Сейчас на форуме: (+5 невидимых)

 [email protected] —› Протекторы —› Анализ ASProtect
<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 38 . 39 . >>
Посл.ответ Сообщение

Ранг: 329.6 (мудрец), 192thx
Активность: 0.140.01
Статус: Участник

Создано: 28 марта 2008 15:30 · Поправил: vnekrilov
· Личное сообщение · #1

Я выложил свой первый туториал по анализу ASProtect v2.4 build 12.20 (Анализ подпрограммы эмуляции инструкций.rar http://dump.ru/files/o/o489862518/ ). В этом туториале я подробно описал процесс восстановления эмулированных инструкций типа:
Code:
  1. PUSH 0
  2. PUSH 0CC5850
  3. PUSH 0DB180C
  4. CALL 00CEB814


Полный цикл статей по распаковке ASProtect (Актуальная версия 25 декабря 2009):
ASProtect_Unpacking_Tutorial_2009-12-25.rar http://rapidshare.com/files/325720799/ASProtect_Unpacking_Tutorial_2009-12-25.rar 7,9 МБ
Программы, рассматриваемые в статьях:
ASProtect_Unpacking_Apps_2009-12-25.rar http://rapidshare.com/files/325718084/ASProtect_Unpacking_Apps_2009-12-25.rar 22,2 МБ

Буду благодарен за критику, замечания, пожелания и отзывы.

Скрипты:
Текущая рекомендуемая версия ODBGScript [1.78.3]:
ecf1_03.06.2010_CRACKLAB.rU.tgz - ODbgScript.dll

Последний текущий комплект скриптов [от 19 февраля 2011]:
69ca_18.02.2011_CRACKLAB.rU.tgz - Скрипты для распаковки Asprotect от 19 февраля 2011.rar

Статьи по частям:
Актуальная версия статей [Последняя - 25.11.2010]:
Выпуск 2
0754_29.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 1
2844_29.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 2
8e06_30.11.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 3
50a0_03.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 4
1b51_05.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 5
0ff8_05.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 5 (продолжение)
a182_06.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 6
82b8_15.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 7
74e4_16.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 8
b2e1_17.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 9
532c_18.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 10
76af_20.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 11
fe67_22.12.2009_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 12
079c_20.01.2010_CRACKLAB.rU.tgz - Распаковка ASProtect - Часть 13
8415_03.06.2010_CRACKLAB.rU.tgz - Распаковка Asprotect - Часть 14
0a66_18.02.2011_CRACKLAB.rU.tgz - Распаковка Asprotect - Части 15 и 16

DriEm конвертировал мой цикл статей в формате PDF, который можно скачать по ссылке --> Link <--



Ранг: 500.5 (!), 8thx
Активность: 0.230
Статус: Участник

Создано: 20 мая 2008 16:01
· Личное сообщение · #2

vnekrilov пишет:
Подсчет CRC проводится с помощью подпрограммы, которая имеет указанный мной вид в заголовке топика

Т.е. вм используется в т.ч. для расчёта crc, это что то новое, давай разбор, интересно

vnekrilov пишет:
А нельзя ли им поделиться?

можно, залью как домой вернусь с работы.

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels




Ранг: 500.5 (!), 8thx
Активность: 0.230
Статус: Участник

Создано: 20 мая 2008 17:50
· Личное сообщение · #3

ASProtect 1.41 build 02.26 Beta
=========================================
- Fixed crash during inital registration keys generation on DEP-enabled systems
* Legacy Hardware Ids are no longer accepted

hxxp://rapidshare.com/files/116289212/setup.rar.html

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels





Ранг: 312.0 (мудрец), 349thx
Активность: 0.460.65
Статус: Участник
Advisor

Создано: 21 мая 2008 01:07
· Личное сообщение · #4

vnekrilov пишет:
где с помощью CRC вычисляется offset в AsProtect.dll, который указывает, откуда должно быть продолжено выполнение программы.

Хз.может rdtsc заюзали, ща это модно
//Ваща молодец, настойчиво долбишь...

-----
Чтобы юзер в нэте не делал,его всё равно жалко..




Ранг: 218.5 (наставник), 2thx
Активность: 0.090
Статус: Участник

Создано: 21 мая 2008 02:01 · Поправил: 0xy
· Личное сообщение · #5

Smon пишет:
ASProtect 1.41 build 02.26 Beta

Product Version : 1.4 build 02.26 Beta

4t
Выложи, плииз ASProtect 1.4.build 11.20 Release




Ранг: 793.4 (! !), 568thx
Активность: 0.740
Статус: Участник
Шаман

Создано: 21 мая 2008 05:20
· Личное сообщение · #6

Gideon Vi пишет:
Насколько я вижу, в эбауте версия v2.4 build 02.26, да и утиль для определения вресии выдаёт этот билд.

Угу они уже давно забили на обновление эбаута и других подобных вещей, версию можно узнать только на форуме.

vnekrilov пишет:
Но имеется еще две очень интересные проверки, где с помощью CRC вычисляется offset в AsProtect.dll, который указывает, откуда должно быть продолжено выполнение программы.

Эта проверка давно уже в аспре, когда она появилась виртуальной машины еще не было, сейчас просто она более качественная. Кто часто инлайнит разные версии аспра, тот знает про нее. Еще алекс писал что нужно восстанавливать хуки при инлайне, это как раз чтобы эта проверка не сработала.

Bronco пишет:
Хз.может rdtsc заюзали, ща это модно

Применяли в 2х билдах беток, потом убрали. В аспре только самые надежные методы.

-----
Yann Tiersen best and do not fuck




Ранг: 38.3 (посетитель)
Активность: 0.020
Статус: Участник

Создано: 21 мая 2008 07:13
· Личное сообщение · #7

0xy
Держи, версия отломана и накрыта темидой.
rapidshare.com/files/116411187/ASProtect.v1.4.build.11.20.7z



Ранг: 210.5 (наставник), 2thx
Активность: 0.140
Статус: Участник

Создано: 21 мая 2008 13:19 · Поправил: arnix
· Личное сообщение · #8

Spirit пишет:
Если не тяжко, залей плиз все.


4t пишет:
Если не тяжко, и вправду залей все.


[см. след. пост (thanx tempread)] [86 MB]

UGFzc3dvcmQ6IHN5bjlvMzI3biYoXk5EZGY5Nw==



Ранг: 159.1 (ветеран), 7thx
Активность: 0.130
Статус: Участник

Создано: 21 мая 2008 13:58
· Личное сообщение · #9

arnix пишет:
кто-нибудь добрый и с хорошим каналом, скачайте и залейте на обменник

UGFzc3dvcmQ6IHN5bjlvMzI3biYoXk5EZGY5Nw== http://upload.com.ua/link/900250883




Ранг: 111.0 (ветеран), 2thx
Активность: 0.090
Статус: Участник

Создано: 21 мая 2008 19:33
· Личное сообщение · #10

4t а пасс какой?

-----
Ламер - не профессия :))





Ранг: 271.6 (наставник), 2thx
Активность: 0.30
Статус: Участник

Создано: 21 мая 2008 23:35
· Личное сообщение · #11

aspirin
ты недостоен распаковать архив, если незнаешь пароль

-----
iNTERNATiONAL CoDE CReW





Ранг: 213.0 (наставник), 4thx
Активность: 0.220
Статус: Участник
Тот ещё Lamer

Создано: 21 мая 2008 23:49
· Личное сообщение · #12

а есть без версия без темиды? а то он очень уж долго запускается... =/ иногда ваще в бсод улетате... =(

-----
Do Not Get Mad Get Money! ;)




Ранг: 38.3 (посетитель)
Активность: 0.020
Статус: Участник

Создано: 22 мая 2008 00:35
· Личное сообщение · #13

arnix
Спасиб.

Spirit


Talula
Ты про версию 1.4.build.11.20? У меня нету.

Шутники блин, отломают прот, прилепят своё имя, чем-нибудь жестким накроют, потом кто-нибудь веселый уже эту бодягу отломает ... и так по кругу, весело




Ранг: 213.0 (наставник), 4thx
Активность: 0.220
Статус: Участник
Тот ещё Lamer

Создано: 22 мая 2008 00:37
· Личное сообщение · #14

и про 1.4 и про 2.4... оба сцуко тяжёлые для загрузки... =(

-----
Do Not Get Mad Get Money! ;)




Ранг: 38.3 (посетитель)
Активность: 0.020
Статус: Участник

Создано: 22 мая 2008 16:01 · Поправил: 4t
· Личное сообщение · #15

Del



Ранг: 329.6 (мудрец), 192thx
Активность: 0.140.01
Статус: Участник

Создано: 27 мая 2008 06:37 · Поправил: vnekrilov
· Личное сообщение · #16

Сегодня, на http://www.sendspace.com/file/fv551r http://www.sendspace.com/file/fv551r я выложил небольшую статью, в которой я описал антиотладку, восстановление эмулированных подпрограмм и прохождение на SBOEP для программы Asprotect v2.41 build 02.26. К этой статье приложены два скрипта, для прохождения на SBOEP и восстановления эмулированных подпрограмм. Если будет интересным восстановление таблиц INIT и IAT, Stolen Bytes, закриптованных участков кода, то я могу продолжить подготовку таких статей.

Буду признателен за критику, замечания и пожелания.



Ранг: 500.5 (!), 8thx
Активность: 0.230
Статус: Участник

Создано: 27 мая 2008 08:13
· Личное сообщение · #17

vnekrilov пишет:
"Как обычно, загружаем программу в отладчик, и нажимаем клавишу F9, чтобы запустить программу. Программа, с этими настройками нормально запускается в отладчике. Однако, при установке опции “Protect DRx”, получаем следующее сообщение:"

Скорее всего анализировался взломанный аспр, попробуй проанализировать оригинальный, там этого нет, потому как патч использует DR0 регистр.
PS: Для точного определения версии лучше всего использовать не peid'ы и не RDG Packer Detector'ы, а программку ASPRInf от nik0g0r'а.

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels




Ранг: 329.6 (мудрец), 192thx
Активность: 0.140.01
Статус: Участник

Создано: 27 мая 2008 08:36
· Личное сообщение · #18

Smon пишет:
Скорее всего анализировался взломанный аспр, попробуй проанализировать оригинальный, там этого нет, потому как патч использует DR0 регистр.


Я именно анализировал оригинальный аспр. Причина заключается в том, то Phantom патчит API KiUserExceptionDispatcher. При патчировании этой API, не генерируется второе исключение, и не срабатывает второй обработчик исключений, который патчит инструкции в Asprotect.dll. Поэтому программа не проходит проверку CRC, и показывает мессагу о повреждении файла.




Ранг: 605.2 (!), 341thx
Активность: 0.470.25
Статус: Модератор
Research & Development

Создано: 27 мая 2008 09:52
· Личное сообщение · #19

vnekrilov пишет:
Я именно анализировал оригинальный аспр.


если ты про релиз REVENGE, то там в дистрибе НЕ оригинальный аспр, а патченный
если же у тя есть оригинальный немодифицировнный ASProtect v2.41 build 02.26, то выложи его плз

-----
EnJoy!




Ранг: 330.4 (мудрец), 334thx
Активность: 0.160.17
Статус: Участник
ILSpector Team

Создано: 06 июня 2008 10:28
· Личное сообщение · #20

Люди сделайте доброе дело. Запакуйте плз последней версией aspr`a любую dll`ку из папки winxp\system32 выложите куда нибудь.



Ранг: 500.5 (!), 8thx
Активность: 0.230
Статус: Участник

Создано: 06 июня 2008 10:55
· Личное сообщение · #21

Medsft
msports, 41.5 kb => 335.5 kb

2428_06.06.2008_CRACKLAB.rU.tgz - msports.dll

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels




Ранг: 330.4 (мудрец), 334thx
Активность: 0.160.17
Статус: Участник
ILSpector Team

Создано: 06 июня 2008 12:47 · Поправил: Medsft
· Личное сообщение · #22

Smon
Спасибо

Только еще один вопрос версия пакера какая?



Ранг: 500.5 (!), 8thx
Активность: 0.230
Статус: Участник

Создано: 06 июня 2008 13:46
· Личное сообщение · #23

ASProtect SKE 2.41 build 02.26Beta, это пока что последняя официальная версия.

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels




Ранг: 330.4 (мудрец), 334thx
Активность: 0.160.17
Статус: Участник
ILSpector Team

Создано: 06 июня 2008 14:11 · Поправил: Medsft
· Личное сообщение · #24

Smon еще раз спасибо
vnekrilov монстр слов нет.
Но вот вопрос возможно ли сделать скрипты из статьи универсальными или нет.

ЗЫ. И вот еще что не хочу хвалиться но вот при прочтении сего опуса пришла ко мне "шальная мысль" а не попробовать ли мне ту версию ольки где пропатчено место обработки Memory breakpoint с access на execute и прикиньте работает С огромной долей уверенности могу сказать что если поставить BPM на секцию code проги и нажав F9 через 2 повторных нажатия мы оказываемся на OEP проги. Метод этот работает на всех известных мне накрытых этим протом прогах.
ЗЫЗЫ.




Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.340.25
Статус: Модератор
retired

Создано: 06 июня 2008 21:20
· Личное сообщение · #25

БПМ на код далеко не всегда у аспра выведет на ОЕП, по крайней мере в ехе, ибо может быть потырена вся основная ветка в аллоченную память.



Ранг: 330.4 (мудрец), 334thx
Активность: 0.160.17
Статус: Участник
ILSpector Team

Создано: 07 июня 2008 08:12
· Личное сообщение · #26

Archer пишет:
БПМ на код далеко не всегда у аспра выведет на ОЕП
спорить не буду может просто не попадались.



Ранг: 500.5 (!), 8thx
Активность: 0.230
Статус: Участник

Создано: 07 июня 2008 08:22 · Поправил: Smon
· Личное сообщение · #27

Medsft пишет:
Метод этот работает на всех известных мне накрытых этим протом прогах.

Этот метод будет стабильно работать только в библиотеках, ибо ни один аспр не ворует оеп у библ, по всей видимости из-за сложностей в реализации, а в обыкновенных исполняемых файлах в случае отработавшей опции Stolen OEP кроме основной ветки тырятся еще и подветки, так что борода твоему методу Другой вопрос в том, что на части исполняемых файлов эта опция не работает (например, на некоторых асм файлах), а на некоторой другой части девелоперы не всегда удосуживаются почекать эту опцию

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels




Ранг: 330.4 (мудрец), 334thx
Активность: 0.160.17
Статус: Участник
ILSpector Team

Создано: 07 июня 2008 10:06 · Поправил: Medsft
· Личное сообщение · #28

А что нельзя использовать теорию vnekrilov`а по нахождению ворованного после bpmx ведь как я понял и он анализирует прогу стоя на так называемом boep который находиться в секции code




Ранг: 312.0 (мудрец), 349thx
Активность: 0.460.65
Статус: Участник
Advisor

Создано: 07 июня 2008 11:01
· Личное сообщение · #29

Smon пишет:
ни один аспр не ворует оеп у библ, по всей видимости из-за сложностей в реализации

+1
//возможно из-за релоков

-----
Чтобы юзер в нэте не делал,его всё равно жалко..




Ранг: 329.6 (мудрец), 192thx
Активность: 0.140.01
Статус: Участник

Создано: 07 июня 2008 16:03
· Личное сообщение · #30

Medsft пишет:
Но вот вопрос возможно ли сделать скрипты из статьи универсальными или нет.


Не получается! Я проверил несколько последних версий аспра, по восстановлению эмулированных инструкций. В каждой версии, в таблице ТЭИ используются разные адреса, которые содержат нужные данные для восстановления кода подпрограммы. Поэтому приходится делать сравнительную таблицу этих адресов, и выполнять их корректировку. Хотя, если использовать оригинальные инструкции CALL EDX, то, вероятно, это возможно сделать. Но скрипт будет усложнен. Хотя можно попытаться это сделать.



Ранг: 1045.7 (!!!!), 31thx
Активность: 0.570
Статус: Участник

Создано: 07 июня 2008 18:19
· Личное сообщение · #31

vnekrilov пишет:
Но вот вопрос возможно ли сделать скрипты из статьи универсальными или нет.

Так у волка универсальные скрипты


<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 38 . 39 . >>
 [email protected] —› Протекторы —› Анализ ASProtect
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати