Сейчас на форуме: (+8 невидимых)

 [email protected] —› Протекторы —› VMProtect (Туторы, скрипты, плагины, ...)
<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 14 . 15 . >>
Посл.ответ Сообщение


Ранг: 154.2 (ветеран), 66thx
Активность: 0.080
Статус: Участник
REVENGE Crew

Создано: 18 марта 2010 11:56 · Поправил: kioresk
· Личное сообщение · #1

Решил создать отдельную тему по VMProtect'у, чтобы собирать в одном месте информацию по этому проту и обсуждать детали.

Для начала ответ на самый распространенный вопрос.

1. Почему OllyDbg вылетает при запуске программы, защищенной VMProtect'ом?

Потому что VMProtect использует баг с переполнением буфера в старых версиях dbghelp.dll, из-за которого отладчик падает. Чтобы обойти его необходимо исправить баг в dbghelp.dll или положить в папку отладчика новую версию файла dbghelp.dll, который можно взять из комплекта Debugging Tools for Windows:

http://www.microsoft.com/whdc/devtools/debugging/default.mspx

Добавлено

Microsoft включил дистрибутив Debugging Tools в состав пакета Windows SDK (который весит достаточно прилично), поэтому вот альтернативные ссылки на:

1. Дистрибутив Debugging Tools v6.12.2.633 x86 от 26.02.2010 (18,3 Мбайт)

2. Только библиотека dbghelp.dll из дистрибутива Debugging Tools v6.12.2.633 x86 (0,5 Мбайт)




Ранг: 312.0 (мудрец), 349thx
Активность: 0.460.65
Статус: Участник
Advisor

Создано: 07 июля 2010 02:39
· Личное сообщение · #2

Gideon Vi пишет:
нах стронг, он ппц, какой глючный

Ну да...если тупо чекать, а если....НичеГО лишнего, а тока дровеняка, то всё пучком
Code:
  1. [Plugin StrongOD]
  2. CreateProcessMode=2
  3. HidePEB=0
  4. IsPatchFloat=0
  5. IsAdvGoto=0
  6. KernelMode=1
  7. KillPEBug=0
  8. SuperEnumMod=0
  9. AdvAttach=0
  10. SkipExpection=0
  11. OrdFirst=0
  12. BreakOnLdr=0
  13. BreakOnTls=0
  14. RemoveEpOneShot=0
  15. ShowBar=0
  16. LoadSym=0
  17. HideWindow=1
  18. HideProcess=1
  19. ProtectProcess=1
  20. DriverKey=-82693034
  21. DriverName=fengyue

====
int пишет:
В этом случае сами примените патч на чистую ольку, потом перенесите изменения патча на вашу сборку

Мля.. [email protected] надо напрячь, чтоб в фант добавил, тем паче он там с интами чего -то мутил..

-----
Чтобы юзер в нэте не делал,его всё равно жалко..





Ранг: 1131.7 (!!!!), 447thx
Активность: 0.670.2
Статус: Участник

Создано: 07 июля 2010 10:29 · Поправил: Gideon Vi
· Личное сообщение · #3

Bronco пишет:
Ну да...если тупо чекать, а если....НичеГО лишнего, а тока дровеняка, то всё пучком


Пучком канабиса тебе дико везет, что вы с автором на одной и той же версии ОСи

Bronco пишет:
Мля.. [email protected] надо напрячь, чтоб в фант добавил, тем паче он там с интами чего -то мутил..


Хел забил на фантом, не?

int пишет:
P.P.S. Сопоставил патч Бумбокса (косметический) и свои в единую сборку, сейчас надо протестировать совместимость с плагинами.


Ня, а где потестировать?



Ранг: 101.0 (ветеран), 344thx
Активность: 1.150
Статус: Участник

Создано: 07 июля 2010 12:08
· Личное сообщение · #4

Кстати обнаружить отладчик всё равно можно во время трассировки исключения, причём даже если вообще отключить проверку на PUSHF/POPF. Но там будет уже Int3.

Gideon Vi пишет:
Ня, а где потестировать?

Здесь, не знаю правда, на сколько актуально дизайн менять.




Ранг: 154.2 (ветеран), 66thx
Активность: 0.080
Статус: Участник
REVENGE Crew

Создано: 07 июля 2010 14:49 · Поправил: kioresk
· Личное сообщение · #5

int,

скрипт выкладывай тоже — после описания антиотладки любой себе подобный скрипт набросает без проблем.
Только имхо часть скрипта у Bronco была лучше сделана.

Еще возможно в нем есть какие-то косяки, т.к. делал по-быстрому для старой версии (хотя на последней пролетавшей на паблике версии VMProtect'а он тоже работает), но если что — меня не пинать.






Ранг: 1131.7 (!!!!), 447thx
Активность: 0.670.2
Статус: Участник

Создано: 07 июля 2010 16:12
· Личное сообщение · #6

int пишет:
Здесь, не знаю правда, на сколько актуально дизайн менять.


всех изменений - цветные кнопки? Ну их. А за фиксы респект.



Ранг: 488.1 (мудрец), 272thx
Активность: 0.350
Статус: Участник

Создано: 06 сентября 2010 16:29 · Поправил: VodoleY
· Личное сообщение · #7

Ну как бы вот. Творения Demon666 из
http://www.exelab.ru/f/action=vthread&topic=13406&forum=12 &page=-1
вроде как повторил, в связи с этим возникло несколько вопросов
1. это ток у меня или это так всегда всего 80 хэндлеров?
2. Имхо инструкции ВСЕ всего 80тью хендлерами эмулить анриал это так?
3. Если я прав то каждой команде при виртуализации соответствует весьма конкретный вызов последовательности команд
ну и вопрос 3а
Команды исходной проги мутируются перед виртуализацие? если это все секрет можно в личку
З.Ы.
Int отдельное спасибо за консультацию, многое стало на свои места
З.Ы к дермотологу просьба не высказыватца, ВАШЕГО пиара почитал
З.Ы.Ы. Есть ток прога покрытая ХЗ какой версией НО купленой ОФ поэтому на дрозофила команды ловить нет возможности

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....





Ранг: 331.1 (мудрец), 561thx
Активность: 0.190.06
Статус: Участник

Создано: 06 сентября 2010 20:12
· Личное сообщение · #8

VodoleY пишет:
1. это ток у меня или это так всегда всего 80 хэндлеров?

Всего их может быть 255, а каждая реализация ВМ имеет столько реальных обработчиков примитивов сколько нужно для виртуализации кода накрытого этой ВМ.
2. Имхо инструкции ВСЕ всего 80тью хендлерами эмулить анриал это так?
На простую виртуализацию инструкций требуется гораздо меньше обработчиков примитивов, чем 80, а вообще-то см. ответ на вопрос 1.
3. Если я прав то каждой команде при виртуализации соответствует весьма конкретный вызов последовательности команд
Да, но не надо забывать про мутацию, сокрытие констант и другие опции - они разжижают виртуализацию, но не меняют её суть.
Команды исходной проги мутируются перед виртуализацие?
Опционально.

-----
Everything is relative...




Ранг: 488.1 (мудрец), 272thx
Активность: 0.350
Статус: Участник

Создано: 07 сентября 2010 06:32 · Поправил: VodoleY
· Личное сообщение · #9

Vamit Как уже упоминал Демон,да действительно хендлеров в чистом виде 255, но некоторые Нужно рассматривать (так например запись в регистры ВМ когда номер команды есть индекс регистра) а некоторые просто для замуливания кода, когда несколько хендлов смотрят в один адрес-обработчик и номер команды нигде не учитываеца
например
case VM_IP of
$A0, $A2, $A4, $A6, $A8, $AA, $AC, $AE, $B0, $B2, $B4, $B6, $B8, $BA, $BC, $BE:
begin
bTmp:=CMD[VM_IP];// $A0, $A2, $A4, $A6, $A8, $AA, $AC, $AE, $B0, $B2, $B4, $B6, $B8, $BA, $BC, $BE:
asm
//тут идет получение индекса регистра
neg bTmp
ror bTmp,7
neg bTmp
and bTmp,$3c
end;
lstParams.Values['R']:=IntToHex(bTmp,2);
logs('(ebp-4) && Mov [ebp+0], VMR_R_ ');
//MOV EDX,DWORD PTR DS:[EAX+EDI] -вот так выглядит это в оригинале где EDI указывает на начало пространства в стеке для хранения регистров ВМ

А вот при тойже стреле пирса
$B5, $C1:
logs(' Mov Not[ebp+0] and not[ebp+2] (ebp-2)');
//в оригинале
MOV AX,WORD PTR SS:[EBP]
MOV DX,WORD PTR SS:[EBP+2]
NOT AL
NOT DL
SUB EBP,2
AND AL,DL
MOV WORD PTR SS:[EBP+4],AX
значение комманды которое приходит в АЛ как бы и не облакотилось А ХЕНДЛЕРОВ 2 (есть примеры и с большим количеством 4-6)
З.Ы. Если комуто интересно могу начать всю эту лабудень описывать с самого начала

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....




Ранг: 6.7 (гость)
Активность: 0=0
Статус: Участник

Создано: 09 сентября 2010 14:42
· Личное сообщение · #10

Vamit, а у тебя планы по твоей работе какие ? Покажешь что-нибудь рабочее ?




Ранг: 331.1 (мудрец), 561thx
Активность: 0.190.06
Статус: Участник

Создано: 10 сентября 2010 08:08
· Личное сообщение · #11

[Anth] пишет:
Vamit, а у тебя планы по твоей работе какие ?

Довести до логического завершения...
Покажешь что-нибудь рабочее ?
Ещё рано..., вопросами засыплете

-----
Everything is relative...




Ранг: 488.1 (мудрец), 272thx
Активность: 0.350
Статус: Участник

Создано: 10 сентября 2010 09:39
· Личное сообщение · #12

[Anth] я уже неделю, почти, сижу разбираюсь с Свипером. Поверь я уже Vamitа вопросами задолбал

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....





Ранг: 392.8 (мудрец), 108thx
Активность: 0.260.01
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 20 сентября 2010 17:29 · Поправил: Maximus
· Личное сообщение · #13

Вопрос всем. VMProtect пошифровал STRING ресурсы в BASE64 кодировку. Простая раскодировка не помогает, нужна еще какая то дешифровка. Вопрос: Нет ли у кого тузлы восстановить пошифрованные строки в ресурсах?

Пример:

STRINGTABLE
LANGUAGE LANG_RUSSIAN, SUBLANG_NEUTRAL
{
112, "pIVvrtiuBktuqb/FRPEm4Fc="
113, "q4xqqOOUExa2Cgq8SfEl+InWPGdcW84879kq/VNY1DpY2zT2pmTy87AKJm56/I1hO8ePb zp8FSs0SKrbBRKm1j7epWYG7LMCQj94FKcKcCTjrR8BPyYskGOhVj8jRKC5D8oYKopXYGQ Ke9HgWfRjSnM7+a07NnoqfZYrtQrjFQChhvh7kIJZ8nMMimmGVQpKkLhzk3mmVSsiiRviD 8kUsV3HM7y3FPGo018bcw=="
114, "wpJqoOav"
115, "t4pqsNaXJA=="
116, "r4V4sg=="
117, "o5R4peGv"
118, "r4Vx"
119, "q6x1ww=="
120, "q6xzww=="
121, "o4drs+ee"
122, "tIp1shCNETQ="
123, "sY961NecJA=="
124, "sJOcoeav"
125, "p4pyoNecJA=="
126, "padpsNaZDhGv0rHFSeMK41QONWZeYLA/8+QqMw=="
127, "pYdtpNuZDjOE0iQ4lCMK41QONWZeYLA/89w3Mw=="
}

-----
StarForce и Themida ацтой!





Ранг: 199.9 (ветеран), 4thx
Активность: 0.120.02
Статус: Участник

Создано: 21 сентября 2010 07:04
· Личное сообщение · #14

Maximus
Исходя из чего уверенность, что это вмпрот сделал? Если необходим конечный результат, из памяти в уже дешифрованном виде не выдернуть?




Ранг: 533.6 (!), 232thx
Активность: 0.450
Статус: Uploader
retired

Создано: 21 сентября 2010 07:32
· Личное сообщение · #15

может это AES или ещё что-то, они тоже могут отображать результат в base64

-----
Лучше быть одиноким, но свободным © $me





Ранг: 392.8 (мудрец), 108thx
Активность: 0.260.01
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 21 сентября 2010 08:51
· Личное сообщение · #16

YDS там стянули прогу у производителей и накрыли протом. Protection ID грит что это VM protect.
Может правда сами что дописали...

BoRoV
Не, я разобрался с кодом уже. Там именно base64 перекодировка, а потом простым вычитанием константы получается исходная строка.

Просто думал что это вмпрот сделал, а как я понял по сообщениям это какая то самопись...

-----
StarForce и Themida ацтой!





Ранг: 331.1 (мудрец), 561thx
Активность: 0.190.06
Статус: Участник

Создано: 21 сентября 2010 08:53
· Личное сообщение · #17

VMProtect пошифровал STRING ресурсы в BASE64 кодировку.
Если вы ВАГ ковыряете, то это не вмпрот, это внутренняя кодировка нежелательных для просмотра строк, а на оригинальном ВАГЕ вмпрота вообще нет.

Если необходим конечный результат, из памяти в уже дешифрованном виде не выдернуть?
В памяти ничего нет, декодировка выполняется динамически.

-----
Everything is relative...





Ранг: 568.2 (!), 464thx
Активность: 0.550.57
Статус: Участник
оптимист

Создано: 21 сентября 2010 09:05
· Личное сообщение · #18

offtop/
Vamit пишет:
Если вы ВАГ ковыряете, то это не вмпрот, это внутренняя кодировка нежелательных для просмотра строк, а на оригинальном ВАГЕ вмпрота вообще нет

Насколько я помню на оригинальном PC Guard,а потом кому нелень вешали на расспакованный файл PEP,Themida,VM prot.

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.





Ранг: 392.8 (мудрец), 108thx
Активность: 0.260.01
Статус: Участник
REVENGE сила, БеХоЦе могила

Создано: 21 сентября 2010 09:27 · Поправил: Maximus
· Личное сообщение · #19

Vamit да, это от ВАГ, и файл не оригинальный, руссифицированный.
А есть у кого раскодировщик, иначе придется самому писать (((. И что же все таки там навешано?

ClockMan да, вы тоже целиком правы.

-----
StarForce и Themida ацтой!





Ранг: 331.1 (мудрец), 561thx
Активность: 0.190.06
Статус: Участник

Создано: 21 сентября 2010 09:40 · Поправил: Vamit
· Личное сообщение · #20

А есть у кого раскодировщик, иначе придется самому писать
Если это про строки, то у меня есть, обращайтесь в личку, но там простой xor...
PS: но он под ВМ

-----
Everything is relative...





Ранг: 88.2 (постоянный), 111thx
Активность: 0.070.01
Статус: Участник

Создано: 28 сентября 2010 02:26
· Личное сообщение · #21

Нашел недавно скрипт под ОД

translate.google.com/translate?hl=en&sl=zh-CN&u=http://wugy.52wd.net.cn/article-3907508-1.html&ei=OyehTNubCc6POI26iZcM&sa=X&oi=translate&ct=result&resnum=3&ved=0CB8Q7g
EwAg&prev=/search%3Fq%3DVMProtect%2B2.0x%2BUnpacker%2Bv1.0%26hl%3Den%26client
%3Dopera%26hs%3DI52%26rls%3Dru

Вопрос знатокам, что с помощью него можно сделать?



Ранг: 281.8 (наставник), 272thx
Активность: 0.250.01
Статус: Участник
Destroyer of protectors

Создано: 28 сентября 2010 05:32
· Личное сообщение · #22

Airenikus
вот оно, счастье, нашёл, и сам не знаю что...там написанно вроде: Vmprotect 2.0x Unpacker

потом сюда ещё загляни:

Code:
  1. ///////////////////////// 
  2. / / Configuration area 
  3. ///////////////////////// 
  4. mov first, 005D9333 
  5. mov write, 00D3BEAF 
  6. mov getapi, 00D3BEC4 
  7. mov begin, 0012F7FC 
  8. mov end, 0012FB98 
  9. /////////////////////////


чтобы узнать "откуда" и "как" ищи там же мультики от китайчегов....




Ранг: 88.2 (постоянный), 111thx
Активность: 0.070.01
Статус: Участник

Создано: 28 сентября 2010 11:30
· Личное сообщение · #23

А можно без сарказма? Вот взять и просто ответить? Есть толк от этого скрипта или это очередная "утка" ? Спасибо за понимание.




Ранг: 2014.5 (!!!!), 1278thx
Активность: 1.340.25
Статус: Модератор
retired

Создано: 28 сентября 2010 11:35
· Личное сообщение · #24

А можно не задавать такие вопросы, а вот просто взять, посмотреть самому и решить, нужно это тебе или нет. Спасибо за понимание.
З.Ы. У всех разная мера нужности, лично я скриптами не пользуюсь в принципе. Кто-то поглядит и при необходимости допилит. А кто-то и уже готовый запустить не в состоянии.




Ранг: 568.2 (!), 464thx
Активность: 0.550.57
Статус: Участник
оптимист

Создано: 28 сентября 2010 12:50
· Личное сообщение · #25

Airenikus пишет:
А можно без сарказма? Вот взять и просто ответить? Есть толк от этого скрипта или это очередная "утка" ? Спасибо за понимание.

Скрипт для восстановления IAT в стили аля нубби..

-----
Чтобы правильно задать вопрос, нужно знать большую часть ответа. Р.Шекли.





Ранг: 337.6 (мудрец), 224thx
Активность: 0.210.1
Статус: Участник
born to be evil

Создано: 05 октября 2010 14:50
· Личное сообщение · #26

/ / Configuration area
mov first, 005D9333
mov write, 00D3BEAF

Может кто-нибудь дать ссыль на прогу, на которой этот скрипт отрабатывал (в оригинале)?

-----
От многой мудрости много скорби, и умножающий знание умножает печаль





Ранг: 76.9 (постоянный), 116thx
Активность: 0.060
Статус: Участник

Создано: 19 ноября 2010 18:21
· Личное сообщение · #27

VMProtect API Turbo Tracer 1.0
***************************************************
( 1.) Basic OEP Finder [Intelli Version]
( 2.) VP & LA Anti Dump Redirection & Dumper
( 3.) Auto API Scanner [Value & System]
( 4.) Manually Section Serach Choice x3
( 5.) API Value Calculator
( 6.) Auto API Section Writer & Dumper
( 7.) Use This Script Also For Dumped Files!
( 8.) Supports VMProtect 1.8 - 2.x
( 9.) Exe & DLL Support [NO VMP DLL Box]
( 10.) Borland Delphi v.2010 Support! OEP 2. Sec.
( 11.) NO CPUID Fixing!
***************************************************

These are all features which I have added in the new script and I think that the script can also handle your targets too.In the movies you will also see how to rebuild some stolen OEP bytes in some UnpackMes.

View in that order:
***************************************************
Movie 01| Manually OEP Find & Rebuild Exsamples
Movie 02| Script OEP Find & Rebuild Exsamples
Movie 03| Script Unpack API FIX OF A Exe File
Movie 04| Script Unpack API FIX OF A Dll File

Сам топик здесь - forum.tuts4you.com/showtopic=24390

0373_19.11.2010_CRACKLAB.rU.tgz - VMProtect API Turbo Tracer 1.0.rar



Ранг: 281.8 (наставник), 272thx
Активность: 0.250.01
Статус: Участник
Destroyer of protectors

Создано: 23 ноября 2010 05:49 · Поправил: MasterSoft
· Личное сообщение · #28

на анпак.цн наткнулся на плаг для ольки от нуби FKVMP. очевидно вмпрот в этом замешан , только вот никак не вкурю как его юзать, там есть ридми, но ведь нихрена не понятно эти иероглифы объясните для каких задач он?

Nooby
Thx



Ранг: 10.1 (новичок)
Активность: 0.010
Статус: Участник

Создано: 23 ноября 2010 11:30 · Поправил: Nooby
· Личное сообщение · #29

MasterSoft:
Locate VM Entry (somewhere near push&call), right click and select "Start FKVMP". In Log window, it will show handler table, VM_INIT stack info and pcode log. Also it will comment every identified handler.

Then you can continue pcode decode by:

1. manually follow SetEip handler to new VM_EIP, follow new ESI in dump, right click on CPU Dump window(first byte) and choose "Continue FKVMP", finally select which VM interpreter to execute.

2. anywhere during VM execution(when you break in the middle) when EBX & ESI are representing valid key and VM_EIP, right click on CPU Register window and continue as 1.

Good luck.



Ранг: 6.7 (гость)
Активность: 0=0
Статус: Участник

Создано: 23 ноября 2010 16:24
· Личное сообщение · #30

Nooby thanks for the describe,


MasterSoft Закинте в аттач, не скачать со сдернуть




Ранг: 533.6 (!), 232thx
Активность: 0.450
Статус: Uploader
retired

Создано: 23 ноября 2010 16:50
· Личное сообщение · #31

vw_ пишет:
Закинте в аттач

оно в аттач не влазит, вот зеркало rghost.ru/3351516/private/79d90c180be462cafe242566bbd2b1e2

-----
Лучше быть одиноким, но свободным © $me



<< . 1 . 2 . 3 . 4 . 5 . 6 . 7 . 8 . 9 . 10 ... 14 . 15 . >>
 [email protected] —› Протекторы —› VMProtect (Туторы, скрипты, плагины, ...)
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати