ВИДЕОКУРС ВЗЛОМ
выпущен 28 января!

Прошу подсказать, если можно.
пытаюсь распаковать файл, упакован UPX 3.91, перебрал вроде все, до чего смог дойти самостоятельно. Еще усложняет то, что программа для x64. После всех моих попыток - результат неработоспособен. Может тут не все просто ? Спасибо за любую помощь и советы

https://yadi.sk/d/L3mbvYMQ3RV6FR

| Сообщение посчитали полезным: ap0stol

распаковывается самим upx https://github.com/upx/upx/releases/download/v3.94/upx394w.zip
upx -d exe_name

да, upx я первым делом проверил. после этого программа не работает

Не работает-это не значит, что неудачно распакована. Может проверки стоят на анпак. Брать и разбираться, иначе топик-кандидат на закрытие.

Archer пишет:
Может проверки стоят на анпак.
Програ сама по себе специфическая - с вагоном криптоалго (OpenSSL 1.1.0g 2 Nov 2017)
некоторые инструкции на свежих процах только перевариваются:

приставка bnd

всякие:

+ NVIDIA Cuda SDK

Archer пишет:
Может проверки стоят на анпак
Тогда она должна после обратной запаковки снова работать ? (нет, не работает)

Нет, не обязательно должна работать.
Может хватит гадать и уже листинги и наработки в студию?

alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ? (нет, не работает)
Вот это хохма. С какой вообще стати ? Там проверка целостности сделана на запакованный вариант, потому и не работает после распаковки. Может проверяться размер, какая-то структура внутренняя.

alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ?
Нет, не должна! Хотя бы по именам секций это можно увидеть - уже другой PE-хидер будет:
В оригинальном варианте zm_dist.exe названия секций

UPX, по дефолту

ELF_7719116, а вы какой версией UPX жали?
Скачал 3.91w, распаковал им и этот же распакованный файл с разными параметрами (--brute, --lzma, --best, -9, их комбинация и без доп параметров ). Во всех случаях названия секций такие же как и у оригинального сжатого файла, но размер файла во всех случаях отличный от оригинала. Возможно изначально файл сжимали с какими то "редкими" параметрами (типа --filter=...) или специально как то модифицировали. Разбираться в хедере лень.

Adler пишет:
Разбираться в хедере лень.

И не нужно. Угадывать - это зря потраченное время.
Его никто не вернёт

Алгоритм такой - если хватает времени, сил и желания, тогда разбираемся.
Нет - откладываем на потом [которое, правда, может и не наступить].

Это работает.



Добавлено спустя 12 минут
alexbond01 пишет:
Тогда она должна после обратной запаковки снова работать ?


Такое будет работать, только если стоит проверка на запакованность
путём сравнения размера файла с каким-то экспериментально выбранным числом.
Такое случается редко, в чистом виде тем более.