Mensajes

insisto antes de averiguar cuantos plugins, lo ideal es que aprendas a manejar el depurador

te dare un poco de reseña

hace un tiempo en ollydbg crearon un "script" que automatizaba el proceso de bp, de hw bp y métodos que en parte podian servir para ciertos packers en caso x que ya dominabas el tema, es 1 plugin con unas 20 modificaciones a lo mas, (ollydbgscript),

respecto a lo segundo IDA, es otro depurador, que tiene lenguaje propio para sus script (si no me olvido era similar a LUA), por otro lado, plugins para ambos depuradores hay muchos

la modificacion de algun ollydbg como OllyICE es que no aparece "ollydbg" sino "allydbg" como frame o como objeto o como ventana, por otro lado, estaba creado para depurar sin error los antiguos themidas

creo que lo ideal en la actualidad es que a lo menos vayas leyendo y ojala llegues a leer las teorias numeradas en la lista de ricardonarvaja
pero para ello primeramente debrias leer el faq...

hay muchas cosas que se pueden hacer, el tema es que nada es completo ,todo paso a paso

no tengo mas tiempo..asi que espero te sirva el hint

saludos Apuromafo

pd:ese worpress es como del año 2008
revisa tb este sitio
http://tuts4you.com/

http://waleedassar.blogspot.com/2012/03/ollydbg-section-name-crash.html

saludos Apuromafo

pues todo dependerá al nivel que quieras depurar, ya te veo yo depurando un java en ollydbg  o pyton, espero no te pase ...
por otro lado aqui algun listado sin webs ,y si encuentras nuevas herramientas para una categoria ideal, si no, pues para eso es guiar que existen muchas herramientas y estas son solo las publicas

http://foro.elhacker.net/ingenieria_inversa/herramientas_para_la_ing_inversaojo_sin_enlaces_web-t363150.0.html

Privadas(es tema de ir a cada foro o googlegroup, y veras como ciertos autores crean ciertos codigos, estructuras para keygening, y asi suma y sigue)

hay buenas herramientas tb como PEbrowser,hackerdissasembler, y herramientas especificas, que herramientas de dissasembler de ntcore, o componentes de beacript(frances) el tema de kit no es el lio, sino saber usar las herramientas

para mi puede ser de gran ayuda, pero para otros es chino mandarin, por eso muchas veces a lo menos hay que tener un inglés muy básico, algun tutorial, para guiarse un poco y algo de conocimiento que lo aprendes en el camino por el faq

creo que algunos reversers nisiquiera depuran, abren un editor hexadecimal y ya tienen una idea de lo que viene...


ahora si existen mas cosas posiblemente si..ideas por ejemplo
vdisasm
que se puede bajar desde aqui
https://www.dropbox.com/sh/xbietajej93w0i9/GMSMq4h5Ll/vdisasm_testing

esto es un demo que depura .arm, x86 y x64

la pagina refiere http://www.codefox.net/

pero yo tengo acceso a esa web, aqui un mirrow:
http://www.mediafire.com/?zgxd383z4zyuvbk

saludos Apuromafo

aun no me llega ningun privado, tan pesado es?

hay varias opciones
del pasado wdasm32, sofice, Ollydbg, ida, segun el programa este hecho sera como irá tomando ciertos valores , yo aveces suelo usar inclusive Pexplorer de heaventools y en su opcion de disassembler, le coloco ver las string y guardar el listado

inclusive en IDA se puede guardar el .map y luego confirmar en caso x importando con otro plugin en ollydbg

[[!] Themida v2.0.1.0 - v2.1.6.0 (or newer) detected !]

testeando: encontre la aplicacion en la web
es un

Scanning -> C:\Archivos de Casa\ZFactura\ZFactura.exe
File Type : 32-Bit Exe (Subsystem : Win GUI / 2), Size : 13380096 (0CC2A00h) Byte(s)
[File Heuristics] -> Flag : 00000000000001001100000000100010 (0x0004C022)
[!] Themida v2.0.1.0 - v2.1.6.0 (or newer) detected !
Hide PE Scanner Option used
- Scan Took : 1.687 Second(s) [000000521h tick(s)]

unpacked esperando corra en otro s.o.
http://www.mediafire.com/?nr48l1j79ll4tkb




mas info:






packed themida unpacked sin parche en dll=full trial que no expira
en unos 20minutos subo el unpacked
normal start de themida con su fld

02264000   B8 00000000      MOV EAX,0
02264005   60               PUSHAD
02264006   0BC0             OR EAX,EAX
02264008   74 68            JE SHORT ZFactura.02264072
0226400A   E8 00000000      CALL ZFactura.0226400F
0226400F   58               POP EAX
02264010   05 53000000      ADD EAX,53
02264015   8038 E9          CMP BYTE PTR DS:[EAX],0E9
02264018   75 13            JNZ SHORT ZFactura.0226402D

luego de tracear un poco el el oep es


00403C54   . EB 10          JMP SHORT ZFactura.00403C66
00403C56   . 66:623A        BOUND DI,DWORD PTR DS:[EDX]
00403C59   . 43             INC EBX
00403C5A   . 2B2B           SUB EBP,DWORD PTR DS:[EBX]
00403C5C   . 48             DEC EAX
00403C5D   . 4F             DEC EDI
00403C5E   . 4F             DEC EDI
00403C5F   . 4B             DEC EBX
00403C60   . 90             NOP
00403C61   .-E9 AC207201    JMP ZFactura.01B25D12
00403C66   > A1 9F207201    MOV EAX,DWORD PTR DS:[172209F]
00403C6B   . C1E0 02        SHL EAX,2
00403C6E   . A3 A3207201    MOV DWORD PTR DS:[17220A3],EAX
00403C73   . 52             PUSH EDX


lo dificil en parte es la iat, termine de editar un poco el script de LCF con el oep personal,  por otro lado, hay 2 ollydbg , la version 1 y la version 2

la dll si la corre en ollydbg debes colocar si, luego guiarte..nada de ejecutar porque solo seria perdida de tiempo
estas son las string

Address    Disassembly                               Text string
10037B11   PUSH ChilkatC.101025AC                    ASCII "Expired: "
10037B35   PUSH ChilkatC.100CE0D8                    ASCII "
"
10037C24   PUSH ChilkatC.101025AC                    ASCII "Expired: "
10037C48   PUSH ChilkatC.100CE0D8                    ASCII "

1005D447   PUSH ChilkatC.10109C0C                    ASCII "password"
1005D475   PUSH ChilkatC.10109F9C                    ASCII "Username"
1005D485   PUSH ChilkatC.1010A18C                    ASCII "IUSR_"
1005D49D   PUSH ChilkatC.1010A184                    ASCII "IWAM_"
1005D4D2   PUSH ChilkatC.1010A16C                    ASCII "Trying user's keyset..."
1005D4F5   PUSH ChilkatC.1010A130                    ASCII "1st try did not succeed, will retry with machine keyset."
1005D52A   PUSH ChilkatC.10109BF8                    ASCII "Invalid password"
1005D54F   PUSH ChilkatC.1010A0F8                    ASCII "Looks like this is in an ASP or ASP.NET environment..."
1005D55D   PUSH ChilkatC.1010A0E4                    ASCII "Password verified."
1005D56B   PUSH ChilkatC.10109BE4                    ASCII "Password is empty"

10079F84   PUSH ChilkatC.10110A0C                    ASCII "1x0zlsd"
1007A121   MOV EDI,ChilkatC.10110A48                 ASCII "__^!@"
1007A4EB   PUSH ChilkatC.10110A74                    ASCII "%d/%d/%d"
1007A503   PUSH ChilkatC.10110A68                    ASCII "expireMdy"
1007A514   PUSH ChilkatC.10110A60                    ASCII "keyT"
1007A521   PUSH ChilkatC.10110A58                    ASCII "curT"
1007A56A   PUSH ChilkatC.10110A50                    ASCII "curDT"
1007A5FE   PUSH ChilkatC.10110DA8                    ASCII "RegKey"
1007A60A   PUSH ChilkatC.10110D9C                    ASCII "Nov 30 2009"
1007A60F   PUSH ChilkatC.10110D94                    ASCII "LibDate"
1007A656   PUSH ChilkatC.10110D90                    ASCII "92"
1007A65B   PUSH ChilkatC.10110D8C                    ASCII "CK"
1007A6DD   PUSH ChilkatC.10110D84                    ASCII "asdf"
1007A6F3   PUSH ChilkatC.10110D74                    ASCII "Invalid code..."
1007A7AA   PUSH ChilkatC.10110D68                    ASCII "No reg code"
1007A8EC   PUSH ChilkatC.10110D5C                    ASCII "Error 200"
1007AA64   PUSH ChilkatC.10110D44                    ASCII "Unlock code is invalid."
1007AAB5   PUSH ChilkatC.10110D28                    ASCII "This code has been revoked."
1007AACB   PUSH ChilkatC.10110D20                    ASCII "$TEAM"
1007AAE1   PUSH ChilkatC.10110D18                    ASCII "$BEAN"
1007AAF7   PUSH ChilkatC.10110D10                    ASCII "!TEAM"
1007AB0D   PUSH ChilkatC.10110D08                    ASCII "!BEAN"
1007AB25   PUSH ChilkatC.10110D00                    ASCII "SITETA"
1007AB3D   PUSH ChilkatC.10110CF8                    ASCII "NICOLE"
1007AB55   PUSH ChilkatC.10110CF0                    ASCII "RUTHFR"
1007AB6C   PUSH ChilkatC.10110CE4                    ASCII "MEISTEMHT"
1007AB84   PUSH ChilkatC.10110CDC                    ASCII "YESSDA"
1007AB9C   PUSH ChilkatC.10110CD4                    ASCII "JOHNEK"
1007ABB4   PUSH ChilkatC.10110CCC                    ASCII "kfywhl"
1007ABD1   PUSH ChilkatC.10110CAC                    ASCII "VW5sb2NrIGtleSBpcyBpbnZhbGlk"
1007AC00   PUSH ChilkatC.10110C88                    ASCII "Q2hpbGthdCBTb2Z0d2FyZSwgSW5jLg=="
1007AC22   PUSH ChilkatC.10110C7C                    ASCII "U0hPQ0s="
1007AD4B   PUSH ChilkatC.10110C58                    ASCII "Unlock code is invalid. (reason=11)"
1007AD64   PUSH ChilkatC.10110C4C                    ASCII "required"
1007AD7D   PUSH ChilkatC.10110C44                    ASCII "regCode"
1007ADF4   PUSH ChilkatC.10110C38                    ASCII "Error 201"
1007AE25   PUSH ChilkatC.10110C28                    ASCII "requiresPerm"
1007AE59   PUSH ChilkatC.10110C18                    ASCII "%02d%02d%04d"
1007AE6E   PUSH ChilkatC.10110BFC                    ASCII "re-parsing expire date..."
1007AE87   PUSH ChilkatC.10110BEC                    ASCII "%02d%02d%02d"
1007AECA   PUSH ChilkatC.10110A74                    ASCII "%d/%d/%d"
1007AEE2   PUSH ChilkatC.10110BDC                    ASCII "TempExpireDate"
1007AF54   PUSH ChilkatC.10110BBC                    ASCII "Temporary unlock code expired."
1007AF88   PUSH ChilkatC.10110B7C                    ASCII "Component successfully unlocked using temporary unlock code."
1007B077   PUSH ChilkatC.10110BBC                    ASCII "Temporary unlock code expired."
1007B086   PUSH ChilkatC.10110B7C                    ASCII "Component successfully unlocked using temporary unlock code."
1007B161   PUSH ChilkatC.10110B60                    ASCII "Year out of range, failed."
1007B181   PUSH ChilkatC.10110BBC                    ASCII "Temporary unlock code expired."
1007B1DC   PUSH ChilkatC.10110B20                    ASCII "Component successfully unlocked using permanent unlock code."
1007B2C9   PUSH ChilkatC.10110AFC                    ASCII "Invalid characters in unlock code."
1007B321   PUSH ChilkatC.1010B118                    ASCII "unlockCode"
1007B32D   PUSH ChilkatC.10110AE4                    ASCII "Requires permanent code"
1007B3B7   PUSH ChilkatC.10110AE0                    ASCII "ok."
1007B3CB   PUSH ChilkatC.10110AB0                    ASCII "Component successfully unlocked using trial key"
1007B4BA   PUSH ChilkatC.10110A9C                    ASCII "Trial has expired. "
1007B526   PUSH ChilkatC.10110A80                    ASCII "This code has been revoked"
1007B52F   PUSH ChilkatC.10110D44                    ASCII "Unlock code is invalid."

saludos Apuromafo
pd:subiendo a mediafire.com/apuromafo ing inversa, foro el hacker manudark88->themida->ahi estará el archivo

mañana puede que tenga un mini tiempo, enviame el armadillo a mediafire.com y me envias el enlace por privado, si es de una web, me avisas ...
mi mascota preferida es el armadillo

saludos Apuromafo

todos decimos, pero si es muy facil, pero hay variables que aun no comentas

1) seguro que estas en el oep? hace no mucho presentaron un pecompact+aspack(emulador de nintendo 64) y también he visto otras variaciones mas densas ej pecompack+molebox(arma kg de vel)


2) cuando ingresas los valores a lo menos 1 esta errado, para ello puedes intentar trace lv 1 o bien cut trunk en caso que uses import rec, en caso que uses otro, debes recordar que los datos volcados en memoria debe ser en el oep, si no es ahi nisiquiera estara bien


3)practica con tutoriales conocidos del tema, luego puedes independizarte, si tienes mucho tiempo, busca el packer y comprime aplicaciones conocidas por ti y anotas los datos tal cual vas conociendo


yo en lo particular, antes de la primera excepcion lo remplazo por jmp eax, luego busco el jmp R32(normalmente es como un jmp eax, ebx, edx,) y luego de llegar ahi (bp y run) con f7 uno llega al valor del oep


si es muuuy dificil, igual existe un unpacker , pero no es la idea
(quickunpack, y pecompack unpacker por nacho, FUU) suelen ser soluciones alternativas cuando ya dominas el tema

pones "Armadillo"
http://ricardonarvaja.info/WEB/buscador.php

ahi hay bastante material, herramientas base
1) armaggedon
2) arma FP
3)ollydbg
4)import rec
5)lord PE

saludos Apuromafo