Сейчас на форуме: zds, -Sanchez- (+8 невидимых)

 [email protected] —› Протекторы —› ASProtect 1.22-1.23 Beta 21
<< . 1 . 2 . 3 . 4 . >>
Посл.ответ Сообщение


Ранг: 283.6 (наставник), 56thx
Активность: 0.130
Статус: Участник
Author of GeTaOEP

Создано: 13 апреля 2005 00:01
· Личное сообщение · #1

Доброго всем времени суток!
Недавно решил попробовать распаковать ASProtect,обчитался уже всяких статей,но так и не выходит...
Значит цель - Advanced Registry Tracer 2.01 http://www.elcomsoft.com/download/art.zip
Размер - 778240 байт
Пытаясь найти OEP,пробую делать так:
в SoftIce останавливаюсь на EP(00401000),далее bpx MapViewOfFile,точка останова срабатывает,удаляю её,bpx GetProcAddress,и программа вместо того,чтобы прерваться на GetProcAddress,просто стартует.Вопрос как такое может быть?
Пытался также делать следующее:
останавливаюсь в SoftIce на EP,набираю bpm esp-4,далее F5,оказываюсь тут:
PUSHAD
CALL 0062A00A
JMP 45BFA4F7
PUSH EBP
RET
...
...если нажать F5 ещё раз - запустится программа,а что делать в этом куске кода - ума не приложу,т.к. в распаковке я ещё совсем зелёный .

Очень надеюсь на какие-нибудь советы,разъяснения с вашей стороны,господа.

-----
the Power of Reversing team




Ранг: 56.9 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 26 мая 2005 04:13
· Личное сообщение · #2

Дамп полностью рабочий,upx снимешь сам ключ [-D] не ниже [v1.25].
hxxp://www.webfile.ru/320574




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 27 мая 2005 00:02
· Личное сообщение · #3

Ruller
За дамп спасибо, но буду стараться сам. В принципе я до ОЕР дошел, дамп снял, краденные байты восстановил, сейчас проблема с импортом. У меня 3 плагина к ImpREC для ASP-ta, но ни один пока не помог. Слишком много неопределившихся call-ов. Буду искать далее...

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться




Ранг: 56.9 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 27 мая 2005 00:21
· Личное сообщение · #4

А мой файл у тебя запускается нормально?
Расскажи как мне раскопать валидный ключик желательно поподробнее,а то у меня не получается.




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 27 мая 2005 00:31
· Личное сообщение · #5

Ruller пишет:
А мой файл у тебя запускается нормально?

Да, без проблем. Спасибо.


Ruller пишет:
Расскажи как мне раскопать валидный ключик желательно поподробнее,а то у меня не получается.

Используй hashgen, чтобы заменить валидный hash из проги, я об этом писал выше. А иначе надо брутить, а это . 36 в степени 10 - это только, если в регистрации одни цифры...

Ruller
Какие у тебя есть примочки к ImpREC? Поделись, плз

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться





Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 27 мая 2005 00:35
· Личное сообщение · #6

Ruller
Это начало валидных хешей в твоем файле
004C5C9C . FFFFFFFF DD FFFFFFFF
004C5CA0 . 20000000 DD 00000020
004C5CA4 . 39 42 36 31 43>ASCII "9B61CAA5B1162984"
004C5CB4 . 43 30 39 33 45>ASCII "C093E1205CE2A4F7"
004C5CC4 . 00 ASCII 0
004C5CC5 00 DB 00

А это конец
004FB3AE 00 DB 00
004FB3AF 00 DB 00
004FB3B0 . FFFFFFFF DD FFFFFFFF
004FB3B4 . 20000000 DD 00000020
004FB3B8 . 44 44 43 31 41>ASCII "DDC1A2E21E005E76"
004FB3C8 . 37 31 34 45 38>ASCII "714E885D35C8D4F2"
004FB3D8 . 00 ASCII 0
004FB3D9 00 DB 00
004FB3DA 00 DB 00

И между ними ещё туева куча, меняй любой и будет тебе счастье.

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться




Ранг: 56.9 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 27 мая 2005 00:39
· Личное сообщение · #7

Да мне не чтобы менять а где и как происходит сравнение,я немогу понять.




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 27 мая 2005 00:53
· Личное сообщение · #8

Процедура генерации хеша - начало:
004C4854 /$ 55 PUSH EBP
004C4855 |. 8BEC MOV EBP,ESP
004C4857 |. 83C4 E4 ADD ESP,-1C
004C485A |. 894D F8 MOV DWORD PTR SS:[EBP-8],ECX
004C485D |. 8955 E4 MOV DWORD PTR SS:[EBP-1C],EDX
.
.
.

004C5116 |. 8B55 EC MOV EDX,DWORD PTR SS:[EBP-14]
004C5119 |. 0150 08 ADD DWORD PTR DS:[EAX+8],EDX
004C511C |. 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4]
004C511F |. 8B55 E8 MOV EDX,DWORD PTR SS:[EBP-18]
004C5122 |. 0150 0C ADD DWORD PTR DS:[EAX+C],EDX
004C5125 |. 8BE5 MOV ESP,EBP
004C5127 |. 5D POP EBP
004C5128 \. C2 0400 RETN 4

Это конец.
Далее идет процедура сравнения (внимательно смотри на значения стека)

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться





Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 27 мая 2005 00:56
· Личное сообщение · #9

Всем
Какие у кого есть примочки к ImpREC? Кому не жалко поделитесь, плиз.

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться




Ранг: 0.0 (гость)
Активность: 0=0
Статус: Участник

Создано: 27 мая 2005 07:53
· Личное сообщение · #10

Если ко может то подскажите как восстановить 9 неопреелившихся апи ф-цй после аспра!?




Ранг: 500.6 (!), 7thx
Активность: 0.260
Статус: Участник

Создано: 27 мая 2005 09:04
· Личное сообщение · #11

ValdiS пишет:
Какие у кого есть примочки к ImpREC?


Ты напиши, какие есть у тебя.



Ранг: 65.7 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 27 мая 2005 12:12
· Личное сообщение · #12

Antibug
ты статьи читал??

там же есть вид наиболее часто неопределяющихся функций




Ранг: 283.6 (наставник), 56thx
Активность: 0.130
Статус: Участник
Author of GeTaOEP

Создано: 27 мая 2005 15:18
· Личное сообщение · #13

ValdiS

ValdiS пишет:
Какие у кого есть примочки к ImpREC?


...например,ASProtect 1.22...НО!!! - не знаю как в Olly,а SI после того,как заNOPишь процедуру,которая генерирует переходники для импорта,необходимо её затем восстановить,иначе ASProtect покажет тебе дулю в ImpRec,обнаружив изменения в своём коде.А вот если в нужный момент восстановить её,тогда в ImpRec не определятся лишь 8-9 каких-нибудь функций,которые уже можно будет восстановить с помощью плагина ASProtect 1.22 .

-----
the Power of Reversing team




Ранг: 0.0 (гость)
Активность: 0=0
Статус: Участник

Создано: 27 мая 2005 20:10
· Личное сообщение · #14

Halt пишет:
Antibug
ты статьи читал??

Читал иначе бы не спрашивал но там лажа какая-та!Они не совпадают(код переходников не совпадает)!




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 27 мая 2005 23:58
· Личное сообщение · #15

DillerInc пишет:
тогда в ImpRec не определятся лишь 8-9 каких-нибудь функций,которые уже можно будет восстановить с помощью плагина ASProtect 1.22

А подробнее, вчера ручками более 300 функций восстанавливал...

NIKOLA
Список моих plugin в аттаче


f0e6_ImpREC plugin.bmp

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться





Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 28 мая 2005 01:23
· Личное сообщение · #16

Блин, снял дамп, присобачил импорт, восстановил краденные байты, но по ошибке вылетает... Что делать?
В аттаче мой импорт и крад. байты. Может кто проверит у себя...
Да, а в каком месте надо делать дамп (до запуска кр. байт, до их затирания, до tempOEP, ...)? Может дело в дампе? Удалять секции аспра необходимо или можно оставить в принципе (как в ASPack)? Какие еще могут быть заморочки?

2e40_arch.rar

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться




Ранг: 65.7 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 28 мая 2005 03:54
· Личное сообщение · #17

Antibug
а dizasm функций слабо привети (тока в оттаче) а то у меня таблы со святым духом, я функции на расстоянии не определяю еще пока ))



Ранг: 65.7 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 28 мая 2005 03:59 · Поправил: Halt
· Личное сообщение · #18

ValdiS
у тя FindResourceA - нормально определлась или ты руками определял? если руками то как - плагином или действительно руками ??

просто я тут уже писал у регет делюкс версии 4,1 build 240 с таким же аспром эта функция оказалась не FindResourceA а DialogBoxParamW - почему - х.з. тока руками определил а до этого прога вылетала с ошибкой

ps не пинать - факт- вещь не оспоримая ))

ну и никуда не делся вариант неправильног импорт/определения спертых байт




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 29 мая 2005 11:24
· Личное сообщение · #19

Halt пишет:
у тя FindResourceA - нормально определлась или ты руками определял? если руками то как - плагином или действительно руками ??

Не помню, но kernel32 функции почти все восстанавливал ручками...
А определял без плагина: при помощи ImpRECa (ПКМ->Disassemble/Hex view и т.д.).

Ruller
С хешами разобрался или как?

Всем
Никто не заценил мой импорт и краденные байты? И что с плагинами к ImpRECу?

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться





Ранг: 500.6 (!), 7thx
Активность: 0.260
Статус: Участник

Создано: 29 мая 2005 14:06
· Личное сообщение · #20

ValdiS пишет:
И что с плагинами к ImpRECу?


Выбирай.



0175_Snap2.png




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 29 мая 2005 14:55
· Личное сообщение · #21

NIKOLA
К ASProtect все и ACProtect, плз. Выложи где-нибудь или ссылку дай...

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться




Ранг: 210.5 (наставник), 2thx
Активность: 0.140
Статус: Участник

Создано: 29 мая 2005 15:27
· Личное сообщение · #22

ValdiS пишет:
К ASProtect все и ACProtect, плз. Выложи где-нибудь или ссылку дай...


держи...


63b2_Plugin.rar




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 29 мая 2005 17:08
· Личное сообщение · #23

arnix
Спасибо

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться




Ранг: 56.9 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 29 мая 2005 20:25
· Личное сообщение · #24

>С хешами разобрался или как?
Неа нифига я непонимаю что делать,кукундель уже съехал в конец,решил взять передышку.




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 30 мая 2005 00:46
· Личное сообщение · #25

Ruller пишет:
кукундель уже съехал в конец

И такое бывает...
Задавай вопросы, чем смогу, тем помогу.

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться





Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 30 мая 2005 17:27
· Личное сообщение · #26

Наконец-то, заработало...
Дамп был нормальный, а восстановленный импорт кривоват. Использовал плагины к ImpREC (arnix еще раз спасибо), все хорошо. Да, это было непросто (все таки первый раз), но опыт получен незаменимый...

Ruller
Как ты настолько уменьшил дамп: у тебя - 1 747 968 байт, у меня - 2 367 488 байт. Простое удаление секций ASprotect'a такого результата не дает. Объясни, как получилось... Заранее благодарен.

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться




Ранг: 56.9 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 30 мая 2005 20:31 · Поправил: Ruller
· Личное сообщение · #27

Я честно сказать уже не помню,как там всё происходило,сколько времени уже прошло,попробуй ребилд
сделать на своём дампе.Нодо будет Sabbath Black предложить перевести прогу на русский.
Да вот всё хотел спросить, [HashGen.exe] не запускается,я так и не понял для чего он?




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 30 мая 2005 23:40
· Личное сообщение · #28

Ruller пишет:
[HashGen.exe] не запускается

Как не запускается?!
Собираешь 2 тома архива, получаешь 1 файл. Запускаешь его: в верхней строке вводишь свою регистрацию (должна быть 36 символов!!!), как только будет 36, то в нижней строке появится сгенеренный хеш. Им (сгенеренным хешем) заменяешь прописанный в программе (из списка выше по топику), потом запускаешь прогу (ART), вводишь свою регистрацию (она хранится в реестре в открытом виде), и прога зарегистрена. И не нужно брутить. Я уже проверил, работает на все 100%.

Ruller пишет:
попробуй ребилд
сделать на своём дампе

Чем посоветуешь?


f4f8_Hashgen.bmp

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться




Ранг: 56.9 (постоянный)
Активность: 0.050
Статус: Участник

Создано: 30 мая 2005 23:59 · Поправил: Ruller
· Личное сообщение · #29

Ну блин не запускается,толко сейчас ещё раз скачал и нифига.
Кто чем ребилдит,попробуй [PE Optimizer1.4]




Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 31 мая 2005 00:08
· Личное сообщение · #30

Ruller пишет:
Ну блин не запускается

Что пишет-то?

Всем
Кто-нибудь еще проверял, у кого как?! Посмотрите, плз.

Ruller
Попробуй по ссылке, пароль: 12321

webfile.ru/327715 до 00:05 14.06.2005

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться





Ранг: 420.3 (мудрец)
Активность: 0.240
Статус: Участник

Создано: 31 мая 2005 00:10
· Личное сообщение · #31

Ruller пишет:
попробуй [PE Optimizer1.4]

Линк есть или как обычно в поисковик залазить?

-----
Сколько ни наталкивали на мысль – все равно сумел увернуться



<< . 1 . 2 . 3 . 4 . >>
 [email protected] —› Протекторы —› ASProtect 1.22-1.23 Beta 21
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати