ANTICHAT.XYZ    VIDEO.ANTICHAT.XYZ    НОВЫЕ СООБЩЕНИЯ    ФОРУМ  
Баннер 1   Баннер 2

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.
Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.
⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.
Вернуться   Форум АНТИЧАТ > Программирование > Реверсинг
Перезагрузить страницу Themida newest version-UNPACK
   
Ответ
Страница 2 из 3 < 1 2 3 >
 
Опции темы Поиск в этой теме Опции просмотра

  #11  
Старый 21.07.2009, 10:11
cryptX
Познающий
Регистрация: 02.09.2008
Сообщений: 38
Провел на форуме:
88361

Репутация: 0
По умолчанию
2 Neprovad
просто я думал что от этого и прога зависает.А как найти эти vm переходы ?
 
Ответить с цитированием

  #12  
Старый 21.07.2009, 10:14
cryptX
Познающий
Регистрация: 02.09.2008
Сообщений: 38
Провел на форуме:
88361

Репутация: 0
По умолчанию
2 Neprovad
а как эти переходы находить ???
 
Ответить с цитированием

  #13  
Старый 21.07.2009, 10:21
neprovad
Постоянный
Регистрация: 19.10.2007
Сообщений: 794
Провел на форуме:
1013791

Репутация: 711


По умолчанию
делал так: ставил memory breakpoint на секцию с vm и когда сработало, посмотрел откуда был переход.
upd:
Код:
.text:00408959                 call    dword ptr [eax+88h] ; check
.text:0040895F                 test    al, al
.text:00408961                 jz      loc_408C2C
.text:00408967                 mov     ecx, [ebp+0ED60h]
.text:0040896D                 mov     [esp+0ECh+var_64], ebx
.text:00408974                 lea     edx, [esp+0ECh+var_64]
.text:0040897B                 mov     eax, [ecx]
.text:0040897D                 push    edx
.text:0040897E                 call    dword ptr [eax+88h] ; save to registry
.text:00408984                 test    al, al
.text:00408986                 jz      loc_408BDD
предлагаю также обратить внимание на данный участок кода, может оказаться весьма важным при взломе
Последний раз редактировалось neprovad; 21.07.2009 в 10:28..
 
Ответить с цитированием

  #14  
Старый 21.07.2009, 10:32
cryptX
Познающий
Регистрация: 02.09.2008
Сообщений: 38
Провел на форуме:
88361

Репутация: 0
По умолчанию
Neprovad
Ставил бряки на секцию с Themida
срабативает на 00E9B003 50 PUSH EAX
 
Ответить с цитированием

  #15  
Старый 21.07.2009, 10:35
cryptX
Познающий
Регистрация: 02.09.2008
Сообщений: 38
Провел на форуме:
88361

Репутация: 0
По умолчанию
и вообще по адресу 0x0439347 у меня F4
 
Ответить с цитированием

  #16  
Старый 21.07.2009, 10:46
cryptX
Познающий
Регистрация: 02.09.2008
Сообщений: 38
Провел на форуме:
88361

Репутация: 0
По умолчанию
Neprovad
нашел.
CALL FAR FFB2:5DE94DD2
DEC DWORD PTR DS:[EDI+5C680037]

А откуда копировать ???
 
Ответить с цитированием

  #17  
Старый 21.07.2009, 10:58
neprovad
Постоянный
Регистрация: 19.10.2007
Сообщений: 794
Провел на форуме:
1013791

Репутация: 711


По умолчанию
Цитата:
Сообщение от cryptX  
и вообще по адресу 0x0439347 у меня F4
это потому что запустил ПАКОВАННУЮ версию программы
когда распаковка у themida заканчивается то по этому адресу будет переход как я и говорил
p.s.
не пиши по несколько сообщений подряд, модераторы это не любят если есть что дополнить исправь предыдущее сообщение
Последний раз редактировалось neprovad; 21.07.2009 в 11:00..
 
Ответить с цитированием

  #18  
Старый 21.07.2009, 11:09
cryptX
Познающий
Регистрация: 02.09.2008
Сообщений: 38
Провел на форуме:
88361

Репутация: 0
Unhappy
Цитата:
Сообщение от neprovad  
делал так: ставил memory breakpoint на секцию с vm и когда сработало, посмотрел откуда был переход.
upd:
Код:
.text:00408959                 call    dword ptr [eax+88h] ; check
.text:0040895F                 test    al, al
.text:00408961                 jz      loc_408C2C
.text:00408967                 mov     ecx, [ebp+0ED60h]
.text:0040896D                 mov     [esp+0ECh+var_64], ebx
.text:00408974                 lea     edx, [esp+0ECh+var_64]
.text:0040897B                 mov     eax, [ecx]
.text:0040897D                 push    edx
.text:0040897E                 call    dword ptr [eax+88h] ; save to registry
.text:00408984                 test    al, al
.text:00408986                 jz      loc_408BDD
предлагаю также обратить внимание на данный участок кода, может оказаться весьма важным при взломе
У меня ключик уже есть,только не могу разобратся с vm.

Neprovad а именно сколько байтов копировать ???
Последний раз редактировалось cryptX; 21.07.2009 в 11:14..
 
Ответить с цитированием

  #19  
Старый 21.07.2009, 11:53
neprovad
Постоянный
Регистрация: 19.10.2007
Сообщений: 794
Провел на форуме:
1013791

Репутация: 711


По умолчанию
потрассируешь и поймешь чего не хватает, одна часть вмки уже была мной прикреплена
 
Ответить с цитированием

  #20  
Старый 21.07.2009, 14:12
cryptX
Познающий
Регистрация: 02.09.2008
Сообщений: 38
Провел на форуме:
88361

Репутация: 0
По умолчанию
Neprovad
что то у меня не получается...
Сколько байтов с 0x0439347 копировать ???
И как узнать где заканчивается секция ?
 
Ответить с цитированием
Ответ
Страница 2 из 3 < 1 2 3 >



« Предыдущая тема | Следующая тема »
Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Секретные Коды _-[A.M.D]HiM@S-_ Сотовый фрикинг 98 09.06.2010 16:01
Стандартные пароли, пароли по умолчанию, мастер-пароли Elvis000 Электроника и Фрикинг 11 22.10.2009 03:31
Проблемы с вставкой flash обьекта на сайт CBETA PHP, PERL, MySQL, JavaScript 2 15.05.2009 17:49
[99.7%] решение проблемы с icq AlexV ICQ 88 25.01.2009 13:31
трабла с Hp 6340 нестабильная загрузка системы ;-( TTN_ Схемы и программы 1 26.11.2006 01:27



Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
 


Быстрый переход




ANTICHAT.XYZ