Temas

Bueno aqui les mando la ultima parte

http://download1294.mediafire.com/dsqscb5dymtg/cha0hqb1vyo9wtp/Desempacando+Enigma+1.96+-+4ta+Parte+_Patching+VM_+by+Tena.rar


Espero que se entienda

slds Foreros

Tena

y hoy hubo tiempo

http://download1200.mediafire.com/9dccx3lsbm6g/7ql8wvtqxgec134/Unpacking+Enigma+1.96+-+3era+parte+IAT+by+Tena.rar


slds

http://download521.mediafire.com/b490wdmqj14g/d0s9a7dtplbnods/Unpacking+Enigma+1.96+-+2da+Parte+OEP+by+Tena.rar

Ahi va la segunda parte y solo trata de encontrar el oep...


slds

http://www.mediafire.com/?pti15wzncoo8vr8

Veremos si lo continuamos..

Slds

http://download204.mediafire.com/2fac7ag36qrg/1igiaxf6t1uxuqf/Unpacking+Enigma+1.12+sin+VM+by+tena.rar

script ( me olvide de meterlo en el zip) a si que lo subi aparte

http://download1234.mediafire.com/8m4nufwhea5g/lhnhimo26crij8c/script+enigma+1.12.txt

slds

Parcheando un juego flash _SWF_ by Tena

http://www.mediafire.com/?xgo5pq8t6b2ijz5

tena

Hace bastante que no comparto nada por aqui, asi
que bueno aqui van estos dos ultimos aportes que realice
para los concursos de CracksLatinos.

Desempacando Asprotect 2.5 sdk by tena
http://www.mediafire.com/?6merdua9cl26516

Desempacando Asprotect 2.2 by tena
http://www.mediafire.com/?se9k3n2145b4m06

Buen Provecho
slds

[DESEMPACANDO ARMADILLO 4.30]

DESEMPACANDO ARMADILLO 4.30

by Tena

Bueno gente hace mucho que no escribo nada asi que me baje algo de google y o casualidad siempre me tocan estos a mi jeje, un Armadillo 4.30 con Debug-Blocker..

No es nada del otro mundo es mas de lo mismo, pero tenia ganas de escribir asi que me tome de este para hacerlo. No se agregara nada nuevo en este caso, asi que los mas expertos solo pueden darle una hojeada para criticarme, eso si cosas buenas jeje

Bueno como dije mi victima esta empacada con Armadillo, pero como sabemos que es eso cierto? a los mas nuevos les dire que hay detectores que te dicen con que esta empacado y compilado un archivo ejecutable.

Yo usare el RDG Packer Detector y lo puedes descargar de aqui:

http://www.egrupos.net/grupo/rdgsoft/ficheros/3/verFichero/29/RDG%20Packer%20Detector%20v0.6.6%202k8.rar

Si vemos que nos dice de nuestro amigo veremos esto:

Vemos que en modo B nos da la version exacta del armadillo, y esta compilado en Visual C++. Pues ahora que sabemos de que se trata tenemos que ver con que regalitos viene este armadillo. Sin mas usare el ArmaFP que es un detector especificamente para armadillo y nos dara mucha info sobre este packer.

Bien vemos que tiene Debug-Blocker, osea correra en dos procesos, y la version es 4.30 como nos dijo el rdg.

Listo el pollo, abramoslo en el Ollydbg, yo usare el de mi amigo Shady, OllyShadow.

Aqui tenes todos los links de descarga de las herramientas que usare:

http://foro.elhacker.net/ingenieria_inversa/herramientas-t183012.0.html



Aclaro que solamente usare el plugin de ollyAdvanced, pero por ahora tendremos desactivados todas las opciones que nos ofrece para esconder al olly.

Si lo ponemos a correr con F9 nos detectara y nos mostrara el siguiente mensaje..



Asi que bueno reiniciemos el olly y cambiemos el segundo byte del PEB (Process Environment Block) el cual es seteado a 1 por el sistema cuando el proceso es debugueado, este flag es comprobado por la api IsDebuggerPresent.

Al iniciar el ollydbg siempre en ebx nos queda apuntando al PEB, asi que para ver el flag BeingDebugged solo basta con ir a ebx+2.

En la ventana del dump hacemos lo siguiente


aceptamos y vemos que el byte esta en 1



lo cambiamos por cero



Ejecutamos con F9 y vemos que no nos detecta, pues sale corriendo el programa.
Bueno ahora para no tener que poner siempre a cero ese byte usare el plugin OllyAdvanced y tildamos la opcion de IsdebuggerPresent.



En este momento si no hemos reiniciado al olly podemos ver los dos procesos corriendo.



Lo que vamos hacer ahora es lograr que el programa corra en un solo proceso asi podremos dumpearlo. Asi que reiniciemos el olly y pongamos un Bp en la api OpenMutexA.



con F2 ponemos el bp..



Damos DOS veces run con F9 y luego Ctrl+F9 para ir al ret de la api.



Para lograr que corra en un solo proceso debemos cambiar el registro eax a 1.

Eliminamos el bp a OpenMutexA para que no caiga mas ahi, y ponemos un nuevo bp en la api CreateThread.

Ctrl+g


y ponemos el bp con F2


damos con F9 y caemos en el bp, hacemos Ctrl+F9 para ir al ret, otra vez mas Ctrl+F9, F7 para pasar el ret, y desde aqui bajamos un poco por el codigo, sin ejecutar nada, hasta encontrar el segundo Call Registro.



ponemos un bp en el Call Registro y damos run, caera ahi, entramos al call con F7 y estamos en el OEP.



Bien nuestro oep es 46DA0B, debemos ver como nos dejo la IAT, para ello nos posicionamos sobre el primer call indirecto y hacemos Follow in Dump Memory Address con el boton secundario del mouse, en la ventana del dump podemos apreciar esto..



umm esta fiero asi jeje, mejores la visual, pongamoslo en Long->Address



Ahi esta, vemos que hay valores malos el cual debemos arreglar, pero antes ya que estamos aqui veamos el inicio de la iat, asi que subamos hasta la primera api que nos muestra.



El inicio es 4ED000, ahora debemos ir al final de la iat, bajemos hasta encontrar la ultima api.



Ahi tenemos el final de la iat, 4ED7A8, debemos saber cual es el tamaño de la iat, entonces hacemos una simple resta Final-Inicio=Tamaño, eso nos da 7A8.

Ahora tenemos que buscar el salto magico que nos permita arreglar nuestra iat, pàra ello elegimos cualquier valor de la iat y le ponemos un hbpw, yo lo hice en la primera api de la iat. Lo que queremos buscar aqui es el momento en que escribe un valor en la iat.



y reiniciamos el ollydbg, ponemos el bp en OpenMutexA y hacemos como antes para hacer que corra en un solo proceso, una vez que cambiamos eax a 1, eliminamos el bp y damos run.



eso no es lo que buscamos, damos run.



Ahora si, vemos que en eax tenemos una direccion de la iat, en ecx tenemos un valor malo que metera en esa direccion, ademas vemos que a ecx se le asigna el valor de ebp-3598, pues pongamos un bpmw en ebp-3598 para ver cuando se escribe ahi el valor bueno o malo.





Vemos que en esta variable va tomando los valores buenos/malos, pongamo el bpmw y demos run con F9



aqui inicializa la variable en cero, demos run otra vez.



aqui le asigna el valor bueno, demos run varias veces hasta que le asigne un valor malo.



Ahi vemos arriba que le asigna el valor malo, mas abajo podemos ver donde le mete el valor bueno, y arriba de este compara la variable con cero, pero como antes le metio un valor malo, pues no es cero entonces salta y evita que se le ponga un valor bueno,  y de esta forma mete finalmente el valor malo en la iat.



Por lo que nuestro salto magico es el JNE de la direccion D1ACACD, y debemos hacer que no salte, por lo tanto debemos poner el flag Z a 1.



Pondremos ese flag a 1 con un script.

Por el momento ya contamos con el oep y el salto magico, datos que necesitaremos en el script, tambien podriamos automatizar para que haga lo del OpenMutexA, pero no lo hare, esa parte la haremos a manopla.

Nuestro script quedaria asi:

// VARIABLES
var oep
var magico

// DIRECCIONES IMPORTANTES
mov oep, 46DA0B// el oep jeje
mov magico, D1ACACD  // el salto magico

// HBP DE EJECUCION
bphws oep, "x"         
bphws magico, "x"

eob bps // PARA QUE PODAMOS COMPARAR AL CAER EN HBPS
run    // F9

// COMPARAMOS EL EIP PARA SABER EN QUE HBP CAYO
bps:
cmp eip,magico
je magia
cmp eip,oep
je fin

// SI CAYO EN EL MAGICO ENTONCES PONGO EL FLAG Z A 1
magia:
mov !zf,1
run
 
fin:
bphwc oep      // ELIMINO EL HBP DEL OEP         
bphwc magico  // IGUAL PERO DEL MAGICO
msg "La IAT fue arreglada"
ret  // TERMINAMOS LA EJECUCION DEL SCRIPT

Bueno reiniciamos el ollydbg, hacemos lo del OpenMutexA para que corra en un proceso y con el plugin OllyScript ponemos a correr nuestra creacion.



Nos deja parado en el oep y con la iat arreglada..



Esta todo en orden jeje..

Por si las moscas verifico y no tiene codigo splicing, que son saltos a una sección fuera del exe...

Bueno entonces queda copiar la cabecera del ejecutable cargado en otro olly, ya que armadillo hace destroyer la cabecera.. Pues abrimos otro olly y cargamos el exe.

Alt+M para abrir elñ memory map, doble clic sobre el header


seleccionamos todo y binary copy


cerramos este olly, volvemos al que teniamos abierto estando parado en el oep, Alt+M para abrir el memory map, doble clic sobre el header, seleccionamos todo y binary paste.

Abro el LordPE, selecciono el proceso y activo el intelliDump



y despues hago el dump full.

Ahora nos queda arreglar la iat con el ImportReconstructor, lo abrimos, seleccionamos el proceso y metemos el oep..



clic en Iat AutoSearch y vemos que calcula los mismos datos que sacamos nosotros, le damos a Get Imports, Show Invalid, y como vemos en la imagen hay algunas que no resolvio, pero esas son separaciones entre las dlls, osea ceros, vamos a eliminarlas, hacemos clic derecho sobre algunas de las que estan seleccionadas como invalidas y le aplicamos un cut thunk, por ultimo fix dump y elegimos nuestro dumpeado.

Lo ejecutamos



y se nos caga el laburo

veamos cerremos todos los ollys y dejemos uno, en este carguemos nuestro dumpeado y lo ejecutemos.

Nos sale el error, pausamos el olly con F12, presionamos Alt+F9 para que regrese al codigo, aceptamos el mensaje de error y salta el olly.



Cae justo despues de la llamda a la MessageBoxA y en la pila podemos ver que llama a un archivo con extension chm y con el mismo nombre que nuestro dumpeado, y ahi esta el error no encuentra ese archivo.

Pues la solucion es renombrar nuestro dumpeado y le ponemos el mismo nombre que el archivo original.. con esto ya sale volando y por las nubes jeje...



Espero que se haya entendido algo pues me llevo variosssss minutos meter las imagenes aqui jeje...

Un saludo a todos mis amigos, a Solid que ya hace bastante que no se lo ve por aqui, a Mintaka, a Shady, a  Karmany, a todos, a todos mis amigos de la lista CracksLatinos en donde aprendi mucho, a todos..
   
     byteS

 

Link tute:

http://dl1u.savefile.com/ecd80fbff73df870ae7e22707cef8728/tute_Asprotect_2.4_SKE_by_tena_y_solid.rar

Link unpackmes:

http://dl1u.savefile.com/89962779fc4b66c855a89d259dbe3153/asprotect_SKE_2_1_.4_Build_09.11.raro

Quiero compartir con uds este tute sobre Armadillo con debugblocker Import Table Elimination, nanomites y code splicing que acabo de hacer....

http://rapidshare.com/files/81256813/armadillo_debugblocker_ITE_nanomites_codesplicing_por_tena.zip.html

y aca pongo los scripts que use

http://rapidshare.com/files/81258698/script_del_tute.zip.html

Saludos
y buen año a todos

tena

Como veo que no hay progreso con el crackme5
( a excepcion de x4uth que se mando un programilla) aqui les dejo un nuevo crackme.

El objetivo es conseguir simular el registro. El registro se hace supuestamente por internet, pero nosotros no lo haremos por esa via, ta claro.

El sistema de proteccion es el mismo que el del crackme5, con
la diferencia de que en vez de cerrar la aplicacion, se bloquea el teclado, impidiendo el traceo de la victima.

ACLARACION: Para desbloquear el teclado tenes que ejecutar el crackme fuera del ollydbg.

www.freeuploader.com/view.php/155756.zip

Saludos y suerte....

Bueno amigos aqui les dejo un nuevo crackme. Esta hecho en MASM32 con la interfaz del RadASM.

Tiene proteccion antiolly.

El objetivo conseguir name/serial valido.
Y si quieres puedes hacer un tutorial.

www.freeuploader.com/view.php/152624.zip

SALUDOS y SUERTE
                                  TENA

Bueno amigos aqui les dejo el cuarto crackme y esta empacado con Asprotect.

Para aquellos que no sepan como desempacarlo manualmente, viene incluido en el zip un tutorial al respecto.

Las herramientas que se necesitarian son el Impert Reconstructor +Ollydbg + PeiD + Plugin ollyDump + Plugins Asprotect ( viene incluido en el zip ).

Este crackme es muy pero muy facil, asi que el objetivo seria conseguir el serial valido para el name, que tambien es muy facil. 

http://www.freeuploader.com/view.php/142098.zip

CONGRATULATIONS

      x4uth
      pERICOTE
      OberonCracker

[x4uthOBERON CRACKER]

Objetivo:
1-Eliminar la nag del comienzo
2-Encontrar el nombre y serial correcto.

http://www.freeuploader.com/view.php/129403.zip

Eliminaron la Nag y Parchearon el salto para que de siempre Correcto:
x4uth
OBERON CRACKER

http://www.freeuploader.com/view.php/120780.zip

Bueno este lo termine recien y esta empacado.
Objetivo: Encontar el serial valido.

     TENA

ESte es el link:
http://www.freeuploader.com/download.php/6141872f96798ed72459a2eac0e0f6c9.html

Bueno gente del foro este es mi primer crackme y les dejo el link de donde bajarlo para el que le pique el bicho de romper alguna proteccion.

Las protecciones que tiene son las siguientes:
1º Despues de ejecutarse la aplicacion este se cierra a los dos minutos.
2º Hay una nag que aparece cada cinco segundos.
3º El boton del SuperAbout esta desactivado
4º Registro.  Por el metodo del xoreo.

Puedes optar por vencer las tres primeras sin registrarte o solamente buscar el serial valido y desproteger las tres primeras.

Saludos y buena suerte
                        mR Tenacker
                      tenacker@yahoo.com.ar

El problema es el siguiente: quise probar esta herramienta en mi windows98 y me sale un cartelito que dice que no se encuentra el OpenThread en kernel32. Pues ese es el problema ¿Hay alguna otra version que ande en window98?

Hola gente me baje este control ActiveX que captura la tecla presionada.
El problema es que hay que registrarlo pero esta hecho en visual basic y en P-Code, y como yo no se de p-code recurri aqui:
este es el link donde lo baje

//www.badongo.com/download.php?id=77808

Hola amigos, estoy tratando de crackear un programa llamado Advanced Dialer 2.5  empacdo con Asprotect, y cuando lo abro en ollydbg y una vez que puse el Set Memory breakpoint on acces en la sección de codigo aprito run (F9) y supuestamente tiene que caer en el oep ( que si lo hace) pero me borra todo el codigo de la ventana del desamblador mostrando solamente la direccion del oep repetidas veces, tambien sale una ventana en la que me muestra que mis breakpoint que puse en memoria (la que puse en la sección de codigo) seran borrados porque no se pueden poner en un intervalo ej. 402145 414212.
COMO PUEDO EVITAR ESTO, ES UN TRUCO DE ASPROTECT PARA QUE NO LO PUEDA DUMPEAR?
Si alguien sabe algo le pido por favor una ayudita. Muchas gracias.   Ah me olvidaba, yo estoy trabajando en win98.

Aqui les dejo el link del programa:
http://www.pysoftware.com/adsetup.zip

Tengo el siguiente problema, estoy tratando de desempaquetar un crakme que esta empaquteado con Petite 2.2, lo abro con ollydbg y presiono run para correrlo y la muy guacha se clava, en la parte inferior del olly me aparece un    -1. Intento esconder el debugger por si las moscas con el OLYGHOST, vuelvo a presionar run y pasa lo mismo. Esto me ocurre con todo exe empaquetado con este packer. Tengo el window 98.
       Alguna ayuda, ¿alguien sabe porque sucede esto?
Tambien he probado desempacarlo con Procdump y no pacha naninga.
               

Exactamente, eso, como hago para eliminar Armadillo en win98 si no tengo esa api DebugAtiveProccesStop?.
Alguna ayuda porfavor

Tengo problemas con esto de identificar los stolen bytes alguien me podria ayudar.. 

He tratado de eliminar esta proteccion y no he podido, yo tengo win98, y en todos los tutos que he leido me indican que tengo que usar la api DebugActiveProccesStop que tengo entendido solo se encuentra en win Xp.
Si alguien sabe como eliminarlo en win98 me seria de gran ayuda que me pudiera encaminar con esta proteccion.
Desde ya muchas gracias.

Hola amigos del foro. he tratado de poder ingresar al FTP de ricardo narvaja y no he podido alguien me podria ayudar.
Desde ya le estaria muy agradecido