Ayuda con una dll

[cucay]

Hola:

Si probé ese shift con todos los Fs y nada. Se deja attachar pero te deja botado en mfc80 o ntdll, mejor dicho este programa no es bobo!. Que dicen, arrojo la toalla?

PD. No creo que sea el IsdebbuggerPresent a pesar de estar en la dll, digo porque todos esos plugins que se han ideado no funcionan y cuando digo todos son todoss.

[KJD]

Hola:

Si probé ese shift con todos los Fs y nada. Se deja attachar pero te deja botado en mfc80 o ntdll, mejor dicho este programa no es bobo!. Que dicen, arrojo la toalla?

PD. No creo que sea el IsdebbuggerPresent a pesar de estar en la dll, digo porque todos esos plugins que se han ideado no funcionan y cuando digo todos son todoss.

Provaste con lo que te dije??? no para en acada importacion de la dll???

[Shaddy]

Aunque Solid creo que lo dejó claro.

1.- Analízalo con modo "M-B" en RDG Packer Detector. En caso de no detectar nada prueba con alguno alternativo. (más actualizado que el PEiD).
2.- Bájate la versión OllySND Portable que corre por ahí proque tiene el plugin "OllyAdvanced" y si es por ocultarlo creo que lo hará.
3.- ¿Que quieres hacer exactamente que no se pueda atacheando?

Salu2...

[cucay]

Gracias de verdad por la colaboración. Me he encontrado con algo sorprendente gracias a sus recomendaciones. Quedé perplejo. Según el RDG, aparece protegido por una Hasp dongle. Será posible!. Pero si usa sistema de licencias flexl sin llave. Pero no puede ser el problema ahí. Tengo otro exe del mismo programa que si puedo correr en olly y que el RDG dice lo mismo. Solo que este no usa la dll. Este soft es del 2005. Uhmmm!

Chequeé la dll. Sacó algo interesante. Mencionó la compresion aPLib más el IsDebbuggerPresent. Creo que por ahí puede estar la cosa... pero raro que los plugines no lo oculten.

En resumen. Tengo un programa exe que ni siquiera lo puedo CARGAR en olly porque no ha pasado un nanosegundo cuando saca el letrero que no encuentra dll y manda una excepcion que no es manejable. La Memoria (M) aparece vacía y la stack (K) sin rastro, el Encabezado vuelto un desastre.

Y si abro el soft y le doy attach me manda directo a una excepción sin dejar rastro en el stack (K).

He chequeado el exe en file inspector y me muestra las fxns  sin problema, osea que la tabla IAT no debe estar tan mala. También en modo pasivo he chequeado el PE en olly entrada por entrada y parece estar bien. Solo el Checksum no concuerda. Uhm!

Uhm!! Veremos!

PD.

- Si probé bp en cada dll y en cada thread y varias opciones todo eso pero no funcionó.

- Probaré el olly SNDlite cuando lo pueda bajar. Había probado el que no es lite, impresionante, pero no funcionó.

[KJD]

Intenta primero sacar las protecciones de esa libreria, el aPLib y el isdebuggerpresent, talvez por eso no carga en olly.

Intentaste meter esa dll en la carpeta del olly??? suena raro pero.......

[Shaddy]

Bueno, por pasos porque no me aclaro del todo.

La librería tiene los 2 contratiempos.


- Algoritmo aPLiB.
- IsDebuggerPresent.


El 1º no creo que te dé ningún problema porque es un algoritmo estándar de compresión.

aPLib v0.44 - compression library

Copyright © 1998-2008 by Jørgen Ibsen. All Rights Reserved.

aPLib is a 32-bit compression library based on the compression algorithm used in aPACK (my executable compressor). aPLib is an easy-to-use alternative to many of the heavy-weight compression libraries available.

The compression ratios achieved by aPLib combined with the speed and tiny footprint of the depackers (as low as 169 bytes!) makes it the ideal choice for many products.

Since the first public release in 1998, aPLib has been one of the top pure LZ-based compression libraries available. It is used in a wide range of products including executable compression and protection software, archivers, games, embedded systems, and handheld devices.

aPLib works with most compilers / linkers, e.g.:

En cuanto a IsDebuggerPresent, tampoco creo que sea problema, he IsDebuggerPresent o simeplemente vas a "7ffdf002", (suele ser esa dirección..), y lo pones a 00 antes de arrancar.

Ahora lo de la mochila, puede llevar HASP sin necesidad de necesitar una llave "USB" física.

Ahora a ver si me aclaras lo de la librería, ¿cuando lo abres con OllyDBG te dice que no la encuentra?

Salu2..

[cucay]

Hola. Disculpen la tardanza pero no  había visto que esto había continuado.

-A ver. Intenté copiar la dll a la carpeta del olly y nada.

-Si hombre, el mensaje aparece de entrada. Le doy abrir al exe y aparece el mensaje de dll not found y la excepción es inpasable por más que le de shift algo. Ojo ni siquiera le he dado F9. No tengo chance.. No lo carga!

-Lo de la hasp no se puede descartar del todo aunque como dije, es raro que a pesar de tener otros exes con la misma protección este sea el único que no se deja ni siquier ABRIR.

- Chequeé una versión anterior del soft y encontré que este usaba otra librería, digamos una versión anterior. El programa este packer detector no le detectó nada.... Sin embargo el problema persiste.

La verdad que esta protección te para de entrada y para los novatos es fatal.

[KJD]

No creo que sea el hasp, ya que primero tiene que cargar el programa para luego verificar la mochila.

Pon un screen del log que te pone olly a ver que dice.

No se que olly estaras usando, pero prueva con el OllyShadow que tiene varios plugins para ocultarlo  herramientas que testean si estas realmente oculto, tambien descarga el OllySND (funciona solo en xp) este es mas "poderoso" que el anterior. (Ambos los tienes en el post Herramientas).

[cucay]

Bueno, esta es la parte interesante del log.

              New process with ID 00000AB4 created
005F593A   Main thread with ID 00000C7C created
7C97478E   Exception C0000135 (DLL NOT FOUND)
            Installing the hook...
            Hey I can't find the dll ! Try to do F7/F8/F9 and Plugins> SEH Hooker> Force to hook
             IsDebugPresent hidden
             Remove-RtlNtGlobalFlags
             Remove-ForceFlags

Ya probé esa versión y la pequena, obviamente con todos esos plugins trabajando y nada.

Raro ahh!. Casi paranormal. Está de concurso. El crackme del mes!! jeje.
Aunque creo que resultará algo trivial

[KJD]

Pues la verdad si, es bastante interesante, para hacer un tuto si resulta jejej.

Antes de empezar, en que sistema operativo estas?? me supongo que xp.

Por el log, me parece alguna proteccion anti debug, porque el hilo principal se crea, solo que despues muere.

Si te descargaste el OLLYsnd, fijate en la carpeta \Tools\HideToolz hay un programa llamado HideToolz, intenta ocultar el olly antes de empezar a debugear.

Si no funciona, carga esta DLL en olly, y fijate si encontras el issdebugerpresent y anulalo.

Saludos.