Antichat снова доступен.
Форум Antichat (Античат) возвращается и снова открыт для пользователей.
Здесь обсуждаются безопасность, программирование, технологии и многое другое.
Сообщество снова собирается вместе.
Новый адрес: forum.antichat.xyz
 |
|
06.09.2009, 02:23
|
|
Постоянный
Регистрация: 16.08.2006
Сообщений: 640
Провел на форуме:
1354067
Репутация:
599
|
|
если гуи программа - то можно впаять небольшой инлайн патчик, который будет задавать значение полю. нужно только надебажить нужный момент для вызова внедрения текста - когда окно создано.
|
|
|
06.09.2009, 10:33
|
|
Участник форума
Регистрация: 05.06.2009
Сообщений: 127
Провел на форуме:
1313455
Репутация:
249
|
|
кинь ссылку, посмотрим. При запуске GUI приложений обычно оно устанавливает значения текстовых полей функцией SetWindowText, ставь бряки на всех и ищи когда будет текст похожий на текст поля для MAC, то есть как я понимаю, скорее всего пустой "".
BOOL SetWindowText
(
HWND hWnd, // дескриптор окна или элемента управления
LPCTSTR lpString // адрес строчки
);
Меняем соответственно push "адрес первого аргумента для SetWindowText" на push твой mac, посмотри свободные байты, найдеш - запиши туда свой mac и push его адрес.
Последний раз редактировалось Dosia; 06.09.2009 в 10:37..
|
|
|
|
06.09.2009, 22:31
|
|
Постоянный
Регистрация: 12.05.2009
Сообщений: 395
Провел на форуме:
4761503
Репутация:
229
|
|
Че то не могу никак найти где вызывается MessageBox
Сама программа (упакованная FSG 2.0):
http://multi-up.com/137749
Распакованная программа (она же токо распак. вроде как):
http://dump.ru/file/3371134
Подскажите что не так делаю?(и так искал поиском MessageBox, по титлу/тексту messagebox'а, ничего не помогает) Я чую что-то не так намудрил с распаковкой (распаковывал этим: http://www.opensc.ws/trojan-malware-releases/5386-fsg-unpacker-plugin-peid.html)
(при нажатии на кнопку "Начать" вылезает окно о авторизации)(сейчас задача стоит найти откуда вызывается MessageBox!)
|
|
|
|
06.09.2009, 23:33
|
|
Участник форума
Регистрация: 05.06.2009
Сообщений: 127
Провел на форуме:
1313455
Репутация:
249
|
|
потому что это и не MessageBox вовсе, а окно обыкновенное
Код:
Стек:
0012F62C 001C086C |hWnd = 001C086C ('Login',class='TForm2')
0012F630 00000001 \ShowState = SW_SHOWNORMAL
Код:
0048A19D . E8 EAEDF7FF CALL <JMP.&user32.ShowWindow> ; \ShowWindow
Щас все будет ...
Последний раз редактировалось Dosia; 06.09.2009 в 23:55..
|
|
|
|
06.09.2009, 23:35
|
|
Постоянный
Регистрация: 12.07.2006
Сообщений: 327
Провел на форуме:
1654818
Репутация:
117
|
|
прога на дельфи и это дельфовский showmessage. И я хз как он работает).
вызывается из процедуры по адресу
0055684C
а сам вызов вот тут
00556977
возьми например GODUP Plugin и примени дельфовские сигнатуры из иды. и тогда у тебя определится этот шоу меседж.
пс: кстати программа походу сама себе кейген)
ну вот не успел)
|
|
|
|
06.09.2009, 23:53
|
|
Участник форума
Регистрация: 05.06.2009
Сообщений: 127
Провел на форуме:
1313455
Репутация:
249
|
|
Начало процедуры, как уже заметил zeppe1in, рекспект ему и уважуха по адресу: 0055684C. Брекйпоинт туда и трассируем по F8:
Первый раз мы видим верный серийный номер:
Код:
005568D6 |. 8B55 F0 MOV EDX,DWORD PTR SS:[EBP-10]
Процедура проверки:
Код:
00556908 |. E8 FFF6EAFF CALL unpacked.0040600C
Проверка условия:
Код:
0055690D |. 75 63 JNZ SHORT unpacked.00556972
А ниже если не было прыжка мы можем увидеть сохранение в файл верного серийного номера:
Код:
key.ini
[key]
k=*********
Последний раз редактировалось Dosia; 06.09.2009 в 23:58..
|
|
|
|
07.09.2009, 00:05
|
|
Постоянный
Регистрация: 12.07.2006
Сообщений: 327
Провел на форуме:
1654818
Репутация:
117
|
|
Dosia, надо было хоть чегонить wolmer'у оставить)
|
|
|
|
07.09.2009, 18:45
|
|
Новичок
Регистрация: 29.10.2008
Сообщений: 20
Провел на форуме:
32437
Репутация:
9
|
|
Нужны опкоды MSIL (.NET), нашел 1 сайт, но он китайский http://www.asukaze.net/etc/cil/opcode.html
Есть что-нибудь полнее и хотя-бы на английском?
|
|
|
|
07.09.2009, 19:23
|
|
Reservists Of Antichat - Level 6
Регистрация: 23.08.2007
Сообщений: 1,237
Провел на форуме:
18127311
Репутация:
1676
|
|
И что с того что китайский, пояснения же на английском
|
|
|
|
08.09.2009, 20:51
|
|
Постоянный
Регистрация: 12.05.2009
Сообщений: 395
Провел на форуме:
4761503
Репутация:
229
|
|
Dosia, хм... спасибо! а как вы нашли это окно обыкновенное? (искал по слову "JMP.&user32.ShowWindow","ShowWindow" ничего вроде не находило (искал в w32dasm,IDA))
|
|
|
|
|
|
|
|
Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)
|
|
|
|
Похожие темы
Линейный вид
