eXeLab
eXeL@B ВИДЕОКУРС !

ВИДЕОКУРС ВЗЛОМ
выпущен 28 января!


УЗНАТЬ БОЛЬШЕ >>
Домой | Статьи | RAR-cтатьи | FAQ | Форум | Скачать | Видеокурс
Новичку | Ссылки | Программирование | Интервью | Архив | Связь

Русский / Russian English / Английский

Сейчас на форуме: (+1 невидимый пользователь)
 · Начало · Статистика · Регистрация · Поиск · ПРАВИЛА ФОРУМА · Язык · RSS · SVN ·

 eXeL@B —› Вопросы новичков —› Найти точку остановки и исправить
Посл.ответ Сообщение

Ранг: 1.3 (гость)
Статус: Участник

Создано: 4 августа 2018 12:54 · Поправил: sarsmen New!
Цитата · Личное сообщение · #1

Помогите найти точку остановки программы и убрать дату по которой программа перестаёт работать, хочу понять для себя как это крэкнуть и где. Программа работает с 25.07.2018 - 5 дней потом не запускается



{ Атач доступен только для участников форума } - bild.rar


Ранг: 86.2 (постоянный)
Статус: Участник

Создано: 4 августа 2018 13:05 · Поправил: SDK New!
Цитата · Личное сообщение · #2

крякми)

Добавлено спустя 21 минуту
пропатчил на сегодня) за 10 секунд, не имея отладчика даже,работает с 04.08.2018 по 09. смотри по сигнатуре 481146000030342E30382E3230313800 в отладчике будет как то так:

Code:
  1. 0040****     48             DEC EAX
  2. 0040****     1146 00        ADC DWORD PTR DS:[ESI],EAX
  3. 0040****    0030           ADD BYTE PTR DS:[EAX],DH
  4. 0040****     34 2E          XOR AL,2E
  5. 0040****      3038           XOR BYTE PTR DS:[EAX],BH
  6. 0040****     2E:3230        XOR DH,BYTE PTR CS:[EAX]
  7. 0040****      3138           XOR DWORD PTR DS:[EAX],EDI
  8. 0040****    0090 90909090  ADD BYTE PTR DS:[EAX+90909090],DL


сам поищи или через апи обращения к системной дате

Добавлено спустя 22 минуты
{ Атач доступен только для участников форума } - bild.zip

Ранг: 1.3 (гость)
Статус: Участник

Создано: 4 августа 2018 13:54 · Поправил: sarsmen New!
Цитата · Личное сообщение · #3

я так ничерта не понимаю, можно как то на примере это показать новичку небольшую гифку снять.
и как по апи смотреть я не догоняю пока в этих дебагерах как глядеть и скать и фиксить, пример было бы не плохо.


Ранг: 577.9 (!)
Статус: Модератор
Research & Development

Создано: 4 августа 2018 14:35 New!
Цитата · Личное сообщение · #4

sarsmen
Смотри обучающие видео, читай туторы. Если будешь задавать вопросы без самостоятельной работы, то тебе не сюда.

Статьи
Перевод - Введение в реверсинг с нуля, используя IDA PRO.

Ранг: 10.1 (новичок)
Статус: Участник

Создано: 4 августа 2018 15:46 New!
Цитата · Личное сообщение · #5

sarsmen
Загляни в личку.

Добавлено спустя 1 час 18 минут
sarsmen
В твоём случае дата,от которой ведётся отсчёт дней использования,жёстко вшита в файл программы и может быть найдена и отредактирована в любом Hex-редакторе...вот,например так.

{ Атач доступен только для участников форума } - data.JPG

Ранг: 1.3 (гость)
Статус: Участник

Создано: 4 августа 2018 18:35 · Поправил: sarsmen New!
Цитата · Личное сообщение · #6

я уже это увидел, но есть программы тоже вшито в файл но дату не найти как её найти и отредактировать


Ранг: 577.9 (!)
Статус: Модератор
Research & Development

Создано: 4 августа 2018 18:38 New!
Цитата · Личное сообщение · #7

sarsmen
Повторяю для ленивых, но упорных:
либо ты демонстрируешь результаты самостоятельной работы, либо двигай в запросы:
--> Запросы на взлом программ <--
--> Поиск специалистов <--

Ранг: 1.3 (гость)
Статус: Участник

Создано: 5 августа 2018 11:32 · Поправил: sarsmen New!
Цитата · Личное сообщение · #8

Закинул в Олю получил
Code:
  1. 004012A0 > $  83EC 1C       SUB ESP,1C
  2. 004012A3   .  C70424 020000>MOV DWORD PTR SS:[ESP],2
  3. 004012AA   .  FF15 D0714000 CALL NEAR DS:[<&msvcrt.__set_app_type>]  ; msvcrt.__set_app_type
  4. 004012B0   .  E8 4BFDFFFF   CALL soft.00401000

Дохожу до адреса 004012B0 по F8
нажимаю F7 перекидывает в
Code:
  1. 00401000  /$  53            PUSH EBX
  2. 00401001  |.  83EC 38       SUB ESP,38
  3. 00401004  |.  A1 6C414000   MOV EAX,DS:[40416C]
  4. 00401009  |.  85C0          TEST EAX,EAX
  5. 0040100B  |.  74 1C         JE SHORT soft.00401029
  6. 0040100D  |.  C74424 08 000>MOV DWORD PTR SS:[ESP+8],0
  7. 00401015  |.  C74424 04 020>MOV DWORD PTR SS:[ESP+4],2
  8. 0040101D  |.  C70424 000000>MOV DWORD PTR SS:[ESP],0
  9. 00401024  |.  FFD0          CALL NEAR EAX
  10. 00401026  |.  83EC 0C       SUB ESP,0C
  11. 00401029  |>  C70424 101140>MOV DWORD PTR SS:[ESP],soft.00401110      ; |
  12. 00401030  |.  E8 2F140000   CALL <JMP.&KERNEL32.SetUnhandledExceptio>; \SetUnhandledExceptionFilter
  13. 00401035  |.  83EC 04       SUB ESP,4
  14. 00401038  |.  E8 73150000   CALL soft.004025B0
  15. 0040103D  |.  E8 4E160000   CALL soft.00402690
  16. 00401042  |.  8D4424 2C     LEA EAX,SS:[ESP+2C]
  17. 00401046  |.  894424 10     MOV SS:[ESP+10],EAX
  18. 0040104A  |.  A1 28304000   MOV EAX,DS:[403028]
  19. 0040104F  |.  C74424 04 006>MOV DWORD PTR SS:[ESP+4],soft.00406000
  20. 00401057  |.  C70424 046040>MOV DWORD PTR SS:[ESP],soft.00406004
  21. 0040105E  |.  C74424 2C 000>MOV DWORD PTR SS:[ESP+2C],0
  22. 00401066  |.  894424 0C     MOV SS:[ESP+C],EAX
  23. 0040106A  |.  8D4424 28     LEA EAX,SS:[ESP+28]
  24. 0040106E  |.  894424 08     MOV SS:[ESP+8],EAX
  25. 00401072  |.  E8 751C0000   CALL <JMP.&msvcrt.__getmainargs>
  26. 00401077  |.  A1 90634000   MOV EAX,DS:[406390]                      ; |||
  27. 0040107C  |.  85C0          TEST EAX,EAX                             ; |||
  28. 0040107E  |.  74 42         JE SHORT soft.004010C2                    ; |||
  29. 00401080  |.  8B1D D8714000 MOV EBX,DS:[<&msvcrt._iob>]              ; |||msvcrt._iob
  30. 00401086  |.  A3 2C304000   MOV DS:[40302C],EAX                      ; |||
  31. 0040108B  |.  894424 04     MOV SS:[ESP+4],EAX                       ; |||
  32. 0040108F  |.  8B43 10       MOV EAX,DS:[EBX+10]                      ; |||
  33. 00401092  |.  890424        MOV SS:[ESP],EAX                         ; |||
  34. 00401095  |.  E8 5A1C0000   CALL <JMP.&msvcrt._setmode>              ; ||\_setmode
  35. 0040109A  |.  A1 90634000   MOV EAX,DS:[406390]                      ; ||
  36. 0040109F  |.  894424 04     MOV SS:[ESP+4],EAX                       ; ||
  37. 004010A3  |.  8B43 30       MOV EAX,DS:[EBX+30]                      ; ||
  38. 004010A6  |.  890424        MOV SS:[ESP],EAX                         ; ||
  39. 004010A9  |.  E8 461C0000   CALL <JMP.&msvcrt._setmode>              ; |\_setmode
  40. 004010AE  |.  A1 90634000   MOV EAX,DS:[406390]                      ; |
  41. 004010B3  |.  894424 04     MOV SS:[ESP+4],EAX                       ; |
  42. 004010B7  |.  8B43 50       MOV EAX,DS:[EBX+50]                      ; |
  43. 004010BA  |.  890424        MOV SS:[ESP],EAX                         ; |
  44. 004010BD  |.  E8 321C0000   CALL <JMP.&msvcrt._setmode>              ; \_setmode
  45. 004010C2  |>  E8 351C0000   CALL <JMP.&msvcrt.__p__fmode>
  46. 004010C7  |.  8B15 2C304000 MOV EDX,DS:[40302C]
  47. 004010CD  |.  8910          MOV DS:[EAX],EDX
  48. 004010CF  |.  E8 3C170000   CALL soft.00402810
  49. 004010D4  |.  83E4 F0       AND ESP,FFFFFFF0
  50. 004010D7  |.  E8 94190000   CALL soft.00402A70
  51. 004010DC  |.  E8 231C0000   CALL <JMP.&msvcrt.__p__environ>
  52. 004010E1  |.  8B00          MOV EAX,DS:[EAX]
  53. 004010E3  |.  894424 08     MOV SS:[ESP+8],EAX
  54. 004010E7  |.  A1 00604000   MOV EAX,DS:[406000]
  55. 004010EC  |.  894424 04     MOV SS:[ESP+4],EAX
  56. 004010F0  |.  A1 04604000   MOV EAX,DS:[406004]
  57. 004010F5  |.  890424        MOV SS:[ESP],EAX
  58. 004010F8  |.  E8 D31C0000   CALL soft.00402DD0
  59. 004010FD  |.  89C3          MOV EBX,EAX                              ; |
  60. 004010FF  |.  E8 081C0000   CALL <JMP.&msvcrt._cexit>                ; |[msvcrt._cexit
  61. 00401104  |.  891C24        MOV SS:[ESP],EBX                         ; |
  62. 00401107  \.  E8 60130000   CALL <JMP.&KERNEL32.ExitProcess>         ; \ExitProcess

Где тут копать?


Ранг: 138.9 (ветеран)
Статус: Участник

Создано: 5 августа 2018 11:40 · Поправил: f13nd New!
Цитата · Личное сообщение · #9

sarsmen пишет:
Где тут копать?

Тебе ж всё уже показали в картинках.
Ищешь проверку даты, ну так и ищи ее выборку, а не по main функции катайся (search for - intermodular calls):
Code:
  1. 00413A90                                         /$  83C4 E0     ADD ESP,-20
  2. 00413A93                                         |.  8D4424 08   LEA EAX,[ESP+8]
  3. 00413A97                                         |.  50          PUSH EAX                                           ; /pSystemtime
  4. 00413A98                                         |.  E8 3FC60400 CALL <JMP.&KERNEL32.GetLocalTime> 
  5. 00413A9D                                         |.  66:8B4C24 0 MOV CX,WORD PTR SS:[ESP+0E]
  6. 00413AA2                                         |.  66:8B5424 0 MOV DX,WORD PTR SS:[ESP+0A]
  7. 00413AA7                                         |.  66:8B4424 0 MOV AX,WORD PTR SS:[ESP+8]
  8. 00413AAC                                         |.  E8 1BFEFFFF CALL 004138CC
Code:
  1. 004138CC                                         /$  53          PUSH EBX
  2. 004138CD                                         |.  56          PUSH ESI
  3. 004138CE                                         |.  57          PUSH EDI
  4. 004138CF                                         |.  83C4 F8     ADD ESP,-8
  5. 004138D2                                         |.  8BF9        MOV EDI,ECX
  6. 004138D4                                         |.  8BF2        MOV ESI,EDX
  7. 004138D6                                         |.  8BD8        MOV EBX,EAX
  8. 004138D8                                         |.  54          PUSH ESP 
  9. 004138D9                                         |.  8BCF        MOV ECX,EDI 
  10. 004138DB                                         |.  8BD6        MOV EDX,ESI
  11. 004138DD                                         |.  8BC3        MOV EAX,EBX
  12. 004138DF                                         |.  E8 20FFFFFF CALL 00413804;хункция проверки даты
  13. 004138E4                                         |.  84C0        TEST AL,AL;тру/не тру?
  14. 004138E6                                         |.  75 0A       JNZ SHORT 004138F2;занопай тут, увидишь "ура"

Вообще кракмисы имеют свойство не быть похожими ни на что, что ты увидишь на практике. Какой смысл в них ковыряться хз. Изучай защищенный режим и формат PE, получи хотя бы базовые знания о том какие есть API и зачем. Подковыринг лицензионных защит никак тебе в жизни не пригодится и изучать его как в школе по учебникам и тренажерам по-моему смысла нет. А если для души, ну так и ищи решение сам, так хотя бы интересно будет.
 eXeL@B —› Вопросы новичков —› Найти точку остановки и исправить

Оригинальный DVD-ROM: eXeL@B DVD !

Вы находитесь на форуме сайта EXELAB.RU
Проект ReactOS