обязательно должна работать.
Может хватит гадать и уже листинги и наработки в студию?

alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ? (нет, не работает)
Вот это хохма. С какой вообще стати ? Там проверка целостности сделана на запакованный вариант, потому и не работает после распаковки. Может проверяться размер, какая-то структура внутренняя.

alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ?
Нет, не должна! Хотя бы по именам секций это можно увидеть - уже другой PE-хидер будет:
В оригинальном варианте zm_dist.exe названия секций

UPX, по дефолту

ELF_7719116, а вы какой версией UPX жали?
Скачал 3.91w, распаковал им и этот же распакованный файл с разными параметрами (--brute, --lzma, --best, -9, их комбинация и без доп параметров ). Во всех случаях названия секций такие же как и у оригинального сжатого файла, но размер файла во всех случаях отличный от оригинала. Возможно изначально файл сжимали с какими то "редкими" параметрами (типа --filter=...) или специально как то модифицировали. Разбираться в хедере лень.

Adler пишет:
Разбираться в хедере лень.

И не нужно. Угадывать - это зря потраченное время.
Его никто не вернёт

Алгоритм такой - если хватает времени, сил и желания, тогда разбираемся.
Нет - откладываем на потом [которое, правда, может и не наступить].

Это работает.



Добавлено спустя 12 минут
alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ?


Такое будет работать, только если стоит проверка на запакованность
путём сравнения размера файла с каким-то экспериментально выбранным числом.
Такое случается редко, в чистом виде тем более.