Temas

Hola a todos:
Sabeis de alguna manera rapida o plugin para saber en que sección del codigo nos encontramos, por ejemplo si estamos sobre la sección .code o .data sin tener que sacar los datos de Show memory window

Gracias de antemano.

Hola a todos:
Alguien sabe como funciona la funcion __vbaBoolVarNull de la API MSVBVM60 de VB.
¿Que retorna del analisis de una variable?

Gracias de antemano

Hola atodos:
Me surge esta duda:
Imaginemos un ejecutable sin ningun otro fichero que lo complemente y que tampoco escriba en el registro ¿Como lo haria este ejecutable para saber si esta registrado una vez se le entra la clave de registro correcta?
Es la duda que me surge si un programa puede automodificar parte de su codigo.
No se si esto funciona asi i siempre se necesitara de archivos adjuntos o buscar claves en el registro.

Un cordial saludo y feliz navidad a todos..

Hola a todos:
Analizando con el Olly la funcion strcmp me encuentro con esto a la etrada de la funcion:

String2 => "Notepad.exe"
String1 => OFFSET LOCAL.73
MSVCRT.strcmp

Que significa OFFSET LOCAL.73 que supongo es la direccion de la string a comparar o mejor dicho como traduzco la expresion para encontrar la direccion de memoria donde se aloja la Sting1

Saludos

Hola a todos:

Usando Ollydbg 2
En el dumpeado de la memoria tengo por ejemplo la direccion 1DEF3D guarda el dato ingresado del  serial falso.
Si le pongo un Memory BP y quiero que pare al ingresar por ejemplo 5678 como debo condicionarlo para que salte cuando se le entra este valor.
He probado de hacerlo con el Memory log y en condicion he probado:

[STRING 1DEF3D]=="5678"  y pause program y log value en always y no me funciona.

Tambien he probado en condition:
[1DEF3D]=="5678"
[1DEF3D]==5678
"5678"
5678

¿Cual seria la condicion correcta para que parara o logueara?

Saludos

Hola a todos:
Sabeis de algun tipo de software tipo SimuProc que sirba por ejemplo entrar una instruccion en ASM y ver como se comportan los registros y que valor van cogiendo a medida que uno vaya entrando mas lineas de codigo.
Seria lo mismo como si tubieramos al Ollydbg trabajando con un exe en blanco y le insertaramos una instruccion y vieramos lo que devuelve o como se comportan los registros haciendolo trabajar como un entrenador de codigo.

Saludos

Hola a todos:
Tengo una aplicacion empackada con Molebox.
Mi duda es saber si con el script MoleBox 2.xx Unpacker + OEP Finder v1.11 voy a conseguir desempackarlo bien o voy a tener que hacerlo a mano.
De momento lo que me hace el script es analiza el codigo pero llega a un punto que se queda colgado.
Segun el RDG tiene lo siguente:
     Molebox v2.3.x
     aPLib compression

Saludos

Hola a todos:
Si,si habeis oido bien la calculadora de windows, el notepad i otras aplicaciones propias de windows las podeis usar como navegador alternativo.
Pues como en estos dias he estado mirandome las operaciones logicas a nivel de bits, me encontre con este truco andando buscando un help de la calculadora.

Ejecutamos la calculadora de windows, clickamos en ayuda y clickamos de nuevo en Temas de ayuda y se nos despliega la tipica ventana de la ayuda de la calculadore.
Una vez aqui debemos posicionarnos en el marco azul, el que trae los botones de maximizar y minimizar y nos situamos en medio de la barra aproximadamente. Click derecho del raton y se nos despliega la tipica ventana de maximizar, minimizar... pero a diferencia de la normal trae dos opciones mas:
Salto a direccion URL... que es la que nos interesa y Acerca de html.....
Pues nos vamos a  Salto de direccion URL la cual nos despliega un cuadro de dialogo en que podemos poner la ruta completa de una direccion siempre anteponiendo http:\\
Ejemplo http:\\www.google.com
Haciendo esto vereis aparecer el Google y apartir de ahi ya cualquier cosa.
Esto lo podemos usar cuando nos encontramos con un ordenador al que le han quitado los navegadores para que no usemos internet.
Otra utilidad seria que nos permite navegar sin dejar rastro en el ordenador, esta claro, si el ordenador es de uno que sabe menos que tu por que si no ya la has jodido...jeje

En fin, espero que os haya gustado y si ya lo sabiais...que le bamos hacer.

Saludos

Hola a todos:

Ojeando el foro de ASM me he encontrado con estos estupendos videotutoriales

http://www.securitytube.net/groups?operation=view&groupId=5

El agradecimiento es para Epzylon quien es el que ha hecho el aporte.
El post original es:

http://foro.elhacker.net/asm/assembly_primer_for_hackers_videos-t343992.0.html;msg1680128#new

Saludos

Hola a todos:
Tengo el siguente codigo:

Código [Seleccionar] Expandir

PUSH EDI                               
MOV EDI,DWORD PTR SS:[ARG.2]
TEST EDI,EDI
JNE SHORT 0040100D

Antes del TEST EDI=00000007
Una vez pasado el TEST el flag Z se pone a 0

Pero si miro la funcion TEST me dice que:

1 and 1 = 1   Flag FZ =1
1 and 0 = 0   Flag FZ =0
0 and 1 = 0   Flag FZ =0
0 and 0 = 0   Flag FZ =0

Entonces si EDI vale 7 porque se pone el flag Z a 0 ?

Saludos

Hola a todos:
Vosotros sabeis como configuar el Olludbg Options-> Directories -> UDD para poder guardar los archivos UDD en el mismo directorio en que se abre el crackme?
Esto seria para tener guardados todos los udd. en el mismo directorio donde se encuentra el crackme y no tenerlos todos y de todos los crackmes con los que hemos trabajado apilados en un solo directorio que es el que en principio nos deja seleccionar.
He probado con  .\\ pero lo que hace es guardarlo en el mismo directorio del Olly por lo que tampoco me sirve.

Saludos

Hola a todos:
Mi pregunta es si se necesita de algun plugin para que el IDA interprete bien el codigo de programas hechos en VB o no es necesario.

Saludos

Hola a todos:
Es posible reversear archivos comprimidos con .rar, .zip protegidos con contrasenas o esto es harina de otro costal.
He leido un poco sobre el tema y todo va enfocado a la desencriptacion por fuerza bruta.

Saludos

Hola a todos:

Pue eso, para que sirve poner o hacer que un debuger trabaje en modo JIT
(Just in Time)

Saludos

Hola a todos:

Me queda por encontrar el serial del Crackme1 de Flamer y no logro dar con el.

http://www.mediafire.com/?7tqsl37p7d4vqqe

Se que hace las 4 comparaciones de los bloques de 4 digitos usando la vbaStrCmp.
De los tres argumentos de la API uno es el serial del bloque introducido, la otra es una direccion y el otro si es correcta la comparacion.
Pues bien si dumpeo el Arg3 me sale el serial falso pero si dumpeo el Arg2 que es donde se deberia encontrarse el correcto, siempre me aparece vacioen el dump.

Alguna ocurrencia....

Saludos

Hola a todos:

Tengo un problema que me tiene frito hace tiempo con respecto a la hora de poner BP's.

Por ejemplo siguiendo el tutorial [TUTORIAL]Crackme edu por .:UND3R:. a la hora de poner un bp en vbaStrCmp yo normalmente lo hacia en el apartado Name in current module seleccionando la API y poniendo un BP en Set bp on every reference.
Me doy cuenta de que si lo pongo en el Command bar el resultado de uno y otro es difernte parandose en posiciones que no son las mismas segun uso un metodo u otro.
Mi duda es ¿El resultado no tendria que ser el mismo?

Saludos

Hola a todos:

Por si os interesa:

http://bob.droppages.com/Projects/OllyDbg2/Hyde

Saludos

Hola a todos:
Por si a alguien le interesa trastear:

http://foro.udtools.net/showthread.php?2152-Offsets-locator-by-kox


Espero que os sirva
Saludos

Hola a todos:
Solo para vuestra informacion, no es que le de mucha importancia pero desde hace poco me hace saltar el Avast cosa que anteriromente no hacia.

Saludos

Hola a todos:
No se si este sera el foro adecuado para esta consulta pero bueno lo intentamos.

En un ejecutable quien decide todos los parametros de Image Base, Entry Point,
o sea , todos los parametros que podemos ver en el LordPE.
Mi duda es si todo debe seguir estas diractrices, o sea que fuera una configuracion estandard y que por ejemplo yo no pudiera tener un programa con una ImageBase por ejemplo en 00003000 en vez de 00400000.
Otra pregunta seria quien decide las direcciones de memoria a las que debe ir el programa al cargarse en la memoria, o sea las direcciones de memoria que nos aparecen al hacer un dump del programa.

Saludos

Hola a todos:
No se si va ser este el foro adecuado o no pero lo vamos a probar.
Esto viene a cuento de una pequeña discusion en unos posts anteriores de si era necesario o no el aprender ASM o no para el reversing.
Al principio era un poco esceptico a la hora de plantearme el aprender o como minimo trastear en otro lenguaje de programacion y nada menos que en ASM por lo criptico que es y por el poco tiempo que uno dispone para dedicarse a esto.
Lo que mas me "jode" es no entender como se comportan las instrucciones en el Olly y el comportamiento de los registros, pero bueno he ido tirando, ahora intentar resolver un crackme facil como si fuera un automata, siguiendo los manuales pero con cualquier variacion que pusieran sobre el mismo crackme que no fuera lo mismo que habia leido ya me quedaba encasquillado. Solucion...leer mas y mas hasta hartarte sin conseguir mucho y agobiarte al maximo siempre pensando que no habia leido el tutorial correcto.
Como he dicho antes a razon de un post decidi postear en el foro ASM....Como empezar? y cual fue mi sorpresa que al mismo tiempo fue un muy buen acierto, karmany me lo mando al subforo de programacion en ASM.
Para mi sorpresa alli me encontre con viejos conocidos de este foro como por ejemplo Иōҳ, Queta, el mismo karmany y otros, me sorprendió y pense si esta gente postea tambien en este subforo debe ser por algo.
Bueno, todos ellos me han ido guiando para que no fracase en el intento y me he bajado tutoriales y hasta he comprado un libro.

Ahora os preguntareis a que viene tanto rollo, pues que en solo mirarme el primer capitulo del cursillo de ASM para superprincipiantes me he dado cuenta que muchas de las dudas que tenia se resulelven en la primera leccion, o sea me ha dado muy buen rollo esto de aprender ASM, no a fondo si no como minimo tener unas nociones superbasicas y si a uno le engancha ya ira tirando para delante.
Mi consejo para todos los que empezais, pasaros per el foro de ASM que los que saben ya hace tiempo que han pasado...

Un cordial saludo para todos

Hola a todos:
Aprovechando que se esta hablando de la necesidad de conocer o tener unas nociones básicas de programación en ASM que herramientas indispensables aconsejaríais vosotros disponer  para iniciarse en el tema?
Algún tutorial que recordéis para la gente no iniciada?

Saludos

Hola a todos:
Esto tiene que ver a razon de este post:
http://foro.elhacker.net/ingenieria_inversa/como_conocer_el_offset_de_una_direccion_en_ollydbg-t338573.0.html

Me surge otra duda:

Si tenemos un programa con el principio de codigo en el Olly por ejemplo en 401000 con un offset 400 pero mas arriba en el Olly no hay codigo pero estamos en el offset 400 per en el editor hex de 400 a 000 hay mas codigo.
¿Pues donde se encuentran estas lineas de codigo que faltan pertenecientes sa las cabeceras en el Olly?

Saludos

Saludos

Hola a todos:
Seguro que todos tenemos colecciones de crackme's, unos faciles y otros mas dificiles.
No se si seria interesante que de vez en cuando uno publicara uno de su coleccion, el que sea y asi pasar todos un rato enretenido comiendonos el crackme y sobre todo discutiendo, como lo resuelves, a mira yo lo hago asi y yo de otra manera, nos entretenemos al mismo tiempo aprendemos y el foro se va moviendo.
No se si es etico o correcto publicar cracme's de otros, esto ya lo comentareis pero lo que si es cierto es que mucha gente cree que el programador puede sacar crackme's como churros, ala, le dedico media hora y ya tengo uno, pues esto no es asi ya que aun que os parezca que por que tiene pocos Kb. sea mas facil de desarrollar o escribir codigo.
Ya sabemos que en las paginas de Ricardo hay muchisimos ya resueltos, pero no es lo mismo que debatir entre todos las posibles soluciones.

¿No se.... vosotros direis...

Saludos

Hola todos:
Pues eso... ¿Como conocer el offset de una direccion?
Por ejemplo, nos encontramos en

Código [Seleccionar] Expandir


004012DC  7416  JE SHORT 004012F4


¿Se podria hacer un script para encontrarlo?....Si es posible este seria un reto perfecto para .:UND3R:....

Saludos

Pues eso, como el tema candente en estos momentos son los scripts, existe algun depurador de codigo linea a linea o hay que hacerlo a la antigua usanza con doble slash "//" en cada linea y probar?

Saludos

Hola a todos:
Un reto importante para mi, un simple mortal...
He tenido que estudiar a toda prisa y bueno lo que he conseguido es esto:

Código [Seleccionar] Expandir

eob borrarbp // Mira si hay BP que se hubieran puesto anteriormente y si los hay va a borrarbp
findop eip, #61#    // Desde la linea donde nos encontramos eip busca el POPAD cuya instruccion es la 61
bphws $RESULT, "x" // Pone un hardware BP en ejecucion "x" en la direccion que devuelve el findop
run // Corre el programa y se para en el hardware BP

borrarbp:   // Instuccion definida por nosotros para borrar los HBP
bphwc $RESULT  // Elimina el HBP de la direccion que le pasa $RESULT
ret // Finalizacion del script


Lo he probado con el crackme de CRUEHEAD CRACKMEUPX y parece que funciona pero a lo mejor le hacen falta unos retoques.

Linkdel crakcme:
http://www.mediafire.com/file/cd2vddzq8fdflrr/CRACKMEUPX.EXE


Saludos

Hola a todos:
Pues eso...Si en la columna addres se puede traducir el numero de instruccion a formato decimal.
Por ejemplo la linea 401000 fuera el 1, la 401001 la 2....etc
Ya se que se puede cambiar por $+1...$+0A .... pero a la hora de saber si estoy muy arriba o muy abajo en el codigo me resulta igual de criptico.

Saludos

Hola a todos:

Pues eso.... en la ventana de desensamblado en la columna Hex Dump a parte del dumpeado de la instruccion nos aparececen diferentes simbolos por ejemplo la direccion que toman los jump's los principios y finales de rutina..etc pero me encuentro con el simbolo > que no se a que pertenece.

Saludos

[Autor:]

Hola a todos:
Bueno ya teneis disponible la version 4.1 del crackme.


Autor: Tinkipinki
Nombre: Tinkipinki 4.1
Fecha: 26 de Agosto de 2011
Tamaño: 35 KB
Packer: UPX
Compilador: ASM
Objetivos:
    Encontrar el password correcto
Dificultad: ...?  (1-10)


Espero que lo disfruteis y si teneis tiempo contad como lo habeis resuelto

Link:
http://www.mediafire.com/file/7w4s4pdj367cqai/Tinkipinki_4_1.exe

Saludos

[Autor:]

Hola a todos:
Bueno ya teneis disponible la version 4.0 del crackme. Es un poco diferente a los anteriores.

Autor: Tinkipinki
Nombre: Tinkipinki 4.0
Fecha: 25 de Agosto de 2011
Tamaño: 35 KB
Packer: UPX
Compilador: ASM
Objetivos:
    Encontrar el password correcto
Dificultad: ...?  (1-10)

Espero que lo disfruteis y si teneis tiempo contad como lo habeis resuelto

Link:
http://www.mediafire.com/file/q50830o9m5c4d48/Tinkipinki4.exe

Saludos

Lo ideal de todo esto seria que la gente posteara mas crackme's en el foro, es igual que no fueran hechos por el que postea si no que uno pudiera enviar crackme's que tuviera recopilados y una vez publicados el que quisiera y tuviera tiempo enviara también un tutorial de como resolverlo por fácil que sea el crackme. El reto seria que ningún crackme se quedara sin tutorial.
También seria muy interesante que para un mismo crackme hubiera varios tutoriales ya que no todos tienen la misma solución e incluso mirar quien es capaz de resolverlo en menos pasos.
Esto para mi es la única forma de aprender los que se van iniciando en esto y hacer que no se desmoralicen y acaben dejándolo. A parte seria una manera de divertirse, solucionándolos se fomentaría el dialogo entre mas gente que participa en el foro a parte de tener una buena colección de crackcme's y estar muy bien documentada.
Si,.....ya se que hay una sección abierta para este tema, la sección de crackme's de karmany, pero parece que esta un poco encasquillada ya que se postea muy poco.
No se,...¿Como lo veis vosotros?...., alguna idea...

Un cordial saludo

Hola a todos:
Pues eso, busco algun crackme con tutorial y resuelto enteramente con el IDA para ir tomando contacto con este debugger.
De momento tego el manual de Bigundilla IDA de cabo a rabo, pero me harian falta algunos ejemplos.

Saludos

Hola a todos:
Siguiendo el crackme de _Enko......
Pues eso, alguien iene algun manual de inicio para Cryptool a parte del que viene con el programa.

Saludos de antemano

Siguiendo el post de boox y UND3R, pues eso ¿Como teneis configurado vosotros el Ollyadvance?
Al descargar aparece sin ninguna casilla activada.

Saludos

[Autor:]

Hola a todos:
Bueno ya teneis disponible la version 3.0 del crackme.

Autor: Tinkipinki
Nombre: Tinkipinki 3.0
Fecha: 14 de Agosto de 2011
Tamaño: 646 KB
Packer: UPX
Compilador: Delphi
Objetivos:
   Conseguir registraros sin parchear y si es posible hacer un tutorial
   de como se ha conseguido.
Dificultad: ...?  (1-10)
El crackme no tiene protecciones, cosas raras ni serials aleatorios.

Descarga del crackme:
http://www.mediafire.com/file/uohn0ic6mpfxc5n/Tinkipinki%203.exe

Vamos a ver que dura este en ser resuelto, me huelo a que no va adurar ni el momento de postearlo ya que estais hechos unas fieras....

Saludos y a divertirse

Hola a todos:
Despues de ver la cantidad de Ollys que corren por ahi, ya no sabes cual és el mejor o el peor, son todos iguales ? diferencias...y un largo etc que solo hace que estes bajando Ollys por miedo a usar uno que no sea el apropiado.
Seria interesante que vosotros que entedeis del tema hicierais vuestros comentarios de cuales estais usando, cuales no deberiamos usar.....etc.
Por mi parte os pongo la serie de Ollys que tengo instalados y que no se las diferencias que habra entre ellos a parte de la cantidad de plugins que trae uno y otro pero no se si estan parcheados y si lo estan que tipo de parcheado traen.
Ollys que tengo instalados:

Ollydbg 1.10 a pelo con solo el command bar, el comand line, hideOD y   
                     hidedbugger y es el que estoy usando actualmente.

OllyDbg 110 Hacnho
OllyDbg BoomBox
OllyDbg CiM
OllyDbg Execryptor Edition
OllyDBG Shaddy
OllyDBG The Best version
DeFixed_Edition
OllyICE TheMida
OllyShadow

Estos son los que tengo bajados pero hay un monton mas que corren por ahi. Entre gustos no hay disputas pero....cual usar..

Saludos

[Autor:]

Hola a todos:
Como lo prometido es deuda he programado este segundo crackme el cual es una version mejorada del anterior en que ya no aparece el serial correcto y claro esta tampoco lo podreis localizar con el bloc de notas....

Autor: Tinkipinki
Nombre: Tinkipinki 2.0
Fecha: 10 de Agosto de 2011
Tamaño: 646 KB
Packer: UPX
Compilador: Delphi
Objetivos:
   Encontrar el serial correcto y si es posible hacer un tutorial
   de como se ha conseguido.
Dificultad: ...?  (1-10)
Descarga del crackme:

http://www.mediafire.com/file/iie898ia8fek9hx/Tinkipinki%202.0.exe

Espero que os guste ...

Saludos

Hola a todos:
Pues eso....¿ Se puede colorear zonas de codigo en Olly para irlas marcando?
¿Para que?.... Pues cuando vamos traceando y saltando de call en call uno se vuelve loco pues no sabe si se encuentra en una zona o estas en otra que ya has estado analizando. Si se pudieran colorear estas zonas iria muy bien ya que te darian una informacion visual y no tendrias que ir mirando direcciones para saber si has pasado por ahi.

¿Conoceis alguntruco a parte de insertar comentarios en las lineas?

Saludos

Hola a todos:
Pues eso. si alguien ha usado el Immunity Debugger seria muy interesante que nos diera su opinion al respecto.

La pagina del Immunity Debugger es:
http://www.immunityinc.com/products-immdbg.shtml

Es igualito al Olly pero...... , esta programado en Phyton

Saludos

Hola a todos:
Recientemente me decidí a programar un crackme para ir entendiendo mejor los comandos en ASM y asi poder ir practicando un poco haciendo pequeños crackme's a mis posibilidades sobre el conocimiento del cracking que es de lo mas basico.
El problema que me encuentro es el desempakado del mismo, se que es un UPX por el RDG y el compilador es Delphi. No era mi intención crear un empakado para liar la historia pero al generar el programa asi lo hace.
Siguiendo los tutoriales de desempakado del UPX reconstruyendo la AIT y todo esto, se llega a desempakar bien pues no da errores pero a la hora de ejecutarlo el programa da el error:  

http://www.mediafire.com/imageview.php?quickkey=8fctr29a81m1xba&thumb=4

Supongo que detecta que ha sido desempakado y por tanto no corre con el Olly, solo lo carga.
La idea seria encontrar la solucion para desempakrlo bien y luego poder tracearlo con el Olly y asi divertirse un rato.
Por lo demas es un simple hardcoded y que incluso pongo el serial correcto en el mismo programa.
Lo podeis bajar de aquí:

http://www.mediafire.com/download.php?q49m02iifluvjlm

Una cosa mas, no se como lo haceis para postear las imagenes, segun la ayuda deberia tener esta opcion en Opciones adicionales pero no aparece.


Saludos

Hola a todos:
Cuando analizamos crackme's o instalamos programas para su análisis, muchos de estos dejan residuos en el registro de Windows , en carpetas ocultas o vete a saber que...Esto hace que vayamos acumulando basura en el pc que a la larga comporta sus problemas.
Yo para evitar estos inconvenientes uso el DeepFreeze o saco una imagen del disco que luego de probar el crackme restauro el pc.
Mi pregunta es ¿Qué haceis vosotros para minimizar este problema a parte de usar otro ordenador dedicado a estos fines?

Gracias de antemano por vuestros comentarios.
Saludos.

Hola a todos:
Ante todo comentaros que soy nuevo en este foro y felicitaros por lo bien que lleváis.
Mi pregunta es la siguiente:
Hay alguna manera de poder monitorizar los valores de los registros EAX, EBX,....etc usando algún plugin o script.
Me explico,  cuando estoy sobre una línea de código y quiero saber los valores de EAX en dec,hex, o ascii por ejemplo lo que hago es hacer la consulta en el command bar poniendo el típico comando ?EAX i asi con los demás registros, o sea un poco coñazo. Tambien tiene el mismo efecto haciendo dobleclick en el registro. Otro problema es cuando el registro apunta a una dirección de memoria y luego si que tengo que usar el command  bar para ver esta dirección de memoria.
Lo ideal creo, seria tener un plugin que hiciera todo este trabajo.

Un saludo cordial