CrackMe03 by x4uth

x4uth · 13 Mayo 2006, 14:29 PM

logicamente sin debugger funciona, tiene varias protecciones puede que haya algun problema de compatibilidad, yo tengo windows Xp service pack 2 y me funciona bien, en todo si ese es el unico que error que te da puedo arreglarlo si hay otros entonces tendria que verlos todos :/

http://www.freeuploader.com/out.php/i3728_kernel32.rar

^A|aN M0R3n0^ · 4 Junio 2006, 20:26 PM

hola yo tambien soy oberon cuantos oberon hay :S, pero soy oberon de rvlcn

www.rvlcnsecurity.com
www.rvlcn.com
www.revolucion7000.com

mi mail es Oberoncracker@gmail.com

, no puedo escargar tu crackme para intentar crackearlo

sobelo en otro lado

x4uth · 4 Junio 2006, 20:41 PM

Cita de: ^A|aN M0R3n0^ en 4 Junio 2006, 20:26 PM
hola yo tambien soy oberon cuantos oberon hay :S, pero soy oberon de rvlcn

www.rvlcnsecurity.com
www.rvlcn.com
www.revolucion7000.com

mi mail es Oberoncracker@gmail.com , no puedo escargar tu crackme para intentar crackearlo sobelo en otro lado

no se a mi me va perfectamente el link , = ahi te lo envie al correo ese

^A|aN M0R3n0^ · 5 Junio 2006, 23:28 PM

00401C0E . 68 FF0F1F00 PUSH 1F0FFF ; |Access = PROCESS_ALL_ACCESS
00401C13 . FF15 10904000 CALL DWORD PTR DS:[<&KERNEL32.OpenProces>; \OpenProcess
00401C19 . 8985 B8FDFFFF MOV DWORD PTR SS:[EBP-248],EAX
00401C1F . 6A 00 PUSH 0 ; /ExitCode = 0
00401C21 . 8B95 B8FDFFFF MOV EDX,DWORD PTR SS:[EBP-248] ; |
00401C27 . 52 PUSH EDX ; |hProcess
00401C28 . FF15 0C904000 CALL DWORD PTR DS:[<&KERNEL32.TerminateP>; \TerminateProcess

lo que hace es buscar el nombre del ollydbg en los procesos luego cerrarlo

. luego presionamos
la tecla ctrl+f9 para saltar hasta el ret y seguimos el paso con la tecla f8 hasta llegar :

004011D0 55 PUSH EBP

traceamos y encontramos algo interesante:

004011D7 |. 64:A1 3000000>MOV EAX,DWORD PTR FS:[30]
004011DD 05 C980418E ADD EAX,8E4180C9
004011E2 05 9F7FBE71 ADD EAX,71BE7F9F
004011E7 3E:8B00 MOV EAX,DWORD PTR DS:[EAX] -> contiene el resultado 0x70
004011EA 3C 70 CMP AL,70
004011EC 74 10 JE SHORT CrackMe0.004011FE

asi que nopeamos los ADD y Los MOv Y reemplazamo por un MOV eax,0 y quedara asi

004011DD B8 00000000 MOV EAX,0
004011E2 90 NOP
004011E3 90 NOP
004011E4 90 NOP
004011E5 90 NOP
004011E6 90 NOP
004011E7 90 NOP
004011E8 90 NOP
004011E9 90 NOP
004011EA 3C 70 CMP AL,70

presionamos f9 y el programa se ha ejecutado correctamente

crackme patchado:

http://rapidshare.de/files/22308452/CrackMe03_patchado.rar.html

ahora si se puede ejcutar con el ollydbg

saludos

Oberon MiEMBRO De RVLCN

www.rvlcnsecurity.com
www.rvlcn.com
www.revolucion7000.com

x4uth · 5 Junio 2006, 23:58 PM

aun no se ejecuta el crackme , solo sale la nag, pero vas por buen camino

^A|aN M0R3n0^ · 6 Junio 2006, 02:09 AM

hola, si tienes razon ya vi el error jejeje

^A|aN M0R3n0^ · 6 Junio 2006, 02:36 AM

que nos queda mas que continuar!!!!!

00403060 . 61 POPAD
00403061 . 6A 00 PUSH 0 ; /lParam = NULL
00403063 . 68 F01F4000 PUSH CrackMe0.00401FF0 ; |DlgProc = CrackMe0.00401FF0
00403068 . A1 04B84000 MOV EAX,DWORD PTR DS:[40B804] ; |
0040306D . 50 PUSH EAX ; |hOwner => NULL
0040306E . 6A 6C PUSH 6C ; |pTemplate = 6C
00403070 . 8B4D 08 MOV ECX,DWORD PTR SS:[EBP+8] ; |
00403073 . 51 PUSH ECX ; |hInst
00403074 . FF15 E8904000 CALL DWORD PTR DS:[<&USER32.DialogBoxPar>; \DialogBoxParamA
0040307A . 68 90304000 PUSH CrackMe0.00403090

esta es la nag colocamos un bp a esta api:
00402091 |. FF15 00904000 CALL DWORD PTR DS:[<&KERNEL32.GetProcAdd>; \GetProcAddress

traceamos hasta :

00402091 |. FF15 00904000 CALL DWORD PTR DS:[<&KERNEL32.GetProcAdd>; \GetProcAddress -> coje la direccion de la api msbox
00402097 |. A3 D4BC4000 MOV DWORD PTR DS:[40BCD4],EAX
0040209C 68 ECB64000 PUSH CrackMe0.0040B6EC

lo uqe debemos hacer es que cierre la ventana si miramos un poco mas abajo observamos lo siguiente

004021F0 |. 6A 00 PUSH 0 ; /Result = 0
004021F2 |. 8B4D 08 MOV ECX,DWORD PTR SS:[EBP+8] ; |
004021F5 |. 51 PUSH ECX ; |hWnd
004021F6 |. FF15 10914000 CALL DWORD PTR DS:[<&USER32.EndDialog>] ; \EndDialog

justo la api que necesitamos entonces donde esta el PUSH CrackMe0.0040B6EC colocaremos un salto asi

0040209C /E9 4F010000 JMP CrackMe0.004021F0

y listo seguimos traceando con f8 y caemos aka ->

00403090 . 6A 00 PUSH 0 ; /lParam = NULL
00403092 . 68 D0264000 PUSH CrackMe0.004026D0 ; |DlgProc = CrackMe0.004026D0
00403097 . 8B15 04B84000 MOV EDX,DWORD PTR DS:[40B804] ; |
0040309D . 52 PUSH EDX ; |hOwner => NULL
0040309E . 6A 65 PUSH 65 ; |pTemplate = 65
004030A0 . 8B45 08 MOV EAX,DWORD PTR SS:[EBP+8] ; |
004030A3 . 50 PUSH EAX ; |hInst
004030A4 . FF15 E8904000 CALL DWORD PTR DS:[<&USER32.DialogBoxPar>; \DialogBoxParamA

presionamos ctrl+G y tipeamos esta direccion 004026D0, miramos un poc mas abajo a la direcion

00402749 . 833D 08B84000>CMP DWORD PTR DS:[40B808],32 -> colocamos un bp
00402750 . 74 08 JE SHORT CrackMe0.0040275A -> cambiamos je a jmp 0xeb
00402752 . 6A 00 PUSH 0
00402754 . FF15 48BC4000 CALL DWORD PTR DS:[40BC48] ; kernel32.7C81CAA4
0040275A > 68 69274000 PUSH CrackMe0.00402769

y traceamos hasta llegar

004027EC . 50 PUSH EAX ; |hWnd
004027ED . FF15 04914000 CALL DWORD PTR DS:[<&USER32.SetWindowPos>; \SetWindowPos
004027F3 E8 78FDFFFF CALL CrackMe0.00402570 -> nopeamos este CALL que es donde
004027F8 . B8 01000000 MOV EAX,1
004027FD . E9 62070000 JMP CrackMe0.00402F64

vee todo nuestros procesos, para llegar a esa Conclusión debemos poner un bp a la apì createoolhelper

y quedaria asi

004027F3 90 NOP
004027F4 90 NOP
004027F5 90 NOP
004027F6 90 NOP
004027F7 90 NOP
004027F8 . B8 01000000 MOV EAX,1
004027FD . E9 62070000 JMP CrackMe0.00402F64

Guardamos los cambios y ahora si el crackme se ejecuta directamenta

.
http://rapidshare.de/files/22319791/CrackMe03_patchado22.rar.html

MiEMBRO DE RVLCN
Oberon
www.rvlcnsecurity.com
www.rvlcn.com
www.revolucion7000.com

pERICOTE · 6 Junio 2006, 03:47 AM

Lo lograste OberonCracker se ve que las clases de botanica tropical te hicieron bien, he, jajaja.

Saludos (a ver si nos das la leccion de como hallar el serial)

^A|aN M0R3n0^ · 6 Junio 2006, 03:56 AM

este te estas confundindo de oberon de RVLCN :S

pERICOTE · 6 Junio 2006, 05:04 AM

Que acaso no eres oberoncracker el popular creg?

De todos modos oberon, pluton, saturno, seria ideal que nos des la mano con el serial de x4uth que esta bien bravo...