| EBPIG |
探索杂志 |
MHJDQ |
|
|
知识共享 资源共享
资料共享 | |
| 【制作成员】程式猎人 |
| 【发行时间】2000-9-30 |
| 【期刊号码】第十四期 |
| 【网站地址】http://programhunter.com |
|
【编辑寄语】 |
{~._.~}
( Y )
()~*~()
(_)-(_) |
秋天是一个收获的季节，我们中国运动健儿们在春天里用汗水浇灌的种子，终于在秋天的季节里得到了收获，不是一般的收获，而是一个大丰收年，我们也为之高兴。现在中国已经有28枚金牌入帐了。
今天向大家介绍的三篇文章都是取自国外的作品，其中一个是国外的原作品，没有翻译，我将下周的时间里将它翻译出来，这次先让大家看一看，如果不明白的话，将在下期杂志中看一看我翻译的内容。但不知道翻译如何？也请各位能够指出错误，我将在以后的翻译中改进。 | |
| 【目 �� 录】 |
|
|
| &【破解心得】 |
Winpop V254a 破解过程 作者：UFK 03/21/99
程式猎人翻译
大家好，这个程序不是一个很强的保护，通过研究可以给你一个新的破解思想。程序有一个
50天的限制，并有两个nag窗口，现在就开始研究。
我先感谢_y的帮助这个破解教程和更正不些错误。
另一方面要感谢ytc Neural 和iczelion。
练习程序开始。Wow!
现在可以得到一个信息"Messanger Service or another WinPopUp might be running.
Reciver was Disabled!"这里没有事情可以使用的。你也可能不看到它。OK，下一个，现在
另一个提示窗口"You have 50 days to evaluate this software,
would you bla bla bla.. "运行IDA开始对它进行反汇编。等到它完成。现在我们不能够查
找"you have 50 days.."，因为这个50是每天都在变化的，现在就查找对"you have".
.data:0046A250 59 6F 75 20 68 61+str->YouHaveDDaysToE db 'You have %d\
days to evaluate this software',0
.data:0046A250 76 65 20 25 64 20+
.data:0046A27B 0
cool! 现在我们不不能得到这个程序注册，在我使用对"register"进行查找，没有任何结果
。因此我们将查找创建提示的窗口函数，并消去它。首先按在X-Ref在字符串上，看一看什
么东西可以使用 ||
_||_
(the X-Ref points here) \ /
\/
.text:004020AF 68 50 A2 46 00 push offset str->YouHaveDDaysToE
(our string)
.text:004020B4 52 push edx
.text:004020B5 E8 F8 B5 02 00 call _text_42D6B2
.text:004020BA 83 C4 0C add esp, 0Ch
.text:004020BD _text_4020BD:
.text:004020BD 68 18 A2 46 00 push offset str->WouldYouSeeTheR
(the rest of the nag screen text)
.text:004020C2 8D 4C 24 30 lea ecx, [esp+2Ch+arg_0]
.text:004020C6 E8 64 D5 02 00 call _text_42F62F
.text:004020CB 8B 86 18 03 00 00 mov eax, [esi+318h]
ok 运行softice symbol loader. 加载我们的程序，当它在开始时中断后，设一个在 "4020
AF"在这个地址的中断，然后使用s-ice 命令P or F10(单步略过calls, Ints, Etc) 到达程
序显示nag 窗口时，我们就知道什么命令创建了它。到达nag窗口的时，你还得按 F10 几次
。提示我们是否浏览网页，选择no。然后softice弹出。我们看一下那个call的地址。也就
是那个创建窗口的命令！yuck! :D 开始删除它。我们在softice 看到的地址为： 001B:004020F2.
当你使用跳到:
.text:004020F2 E8 61 DA 03 00 call _text_43FB58
.text:004020F7 83 F8 06 cmp eax, 6
.text:004020FA 75 07 jnz short _text_402103
cool 现在运行一个十六位的编辑器，找到这个地址，你可以使用查找十六位值的方法或使
用由Iczelion 称为"Virtual Address to File Offset"查找，那个你可以从iczelion.cjb.
net下载得到。这个函数的偏移量是$14F2。这就可以在十六位的编辑中查找到了。（备份你
的原来的文件）。现在将这个命令的所有十六位值改为nop(在汇编中nop就是不执行任何命
令，它的机械码为90H)现在如下：
.text:004020F2 90 nop
.text:004020F3 90 nop
.text:004020F4 90 nop
.text:004020F5 90 nop
.text:004020F6 90 nop
.text:004020F7 83 F8 06 cmp eax, 6
.text:004020FA 75 07 jnz short _text_402103
现在保存它，运行程序。让我们看一看发生了什么？程序出错了。为什么???!?!!在下面将
有内容会提示你，它好象是程序中的函数在创建时返回一个值这个值也用在以后的函数中。
如果象我们那样去做的话，它将不返回值，因此程序出错了。我们将要做什么呢？在那个ca
ll处设中断，在softice中按F10看到的是一个高亮度的光标，（可能在你的电脑中为不同的
颜色）将那附近的寄存器和数值写在一张纸上。从头开始运行运行the symbol loader, 在
004020F2设一个中断（当然你需要重新加载文件因为你已经改变它了）现在它中断了吗？按
F10，将拷贝那些寄存器，及它们的值 它们是那些高亮度的寄存器。在我的电脑的值如下：
EAX=00000007
ECX=0012FD4C
ESP=0012FD30
EDX=00020000
EIP=004020F7
well 它不是EIP
EIP = extended instruction pointer, 指向正确的结构
ok 现在让我们看一下原代码
.text:004020F2 E8 61 DA 03 00 call _text_43FB58 <- rans NAG
.text:004020F7 83 F8 06 cmp eax, 6
.text:004020FA 75 07 jnz short _text_402103 <- if Zero
.text:004020FE E8 0D FC FF FF call _text_401D10 Flag on
.text:00402103 _text_402103: so show
.text:00402103 39 9E 18 03 00 00 cmp [esi+318h], ebx www pages.
.text:00402109 7D 1B jge short _text_402126
现在观察当你在浏览网页的时候或不，程序将在哪里进行检查，如果你在那行中断，改变ze
ro的旗标，你将继续程序：）将它由jpg改为jmp：
.text:00402126 _text_402126:
.text:00402126 8D 4C 24 2C lea ecx, [esp+28h+arg_0]
.text:0040212A 88 5C 24 24 mov byte ptr [esp+28h+var_4], bl
.text:0040212E E8 60 D1 02 00 call _text_42F293
现在继续追踪程序，你就可以看到错误提示。
.text:0040212E E8 60 D1 02 00 call _text_42F293
so lets see what registers it used so far! remember! the registers
that got changed are: Eax, Ecx, Esp, Edx and EIP.
在这里:
.text:004020F7 83 F8 06 cmp eax, 6
我们可以看到当你选择浏览网页时，这个eax值不发生变化。
在这里: .text:00402126 8D 4C 24 2C lea ecx, [esp+28h+arg_0]
我们看到这里给ecx一个值，但是对于我们的寄存器也没有变化。
现在就剩下ESP, EDX 和EIP. 那个EIP也没有用处，就剩下ESP and EDX。我没有看到程序使
用EDX，现在仅留下ESP :) 因此那意味着什么啊？这意味着从程序产生的nag函数值为esp将
在下面使用到。使用"mov esp, 0012fd30"以代替nop的命令。现在运行hex editor到达14F2
处，注意那个函数是5个字节，要怎样改变呢？现在看一下mov的命令有5个字节，就不需要
加入nop命令，如果mov的命令为4个字节，我们也不将nop第五个字节，由于它能够产生变化
。
现在如下：
.text:004020F2 BC 30 FD 12 00 mov esp, 0012fd30
.text:004020F7 83 F8 06 cmp eax, 6
.text:004020FA 75 07 jnz short _text_402103
cool! 我们不用担eax的值，因为eax无法等于长，所以它无法显示网页，如果你还担心的话
，可以将jnz改为jmp :D。现在运行这个程序，看一下发生了什么。Great!没有nag的窗口了
。但是这个还不够，我们已经除掉了第一个nag了，但是对那个提示天数的nag没有破解。
将时间调后一年，运行程序，你看到了什么?程序仅仅是退出了。没有nag提示，没有任何
事情。为什么?由于……记住那个要求浏览网页的nag窗口吗?程序在这时使用同一个窗口来
提示时间和浏览网页的。我们又该做什么呢？重新开始:) 使用原来的那个程序来看一看有
什么改变。现在运行程序,nag出现了。"This program has expired". good, 在IDA.
查找这句，如下:
.text:00402098 7D 10 jge short _text_4020AA
.text:0040209A 68 7C A2 46 00 push offset str->ThisProgramHasE
cool.. 刚好在上面有一个jge。我们将改变jge为"jmp"? 来试一试，开始运行程序，在这个
地址上中断，改变S的旗标，使它为jmp。我们看到了什么?我看到了一个好的nag窗口"you h
ave -317 days left to evaluate.."好的，我们改变为jmp，删除我在前面解释的nag，我
们结束了工作 :D希望它能帮助你们。
如果有什么意见或建议的话，不要忘记e-mail.
neat! means we change that jmp and eliminate the nag like i explaned
ufk@hotmail.com
ICQ:1416041
Irc Nick: UFK
|
| 返回 |
初探软件中的代码的加密
作者:n0p3x
-梦醒时分译
今天的楔子,这个教程将教会你怎样破解加密程序. 我们将用一个我编的示范程序.这个
程序是去掉一个简单的提示框.提示框是从涵数API MessageBoxA,因此，正常的除去将
很简单.尽管如此,这个程序加密，所以修补只是一个小问题.我这里除去这个问题打开
破解世界的SMC给一些没经验的朋友们.
什么是加密术?加密术,是某处的资料用某种方法修改后使它无法阅读. 内部设计包括一
个某些程序,通常在软件执行之前解开部分程序.
为什么用加密术? 应用软件经常加密用来停止他们的逆转.如果你尝试去分解一个加密
过的应用软件，你很可能会混乱，差不多只得到一些可用的东西.
应用软件加密的问题要未加密在它实行之前执行代码.所以,相对的，某人在程序执行实
在内存中观察比较容易,并研究它干什么.尽管如此,一个聪明的程序可以在它已经执行
之后重新加密它的资料使明白代码更加困难一些.
那么什么是SMC?SMC 拼为'Self Modifying Code'(自己修改代码). 这是一个应用软件
在运行时自己修改.一个加密程序非常像用SMC一样需要读取它的代码, 这时用来重写读
取过的程序代码还原,并且在基本的地方自己修改1.
SMC有一些更多的用处吗?SMC有许多用处在设计世界的内部.尽管如此,它确实用到了.
SMC代码用在加密术的内部,包装......但是要提起一些共享软件.每当一个程序有力
保护自己的完整性SMC是一个很好的选择.
我们的目标:
现在为了我们的软件.当我们运行软件,我们遇到一个可怕的提示框.现在,就像我们过去
在Win32设计，我们认为这类的对话被函数MessageBox呼叫出. 现在也许你不知道在
WINDOWS中函数messagebox有两种版本.一个是16bit,WINDOWS用来留给Win3.1 应用软件
使用的，确保他们仍能正常使用,令一个是全新的,Win32版本.我们怎样知道哪个是哪个
呢?其实,这个很简单.人们在Microsoft设计的那些新32bit CALL应该有一个字母A附加
在CALL的名字上.因此,我们的应用软件是32位应用软件,我们可以大胆的猜测对话是用
函数MessageBoxA显示的.
现在,你可能正在担心不能键入MessageBoxA当你用这些信息框在你的应用软件中时,
这样,那也不是个问题,在大多数高水平自动的编辑时用Win32函数也成为可能. 如果
这样, 你用一个真实的语言写你的程序，如Assembly,那么,你就有一个问题.
现在我们知道那个程序用什么函数,我们可以成功的尝试撤除程序的部分来尝试去 完成
这个信息.成功的完成这些我们将需要知道函数希望的paramaters,和返回值给的什么.
因此我们打开我们的Windows API参考资料.找到call MessageBox的详细资料(是,windo
ws人们不关心Win16和Win32不同).你应该看到函数如下的形式:
int MessageBox(
HWND hWnd, // window自己的句柄
LPCTSTR lpText, // 提示框的文本地址
LPCTSTR lpCaption, // 提示框的标题地址
UINT uType // 提示框的字体
);
现在一些Win32asm知识是基本的.我们需要知道这个函数将会在一个汇编程序中运行.
这有一个MessageBox call中的一小部分实例代码 :
push MB_OK ;提示框的字体
push offset MsgTitle ;提示框的标题地址
push offset MsgText ;提示框的文本地址
push hwnd ;window自己的句柄
call MessageBoxA ;执行函数
你应该注意到函数的定义被放入了堆栈之后,call就实行了.什么是堆栈?堆栈是程序临
时储存可用到的一种形式.堆栈在一个LILO基础.所以当你尝试去得到堆栈回来的值,你
将 得到你放到堆栈最后的值.例如:
push Value1 ;放入我们的第一个值在堆栈顶上
push Value2 ;放入我们的第二个值在堆栈中的第一个值上
Push Value3 ;放入最后值在堆栈中其它值的上边
pop Value3 ;归还第三个值
pop Value2 ;归还第二个值
pop Value1 ;归还第一个值
通常的,当一个windows函数实行,它将'pop'堆栈中所有内容,离开你的堆栈当你尝试过
去push所有函数定义和呼叫函数之前.它作了,可是,依靠在calling惯例用到的,但是不
用担心. Windows差不多一直用这种方法运行.我刚才给你的函数知识应该足够你大多数
的逆转工程所需要的.
那么，我们知道了程序显示信息框的原理,我们需要用我们的调试器停止在程序中函数
将实行的位置的一点上.我用SoftICE作为我的调试器,每人都应该有.SoftICE是可以从
INTERNAT上许多'warez'页面找到,我用的是最终的4.01版本,但是只看过和用过的版本
4. 是我,尽管如此,不饶盗版行为,因此你应该从www.numega.com上买这个极好的软件应
用软件.相信我,这不是浪费钱.充足的提升,让我们开始吧.
确信你你已经成功安装了SoftICE,包括所有的相关的内容 (这儿又有一个教程,他们有
许多),我们需要让调试器停在函数 MessageBoxA.最初用按下'CTRL-D'进入SoftICE在
WINDOWS 内部. 你现在应该在SoftICE的世界中.现在 在 SoftICE内部输入'BPX Message
BoxA'. 你不应该得到任何错误信息.那么你 就没有正确的设置SoftICE.现在我们再次输
入'CTRL-D'退出SoftICE回到Windows,我们尝试运行软件.就在你运行软件时,你应该返回
到SoftICE.
此时我们在windows代码的深处.我们希望到达程序呼叫函数处(我们的目标软件).我么按
'F12'去到达部分代码直到我们返回windows并且看到讨厌的提示框.如果你点'OK'键,你
又回到SoftICE.在window下面,你应该看到软件的名字像这样:
n0p3x!CODE+###那里 ### 是一些十六进制的字母排列.现在我们将要到哪.看一下这部
分代码,继续,他不咬人.从代码中得到真实的感觉.按键'CTRL'上下移动箭头.你可以在自
己的心中上下滚动代码.
你应该看到四个PUSH值在CALL之前放入了堆栈 .如果你想研究一些定义来确保那正
是message box.你可输入'D [MEMORY ADDRESS]'push 陈述的信息的字母地址.如果你这
样做了对第二个和第三个POSH.你你应该看到提示框的标题和文字. 好的走搞乱周围.我
们需要除去这着整个call. 这个意味着用撤掉所有的PUSH的方法，我们将会陷入程序堆
栈或者崩溃的困境。
撤掉call很简单. 有一个特殊的命令叫做'NOP'它什么也不执行只是有点慢.(不用担
心,当我说慢,意思是小). 我们只是需要用一些nops填充call和所有PUSHes. 可是, 一个
NOP只有一字节, 并且毫无疑问我们的提示框远远不止一字节.如果我们简单的用NOP填充
CALL中所有的字节，尽管我们不想搞乱程序，但是只会得到一个崩溃的结果.我们怎样知
道我们的函数用了多少字节?其实这很简单.如果你键入'CODE ON'在SOftICE内部.你将会
看到每个命令的包含的代码.它应该像这样:
6A00 push 00 ;提示框的字体
6800204000 push 402000 ;标题
6885204000 push 402085 ;文本
6A00 push 00 ;windows的句柄
E84E000000 call USER32!MessageBoxA
不用担心windows句柄是0.这只说明提示框没有父window. 一个字节两个字母.我们可以
说第一个PUSH有两个字节，需要用两个NOP来填充. 我们需要在编译过EXE文件中寻找这
个部分内容要在一个编辑器中.我用HIEW和Hex Workshop.尽管Hex Workshop可能对新学
者更好.在hex editor内部查找字节顺序'6A006800204000'.这是前两个PUSH一起的简单
的开放代码.如果你发现这个,那么你再找一便看程序内部是否有其它的地方,如果找到
了,你需要增加你的字节顺序在部分代码查找直到你你得到一个好结果.第一次你寻找代
码,你将在EXE文件中每个字节中输入90. 90 表示 NOP,但我确信大多数人都知道这个.
在此,我们有个问题.字节查找不存在. 这里发生了什么?在这,程序用某种方法加密用来
阻止你改变它.如果程序为加密你可能容易的找到字节,并且程序也会像希望的那样工作
我敢打赌是读取在执行之前.我们容易的需要找出在那发生继续怎样.在分解程序打开程
序.我用WinDasm 8.9.你需要找到代码.它必须像这样:
mov reg1, addr-to-write-to
mov reg2, [reg1]
;manipulate reg2
mov [reg1], reg2
我们知道它必须在提示框显示之前执行，程序将试图用其它方法加密字节, 哪一个相左
崩溃呢. 我们知道第一个PUSH在内存中地址为4011b0.简单的到达那个代码位置在你的分
解程序中，并且应该看到大量乏味的信息.这是我们加密过的程序版本. 如果我们简单的
放弃这一点，我们将看到程序重写这段信息。如果你向上移动一点你将看到这样的信息:
*Referenced by a CALL at address:
:00401020
那么,我们知道这个小提示框程序从哪里呼过来的.在分解器中到那个地址.调查你落在新
地区的代码.注意到这与程序开始非常近，并且只有四个函数在我们的提示框之前执行.
这不留下更多的空间让我们隐藏代码.这些中三个函数是windows函数.我们知道加密程序
应该在无名的call中,哪一个, 巧合的是在我们提示框前一行执行.到那个call的地址在
你的分解程序中.你应该看起来是非常怀疑的看着程序. 它应该像这样:
* Referenced by a CALL at Address:
|:0040101B
|
:00401194 B8AB114000 mov eax, 004011AB
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004011A8(U)
|
:00401199 8A18 mov bl, byte ptr [eax]
:0040119B 80F301 xor bl, 01
:0040119E 8818 mov byte ptr [eax], bl
:004011A0 40 inc eax
:004011A1 3DC3114000 cmp eax, 004011C3
:004011A6 7F02 jg 004011AA
:004011A8 EBEF jmp 00401199
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004011A6(C)
|
:004011AA C3 ret
通过你汇编基本的知识，你应该能够解释这部分的整个代码. 但我将确信去解释它:-).
好的, 首先 mov eax,004011AB 移动加密码地址到一个寄存器.接着mov bl, byte ptr
[eax]移动加密码的第一个字节到寄存器bl.下面xor bl, 01加密字节;-).接着inc eax
增加寄存器 eax 的值指向加密程序的下一个字节.程序接着(cmp eax, 004011C3)检查我
们是否在加密程序的结尾, 如果我们正是在地址的结尾，那么(jg 00401AA)跳到一个ret
返回的函数.如果我们不在加密数据的结尾，那么(jmp 00401199)跳到数据开始读取下一
个字节.
那么,从这你将能够说出所有的程序的每个字节都和数字1进行xor.这会留给我们许多方
法去攻击程序.我们可以简单的自己读取字节并且 NOP掉整个读取程序,写入NOP's在mes
sage box call中, 或者简单的NOP 程序没有完成的一些东西，除提示框.
我们需要选择较难的选项.我们将让加密代码回到文件中. 正如我们知道的加密地址在Wi
ndasm中我们可以轻松找出偏移量.如果你点一行代码第一个应该是没加密的push应该如
果它没加密，状况栏应该显示offset.在一个hex编辑器中到达offset.现在, Windasm 显
示给我们的加密代码像这样:
:004011B0 6B0169 imul eax, dword ptr [ecx], 00000069
:004011B3 0121 add dword ptr [ecx], esp
:004011B5 41 inc ecx
:004011B6 016984 add dword ptr [ecx-7C], ebp
:004011B9 214101 and dword ptr [ecx+01], eax
:004011BC 6B01E9 imul eax, dword ptr [ecx], FFFFFFE9
:004011BF 4F dec edi
:004011C0 0101 add dword ptr [ecx], eax
:004011C2 01C2 add edx, eax
我们要填满NOP.如果你只用90h xor 1h,你应该加密后的NOP.是91h.现在在hex编辑器中
都改成NOP.重新执行程序.对话框没了.
结束的话：
不幸的是, 大多数加密程序比一个简单的 xor更复杂. 但是,当你知道了要点.它全是相
同的原理, 只是更加复杂. 有时候可能不止一处读取程序.有时候整个程序(包括资源)
将被加密.尽管如此,都有读取程序.尽管这样,加密程序可能会自己加密 , 并且有自己
的读取程序,但是那个将包括同样的原理,只是有更多次数.
一些人可能对我抱怨,为什么我只用NOP's修改. 我不知道为什么.他们抱怨那样有些程
序会有CRC错误,但是这非常罕见在加密程序中,除此, 一些 CRC 可以改掉,可以被破解
掉:-). 我想将会是另一个教程 :-)
--end
|
| 返回 |
Manually unpacking a Neolite packed DLL file
Rebuilding and cracking Neolite's Pecomp.DLL file
09/09/00 by Bit Reaper
Courtesy of Reverser's page of reverse engineering slightly edited
by Tsehp
There is a crack, a crack in everything That's how the light gets in
Rating ( )Beginner (x )Intermediate ( )Advanced ( )Expert
Manually unpacking a Neolite packed DLL file
Rebuilding and cracking Neolite's Pecomp.DLL file
Written by Bit Reaper
Introduction
I've read a lot of tutorials on the web on the subject of reverse engineering, a
nd I thought it would be nice to work on something I have very little knowledge
about and give back a little something to those who have written essays, and for
those who are thinking about it. I choose Neolite because I had tried long ago
to unpack a program packed with it, and couldn't. I gave it another go recently,
and it remains a challenge no longer. I'm not going to write an essay about it,
because if you can unpack the pecomp.dll file, then you should be able to unpac
k any Neolite packed .exe file. Tools required
Soft-ice
Sdump
Hiew
Dumppe
Hex Workshop
A PE editor(I used Procdump)
Target's URL/FTP
http://www.neoworx.com/neolite
Program History
None Essay I've had Neolite on my list of things I wanted to work on for a long time now. U
ntil recently, I didn't have enough knowledge to work on it. I've unpacked a few
executables in the past, but never a .dll file. From a posting on one of the re
versing message boards, I learned a little how the .dll file works. I know that
inside your .exe file, you use Loadlibrarya to load the file, and Getprocaddress
to find the address of the function you wish to call in the .dll file. But how
do you compress or uncompress a dll file, if all I am doing is calling functions
? There is code that starts when the executable is run. This code first uncompre
sses the sections then jumps to the code that would have been run originally, ex
cept that it was compressed. It's similar to an executable file, so that means t
hat we need to find the OEP. The nice thing about this compresser is that a few
lines down from the start of the compresser there is: 4xxxxxx JMP EAX <-- Original Entry Point We will need to write the value of EAX down for use later. Now what I did prior
to working in Soft-ice, was to get some information about the file, such as raw
size, raw offset, etc. Section Table - Before
----------------------
v/a v/s r/o r/s characteristics
--- --- --- --- ---------------
BEGTEXT 00001000 00015C00 00000000 00015C00 C0000080
DGROUP 00017000 00004000 00000000 00004000
.bss 0001B000 00000000 00000000 00022600
.idata 0003E000 00000600 00000000 00000600
.edata 0003F000 00000200 00000000 00000200
Oreloc 00040000 00001000 00000400 00000200
.rsrc 00041000 00022E00 00000600 00000600
.neolit 00064000 0000612C 00000C00 00001C00
.reloc 0006B000 000000D8 00002800 00000200
Notice how for the first four section we have no raw offset, we will have to rem
ember to adjust this after we are done dumping our unpacked sections and re-crea
ting our new file.
So I wouldn't have to worry about using the test version of Neolite, I copied my
unpacked .exe file to whatever name I wanted and with hiew changed all the occu
rances of pecomp.dll to say qecomp.dll. You will find two occurances. Then I cop
ies pecomp.dll to qecomp.dll. This may not be the best way, but it's the only way I can think of right now. If
anyone has a better suggestion I would like to know about it. I found the entry
point(not the OEP) for qecomp.dll, wrote down the bytes for it -- which are E9
A6 00 00 00. I replaced the E9 with a CC(int 03), and in Soft-ice I turned int 0
3 checking on by typing: i3here on
I then replaced the CC with a E9 again, and adjusted the EIP to where the CC use
d to be so we can continue on with unpacking the file, with us in control. Once
I hit F10 a few times and come to the JMP EAX, which is 43C638 on my machine, I
type map32 qecomp in Soft-ice. This shows me where my sections are loaded in at.
BEGTEXT starts at 431000, so for out virtual address, we need only to add 30000
h to them to find out where each section is. I still use the dumper SDUMP, and l
ooking at 431000 and I have data. I then look at DGROUP - got data, .bss - ?????
. I saw this in the executable, and through trial and error saw that the ??? wer
e simple zero's. This is really just temporary space that program uses. I'll hav
e to play with the characteristic and see if I can see the true data, otherwise
what I did was wrote a byte to the location that was hidden by ??? and then scro
lled through it. Not a great technique but it worked. I copied the data from 431
000 with a length of 1A000 to my dumper memory location and hit enter to dumped
it. Looking at our sections the first raw offset is at 400, but to make things e
asier on ourselves for creating the .dll file, lets erase everything from 400 on
down on another copy of pecomp.dll. Then let's add C00h bytes of zero's(can be
anything) and paste our dump to it. There now we have two sections dumped. Let's
add a few more zero's, say 23000h of them for the .bss section. Why not 22600,
because our section alignment is 1000h, and it would be easier for us to have th
e raw offset match the virtual offset, so let's do that. At the end we should ha
ve seven unpacked sections to our .dll file, and the last remaining two, which w
e just need to copy untouched. Now going back in under soft-ice, and having Sdum
p waiting, we move memory from 43e000 for a length of 26000h bytes. Note: I am d
umping multiple sections when possible. Then paste to the end of our dll file we
are constructing. Then last but not least past the last two sections in. Yes, w
e are almost done, but not quite yet. We need to now fix the header up to reflect our changes. We need to adjust the h
eader to look like the one below and also change the Entry point to be C638. Tha
t should be all for unpacking the file. You can try to crack the program yoursel
f, or follow along with the rest of the tutorial. Section Table - After
--------------------- v/a v/s r/o r/s characteristics
--- --- --- --- ---------------
BEGTEXT 00001000 00015C00 00001000 00015C00 C0000080
DGROUP 00017000 00004000 00017000 00004000
.bss 0001B000 00000000 0001B000 00022600
.idata 0003E000 00000600 0003E000 00000600
.edata 0003F000 00000200 0003F000 00000200
Oreloc 00040000 00001000 00040000 00000200
.rsrc 00041000 00022E00 00041000 00000600
.neolit 00064000 0000612C 00064000 00001C00
.reloc 0006B000 000000D8 0006B000 00000200
Cracking the nag
----------------
The nag that appears at the beginning is created by a messageboxa, and allows yo
u to run the program, or connect to the Neoworx web page. I want to run it, but
I don't want the hassle of clicking yes or no. Cracking it on our compressed fil
e is simple, but where does the code come from that is inserted into our compres
sed file? I at first hunted a little in the .exe file, but that would be a littl
e to easy. And I was right, it's not there; it's in the pecomp.dll file, actuall
y residing in the .rsrc section. The code is just copied over to a memory locati
on that will be used to write the first chunk of data for our new compressed fil
e. How do we know this? Write down the call bytes and cmp bytes in our file, the
n do a search in Soft-ice. All we have to do is overwrite the call with a jmp st
atement. Actually we need to go two more lines up in the code and overwrite the
two pushes. Becuase of testing in Soft-ice I replaced the code containing the pu
shes with 90 E9 9F 00 00 00.
Now try to compress your program, I used notepad, and then run it. No more nag s
creen! Bit Reaper Final Notes I think this is a nice essay for people who have a little knowledge about assemb
ly, the PE format, and are just really curious. What makes Neolite a nice steppi
ng stone is the lack of anti-debugging code and how easy it is to uncompress the
file without tracing through tons of code. Ob Duh I wont even bother explaining you that you should BUY this target program if you
intend to use it for a longer period than the allowed one. Should you want to S
TEAL this software instead, you don't need to crack its protection scheme at all
: you'll find it on most Warez sites, complete and already regged, farewell, don
't come back. -------------------------------------------------------------------------------- You are deep inside reverser's page of reverse engineering, choose your way out:
homepage links search_forms +ORC how to protect academy database
reality cracking how to search javascript wars
tools anonymity academy cocktails antismut CGI-scripts mail_reverser
Is reverse engineering legal?
|
| 返回 |
|
| 返回 |
|
%【初学天地】 |
|
这期的初学天地里我将向大家介绍一个tkc编写的教学软件，这个软件是初学者学习的一个教程。只不过这个软件都是使用英文，如果你英文不好的话，就要努力学习它了。英语以后可是必备的工具。在这时我提供给大家的下载地址，大家可以到我的网站中查找下载它，也可以从下面的地址下载它。http://go18.163.com/~programhunter/download/c_tkct10.zip.它的内容如下：
Tutor Part 1 - How to remove a CD-Check in Age of Empires
Tutor Part 2 - How to get a serial in Easy CD-DA Extractor 3.0
Tutor Part 3 - How to get a serial in MP3 to EXE 1.01
Tutor Part 4 - How to get a serial in Visual Day Planner 6.1
我在这时将会逐渐的向大家介绍初学者学习的软件，并且近来正在查找crackme的软件，最近将要面向大家，希望大家能够从这些教学软件中学到解密。也希望我们的解密界有更多的高手出现，让我们一同努力吧。 |
| 返回 |
|
O【问题答疑】 |
| |
| 返回 |
|
4【网站介绍】 |
| |
| |
| 返回 |
|
,【杂志信箱】 |
| 投稿信箱：discoveredit@china.com |
| 答疑信箱：discoveranswer@china.com |
| 斑竹信箱：programhunter@china.com |
| 返回 | |