Ayuda con armadillo

[KJD]

Gracias tena por la respuesta.

Ahora que lo dices, he puesto ams atencion y me di cuanta de algo, les dejo la imagen.



Si se fijan bien, entre las instrucciones del kernel, tengo metidas las de ntdll, es esto normal??? mientrastanto me pongo a ver bien los de GetTickCount haber si es eso lo que me la desordena.

Saludos y gracias,

[Shaddy]

jajaja Pues eso es de GetTickCount eh amigo?, luego te recomiendo que lo cambies de base cone l ArmInline.

Salu2..

[KJD]

Gracias Shadow, ya me parecia que no podia quedar asi, estoy intentando con el gettickcount, pero el maldito script no quiere andar como se debe, o no me ordena la IAT, es como si no pusiera a 1 a z.

Saludos.

[KJD]

Pues efectivamente parece ser GetTickCount, ya que si no lo evito, me escribe por ejemplo

kernel32.FreeEnvironmentStringsW

cuando tendria que ser

ernel32.FreeEnvironmentStringsA

ahora tengo un problerma algo grave, no me funciona el script para arreglar la IAT, este no pone a 0 al flag Z, pero si el flacg C, les dejo el escript para ver si descubren que esta mal.

gtc:

bphws 019DCF32, "x"  //GetTickCount
bphws 00927D5A , "x"   //oep
bphws 019DCCEF, "x"  //MAGICO


eob dale
run

dale:
cmp eip, 019FCF32
je repara
cmp eip, 00927D5A
je termina
cmp eip, 019FCCEF
je magico



repara:

mov !CF,1
jmp gtc

magico:
mov !ZF,1
jmp gtc

termina:
ret


Saludos y gracias.

[tena]

no se a donde va jmp gtc ¿?


Creo que ahi esta el error, debe ser un "run" en lugar de los dos jmp gtc

Saludos

[KJD]

tena el jmp gtc, va arriva de todo para volver a poner los bp, pero el error estaba en el salto magico, eran diferentes.

Ya lo he podido dumpear y demas, pero ahora el problema esta en que la aplicacion se cierra inesperadamente, pero no tengo lo de GetEnvironmentVariableA, asique no se como seguir. Alguna idea???

[Shaddy]

Si, le tienes que agregar cualquier ArmAccess.dll que encuentres por la red .

Salu2...

[KJD]

Gracias Shadow, voy a intentar con esa dll que me dices, pero me parece que lo he dumpeado mal, porque el programa cargado en olly arranca y empieza a cargar o extraer, no se bien como explicarlo, unas strings de unos archivos del programa y el programa se sale automaticamente.

Voy a revisar bien, sino, es el maldito programa que no quiere andar sin armadillo.

[Shaddy]

La ArmAccess.dll se encarga de una función que queda de armadillo, ésta función es la misma de la licencia, la que puedes ver si pones un bp en LoadLibraryA como intenta cargarla, y si EAX devuelve 1, entonces pasará a resolver la dirección de una API licensenoseque, que carga unas variables de entorno que necesita para estar registrado. Es por eso que lo puedes tener todo perfecto y no arrancar, para eso recomendación, BP LoadLibraryA y así verás que el mismo te lo está pidiendo a gritos.

Salu2...

[KJD]

Bueno gente, gracias a toso, Shadow, tena y sobretodo  a AmeRiK@nO que e tuvo una paciencia extraordinaria!!! jejeje.

El tema es asi, el programa, esta protegido co hackshield, y algunas otras herramientas antidebugginq ue todavía no descubri, como el tamaño del ejecutable, el tiempo de ejecucion y demas, por eso no me arranca. El arrmaccess no lo necesita ya que no necesita estar reegistrado o no.

Vere sipuedo sacarle esta proteccion que tiene de no poder cargar unas variables ya que me detecta y se sale.

Por lo demas, con el tema de armadillo esta todo resuelto, lo despakete bien, dumpee bien la IAT y lka acomode con ARMLine.

Muchachos gracias por toda la ayuda, ya venci mi primer armadillo!!!! jjejeje saludos a todos.