HidCrackMeImp

Discussion in 'Реверсинг' started by hidden, 4 Jan 2007.

  1. hidden

    hidden 7H3 0N3

    Joined:
    23 Apr 2006
    Messages:
    550
    Likes Received:
    332
    Reputations:
    386
    Вот мой новый крякми, должен быть интерестным, и не слишком простым, во всяком случае необычным ;)

    Язык: fasm
    Защита: Зашифрован и разшифровователь метоморфиторован.
    Нововведение: Интерфейс и Импортер
    Прошли:
    1) ProTeuS
    2) Ra$cal
    3) TAHA

    После егистрации в заголовке должно появится Registred
     

    Attached Files:

    #1 hidden, 4 Jan 2007
    Last edited by a moderator: 4 Jan 2007
    4 people like this.
  2. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,239
    Likes Received:
    541
    Reputations:
    445
    00401720 837d 0c 02 Cmp Dword Ptr Ss:[ebp+c],2

    по видимому, проверка здесь
     
    2 people like this.
  3. hidden

    hidden 7H3 0N3

    Joined:
    23 Apr 2006
    Messages:
    550
    Likes Received:
    332
    Reputations:
    386
    Неа... Это одработчик WM_DESTROY ;)
    А вообще это не звучит как ключь или патчь ;)
     
    1 person likes this.
  4. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,239
    Likes Received:
    541
    Reputations:
    445
    ага, уже вижу 4то там код обработ4иком нажатий, пертастикания мыши етц

    >>А вообще это не звучит как ключь или патчь
    ага, мы пока обсуждаем, не вертолеты, епт )
     
  5. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,239
    Likes Received:
    541
    Reputations:
    445
    >>Защита: Зашифрован и разшифровователь метоморфиторован.
    хых, hidden, это называется декриптор )

    ЗЫ: 4ето я там только СМК видил, никаких метаморфных мутаций...
     
  6. hidden

    hidden 7H3 0N3

    Joined:
    23 Apr 2006
    Messages:
    550
    Likes Received:
    332
    Reputations:
    386
    Это потому-что у тебя только одна версия, после перекомпиляции, было бы уже подругома, хотя это не столь важно для крякми :)
     
  7. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,239
    Likes Received:
    541
    Reputations:
    445
    слабо верится )
    лан...

    ну вроде тут какие-то замысловатые проверки

    00401598 EX D0000000 JNZ HidCreck.0040166D
     
  8. taha

    taha Elder - Старейшина

    Joined:
    20 Aug 2006
    Messages:
    399
    Likes Received:
    330
    Reputations:
    251
    посл вот этой функции:
    00401009 E8 02040000 CALL HidCreck.00401410
    подгрузились новые библиотеки и я понял что нужна туды зайти

    Code:
    00401421   AC               LODS BYTE PTR DS:[ESI]
    00401422   3C FD            CMP AL,0FD
    00401424   77 33            JA SHORT HidCreck.00401459
    00401426   74 2D            JE SHORT HidCreck.00401455
    00401428   88C4             MOV AH,AL
    0040142A   FF76 FF          PUSH DWORD PTR DS:[ESI-1]
    0040142D   FF36             PUSH DWORD PTR DS:[ESI]
    0040142F   57               PUSH EDI
    00401430   E8 30FFFFFF      CALL HidCreck.00401365
    00401435   75 07            JNZ SHORT HidCreck.0040143E
    00401437   50               PUSH EAX
    00401438   57               PUSH EDI
    00401439   E8 77FFFFFF      CALL HidCreck.004013B5
    0040143E   66:8338 8B       CMP WORD PTR DS:[EAX],0FF8B
    00401442   75 03            JNZ SHORT HidCreck.00401447
    00401444   83C0 02          ADD EAX,2
    00401447   83E8 04          SUB EAX,4
    0040144A   29F0             SUB EAX,ESI
    0040144C   C646 FF E9       MOV BYTE PTR DS:[ESI-1],0E9
    00401450   8906             MOV DWORD PTR DS:[ESI],EAX
    00401452   AD               LODS DWORD PTR DS:[ESI]
    00401453  ^EB CC            JMP SHORT HidCreck.00401421
    Подгружает библиотеки и функции. Если бряк по середине поставить и жать f9 то в eax адреса функций. Просмотрел подгружаемыые апи пока ни чего подозрительного.
     
    #8 taha, 4 Jan 2007
    Last edited: 5 Jan 2007
    1 person likes this.
  9. hidden

    hidden 7H3 0N3

    Joined:
    23 Apr 2006
    Messages:
    550
    Likes Received:
    332
    Reputations:
    386
    Эти "замысловатые проверки" :) проверяют, находится ли точка внутри прямоугольника.
     
  10. ProTeuS

    ProTeuS --

    Joined:
    26 Nov 2004
    Messages:
    1,239
    Likes Received:
    541
    Reputations:
    445
    я был прав )
    завтра продолжим - заодно народу поприбавится
     
    1 person likes this.
  11. Ra$cal

    Ra$cal Elder - Старейшина

    Joined:
    16 Aug 2006
    Messages:
    670
    Likes Received:
    185
    Reputations:
    78
    Весёлый крякми. Я registred =)
     
    3 people like this.
  12. taha

    taha Elder - Старейшина

    Joined:
    20 Aug 2006
    Messages:
    399
    Likes Received:
    330
    Reputations:
    251
    уффух, крякнул!!
    hidden's CrackMe registred

    третье место моё.
    уряяяяяя)))
     
    #12 taha, 4 Jan 2007
    Last edited: 4 Jan 2007
    2 people like this.
  13. taha

    taha Elder - Старейшина

    Joined:
    20 Aug 2006
    Messages:
    399
    Likes Received:
    330
    Reputations:
    251
    hidden, если тебе интерсно, могу сказать над чем вчера бился. Думаю другим будет тоже полезно. Так вот в своём первом посте я показал где hidden ищет смещение функций, так вот он пропускает mov edi,edi. Если пронопить add eax,2h, то смещение будет к первому байту апи.
    И олька будет показывать куда ведёт jmp. Бился я над автоматизацией процесса.

    Таблица:
    0040128A -E9 4BBB417C JMP kernel32.ExitProcess
    ...
    00401352 -E9 404AB177 JMP GDI32.SetTextColor

    Но как только я узнал, что у Протиуса уже начали вырисовываться квадратики я забил на это неблагодарное дело. И начал реверсить...

    Вот теперь решил вернуться к скрипту))) Естественно улучшил его, теперь он call'ы редактирует. И теперь ненадо по ним ходить.

    Code:
    	var vesp
    	var xx
    
    	sti
    	FINDOP eip,#E92A#
    	bp $RESULT
    	run
    	bc $RESULT
    	bp 00401BF0
    	run
    	bc 00401BF0
    	sto
    	sto
    	sto
    	sto
    	sti
    	asm 00401444,"nop"
    	asm 00401445,"nop"
    	asm 00401446,"nop"
    	bp 0040100E
    	run
    	bc 0040100E
    	var AddrJmp
    	mov AddrJmp,0040128A
    	sub AddrJmp,5
    metka1:
    	add AddrJmp,5
    	bp AddrJmp
    	cmp AddrJmp,00401352
    	jne metka1
    	run
    back:
    	mov vesp,[esp]
    	bp vesp
    	sto
    	mov xx,eip
    	sub xx,vesp
    	sub vesp,4
    	mov [vesp],xx
    	run
    	bc eip
    	run
    	jmp back
    Адреса естественно свои должны стоять))
     
    #13 taha, 4 Jan 2007
    Last edited: 4 Jan 2007