Problema en el capítulo 51 ricardo narvaja (UnPackMe_ASProtect.2.3.04.26.a)

[.:UND3R:.]

Hola a todos, bueno les comento tengo problemas con el antidump en el capítulo piden hacer un script que aparece en el capítulo 52 explicado.

pero mi problema recae en que quiero reparar el antidump de manera manual para luego hacer mi propio script, ricardo narvaja comenta:

Vemos que es un call a una api en este caso GetStartupInfoA y que al retornar, ya que es un
comando de 6 bytes lo hace en 4272db, y en el que esta protegido con asprotect tambien debe
retornar a la misma direccion lo que ocurre es que fue reemplazado por un comando de 5 bytes
siendo el 6 basura, asi que si ponemos un BP en la direccion de retorno del call en el empacado con
asprotect siempre debe ser un byte mas que el que indica la siguiente linea que se ve, en este caso la
siguiente linea es
004272D5 E8 268D5801 CALL 019B0000
004272DA D9F6 FDECSTP
pues el BP para que pare al retornar de la api, debe ser BP 4272db y alli parara al retornar, es muy
importante usar BPMs aquí o sea si yo quisiera resolver esto, pensaria que para tracear y no
volverme viejo ya que es una rutina larguisima, en este caso en algun momento debe acceder a los
bytes de la api, aunque sea como en este caso para leerlos para copiarlos a otro sitio, asi que se que
en este caso a la api GetStartupInfoA le pongo un BPM ON ACCESS en las primeras lineas de la
api, con eso descubrire en mi maquina donde lee la api correcta, luego debo hallar el momento que
cambia este CALL 019B0000 ya que luego de leer los bytes de la api los copia a otro lugar para
ejecutarlos, asi que eso a mi no me interesa, solo cuando cambia el CALL 19b0000 por el call a ese
nuevo lugar, eso tambien puede usarse un BPM ON WRITE y asi obtengo el lugar donde quiere
modificar el call, con lo cual yo puedo alli accionar el script para que guarde lo que yo quiero para
reparar el call y reemplazarlo por los bytes correctos y no lo que quiere guardar el jeje, esa seria la
idea a ver quien la hace mejor.
Tendran que luchar y pensar que debe funcionar en cualquier maquina, asi que adelante y a trabajar
espero que alguien lo resuelva tienen hasta el 17 de agosto de 2006 como fecha limite.
Ademas de la mencion y el uso del script del ganador, se mencionaran los nombres de todos los que
enviaron scripts que funcionan aunque no hayan ganado, como premio consuelo jeje.
Suerte y good work
Ricardo Narvaja
02/08/06

De partida no sé que trabajar creo que el original no el dumpeado. si alguien puediera resolver esto de manera manual, muchas gracias

[scr21]

el ricardo narvaja este para ser una eminencia tan grande como comenta la peña no sale ni en la wikipedia 

[.:UND3R:.]

el ricardo narvaja este para ser una eminencia tan grande como comenta la peña no sale ni en la wikipedia 

Buen punto, eso es verdad debería aparecer

[apuromafo CLS]

en cuanto a asprotect los script mas normales que se pueden usar seria el de volx
http://tuts4you.com/download.php?view.2658


tienes de ejemplo a los script de indulgeo, no se donde va la pregunta, yo hace no mucho redireccione un antidump en pelock! y la tecnica deberia ser similar
pero asprotect normalmente o emula o crea mas codigo del normal...no es 1 y vuelve...


si es el tema de desempacar por tools el plugin de codedoctor permite desempacar y tu puedes complementar la redireccion...
saludos Apuromafo

[MCKSys Argentina]

el ricardo narvaja este para ser una eminencia tan grande como comenta la peña no sale ni en la wikipedia 

Conozco a Ricnar personalmente (trabajo todos los dias con el) y no se autoconsidera una eminencia ni nada por el estilo.

Y por Wikipedia.. bueno, estoy contento de que no este. Eso demuestra que no todo lo que esta ahi es verdad y que hay cosas que son verdad y no estan...