Реверсинг. Задай вопрос - получи ответ

Discussion in 'Реверсинг' started by 0x0c0de, 2 Sep 2007.

  1. Welemir

    Welemir Elder - Старейшина

    Joined:
    10 Jan 2008
    Messages:
    229
    Likes Received:
    11
    Reputations:
    -4
    Такой ещё вопрос из разряда дыбыльных - Можно ли инты юзать в вин32.или же только в досе ? Материал по ним какой-то скудный - не то,что про регистры.На любой странице гугла найдёшь).
     
  2. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    899
    Likes Received:
    274
    Reputations:
    59
    http://www.delorie.com/djgpp/doc/rbinter/ix/
     
  3. wolmer

    wolmer Member

    Joined:
    12 May 2009
    Messages:
    438
    Likes Received:
    97
    Reputations:
    9
    Есть окошко, в него выводится некоторая информация (будем считать что информация: "Welcome to server")
    Я строку "Welcome to server" - нашел (с помощью IDA pro) и поставил бряк туда, где она задействована в dll (примерно так: push ...)(где она задействована в dll - мне подсказала ida pro (правда только по одному файлу))
    Но когда строка появляется в окошке - бряк не срабатывает.
    Вопрос: как отловить места где задействована строка "Welcome to server" ?

    Ах да, самое главное, программа состоит из нескольких dll (ну и естественно одного exe)

    Надеюсь я ясно выразился :)
     
    #703 wolmer, 28 Aug 2010
    Last edited: 28 Aug 2010
  4. DrakonHaSh

    DrakonHaSh Elder - Старейшина

    Joined:
    16 Apr 2008
    Messages:
    118
    Likes Received:
    29
    Reputations:
    24
    поставить бряк на доступ к адресу памяти "Welcome to server" на чтение
    ntice, syser - bpmb address r
    в ольке не помню, но тоже, по идее, должно быть можно

    вывалишься, скорее всего, в какой нить системной функции. из нее или p ret или смотри по stack адрес возврата в свою прогу/dll и там уже ищи какого фига она туда пришла :) вполне возможно придется еще на пару уровней вверх подняться по функциям чтобы дойти до нужной точки X
     
    #704 DrakonHaSh, 28 Aug 2010
    Last edited: 28 Aug 2010
  5. swt1

    swt1 Elder - Старейшина

    Joined:
    16 Feb 2008
    Messages:
    306
    Likes Received:
    78
    Reputations:
    21
    bp on access memory не всегда срабатывает,идёт что то вроде проверки,это было так же как и в PowerISO.
     
  6. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    899
    Likes Received:
    274
    Reputations:
    59
    строка не обязательно должна быть в единственном числе, иногда бывает несколько экземпляров в коде.
    Можно попробовать отловить все вызовы SetWindowText
    но будет много ложных срабатываний. Иногда еще текст некоторые программы ставят используя TextOut
     
  7. wolmer

    wolmer Member

    Joined:
    12 May 2009
    Messages:
    438
    Likes Received:
    97
    Reputations:
    9
    Всем огромное спасибо за помощь :)
    Следующий вопрос: есть команда:
    Code:
    MOV EAX,DWORD PTR DS:[ECX*4+ESI-4]
    Мне нужно знать, в каком месте программа изменяет память по адресу:
    Code:
    [ECX*4+ESI-4]
    (ясное дело - бряк на память надо ставить)

    Проблема: [ECX*4+ESI-4] - каждый раз этот адрес, который ссылается на память - меняется

    Что делать?
    (программу к сожелению не могу выложить)

    Заранее спасибо за помощь
     
  8. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    899
    Likes Received:
    274
    Reputations:
    59
    Это не проблема вовсе. Адрес меняется, да, согласен, но код который работает с этим адресом в памяти меняться не будет самопроизвольно, даже если обращения идут с более чем одного места. Ставим бряк на доступ к памяти, ждем срабатывания, смотрим код, обращающийся и все
     
  9. wolmer

    wolmer Member

    Joined:
    12 May 2009
    Messages:
    438
    Likes Received:
    97
    Reputations:
    9
    Несколько раз перечитывал ваше сообщение, и никак не пойму.
    В память по адресу (который меняется)([ECX*4+ESI-4]) ложится значение до кода:
    Code:
    MOV EAX,DWORD PTR DS:[ECX*4+ESI-4]
    И как же мне узнать в каком месте будет ложится значение?
     
    #709 wolmer, 1 Sep 2010
    Last edited: 1 Sep 2010
  10. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    899
    Likes Received:
    274
    Reputations:
    59
    - Включаем трассировку кода с протоколированием в файл, затем изучаем. Минус в том, что если не ограничить диапазон кода на это уйдет много времени.
    - Ищем все команды с похожим аргументом ECX*4+ESI-4.
     
  11. Worms

    Worms Elder - Старейшина

    Joined:
    9 May 2006
    Messages:
    95
    Likes Received:
    0
    Reputations:
    0
    а с чего начать если я даж непонимаю о чем вы?где можно для начинающего найти фак?
     
  12. zeppe1in

    zeppe1in Elder - Старейшина

    Joined:
    12 Jul 2006
    Messages:
    343
    Likes Received:
    66
    Reputations:
    18
    http://wasm.ru/series.php?sid=17
    я уже устал постить эту ссылку, надо бы куданить её закрепить)
     
    2 people like this.
  13. Worms

    Worms Elder - Старейшина

    Joined:
    9 May 2006
    Messages:
    95
    Likes Received:
    0
    Reputations:
    0
    Во!! спасибо!
     
  14. HakaR

    HakaR Active Member

    Joined:
    23 Jul 2009
    Messages:
    301
    Likes Received:
    200
    Reputations:
    3
    2Worms
    + крякмисы можно скачать здесь: http://crackmes.de/
    для новичка пойдет: http://crackmes.de/users/fant0m/fant0mcollection/
     
    2 people like this.
  15. Worms

    Worms Elder - Старейшина

    Joined:
    9 May 2006
    Messages:
    95
    Likes Received:
    0
    Reputations:
    0
    А еще вопрос, мне как-то кто-то доставал серийник из самой программы,это как?возможно?
     
  16. HakaR

    HakaR Active Member

    Joined:
    23 Jul 2009
    Messages:
    301
    Likes Received:
    200
    Reputations:
    3
    Возможно. Почитай те статьи на васме, которые тебе скинул zeppe1in.
     
    1 person likes this.
  17. wolmer

    wolmer Member

    Joined:
    12 May 2009
    Messages:
    438
    Likes Received:
    97
    Reputations:
    9
    Ollydbg 2:
    File -> Set new arguments

    В ollydbg 1 -> тоже что-то подобное было
     
    1 person likes this.
  18. s0l_ir0n

    s0l_ir0n Active Member

    Joined:
    14 Mar 2009
    Messages:
    399
    Likes Received:
    144
    Reputations:
    18
    File -> Open
    [​IMG]
     
    1 person likes this.
  19. desTiny

    desTiny Elder - Старейшина

    Joined:
    4 Feb 2007
    Messages:
    1,006
    Likes Received:
    444
    Reputations:
    94
    >Подскажите, как в олли смотреть проги, которые загружаются как сервисы?
    единственный известный мне метод --- прописать в начало ServiceMain int3, желательно сделать отдельную группу сервисов (то есть чтобы был отдельный экземпляр svchost.exe), и аттачиться при ошибке при запуске
     
  20. s0l_ir0n

    s0l_ir0n Active Member

    Joined:
    14 Mar 2009
    Messages:
    399
    Likes Received:
    144
    Reputations:
    18
    Как единственный? О_о
    А 0xEBFEh вместо первых бвух байт на EP ;)
     
Loading...