Сейчас на форуме: zds, -Sanchez- (+9 невидимых)

 [email protected] —› Протекторы —› Распаковка AsProtect >1.23 - от А до Я.
<< . 1 . 2 . 3 . 4 . 5 .
Посл.ответ Сообщение

Ранг: 384.1 (мудрец)
Активность: 0.250
Статус: Участник
www.int3.net

Создано: 18 августа 2005 11:56 · Поправил: nice
· Личное сообщение · #1

Эта тема по распаковке AsProtect'a последних версий, для надругательств выбрана программа: AlfaClock 1.82
сайт программы: www.alfasoftweb.com/rus/
прямая ссылка: www.alfasoftweb.com/rus/AlfaClock_rus.exe

В этот раздел можно постить всё что касается защиты в этой программе, а также скрипты для распаковки, утилиты для снятия, ссылки на статьи.

За флейм будем наказывать!

Нашел ОЕР inferno_mteam
004C5444 55 PUSH EBP
004C5445 8BEC MOV EBP,ESP
004C5447 83C4 C0 ADD ESP,-40
004C544A 53 PUSH EBX
004C544B 33C0 XOR EAX,EAX
004C544D 8945 D4 MOV DWORD PTR SS:[EBP-2C],EAX
004C5450 8945 D0 MOV DWORD PTR SS:[EBP-30],EAX
В Ольке можно быстро попасть на ОЕР сл. образом, открываем программу, жмем Ctrl+G (перейти на строку) вбиваем туда ОЕР=04С5444, правой кнопкой мыши: Breakpoint->Hardware, on execution
после чего отключаем все Exceptions: menu->Options->Exceptions и ставим все галочки, .теперь нажите F9 и вы на ОЕР

-----
Подписи - ЗЛО! Нужно убирать!





Ранг: 467.7 (мудрец), 5thx
Активность: 0.270
Статус: Участник
Иной :)

Создано: 30 октября 2005 00:01 · Поправил: [HEX]
· Личное сообщение · #2

Z0oMiK
Эмм... либо автор статьи уже обновил своё произведение, что мало вероятно. Либо меня глючит:
Теперь убираем брейкпоинт и жмем Alt+M и видим карту памяти находим наш процесс и ставим Set Memory Breakpoint on Access на первой секции. Почему первой? Потому что OllyDbg написал, что она содержит code и до упаковки ASProtectом там был код программы, следовательно и OEP.

-----
Computer Security Laboratory




Ранг: 115.3 (ветеран)
Активность: 0.030
Статус: Участник

Создано: 30 октября 2005 05:31
· Личное сообщение · #3

"Теперь убираем брейкпоинт и жмем Alt+M и видим карту памяти находим наш процесс и ставим Set Memory Breakpoint on Access на первой секции. Почему первой? Потому что OllyDbg написал, что она содержит code и до упаковки ASProtectом там был код программы, следовательно и OEP. "
Просто мне понравилось это, я посчитал его исчерпывающим. Неужели и слова повторять нельзя. На счёт процесса не подумал.



Ранг: 115.3 (ветеран)
Активность: 0.030
Статус: Участник

Создано: 30 октября 2005 06:55
· Личное сообщение · #4

Посмотрите ещё тут hxxp://webfile.ru/602580
Там наброски по Распаковка ASProtect 2.13 на примере Icolover.exe. Сразу скажите, что не так.




Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 30 октября 2005 20:34
· Личное сообщение · #5

SergSh Еще желательно свои настройки ОЛЬКИ бы показал ... у меня после этого места в статье ->
Как я нашел это место? Если сделать Shift+F9 еще раз, то программа запустится. Теперь выделим 00ЕЕА7АD и поставим на него брейкпоинт (точка останова) (F2). Это необходимо чтобы отработал обработчик исключений и программа остановилась. Жмём Shift+F9. И окажемся на 00ЕЕА7АD. Теперь убираем брейкпоинт и жмем Alt+M и видим карту памяти находим наш Exeшник и ставим Set Memory Breakpoint on Access на секции code. В ранних версиях ASProtectа после срабатывания этой точки останова мы оказывались на ОЕР, посмотрим, что произойдёт сейчас. Делаем Shift+F9 и оказываемся здесь:
Все время такая надпись -> breakpoint removed .... и все и дальше никуды... CTRL+F2




Ранг: 500.6 (!), 7thx
Активность: 0.260
Статус: Участник

Создано: 30 октября 2005 21:26
· Личное сообщение · #6

Z0oMiK пишет:
Все время такая надпись -> breakpoint removed ....


У тебя наверно SP 2. У меня такаяже хрень.




Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 30 октября 2005 21:43
· Личное сообщение · #7

NIKOLA Станно у меня стоит SP1




Ранг: 500.6 (!), 7thx
Активность: 0.260
Статус: Участник

Создано: 30 октября 2005 21:45
· Личное сообщение · #8

Z0oMiK пишет:
у меня стоит SP1


А я думал из-за сервис пака такая хрень.
Значит дело в настройках.




Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 30 октября 2005 21:57
· Личное сообщение · #9

NIKOLAЯ уменя есть настройки hacnho вроде работает нормально но потом ollydbg.exe вызвала ошибку и тд и тп.....
SergSh прилепи свои настройки Ольки плиз




Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 30 октября 2005 22:03
· Личное сообщение · #10

Вот гляньте .. кто нить знает как это лечиться ?


8368_ollydbg.PNG




Ранг: 500.6 (!), 7thx
Активность: 0.260
Статус: Участник

Создано: 30 октября 2005 23:40
· Личное сообщение · #11

Z0oMiK

У меня точно такоеже окно всплывает.



Ранг: 500.5 (!), 8thx
Активность: 0.230
Статус: Участник

Создано: 30 октября 2005 23:44
· Личное сообщение · #12

Чёт не пойму, VirtualAlloc не всегда чтоль используется в аспровых call'ах ? к примеру попробовал запачить аспром 2.1 winrar - почему то бряки не срабатывают внутри VirtualAlloc...

-----
"Пусть видят, что мы не шутим. Стволы для понта, ножи для дела" Lock, Stock & Two Smoking Barrels





Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 31 октября 2005 02:21
· Личное сообщение · #13

Так с настройками разобрался .. юзал настройки чела -> hacnho
а теперь ImpRec 1.6Final начал мозговать
вот че это такое ? чего он орет что нехватает места и не может создать секцию =(((
Как это лечиться ?
NIKOLA если настройки нужны приатачу

6b30_imprec_error.PNG



Ранг: 115.3 (ветеран)
Активность: 0.030
Статус: Участник

Создано: 31 октября 2005 07:04
· Личное сообщение · #14

Я чесно сказать в этих настройках не силён, только учусь.
Там ошибка не надо сного дампить, просто этот не исправленный код скопировать в наш дамп. Не получается что-то залить продолжение. Но спасибо, что заинтересовались.
Было бы здорово, если бы кто-нибудь взялся написать часть про инлайн патч этой программы.




Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 31 октября 2005 07:07
· Личное сообщение · #15

SergSh Я бы сделал мувик если бы не глюки с Олькой и ImpRec




Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 31 октября 2005 08:37 · Поправил: Z0oMiK
· Личное сообщение · #16

SergSh Кстати у меня после скрипта
var addr
var voep
mov voep, 010C0294
mov addr,00EEA76A
eoe Label
run
Label:
cmp eip,addr
je rrr
esto
rrr:
add addr, 43
bp addr
esto
bc addr
bphws voep, "x"
run
bphwc voep
ret

не останавливается как ты писал на VOEP ... у мя он берет и запускает прогу



Ранг: 115.3 (ветеран)
Активность: 0.030
Статус: Участник

Создано: 31 октября 2005 10:28
· Личное сообщение · #17

Попробуй сделать Жёстко, хотя у меня работает так и так.
bp voep
run
bc voep



Ранг: 200.3 (наставник)
Активность: 0.090
Статус: Участник

Создано: 31 октября 2005 11:09
· Личное сообщение · #18

Z0oMiK пишет:
не останавливается как ты писал на VOEP
- извиняюсь за вмешательство, но наверное у тебя адрес последнего исключения не 00EEA76A, или виртуальный OEP не 010C0294

-----
Само плывет в pуки только то, что не тонет.





Ранг: 332.0 (мудрец)
Активность: 0.180
Статус: Участник
•Pr0tEcToRs KiLLeR•

Создано: 31 октября 2005 11:12
· Личное сообщение · #19

Z0oMiK ïèøåò:
SergSh Кстати у меня после скрипта
var addr
var voep
mov voep, 010C0294
mov addr,00EEA76A

я опять не читал ничего, но вообще-то такие скрипты расчитаны на одну машину (ось) и не являются универсальными, т.к. эти адреса явно из аллоченной памяти =)) зачем нужны такие скрипты тоже не понятно, другое дело универсальные, которые в любой проге с пределённой версией аспра работают ;)



Ранг: 21.3 (новичок)
Активность: 0.020
Статус: Участник

Создано: 31 октября 2005 11:13
· Личное сообщение · #20

SergSh
спасибо за статью пр iconlover.
начал по ней прогу ковырять,
и сразу вопрос:
как ты определил конец IAT?
почему именно 6E1B08?

зы: почемуто статья оканчивается на
'Видим в оригинале, что кода там не много и копируем всё в нашу секцию как и при восстановлении CALL EAX. Трассируем дальше. Падаем здесь:'

это так и было задумано? )



Ранг: 21.3 (новичок)
Активность: 0.020
Статус: Участник

Создано: 31 октября 2005 11:17
· Личное сообщение · #21

Mario555
как зачем, для удобства отлома данной конкретной проги.
у меня тоже ось не совпадает с осью SergSh'а, так имхо
это даже интересней, походу разбираться приходится )




Ранг: 500.6 (!), 7thx
Активность: 0.260
Статус: Участник

Создано: 31 октября 2005 11:30
· Личное сообщение · #22

Z0oMiK пишет:
если настройки нужны приатачу


Буду благодарен.



Ранг: 115.3 (ветеран)
Активность: 0.030
Статус: Участник

Создано: 31 октября 2005 12:41
· Личное сообщение · #23

Конечно так не задумано, это всего лишь черновик. Просто не могу слить постоянно срывается.



Ранг: 115.3 (ветеран)
Активность: 0.030
Статус: Участник

Создано: 31 октября 2005 12:57
· Личное сообщение · #24

Вот залил. hxxp://webfile.ru/604625
Главнвный вопрос, а стоит ли продолжать. Я так прикинул до полной распаквки ещё страниц 5 получится или больше.




Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 31 октября 2005 13:51
· Личное сообщение · #25

SergSh Сделай лучше Flash Movie прогой Instant Demo .. если у тебя выйдет DOC файл 5-6 страниц то он весить будет 7-8 метров... а в SWF меньше 2-3




Ранг: 500.6 (!), 7thx
Активность: 0.260
Статус: Участник

Создано: 31 октября 2005 16:31
· Личное сообщение · #26

SergSh пишет:
Главнвный вопрос, а стоит ли продолжать


Если ты из-за картинок, то можно их в png конвертнуть и оптимизировать в фотошопе.
Размер получается раза в три меньше, чем оригинал.




Ранг: 299.6 (наставник)
Активность: 0.30
Статус: Участник
Armadillo Killer

Создано: 31 октября 2005 16:40
· Личное сообщение · #27

Mario555
var addr var voep mov voep, 010C0294 mov addr,00EEA76A
В том то и дел что это мои адреса



Ранг: 21.3 (новичок)
Активность: 0.020
Статус: Участник

Создано: 31 октября 2005 16:52
· Личное сообщение · #28

SergSh
>Главнвный вопрос, а стоит ли продолжать
конечно!




Ранг: 332.0 (мудрец)
Активность: 0.180
Статус: Участник
•Pr0tEcToRs KiLLeR•

Создано: 31 октября 2005 22:10
· Личное сообщение · #29

assassin ïèøåò:
как зачем, для удобства отлома данной конкретной проги.

гы, ерунда это, под каждую прогу скрипт писать, нужно всё делать максимально универсальным (в разумных пределах конечно), иначе если уже в скрипте для нахождения оеп делать какие-то параметры которые нужно ставить вручную, то страшно будет смотреть на скрипт сделанный для снятия ВМ =))
PS короче делайте поиск нужных мест в коде аспра по сигнам, а не вбивайте адрса ;)


<< . 1 . 2 . 3 . 4 . 5 .
 [email protected] —› Протекторы —› Распаковка AsProtect >1.23 - от А до Я.
:: Ваш ответ
Жирный  Курсив  Подчеркнутый  Перечеркнутый  {mpf5}  Код  Вставить ссылку 
:s1: :s2: :s3: :s4: :s5: :s6: :s7: :s8: :s9: :s10: :s11: :s12: :s13: :s14: :s15: :s16:


Максимальный размер аттача: 500KB.
Ваш логин: german1505 » Выход » ЛС
   Для печати Для печати