ANTICHAT — форум по информационной безопасности, OSINT и технологиям
ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию.
Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club,
и теперь снова доступен на новом адресе —
forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
 |
|
02.12.2009, 05:36
|
|
Познающий
Регистрация: 28.04.2009
Сообщений: 61
Провел на форуме:
103259
Репутация:
37
|
|
Сообщение от neprovad
Время затраченное на крики к совести реверсеров можно было потратить более продуктивно.
 а кто сказал что я сижу сложа руки.
Спасибо за подсказку.
Всегда уважал людей которые не флудят когда не знают ответа.
Можешь сказать как нашёл. Ибо мне нужен не результат, а способ его достижения. Если есть ман, дай пожалуйста линк.
ПыСы. Пробовал в декомпилёре юзать поиск, но он выдавал что строк не найдено, даже если искал строку которая была тут же в нём и открыта.
|
|
|
02.12.2009, 05:55
|
|
Постоянный
Регистрация: 19.10.2007
Сообщений: 794
Провел на форуме:
1013791
Репутация:
711
|
|
Классика
Даже не зная правильного ответа сначала, мысль у меня была верной. В olly нашли строку по сочетанию .key, нашли "code xref" на строку, вот мы и на месте.
Декомпилятор лишь подтвердил мою мысль. Код не был превращен в vb "кашу", что позволило более менее разглядеть логику. Вот и все, ничего мудреного.
p.s. Декомпилятором искать строки - дикость, это почти тоже самое что блокнотом открывать exe и dll.
Последний раз редактировалось neprovad; 02.12.2009 в 05:57..
|
|
|
|
02.12.2009, 06:59
|
|
Познающий
Регистрация: 28.04.2009
Сообщений: 61
Провел на форуме:
103259
Репутация:
37
|
|
Щас олькой поковырялся.
Файл с ключом проверяется с тем же именем что и АES
В памяти у меня настойчиво висит строка
0012FD78 |00152F44 UNICODE "WD-WCAPD2050354" что навевает мысль о привязке к винту.
Вооот. Прога при неверном key файле тихо загибается. Судя по процедуре чтения файла
0041DC64 . FF15 14114000 CALL DWORD PTR DS:[<&MSVBVM60.__vbaGet4>>; MSVBVM60.__vbaGet4
Автор использует какую то свою структуру, и читает её с файла. (если я правильно понял смысл http://www.firststeps.ru/vba/vbahelp/r.php?24)
Вооот... пока мысли иссякают, но буду ковырять далее.
Где то в середине чтения с файла вылазит уникодная TP_INVALID, и собсно программа умирает в муках эксепшнов.
Чешу затылок дальше.
UPD. До сравнения строк дошёл после заполнения файла 1 до талого. В памяти при этом висит строка моей кучи еденичек и 0, короче видимо строка на пустоту проверяется
Потом генерится строка из склеенных кодов символов. Для еденичек это было 313131313131, причём строка это первые 51 символ, а всего в файле данных должно быть гораздо больше, порядка 300 байт. Дойдя до конца строки, падает в эксепшн. Я в растерянности
Последний раз редактировалось lis84; 02.12.2009 в 08:09..
|
|
|
|
02.12.2009, 09:00
|
|
Постоянный
Регистрация: 19.10.2007
Сообщений: 794
Провел на форуме:
1013791
Репутация:
711
|
|
Если не получается раскусить генерацию кода, то что мешает изменить результат функции, как мне показалось он либо целочисленный либо boolean. Если так, то патчим результат, надеясь что результаты "вычислений" нигде не используются. Опять же, чтоб не надеяться на авось, есть бряки аппаратные на чтение\запись |
|
|
|
|
|
|
Похожие темы
|
| Тема |
Автор |
Раздел |
Ответов |
Последнее сообщение |
|
ищу упаковщик vb
|
Myload |
С/С++, C#, Rust, Swift, Go, Java, Perl, Ruby |
1 |
28.07.2009 18:35 |
|
VB Trojan реестр..
|
ZERO-Y |
С/С++, C#, Rust, Swift, Go, Java, Perl, Ruby |
9 |
25.05.2009 21:02 |
|
Вопрос про RSS в vb 3.0.x
|
VipeR |
Уязвимости CMS / форумов |
0 |
08.01.2006 21:42 |
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Линейный вид
