На http://dump.ru/files/o/o489862518/ я выложил свой первый туториал по анализу AsProtect v2.4 build 12.20. В этом туториале я подробно описал процесс восстановления эмулированных инструкций типа:
PUSH 0
PUSH 0CC5850
PUSH 0DB180C
CALL 00CEB814

Это - первая статья из нескольких статей по анализу протектора AsProtect v2.4 build 12.20. Мной уже подготовлены статьи по восстановлению таблицы IAT на основе таблиц данных AsProtect, прохода на OEP, и завершаю подготовку статьи по работе ключа активации программы.

Буду благодарен за критику, замечания, пожелания и отзывы. Возможно, удастся совместными усилиями разработать универсальный скрипт для восстановления всех эмулируемых инструкций.

ИМХО Паблик релиза нет только потому, что еще ВМ ку не разобрали. Т.к. чтобы подменить ключи - надо знать алго новой криптопроцедуры, которая декритует константы. Она покрыта ВМ, которую описывает внекрилов. А для анпака аспра надо разобрать DelayVM, которая на порядок круче. Ну а всякие лодыри и инлайны они просто не хотят, делать, хотя и сделать довольно быстро и будет фулл версия.

-----
Любой каприз за ваши деньги

Bronco пишет:
не уверен, что не имея валидной пары, этот задачу можно решить

Дело в том, что для раскриптовки закриптованных участков кода используется Hex-цепочка, которая создается из набора числовых констант, которые не меняются от версии к версии протектора. Для получения валидной Hex-цепочки применяется всего лишь один DWORD - D3244A57, который получается из корректного регистрационного кода. Поэтому, зная этот DWORD, можно раскриптовать закриптованные участки кода.

Этот DWORD называется Encryption constant, с чего ты взял, что он не менялся? У меня он абсолютно другой для этой версии аспра.

-----
Любой каприз за ваши деньги

PE_Kill пишет:
Этот DWORD называется Encryption constant, с чего ты взял, что он не менялся? У меня он абсолютно другой для этой версии аспра.


В аспре v2.4 разработчики усложнили процесс подготовки к раскриптовке закриптованных областей кода. Но у меня вылезла именно это значение Encryption constant.

Код декриптуется этим значением?

-----
Любой каприз за ваши деньги

PE_Kill пишет:
Код декриптуется этим значением?

Нет, это значение участвует в подготовке Hex-цепочки для раскриптовки закриптованных участков кода.

Может я ошибаюсь, но в ветке аспра 1.35 я не нашел Encryption constant. А в ветке 2.х - она присутствует. И так же подтверждаю, что ЕС меняется в пределах одной версии аспра версии 2.х.
И ее значение зависит как от длины ключа, так и от включенных опций.

PE_Kill пишет:
Код декриптуется этим значением?
забыл про много_раз md5 от enc_const ? брут самой константы упирается во время формирования hex-цепочки для раскриптовки закриптованных участков кода (с)
tar4
Ее значение не зависит от длинны ключа и опций - оно рандомное и генерируется при включении опции Encrypted Sections - каждый режим с этой опцией имеет свою enc const

-----
Тут не могла быть ваша реклама

lord_Phoenix пишет:
генерируется при включении опции Encrypted Sections
Я знаю. В свое время, я накрывал тестовую прогу аспром и экспериментировал с включением и отключением прочих опций проекта (при включенной Encrypted Sections). При этом было видно, как менялась
ЕС. Но если менять только ключ (без изменения его длины), то насколько я помню, ЕС не меняется.

Исследования в дауне, процессе или в приват все ушло?

YDS пишет:
Исследования в дауне, процессе или в приват все ушло?

Скоро выложу четыре части тутора по анализу AsProtect. Просто, в процессе их подготовки, кое-что пришлось корректировать, с точки зрения доступности материала. После этих четырех частей, будет еще две, в которых будет описана работа ключа активации, и восстановление оригинальных инструкций, взамен украденных.

А кто-то взломал последнюю версию?

Bronco пишет:
Моё имхо, нет просто паблик_релиза

Есть с кейгеном

ASProtect SKE 2.41 build 02.26 Beta

os: WinAll
size: 03 X 1.44
date: 01.05.2008

by: REVENGE Crew


Это паблик или приват, уважаемые REVENGE Crew-овцы?

9344_06.05.2008_CRACKLAB.rU.tgz - REVENGE.nfo

arnix
этот релиз спокойно же можно слить с сайта ревенжа.. значит паблик..

-----
Республика Z... щастье...

kaiZer
а, не видел, ок.

arnix пишет:
Есть с кейгеном
Дык...дата паблик_релиза = 1 мая!!!

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

Bronco пишет:
Дык...дата паблик_релиза = 1 мая!!!

Дык, если ещё и глянуть номер релиза, то можно уже начинать поздравлять REVENGE

-----
Вольный художник с собакой

Gideon Vi пишет:
если ещё и глянуть номер релиза
Угу...крошат и не скромничают, молодцы...
Но мну лучше подождёт релиза vnekrilov, там хоть конектитЦо наверно не надо будет, чтобы хвид у мну расшарили....

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

Bronco а там и не надо конектица, если знаешь другой способ получить свой хвид то вбивай в кейген. Можно выбрать офлайн активацию и тыкнут на ссылку онлайнактивации откроется бравзер и в адресной строке увидишь свой хвид.

-----
Любой каприз за ваши деньги

PE_Kill пишет:
Можно выбрать офлайн активацию и тыкнут на ссылку онлайнактивации откроется бравзер и в адресной строке увидишь свой хвид.
или рядом с сылкой тыкнуть на Copy....

чет revenge прям с unpack.cn сравнили, обидно

Av0id пишет:
чет revenge прям с unpack.cn сравнили, обидно

да лана, закейгенить отличный прот на юбилей - что лучше?

там хоть конектитЦо наверно не надо будет, чтобы хвид у мну расшарили...

здесь тоже не надо

-----
Вольный художник с собакой

REVENGE - ай молодца!
Ещё бы хвид сам в кейген прописывался

-----
xOAg8vsg7/Du8fLuIOPl7ejpISEhIDsp

Ну что же...раз все хвалят, придётЦо заливать и хвидить....

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

Так и знал, что релиз не останется незамеченным и обязательно выплывет на полный паблик... В прошлом КГ (от китайцев что ли) он сам был накрыт аспром, оттуда и брался хвид, тут, видимо, эти функи куда-то подевались, вот с хвидом и гемор.

Наконец добил скрипт для восстановления эмулированных инструкций. Убедительная просьба помочь в его тестировании на разных программах, упакованных Asprotect. Этот скрипт снабжен подробными комментариями, которые показывают его работу. Скоро выложу четыре части статьи по распаковке Asprotect, в которой будет описан анализ виртуальной машины по эмуляции подпрограмм. Этот скрипт не сработал на OdbgScript v1.65, но нормально работает на версии 1.48 (на версии 1.65 не работает выполнение команды ask), поэтому обратите на это внимание.

fb34_12.05.2008_CRACKLAB.rU.tgz - Восстановление эмулированных подпрограмм.osc

На обменнике http://dump.ru/files/p/p856460785/ я выложил первые 4-е части статьи по распаковке Asprotect. Буду признателен за критику, отзывы, пожелания. Я опять не могу закачать эти статьи на Cracl@Lab в раздел RAR-cтатьи. Может быть кото-то их перезальет туда?

vnekrilov
перезалей еще раз, архив мёртвый

-----
© Не каждый программист - крэкер, но каждый крэкер - программист ;)

Smon пишет:
перезалей еще раз, архив мёртвый

Перезалил на http://narod.ru/disk/307414000/Tutorial%20for%20Asprotect.rar.html
Проверил, качается нормально.

vnekrilov
Спасибо
Убери точку из ссылки, а то могут опять написать что ссылка битая