Temas

[En la imagen de a continuacion pongo la deteccion del packer y la OEP]

Este primero que todo un cordial saludos a la comunidad, resulta que este packer me ha dado problemas porque he usado varias herramientas para intentar descomprimirle pero todas me han fallado:

- DecomaS / Codedoctor(del ollydbg que me funciono con un crackeme) / Generic Unpack 0.5 Sin resultado favorable.
- Ya mire esto http://ricardonarvaja.info/WEB/buscador.php me descargue algunos
- ASProtect 1.2x Plugin de Ollydbg me da error, lo extraño es que funcionanaba cuando dejaba la carpeta de plugins vacia, solo con esa, si le agragaba cualquiera al azar daba error, de hecho le use porque en un tuto especificaba su uso pero nada que ver xD
- Uso Windows XP SP3 obviamente desactivo el antivirus para estas cosas
- Por la razones de arriba toca recurrir al metodo manual siguiendo tutos claro este, escepto por las dudas que se me generan y cosas que me sacan de onda.
- Uso el clasico Ollydbg 1.10 con el IsDebugPresent porque sin el me detecta del Debugger y no hago nada, ademas de tener el Ollydump, comandbar y demas

En la imagen de a continuacion pongo la deteccion del packer y la OEP



En la primera arrancada sin ejecutar nada me sale esto, que segun muchos tutes es la estructura clasica del asprotect



Si traceo un poquito con F7 llego a esto, aunque quizas no sea valido para este tipo de packer pues solo por intentar


En mi caso decidi usar este tute bueno ya revise varios usan el procediiento ese de las excepciones http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/1001-1100/1043-Destripando%20el%20Asprotect%201.23%20del%20Aspack%202.12.pdf (Este porque es el mas explicado aunque ya he visto varios)

F9 >=> Shift F9 Veces hasta la ultima excepcion, el Shift F7, El BPM hasta llegar al supuesta OEP
Pero para mi mala suerte luego de eso no llegue al OEP? porque pasa eso :S ... quizas el metodo que use no sea el mas eficaz porque solo me tira 2 excepeciones, a claro que destilde todas las casilla de Opciones => excpeciones excepto la de kernel32 ... OSea Uso el metodo de las excepciones cuando este no genera casi nada xDDD



Este es otro Tute que consegui de ArikA en su estudio completo del desempaquetador aspack 1.23 http://ricardonarvaja.info/WEB/OTROS/AKIRA%20TODO/10.%20Estudio%20completo%20del%20empaquetador%20Asprotect%201.23.rar

- Trace como la imagen de arriba(Donde esta el PUSHAD) siguiendo luego los pasos

Vale, ya conocemos el procedimiento, vamos a esp, pinchamos con el derecho y ponemos folow in dump

A continuacion vamos a la sección dump pinchamos en el primer byte y ponemos breakpoint hardware on access – dword.

Damos a run y despues de una rutina IsDebuggerPresent, unas excepciones( pasamos con shift+f9) y de un cuadro de dialogo , saltamos a una instrucción popa y despues vienen  un mov 401000 a eax, push eax y retn

Y por ultimo el programa por si le quieren echar una miradita

http://www.mediafire.com/?84sfzjrl5eb9fr5

- El caso tambien es que de un modo u otro no logro llegar siquiera a la OEP que me arroja el plugin de Peid o algun rastro de la IAT

Este Sin mas que decir a ver que estoy haciendo mal xD, quizas mi error este en que tenga mucho tiempo sin repasar no habia tocado nada desde hace time pero si puedo descoomprir con el Ollydbg en menos de 1 min UPX y Aspack aunque eso lo hace cualquier principiante como yo xD ... quizas me este metiendo a la candela muy rapido y por eso me tranque un poco, pero una ayudadita no vendria mal, Saludos xD

[sino mas bien un sistema de protección]

Veran estaba averiguando la razón por la cual el Plugin de Video Jabo Direct.3D8 1.7 creada para emulador proje.ct64 1.7 No funciona para los demas emuladores y me he dado cuenta que no es un problema de compactibilidad sino mas bien un sistema de protección "al menos eso parece"

El Proje.ct64/El Mupen64 son emuladores de juegos para nintendo 64 y todos ellos aceptan plugins de distintos fabricantes y los plugins de un emulador le sirven al otro y viceversa, pero el plugins que les muestro a continuacion es un caso especial, ya que Proj.ect64 1.7 tiene proteciones por todos lados, hasta en las DLL les incluyen sistema de protecion online, para que cada beta sea usada por cada donante

Ahora vamos al problema: Si cargo el Plugin Jabo 1.7 el cual solo solo funciona en proje.ct64 1.7 en el Mupen64 me sale esta ventana


Ahora buscado dentro de la Jabo Direct.3D8.DLL con el ollydbg encuentro los datos de la misma ventana de arriba


Para probar que funciona la DLL con el emulador cambien JNZ por JMP


Y salio justo la ventana que yo queria


Claro la cosa no es tan buena como se pinta si quiero acceder la pestaña advance se cuelga el emulador de N64, porque el cambio debe hacerse antes, porque nisiquiera con eso se puede emular la parte grafica del juego


A otro detalle A pesar de que en Pruebo la DLL modificada en el emulador Proje.ct64 1.7 funciona como si nada todo normal? raro?


A pero todo No termina aqui, miren este pequeño detalle que consegui en Proje.ct64.exe (Ver 1.7), Dice Proje.ct64 2.0, cosa que parecio extraña???


Lo que hice fue modificar Proje.ct64 2.0 ==> Prxject64 2.0,(En el emulador) cuando intente cargar el plugin no me carga el plugin Jabo Direct.3D8 1.7, ni la ventana ni el juego me corre, pero si pruebo con el resto de los plugins habidos y por haber del Nintendo 64 todos me funcionan a la perfección excepto el que les mencione. Lo que quiere decir Que la constante "Proje.ct64 2.0" es la llave para abrir el plugin Jabo Direct.3D8 1.7

Ahora si intento buscar alguna string relacionada dentro de la DLL ni rastros de que diga Pro.ject64 2.0

A pero claro yo marque un Breakpoint en hardware Access y memory Access en donde decia "Proje.ct64 2.0"y el unico momento que accesa es antes de que el emulador aparezca en pantalla, ya que despues no se detiene en ese punto, lo que hace pensar es que mediante operaciones matematicas "Proje.ct64 2.0" se transforma en otra cosa, que se guarda en memoria y se usa cada vez que se quiera usar Jabo 1.7(La DLL)

Yo quisiera ver como se va ejecutando la Dll con el Proje.ct64 1.7 porque es el unico que logra hacer funcionar el plugin a la perfección
El loaddll.exe que viene con ollydbg no creo que me ayude mucho en esto, porque el proje.ct64 1.7 es el unico que logra abrirlo con exito

Por si las moscas ya habia desempacado todo

Nose que me sugieren ustedes, ya les mostre todo lo que intente hacer, Espero su ayuda saludos!!!

>>> Descarga<<<

El emulador: http://www.multiupload.com/NKE7TPVP0T
El ROM ejemplo: http://www.coolrom.com/roms/n64/7581/Super_Mario_64.php

[Lo que quiero es modificar el nombre y el correo]

Veran tengo una nueva versión beta del P.roject_64 1_7, el problema que se me presenta es que todas las versiones para donantes es que le incrustan el nombre de cada persona dentro del EXE, para que si por casualidad alguien lo distri_buye publicamente, los crea_dores se den cuenta rápidamente de qui_en fue, ya que sino c.ance.lan la cuenta y luego hallan que pagar otros 20 dola_res solo por querer compartir una b.eta para don.antes, ya que pagando una vez es mas que suficiente para acceder a las futuras versiones

Claro que si fuese facil modificar el nombre seria facil pero no porque esa area en especial esta protegida

Ahora les explicare como funciona el mecanismo de protecion adentrandonos dentro del EXE

Lo que quiero es modificar el nombre y el correo



Pero cuando lo hago sale esto

Que es una total mentira, ya que si modifico cualquier otra parte del exe no sale el mensaje es muy curioso que salga precisamente cuando hago eso, porque he modificado otras partes del EXE y no sale ese mensaje

Y esta es la razon por la cual no se puede cambiar el nombre porque el nombre para por una serie de procedimientos para convertirse en esto
Lo azul pertenece al correo y lo rojo al nombre que se pudo ver en la imagen de arriba


******* Y todo eso es el equivalente a un sistema de protección con nombre y serial *******

Haciendo uso del OllyDBG y usando "All reference String" veo justamente lo que busco
Que es precisamente el nombre y el serial unico para ese nombre
Ya que para cambiar el nombre hay que colocar el serial justo o sino no permite abrir el EXE


Si acceso Jor.ge Dia.z como ven puedo ver desde donde comienza la intruccion que me interesa(Pero modificando todos los alrededores(NOP, JMP, JNE, etc..) No logro nada


Ahora lo que trato es de usar un breakpoint en memoria para llegar mas directamente hacia el proceso, localizo lo que interesa, marcando un brealpoint


y luego llego justo cuando empieza la lectura(vean los Registros FPU), donde sale cuando lee Jor.ge Dia.z

Donde dice REPNE SCAS BYTE PTR ES:[EDI] es donde se empieza a leer todo

Si justo 2 lineas mas abajo modifico  DEC ECX ==por=> INC ECX en el p.roject_64.exe original logro que saque la ventanita de y sino la modifico se ejecuta normal(solo hice eso para comprobar que pasaba) ==> y facil suponer que por alli se procesa el nombre y el e-mail


Por alli deduzco que mas o menos esta lo que busco modificar, Pero luego de colacar un Breakpoint justo en el punto que modifique tambien se procesan otras cosas del emula.dor

Lo que quisiera lograr es llegar a la parte donde sea la decisiva para entrar

AQUI(que quiero hacer desaparecer o que no salga al querer cambiar el nombre)


O AQUI(que es el objetivo final) PERO OJO CAMBIANDO EL EXE INTERNAMENTE el area del nombre y el mail


Aqui tienen la descarga del P.roject_64 con lo basico para que arranque
http://www39.zippyshare.com/v/52773804/file.html  (El EXE ya esta unpackeado o descomprimido o descifrado de su cascaron UPX)

El que yo estoy trabajando no ese es otro, pero es tan similar su funcionamiento, de hecho crackear el sistema de protecion en linea fue facil(NOPEAR), pero el problema de arriba que es otro no tanto

Lo que pido es que den una idea, de como resolver el problema o por lo menos un tutorial donde hagan algo similar, porque analizar eso es bien bien bien largooooo!, claro que estas cosas requieren tiempo pero una orientación no vendria nada mal

Resolviendo este se podria usar para todas las futuras betas de emula.dor sin que se sepa quien la aporto originalmente, aunque se analice el exe internmente unpack_eandolo con lo que sea, en fin espero su ayuda!!