ayuda con soft en delphi

overnat · 30 Diciembre 2008, 08:13 AM

Hola,

Antes de nada Feliz Navidad al foro elhacker.net .

ahora mi duda.

Estoy intentando crackear un programa realizado en delphi 7 ó 8 eso me dice el RDG . El caso es que es trial y a caducado y cuando ejecuto el programa sale una pu ñetera nag screen pero no tengo muchas nociones de cracking y no se por donde tirar .

He puesto un breakpoint en ShowWindow y funciona, es decir, se para antes de crear el nag , pero no me acuerdo de como se hacia para ir hacia atras en las instrucciones y situarte en la que hizo la llamada a la funcion .

No se si me he explicado correctamente , pero espero que se entienda el problema.

Salu2

Shaddy · 30 Diciembre 2008, 17:57 PM

Puedes o bien pulsar "ALT + K" (Call Stack) y verás las llamadas que se hicieron desde la función Show Window o bien darle a "ALT + F9" para volver al código del módulo principal, y una vez ahí estarás justo debajo de la llamada...

Un saludo.

P.D: Si quieres cuando estes seguro que el call es el de la llamada puedes poner una imagen, feliz navidad

.

tena · 31 Diciembre 2008, 02:55 AM

Yo hice un tute para eliminar Nagietas de Delphis

http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/801-900/838-COMO_ELIMINAR_NAGS_EN_PROGRAMAS_DELPHI.rar

espero te sirva

Feliz Año Nuevo..

Shady, tanta espuma en la cabeza te quedaste en navidad jejeje

overnat · 31 Diciembre 2008, 08:45 AM

Muchas gracias por vuestra ayuda .

Voy a ver si saco algo jejej .

Salu2

FELIZ NAVIDAD Y ENTRADA Y SALIDA DE AÑO .

Nos os pongais muuu

.

overnat · 31 Diciembre 2008, 12:07 PM

Hola de nuevo,

He intentado lo que me decis con algunos resultados, pero no se si voy por buen camino .

He intentado crear un BP en getcapture ( Bueno eso creo ) , pero no consigo nada por hay .

Lo que si hace que la ventana no aparezca es un BP en CreateWindow y luego hice lo del ALT+F9 para volver a la llamada , de hay aparezco donde muestro abajo ,pero no se si voy bien no localizo nada que me evite el nag .

Esta es la call que llama a la creacion del nag creo .

7B223A76 8985 5CFFFFFF MOV DWORD PTR SS:[EBP-A4],EAX
7B223A7C 8B8D 60FFFFFF MOV ECX,DWORD PTR SS:[EBP-A0]
7B223A82 33D2 XOR EDX,EDX
7B223A84 E8 8355E4FF CALL System_W.7B06900C
7B223A89 8B8D 60FFFFFF MOV ECX,DWORD PTR SS:[EBP-A0]
7B223A8F 33D2 XOR EDX,EDX
7B223A91 E8 0656E4FF CALL System_W.7B06909C
7B223A96 8B85 60FFFFFF MOV EAX,DWORD PTR SS:[EBP-A0]
7B223A9C 33D2 XOR EDX,EDX
7B223A9E 8990 FC000000 MOV DWORD PTR DS:[EAX+FC],EDX
7B223AA4 C785 34FFFFFF 58854A7B MOV DWORD PTR SS:[EBP-CC],System_W.7B4A8558
7B223AAE 89A5 38FFFFFF MOV DWORD PTR SS:[EBP-C8],ESP
7B223AB4 8B85 64FFFFFF MOV EAX,DWORD PTR SS:[EBP-9C]
7B223ABA 68 CF3A227B PUSH System_W.7B223ACF
7B223ABF 8F85 3CFFFFFF POP DWORD PTR SS:[EBP-C4]
7B223AC5 C640 08 00 MOV BYTE PTR DS:[EAX+8],0
7B223AC9 FF15 BC33447B CALL DWORD PTR DS:[7B4433BC] ; System_W.7B64FA18
7B223ACF 8B8D 64FFFFFF MOV ECX,DWORD PTR SS:[EBP-9C]
7B223AD5 C641 08 01 MOV BYTE PTR DS:[ECX+8],1
7B223AD9 833D F017387A 00 CMP DWORD PTR DS:[7A3817F0],0
7B223AE0 74 07 JE SHORT System_W.7B223AE9
7B223AE2 50 PUSH EAX
7B223AE3 E8 C449D7FE CALL mscorwks.79F984AC
7B223AE8 58 POP EAX
7B223AE9 8BF8 MOV EDI,EAX
7B223AEB B9 01000000 MOV ECX,1
7B223AF0 E8 EBFFC4FE CALL mscorwks.79E73AE0
7B223AF5 8BB0 6C090000 MOV ESI,DWORD PTR DS:[EAX+96C]
7B223AFB 8BD6 MOV EDX,ESI
7B223AFD 8BCF MOV ECX,EDI
7B223AFF E8 9C7712FE CALL mscorlib.7934B2A0
7B223B04 85C0 TEST EAX,EAX
7B223B06 74 3A JE SHORT System_W.7B223B42
7B223B08 8D85 70FFFFFF LEA EAX,DWORD PTR SS:[EBP-90]
7B223B0E 33D2 XOR EDX,EDX
7B223B10 8910 MOV DWORD PTR DS:[EAX],EDX
7B223B12 8978 04 MOV DWORD PTR DS:[EAX+4],EDI
7B223B15 8D85 70FFFFFF LEA EAX,DWORD PTR SS:[EBP-90]
7B223B1B FF70 04 PUSH DWORD PTR DS:[EAX+4]
7B223B1E FF30 PUSH DWORD PTR DS:[EAX]
7B223B20 8D4A 01 LEA ECX,DWORD PTR DS:[EDX+1]

sigo la call con F7 y luego F8 hasta llegar aqui
aqui llama al nag

7B223DA0 8B85 60FFFFFF MOV EAX,DWORD PTR SS:[EBP-A0]
7B223DA6 83B8 F8000000 00 CMP DWORD PTR DS:[EAX+F8],0
7B223DAD 75 2F JNZ SHORT System_W.7B223DDE
7B223DAF E8 E036E5FF CALL System_W.7B077494
7B223DB4 8BF8 MOV EDI,EAX
7B223DB6 B9 04934B7B MOV ECX,System_W.7B4B9304
7B223DBB E8 1C15C5FE CALL mscorwks.79E752DC
7B223DC0 8BF0 MOV ESI,EAX
7B223DC2 8B95 60FFFFFF MOV EDX,DWORD PTR SS:[EBP-A0]
7B223DC8 8BCE MOV ECX,ESI
7B223DCA E8 4196EBFF CALL System_W.7B0DD410
7B223DCF 56 PUSH ESI
7B223DD0 8BCF MOV ECX,EDI
7B223DD2 BA 04000000 MOV EDX,4
7B223DD7 3909 CMP DWORD PTR DS:[ECX],ECX
7B223DD9 E8 8ABA4200 CALL System_W.7B64F868
7B223DDE C745 E4 00000000 MOV DWORD PTR SS:[EBP-1C],0
7B223DE5 C745 E8 FC000000 MOV DWORD PTR SS:[EBP-18],0FC
7B223DEC 68 9D3F227B PUSH System_W.7B223F9D
7B223DF1 EB 00 JMP SHORT System_W.7B223DF3
7B223DF3 8D55 D0 LEA EDX,DWORD PTR SS:[EBP-30]
7B223DF6 33C9 XOR ECX,ECX
7B223DF8 890A MOV DWORD PTR DS:[EDX],ECX
7B223DFA 8B45 DC MOV EAX,DWORD PTR SS:[EBP-24]
7B223DFD 8942 04 MOV DWORD PTR DS:[EDX+4],EAX
7B223E00 8D45 D0 LEA EAX,DWORD PTR SS:[EBP-30]
7B223E03 FF70 04 PUSH DWORD PTR DS:[EAX+4]
7B223E06 FF30 PUSH DWORD PTR DS:[EAX]
7B223E08 E8 A7034600 CALL System_W.7B6841B4
7B223E0D 85C0 TEST EAX,EAX
7B223E0F 75 06 JNZ SHORT System_W.7B223E17
7B223E11 8B45 D8 MOV EAX,DWORD PTR SS:[EBP-28]
7B223E14 8945 DC MOV DWORD PTR SS:[EBP-24],EAX
7B223E17 8D55 C8 LEA EDX,DWORD PTR SS:[EBP-38]
7B223E1A 33C9 XOR ECX,ECX
7B223E1C 890A MOV DWORD PTR DS:[EDX],ECX
7B223E1E 8B45 DC MOV EAX,DWORD PTR SS:[EBP-24]
7B223E21 8942 04 MOV DWORD PTR DS:[EDX+4],EAX
7B223E24 8D45 C8 LEA EAX,DWORD PTR SS:[EBP-38]
7B223E27 FF70 04 PUSH DWORD PTR DS:[EAX+4]
7B223E2A FF30 PUSH DWORD PTR DS:[EAX]
7B223E2C E8 83034600 CALL System_W.7B6841B4
7B223E31 85C0 TEST EAX,EAX
7B223E33 74 3A JE SHORT System_W.7B223E6F
7B223E35 8D55 A8 LEA EDX,DWORD PTR SS:[EBP-58]
7B223E38 33C9 XOR ECX,ECX
7B223E3A 890A MOV DWORD PTR DS:[EDX],ECX
7B223E3C 8B45 DC MOV EAX,DWORD PTR SS:[EBP-24]

no consigo entender como verifica , ya que no pide serial ni nada es simplemente se acabo el tiempo tatatatatat y la ***** de la ventana que no se va .

Estoy hecho un lio ,tengo poca experiencia en esto y no se si sera demasiado complicado.

Salu2

tena · 31 Diciembre 2008, 17:12 PM

Estas en una dll. Fijate con ALt+K las llamadas que se hicieron hasta ahi..

Tambien podes poner un bp en DestroyWindows y luego aceptas la nag, despues vas retrocediendo hasta encontrar donde llama la nag..

slds

overnat · 1 Enero 2009, 12:24 PM

FELIZ AÑO 2009

Hola,

Desde el año pasado no escribia nada . : )

Mira he llegado hasta aqui y creo que es donde verifica

0040DD1F |. 81C4 E0FCFFFF ADD ESP,-320
0040DD25 |. 53 PUSH EBX
0040DD26 |. 56 PUSH ESI
0040DD27 |. 57 PUSH EDI
0040DD28 |. 898D F8FCFFFF MOV [LOCAL.194],ECX
0040DD2E |. 8BDA MOV EBX,EDX
0040DD30 |. 8985 FCFCFFFF MOV [LOCAL.193],EAX
0040DD36 |. F643 01 20 TEST BYTE PTR DS:[EBX+1],20
0040DD3A 75 0A JNZ SHORT BobsTrac.0040DD46
0040DD3C |. B8 57000780 MOV EAX,80070057
0040DD41 |. E8 7EFBFFFF CALL BobsTrac.0040D8C4
0040DD46 |> 66:8B03 MOV AX,WORD PTR DS:[EBX]
0040DD49 |. 8BD0 MOV EDX,EAX
0040DD4B |. 66:81E2 FF0F AND DX,0FFF
0040DD50 |. 66:83FA 0C CMP DX,0C
0040DD54 0F84 73010000 JE BobsTrac.0040DECD
0040DD5A F6C4 40 TEST AH,40
0040DD5D 75 0D JNZ SHORT BobsTrac.0040DD6C
0040DD5F 8B43 08 MOV EAX,DWORD PTR DS:[EBX+8]
0040DD62 |. 8B00 MOV EAX,DWORD PTR DS:[EAX]
0040DD64 |. 8985 ECFCFFFF MOV [LOCAL.197],EAX
0040DD6A |. EB 09 JMP SHORT BobsTrac.0040DD75
0040DD6C |> 8B43 08 MOV EAX,DWORD PTR DS:[EBX+8]
0040DD6F |. 8985 ECFCFFFF MOV [LOCAL.197],EAX
0040DD75 |> 8B85 ECFCFFFF MOV EAX,[LOCAL.197]
0040DD7B |. 0FB700 MOVZX EAX,WORD PTR DS:[EAX]
0040DD7E |. 8985 F0FCFFFF MOV [LOCAL.196],EAX
0040DD84 |. 8B9D F0FCFFFF MOV EBX,[LOCAL.196]
0040DD8A |. 4B DEC EBX
0040DD8B |. 85DB TEST EBX,EBX
0040DD8D 7C 6B JL SHORT BobsTrac.0040DDFA
0040DD8F |. 43 INC EBX
0040DD90 |. 33FF XOR EDI,EDI
0040DD92 |. 8DB5 00FDFFFF LEA ESI,[LOCAL.192]
0040DD98 |> 8BC6 /MOV EAX,ESI
0040DD9A |. 8985 E0FCFFFF |MOV [LOCAL.200],EAX
0040DDA0 |. 8B85 E0FCFFFF |MOV EAX,[LOCAL.200]
0040DDA6 |. 83C0 04 |ADD EAX,4
0040DDA9 |. 50 |PUSH EAX
0040DDAA |. 8D47 01 |LEA EAX,DWORD PTR DS:[EDI+1]

He modificado esos valores y el resultado es un pantallazo diciendo que el programa necesita framework 2.0 , pero ni rastro del nag ( Creo que voy bien encaminado por este detalle o no ? ) .

El caso es que si que tengo instalado el paquete de framework 2.0 .

Voy Fatal no ?

overnat · 3 Enero 2009, 03:20 AM

Hola ,

He intentado lo de poner un breakpoint en getcapture .

Cargo el programa el olly pulso ctrl + n para buscar las funciones , pero aky no encuentro Getcapture por ningun sitio .

Como esto no salia he intentado por mil sitio llegar al nag COSA CHUNGA .

Creo que esta es la call que llama a la nag , pero no se como hacer para quitarla.

Este es el codigo que hay cerca de la call .

0042137F . E8 440DFFFF CALL BobsTrac.004120C8
00421384 . FF75 9C PUSH DWORD PTR SS:[EBP-64]
00421387 . FF75 98 PUSH DWORD PTR SS:[EBP-68]
0042138A . FF75 94 PUSH DWORD PTR SS:[EBP-6C]
0042138D . FF75 90 PUSH DWORD PTR SS:[EBP-70]
00421390 . 8D45 84 LEA EAX,DWORD PTR SS:[EBP-7C]
00421393 . E8 4444FEFF CALL BobsTrac.004057DC
00421398 . 50 PUSH EAX
00421399 . A1 D4484200 MOV EAX,DWORD PTR DS:[4248D4]
0042139E . 8B40 30 MOV EAX,DWORD PTR DS:[EAX+30]
004213A1 . 50 PUSH EAX
004213A2 . 8B00 MOV EAX,DWORD PTR DS:[EAX]
004213A4 . FF50 40 CALL DWORD PTR DS:[EAX+40]
004213A7 . E8 4045FEFF CALL BobsTrac.004058EC
004213AC . 8B45 84 MOV EAX,DWORD PTR SS:[EBP-7C]
004213AF . 50 PUSH EAX
004213B0 . 8B00 MOV EAX,DWORD PTR DS:[EAX]
004213B2 FF90 94000000 CALL DWORD PTR DS:[EAX+94]
004213B8 . E8 2F45FEFF CALL BobsTrac.004058EC
004213BD > 33C0 XOR EAX,EAX
004213BF . 5A POP EDX
004213C0 . 59 POP ECX
004213C1 . 59 POP ECX
004213C2 . 64:8910 MOV DWORD PTR FS:[EAX],EDX
004213C5 . 68 28144200 PUSH BobsTrac.00421428

Alguna idea ?

Estoy un poco verde en el tema , pero es que los crackme que he visto por hay son otro tipo de nag y si se quitan mas facilmente.

Salu2

tena · 3 Enero 2009, 15:08 PM

Si queres mandame el link de descarga al privado y lo vemos..

Tambien podes usar el DEDE para decompilar los delphis.

slds

overnat · 3 Enero 2009, 23:50 PM

Hola,

Gracias por tu ayuda amigo/a tena.

He intentado utilizar el DEDE pero el tema es que el programa a caducado y el DEDE no lo carga.

Te envio un privado con el link .

Salu2