Test Foro de elhacker.net SMF 2.1

Programación => Ingeniería Inversa => Mensaje iniciado por: TM_Recargado en 16 Noviembre 2011, 23:49 PM

Título: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: TM_Recargado en 16 Noviembre 2011, 23:49 PM
Hola gente de EL HACKER como veran me atrevi a registrarme a esta maravillosa página, tiempo hace que la vengo siguiendo, por cierto muy interesante, y agradecer y felicitar a Shaddy y Karmany por tan maravillosos tutes...
Bueno vamos al grano... como dice un joven con ácne... jeje... sin insultar a nadie que quede claro...  :silbar:

Tengo un problemón... món... món y es que quiero desempacar una aplicación llamada Exeinfo PE, ahi pongo la imagen  :rolleyes:

(http://4.bp.blogspot.com/-Oa046qKB5ow/TsQ45RNpGmI/AAAAAAAAAAU/YGud1v-oFrw/s1600/Exeinfo+PE.png)  

El problema en si no esta en desempacarla, de poder se puede... lo que pasa es que cuando la desempaqueto y ejecuto la aplicación me pasa esto...  :o

(http://1.bp.blogspot.com/-zfWjEPBldis/TsQ4CqzVTcI/AAAAAAAAAAM/_ZJUfFNuuyY/s1600/Error.png)

Que es lo que quiero, quiero que alguién buena gente me diga que es lo que puede estar pasando... haber si karmany o Shaddy se aparecen por aqui y me ayudan...

Ya intente hasta con el OllyDBG y me sale archivo corrompido, la dumpeo, reconstruyo el PE y me llega a dar un error de ceros y efes, ahi pongo la imagen para que vean...  :-\

(http://4.bp.blogspot.com/-29bCMpg4tN8/TsQ8E9dJYbI/AAAAAAAAAAc/0GSrIbqgfc4/s1600/Olly.png)

Disculpenme si la imagen esta muy grande, como pueden ver en el EIP: 0000FFFF; hasta ahora no habia visto algo asi... con esto vuelvo a ser novato del OllyDBG....  :-(  

Bueno espero me ayuden, cualquier ayuda, cualquier comentario, es bienvenido... si me quieren putear, es aceptable...  ;D

Me olvidaba, aqui esta la aplicación... pesa 1.70 MB  :huh:

http://www.mediafire.com/?frbckk97l6cwk1y (http://www.mediafire.com/?frbckk97l6cwk1y)
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: Иōҳ en 17 Noviembre 2011, 00:54 AM
Para mi que el error está en el head....

Y cómo lo unpackeastes?, para evitar cualquier problema, hazlo con la opción que trae el mismo UPX.

Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: karmany en 17 Noviembre 2011, 01:23 AM
Eso tiene pinta de ser una protección anti desempacado de UPX.

¿Cómo lo has desempacado con UPX?

PD. Por experiencia diría que lo has desempacado bien pero que tienes una protección que te queda por resolver.
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: Иōҳ en 17 Noviembre 2011, 04:10 AM
Cita de: karmany en 17 Noviembre 2011, 01:23 AM
Eso tiene pinta de ser una protección anti desempacado de UPX.

¿Cómo lo has desempacado con UPX?

PD. Por experiencia diría que lo has desempacado bien pero que tienes una protección que te queda por resolver.

o claro no contemplé esa opción...  ;D
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: .:UND3R:. en 17 Noviembre 2011, 04:36 AM
No contiene detección CRC
No contiene detección de tamaño
No detecta modificación de nombre de segmento


Sigo viendo saludos
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: TM_Recargado en 17 Noviembre 2011, 22:49 PM
Cita de: .:UND3R:. en 17 Noviembre 2011, 04:36 AM
No contiene detección CRC
No contiene detección de tamaño
No detecta modificación de nombre de segmento


Sigo viendo saludos

Gracias .:UND3R:. - Karmany - Иōҳ - por el interes, y a los demas muchachos se les agradece tambien... espero encuentren la raiz del problema y me muestren una solucion, yo por lo pronto, sigo intentando... gracias :laugh:

Ah me olvidaba, el programa no lo empaquete yo, pero segun averigue fue comprimido con el nivel 7 de compresion upx, segun los analisis... ojala sirva...

Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: apuromafo CLS en 19 Noviembre 2011, 03:03 AM
1) el programa tiene upx, pero tiene un packer/ofuscador CUSTOM del autor de la aplicacion

2) el programa tiene antidebug/seh y detecciones, pero solo comienzan despues del verdadero oep reconstruido

3) tiene un gran antidump con la memoria, actualmente tengo un dumped de 87mb por ese tema

recontruido aproximadamente el oep seria asi:
Citar0053FAD4 >  55              PUSH EBP
0053FAD5    54              PUSH ESP
0053FAD6    5D              POP EBP
0053FAD7    83C4 E0         ADD ESP,-20

0053FADA    53              PUSH EBX
0053FADB    56              PUSH ESI
0053FADC    57              PUSH EDI
0053FADD    33C0            XOR EAX,EAX
0053FADF    8945 E4         MOV DWORD PTR SS:[EBP-1C],EAX
0053FAE2    8945 E0         MOV DWORD PTR SS:[EBP-20],EAX
0053FAE5    8945 EC         MOV DWORD PTR SS:[EBP-14],EAX
0053FAE8    8945 E8         MOV DWORD PTR SS:[EBP-18],EAX
0053FAEB    B8 44EA5300     MOV EAX,53EA44

eso.animo en todo lo que sigue, yo tengo un unpacked, fixed de una version anterior, pero no creo tener el tiempo como en aquellos dias

pero aqui esta la version anterior (deben ser como 1 o 2 versiones anterior, no recuerdo)
Citarhttp://www.mediafire.com/?f3k3vx9xqap2fbq
como bien esta el original y unpacked, pueden guiarse para este nuevo , pero ojo tb los recursos estan por sumas de id y variables, no es como cualquier programa esta aplicacion.
saludos Apuromafo
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: Иōҳ en 19 Noviembre 2011, 04:45 AM
grande Mafo!!!!....  ;-)

como siempre sabemos, la mejor protección es la custom (aunque esto puede ser relativo, en fin...) XD.

Nox.
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: TM_Recargado en 20 Noviembre 2011, 02:00 AM
Cita de: apuromafo en 19 Noviembre 2011, 03:03 AM
1) el programa tiene upx, pero tiene un packer/ofuscador CUSTOM del autor de la aplicacion

2) el programa tiene antidebug/seh y detecciones, pero solo comienzan despues del verdadero oep reconstruido

3) tiene un gran antidump con la memoria, actualmente tengo un dumped de 87mb por ese tema

recontruido aproximadamente el oep seria asi:
eso.animo en todo lo que sigue, yo tengo un unpacked, fixed de una version anterior, pero no creo tener el tiempo como en aquellos dias

pero aqui esta la version anterior (deben ser como 1 o 2 versiones anterior, no recuerdo)como bien esta el original y unpacked, pueden guiarse para este nuevo , pero ojo tb los recursos estan por sumas de id y variables, no es como cualquier programa esta aplicacion.
saludos Apuromafo


Gracias apuromafo... justamente me estaba leyendo unos tutes tuyos... veo que iba por buen camino... excelente... excelente... con esto creo que ya tengo una respuesta.... por lo pronto doy por cerrado el tema.... es asi... o los admin deciden cerrarlo o no.... de todas formas gracias a todos... viva el foro el hacker... siempre encontre soluciones aqui... una belleza... gracias... gracias...  ;-) ;D :D :xD :) :rolleyes:

Apuromafo me olvidaba... no tendras un tute de alguna aplicacion parecida ya resuelta... me gustaria poder tener algo que guardar...  :silbar: :silbar: :¬¬ ;D ;)
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: jackgris en 20 Noviembre 2011, 16:08 PM
Grande MAfo, gracias
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: apuromafo CLS en 21 Noviembre 2011, 13:55 PM
NOP,cercanos a esto, seria depurar un upx con Private Exe Protector.
lo que hay ahi, es un resultado compartido entre varios dias y varias consultas  esto es cosa de animo e instancias, eso, gracias por los agradecimientos, pero aun insisto si el motivo era aprender, aun no veo que dijieras que pillaste de donde reconstrui el oep

saludos Apuromafo
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: TM_Recargado en 23 Noviembre 2011, 00:12 AM
Cita de: apuromafo en 21 Noviembre 2011, 13:55 PM
NOP,cercanos a esto, seria depurar un upx con Private Exe Protector.
lo que hay ahi, es un resultado compartido entre varios dias y varias consultas  esto es cosa de animo e instancias, eso, gracias por los agradecimientos, pero aun insisto si el motivo era aprender, aun no veo que dijieras que pillaste de donde reconstrui el oep

saludos Apuromafo

Parece que la puse demasiado confusa :P.... jejeje... pasa que cuando coloco esos puntitos suspensivos cambio de oracion y me refiero a cada cosa que comienza despues de los puntitos... referente a lo que me comentas, estaba leyendo acerca de esto que pille por la web - "1404-desempacando peid 095 upx y agregando una imagen ,mod Apuromafo.pdf.7z" ....  y si, mi objetivo era aprender, la verdad que habia visto algo asi, pero con esta aplicacion se me complico aun mas, es mas logre descomprimirla a su tamaño original sin problemas... y una vez mas el cracker triunfa, jejeje...

Me olvidaba, Apuromafo si tengo la suerte de que leas esto de nuevo, queria preguntar acerca del tuto del peid, en la ultima parte del crash del Runtime error - floating point que mencionas, tenes algun tutorial que enseñe como reparar ese error, o alguno de otro master que podas compartir... desde ya muchas gracias, ah y subo la imagen de las propiedades de la aplicacion para que me creas... jejeje :xD ... no soy un vago  ::) , jejeje  :¬¬ , medio dudoso  :silbar:

(http://4.bp.blogspot.com/-Nvzs4O_sgV0/TswsFQlCm-I/AAAAAAAAAAs/YdsR8ACEi8w/s1600/Sin+t%25C3%25ADtulo3.png)

Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: apuromafo CLS en 23 Noviembre 2011, 19:12 PM
pues como todo empacar y reempacar, y como agregar y quitar iat, es realmente temas de flags, permisos de incializacion y eso, es solo mirar mas aplicaciones y permisos

en cuanto al gran dumpeado hay que pensar que hay que cambiar los bloques de memoria y todo,  bien deje el antiguo y el nuevo para que lo estudiaras, y del dumped esta bien pero hay varios detalles aparte del antidebug, luego de que corre y todo dice que no analiza y luego de cambiar los saltos y antidebug resulta bien

me encantaria apoyar, pero creo que ya una etapa de mi vida esta formada, agradezco igual sus apoyos ideas y conclusiones...
Título: Re: Ayudenme a desempacar esta mañosa aplicación... porfa
Publicado por: TM_Recargado en 23 Noviembre 2011, 22:26 PM
Cita de: apuromafo en 23 Noviembre 2011, 19:12 PM
me encantaria apoyar, pero creo que ya una etapa de mi vida esta formada, agradezco igual sus apoyos ideas y conclusiones...


Apuromafo por esos sos grande... gracias por tomarte la molestia de leer mis comentarios... espero que sigas haciendo tutoriales, yo por mi lado voy a practicar, practicar, practicar y tratar de aprender mas y mas de esta maravillosa arte... me encanta y espero seguir encantado con ella... todavia soy joven, pero aun asi se lo que quiero...

Gracias y segui haciendo tutes, que personas como yo, que medio que saben lo necesitan... grande mafo, grande....