Mensajes

[OEP:40136c]

a mi me parece aspack,
luego de bajar (scroll) desde el comienzo (entrypoint) vemos

004D43AF   61               POPAD
004D43B0   75 08            JNZ SHORT SamBo.004D43BA
004D43B2   B8 01000000      MOV EAX,1
004D43B7   C2 0C00          RETN 0C

colocas un bp en el salto (f2)+(f9) (f7) (quitamos el bp //f2)
luego tenemos
004D43BA   68 6C134000      PUSH SamBo.0040136C
004D43BF   C3               RETN

push oep y ret

=push+ret=jmp
es un salto al 40136c

OEP:40136c
push , pues escribe a la pila, ret, rescata el valor de la pila y salta ahi.

luego veamos la iat, comienza la primera api en
0047C314   $-FF25 BCE24800  JMP DWORD PTR DS:[48E2BC]                ;  kernel32.GetModuleHandleA

luego 48E2BC al revisar en (follow in) dump tenemos

subo desde 480000 y veo solo comienzo en
0048E0B0  77DA6BF0  advapi32.RegCloseKey
0048E0B4  77DA761B  advapi32.RegOpenKeyExA
0048E0B8  77DA7883  advapi32.RegQueryValueExA

luego
el fin que indicas..al dumpear la sección de codigo esta en .text se puede dumpear con ollydump, con lord pe y tambien con import rec, en este caso yo elegi import rec, y fix dump , listo...testear, sip, corre

porciacaso
datos a colocar en import rec
oep: 0000136C   porque la imagebase es 400000
rva:0008E0B0 size  00000C44

luego de dar import, cut trunks a las invalidas..saludos Apuromafo


analisis del serial correcto

vemos esta operacion matematica y base del crackme:

00401A86  |. C745 C0 050000>MOV DWORD PTR SS:[EBP-40],5->mueve el valor 5 a ebp-40
00401A8D  |. 8B55 C0        MOV EDX,DWORD PTR SS:[EBP-40] ->edx ahora tiene el valor 5
00401A90  |. 81C2 88130000  ADD EDX,1388 ->1388+5->0000138D
00401A96  |. 69CA 37010000  IMUL ECX,EDX,137 ->multiplicacion
en mi pc el valor signed de esta multiplicacion es 1556555 en hexa 0017C04B
y este es el serial a usar en mi caso es : el serial unico "1556555"

luego siempre  que sea verdadero esta rutina dara true (si son iguales el valor ingresado con ese serial unico)
0047BF9C  |. E8 9B7FFBFF    CALL sambodum.00433F3C-*>rutina real de comprobacion del serial
0047BFA1  |. 0F94C0         SETE AL  ->true si es correcto
0047BFA4  |. 83E0 01        AND EAX,1->cuando es true , eax sera 1 -<!!!


por lo tanto se cumplira para el salto y no saltará //podemos nopear

00401AFD  |. 84C9           TEST CL,CL
00401AFF     90             NOP
00401B00     90             NOP
00401B01  |. A1 DC6C4800    MOV EAX,DWORD PTR DS:[486CDC]


en este caso sin desempacar, tambien puedes hacer un inline asi:

004D43B0   MOV WORD PTR SS:[401AFF],9090
mueves 2 bytes (word) a la direccion 401aff en este caso 9090, que serian 2 nops (90)

luego al ejecutar ya se habra nopeado en 401aff

y podemos decir crackme desempacado y resuelto ^^

saludos Apuromafo







saludos

esto parece que ya se habia solucionado, lo que pasaba era que despues de desempacado, no se borraba los bytes donde aparecian los pushad-popad , suele ocurrir en cualquier persona que no quiere borrar la huella del packer, sea nspack, aspack o upx , llegan al oep, dumpean, pero no borran lo que ya paso..

ni el nombre de la sección, y por eso le decia que lo detectaba, pero ya no lo tenia..

el unpacker ya lo desempacaba..en fin esto   resolvio Indulgeo, conversaba con el sobre el tema y verificaba con el joven.


espero no equivocarme, ademas favor revisar la fecha..esto ya se posteo en ing.inversa hace un tieeempo atras..saludos ^^

ademas de lo que te comentaron:
si manejas ingles ademas:
http://msdn.microsoft.com/en-us/library/ms633520(v=vs.85).aspx

saludos

yo prefiero usar ollydbg del sitio original
ollydbg.de

+ plugins o sin ellos,

si alguien despues quiere seguir el thread completo
aqui hay una pagina en ingles, supongo lo saco de ahi
http://forum.tuts4you.com/index.php?showtopic=18036

pd: quien quiera mas tipos de mod:
http://tuts4you.com/download.php?list.4

saludos Apuromafo

Visual DuxDebugger 2.5
que cambios ha habido?

saludos Apuromafo

Llevo ya mas de un mes dandole vueltas, y para comenzar ni siquiera he podido encontrar un editor de mi base de datos (tipo sql management o sqlfront) y si a eso le sumo que tampoco hay mucha informacion sobre como programar en ese lenguaje (omnis) pues ya me vi obligado a preguntar para ver si me despejo un poco o si alguien tiene alguna idea.


* hace mucho aveces tienen comunicaciones de estilo update o envian post o get , realmente puede que inicie en TLS, en una de esas, mejor que revises la APLICACION CON IDA, hace el intento, puedes encontrar mas información

hoy por ejemplo vi una aplicacion que era un JAR, era un exe que ejecutaba un java

el otro dia vi una maquina virtual, asi que imaginate , no era entendible nada

y el otro dia , pues una aplicacion que botaba en temporales el archivo y de ahi lo copie y listo

no se que tipo tendras, pero creo que puede tener relacion a la TLS
favor verifica en IDA
saludos Apuromafo

upolyx en su tiempo era un ofuscador normalmente usado para proteger un upx, en tiempos anormales, serian solo saltos y llegar al oep
pero en tiempos de uso de signaturas falsas puede ser cualquier cosa..hasta execryptor


yo creo que lo mejor es que uses ollydbg y leas bien los tutoriales, no va en el packer, va en como eres capaz de desprotegerlo

saludos Apuromafo

[direccion]

una consulta
001B2001" ==> "0003C94

cuanto es tu imagebase?
que muestra tu oep?
pd: despues que llego al oep, pues intenta borrar el bp en access, piensa cuidar un poco al pc xD

**

a import rec siempre se le agrega el rva , no suelo usar esos automáticos a menos que sea extremo.

aver luego del oep, intentas bajar al primer call y con f7 entras, con f8 pasarias de largo, no  el f7 entras y veras , y ves algo como

jmp dword prt (direccion) /call dword ptr, no recuerdo como sale normalmente
pero le das para seguir en el dump   esa direccion tiene algo asi

direccion:nombre de la api o bien un numero normalmente mayor a 70000000
le das formato long adress, luego tendras mas ordenadito


ahora siendo mas explicito, luego de aquel direccion se ve el inicio..subiendo mas o menos
esta en los escritos, cuando tienes que enCONTRAR y entender la iat a MANO..
normalmente seria algo asi

402000 7777756......
402004 7777757......
402008 00000000000

en un caso hipotetico, la iat comenzaria en 402000, y terminaria en 402008, por ende deberia tener un tamaño de 8 y el RVA hay que probar si ya es 402000 o simplemente 2000, no recuerdo si se le configuraba en import rec o en otra tool (no tengo ni el depurador, ni nada a mano, estoy comentandote al aire la idea)

revisa bien los escritos sugeridos, y echale un look,
no creo que sea dificil si sigues leyendo, pero antes de desempacar aspack
hace el intento con un upx, que es el primer unpack que todos o casi todos suelen explicar paso por paso..

ahora bien pensemos que es un dumped?, es como un programa que copiaste de la memoria en una direccion especifica, que no tiene alineado su tabla de iat, o bien su entrypoint, luego de asignar el oep, o entrypoin, busca las direcciones virtuales a modo de reservar las apis, que estan en la sección de la iat, establecida en la sección de recursos y luego buscar si existe esa dll y esa api

saludos ...vuelvo a casa a ver si pillo algun depurador y un ejemplo simple para comprimir con aspack

saludos Apuromafo

aver si no olvido, es

pushad bp en access dword en stack , popad, luego se crea en runtime un push oep+ret, luego al pasar el ret, estas en el OEP(original entry point)
aveces pueden haber mas de un packer, pero vamos ,luego de aquello hay que verificar si hay overlay,

despues de utilizarlo le paso nuevamente RDG Packer Detector y me da esta info
PowerBASIC/Win 8.00
Nada
despues uso la opcion M-B y depues detecta
Microsoft Visual Foxpro

pero lo has abierto el unpacked?

recuerda que es necesario que el unpacked, derrepente tenga ciertos permisos en las secciones, o bien que tenga su overlay


aver busquemos ejemplos de tutoriales de aspack (supongo ya leiste los escritos de ricardo, esta desde el primer chincheta comentado que esta en
ricardonarvaja.info

veamos:
aspack+upx
http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/201-300/294-ASpack%26UPX_by_%2BNCR.rar

aspack solo
http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/201-300/262--ASpack212_CoolFolder40_by_%2BNCR.rar
http://ricardonarvaja.info/WEB/CONCURSOS%20VIEJOS/CONCURSOS%20MAS%20ANTIGUOS/REQUETECONCURSOS%20NUEVOS/CONCURSO%2044/RQT44%20Nivel%202%20-%20Desempacado%20de%20ASPack%20%28por%20DeAtH%29.rar
http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/101-200/111-%20Desempacado%20del%20programa%20ASpack_211d%20por%20arapumk.zip
http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/101-200/154-UN%20ASPACK%20programa%20Taskman%20por%20AnsGaryYunllet.zip
http://ricardonarvaja.info/WEB/OTROS/COLABORACIONES/COLABORACIONES/Mekatrix%2031.-%20Jugando%20con%20las%20Apis%20Aspack%202.11%20y%202.00.rar
http://ricardonarvaja.info/WEB/OTROS/COLABORACIONES/COLABORACIONES/01-UnpackingASPackv2.12%5BACEHIGH%5D.zip
http://ricardonarvaja.info/WEB/OTROS/AKIRA%20TODO/2.%20Estudio%20completo%20del%20empaquetador%20Aspack%202.12.rar


http://ricardonarvaja.info/WEB/CONCURSOS%202009/CONCURSO%2018/SolucionASPack2.2Concurso18.doc
http://ricardonarvaja.info/WEB/CONCURSOS%202009/CONCURSO%2018/unaspack_c18_CarpeDiem.pdf


aspack /realmente asprotect (todo referia que era aspack pero era asprotect)
http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/1101-1200/1172-Desempacando%20al%20protegido%20de%20aspack%201.1.pdf.7z

aspack+armadillo
http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/1001-1100/1026-Armadillo%2Baspack_por%20solid.rar
http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/1001-1100/1028-armadillo%2Baspack_parte%202%20solid.rar


saludos Apuromafo

Advertencia - mientras estabas leyendo, una nueva respuesta fue publicada. Probablemente desees revisar tu mensaje.

yo recuerdo que ricardo lo explica en las opciones era algo de mostrar long jumps o algo asi, sugiero que veas bien los escritos, sobre todo el de formato pdf, que es mas rapido para lectura quizas pueda ser hasta doble click al lado del salto , pero igual es como confuso si tienes ofuscación, aveces debes usar otras tools ej: codedoctor entre otros.

2) si es por mas detalles, ollydbg 1.1 se implementaron plugins y mods, entre ellos el que te sugieren, fue creado por shaddy (shadow and dark) y de ahi, cambio el find windowA y algunos recursos estéticos (icono negro ) y entre otras cosas, igual es conciente decir que todos los depuradores son importantes, pero tenerlo configurado para x situación puede orientarte


3) el escrito de ricardo es una guía completa, sugiero como bien dice de las primeras, revisa el escrito original del autor y tambien el uso de ollydbg por The POPE, en si

4) si necesitas ayuda en lo que vas viendo, hacelo, pero estoy mas que seguro que lo que preguntas, esta en el escrito

5) de analisis de algoritmos y procedimientos seria lo ideal que vieras de a poco, los saltos, las comparaciones, las apis mas importantes, como se van formando las cadenas, como van tomando los valores en eax, ebx, y los diversos registros, como van acumulando en el stack etc

es algo que IDA no te dara tan claro, a menos que estes seguro de lo que haces

animo en todo y sigue asi

hay unas chinchetas con paginas, sugiero revises bien algunas

yo tengo un apunte guardado, no se
mediafire.com/apuromafo en la carpeta ingenieria inversa, algo debe haber por ahi

otra pagina si sabes ingles te sugiero www.tuts4you.com ahi en la sección de descargas encontraras ese mod y otros , ademas de script y algunos tutoriales


saludos Apuromafo
CLS/Snd/at4re/ y mxos más