Реверсинг. Задай вопрос - получи ответ

Discussion in 'Реверсинг' started by 0x0c0de, 2 Sep 2007.

  1. trotil

    trotil Member

    Joined:
    10 Jan 2009
    Messages:
    60
    Likes Received:
    5
    Reputations:
    4
    думаю помимо сжатия файл еще и зашиврован
     
  2. rootmd

    rootmd New Member

    Joined:
    9 Dec 2010
    Messages:
    101
    Likes Received:
    3
    Reputations:
    -5
    значит расшифрировать никак?
     
  3. trotil

    trotil Member

    Joined:
    10 Jan 2009
    Messages:
    60
    Likes Received:
    5
    Reputations:
    4
    можно, я не роботал из зашиврованными файлами, и принцыпа по незнаю, но в Ida pro надо будет порабатать мозгами - это то что знаю я
     
  4. Mescalin

    Mescalin Elder - Старейшина

    Joined:
    4 Jul 2007
    Messages:
    37
    Likes Received:
    27
    Reputations:
    -8
    как и чем реверсят сошки (*.so) и есть ли где нибудь мануалы ?
     
  5. s0l_ir0n

    s0l_ir0n Active Member

    Joined:
    14 Mar 2009
    Messages:
    399
    Likes Received:
    143
    Reputations:
    18
    если я не ошибаюсь, то єто unix-like исполняемый файл elf, следовательно статический анализ в ida pro, с рантайм отладкой в никсах все плохо, т.е. нормальных отладчиков нет(во всяком случае когда я последний раз туда залазил). В-общем стоит погуглить, возможно что-то достойное появилось, но в любом случае - IDA наше все)
     
  6. juzam

    juzam New Member

    Joined:
    18 Oct 2010
    Messages:
    45
    Likes Received:
    2
    Reputations:
    0
    Собственно имеется ехе, поработал над ним и открыл в SAE, необходимо изменить false на true, подскажите пожалуйста, при помощи чего можно это сообразить.
    [​IMG]
    P.S. И да, ещё, этот же ехе при попытке открыть в Рефлекторе, кладет рефлектор и выбивает предложение отчет отправить.
     
    1 person likes this.
  7. s0l_ir0n

    s0l_ir0n Active Member

    Joined:
    14 Mar 2009
    Messages:
    399
    Likes Received:
    143
    Reputations:
    18
    Исправить можно несколькими способами:
    Плагином Reflexil для рефлектора, либо ручками, пропатчив в любом hex-редакторе. Поскольку рефлектор падает, тут 2 варианта:
    1) Найти почему падает, исправить, использовать reflexil
    2) Найти нужное место для патча через ildasm, найти нужный опкод и изменить его в HEX'e

    Настоятельно рекомендую ознакомиться с этой статьей:
    http://habrahabr.ru/blogs/net/109117/
    Все очень хорошо описано и на русском языке(что в наше время редкость)
     
  8. juzam

    juzam New Member

    Joined:
    18 Oct 2010
    Messages:
    45
    Likes Received:
    2
    Reputations:
    0
    За статью спасибо, читаю.
    Есть ли предположения почему может рефлектор падать? Он открывает все, именно кроме этого ехе, первый раз такое вижу вообще. Может ли быть это, например, из-за размера ехе?
     
  9. s0l_ir0n

    s0l_ir0n Active Member

    Joined:
    14 Mar 2009
    Messages:
    399
    Likes Received:
    143
    Reputations:
    18
    По поводу размера сказать не могу, т.к. максимальный размер программы, которую я открывал в рефлекторе не превышал 10МБ. Скорее всео это из-за обфускации методов, попробуй прогнать через деобфускатор встроенный в SAE и выходной файл открыть в рефлекторе. Возможно эта софтинка что-то скажет: http://rongchaua.net/Web/Tool/DotNet%20Id.zip или http://www.mediafire.com/?gtj38dm60ddcmma (аналоги PEiD для .Net)
     
  10. juzam

    juzam New Member

    Joined:
    18 Oct 2010
    Messages:
    45
    Likes Received:
    2
    Reputations:
    0
    И кому верить? [​IMG]
     
  11. s0l_ir0n

    s0l_ir0n Active Member

    Joined:
    14 Mar 2009
    Messages:
    399
    Likes Received:
    143
    Reputations:
    18
    Я бы поверил рогучевскому детектору, но по сколько он говорит Max2Code, то все плохо) Один раз столкнулся с этой гадостью, но на тот момент мне очень повезло, т.к. после деобфускации через SAE программа запускалась и я смог отреверсить ее. Стронгнейма и дибильных проверок не было, но это шанс 1 на миллион. В твоем случае я даже затрудняюсь что-то посоветовать, т.к. сам везде искал инфу по Max To Code, делал реквесты за кардоном и мучил в ПМ умных людей, но так ничего и не добился(
     
  12. Apocalypse

    Apocalypse New Member

    Joined:
    30 Jul 2007
    Messages:
    0
    Likes Received:
    4
    Reputations:
    0
    Net Reactor там скорее всего.

    Для детекта дотнетовских протов лучше использовать - http://www.mediafire.com/?gtj38dm60ddcmma (что уже выше писалось)
     
  13. PabloPicasso

    PabloPicasso Banned

    Joined:
    2 Jan 2010
    Messages:
    88
    Likes Received:
    32
    Reputations:
    16
    Нубский вопрос
    что означает ,-[число] после имени DLL ?

    например:
    @%SystemRoot%\system32\msimsg.dll,-32

    у мну есть библиотека с одним Экспортом, как этой херью пользоваться чтобы указать на мой экспорт?
    если конечно это не указатель на ресурс =/
     
    #813 PabloPicasso, 14 May 2011
    Last edited: 14 May 2011
  14. s0l_ir0n

    s0l_ir0n Active Member

    Joined:
    14 Mar 2009
    Messages:
    399
    Likes Received:
    143
    Reputations:
    18
    Это он)
     
  15. PabloPicasso

    PabloPicasso Banned

    Joined:
    2 Jan 2010
    Messages:
    88
    Likes Received:
    32
    Reputations:
    16
    :D спс
    вызов чуть ниже был по ветке
     
  16. rootmd

    rootmd New Member

    Joined:
    9 Dec 2010
    Messages:
    101
    Likes Received:
    3
    Reputations:
    -5
    можно декомпилировать мобильные игры? (java)
     
  17. s0l_ir0n

    s0l_ir0n Active Member

    Joined:
    14 Mar 2009
    Messages:
    399
    Likes Received:
    143
    Reputations:
    18
    можно
     
  18. myaso

    myaso New Member

    Joined:
    6 Jun 2010
    Messages:
    10
    Likes Received:
    0
    Reputations:
    0
    Есть программа написанная на делфи. При запуске высвечивается окно и просит ввести ключ(если закрыть окно куда нужно вводить ключ, программа запустится, т.к. есть база .fdb с которой уже работали). Если эту базу удалить, программа дальше авторизации не запустится. Работает с firebird SQL server, версия gds32.dll файла - 1.5.6.5026
    Программа protectionId:
    Чем можно поковырять эту программу? Желательно как можно подробнее.
     
  19. neprovad

    neprovad Elder - Старейшина

    Joined:
    19 Oct 2007
    Messages:
    900
    Likes Received:
    274
    Reputations:
    59
    Для примитивных тем в духе найти обработчик кнопки\формы достаточно программы IDR
    http://kpnc.org/idr32/en/
     
  20. myaso

    myaso New Member

    Joined:
    6 Jun 2010
    Messages:
    10
    Likes Received:
    0
    Reputations:
    0
    Нашел адрес, с которого начинается авторизация и проверка лицензии. Через dede(RVA колонка).
    Тоже самое есть и через OllyDbg. Что делать далее? Хочу чтобы программа запускалась без авторизации, либо как нибудь посмотреть лицензионный ключ.

    Как править условные переходы? И что они из себя представляют?
     
    #820 myaso, 1 Jun 2011
    Last edited: 2 Jun 2011
Loading...