На http://dump.ru/files/o/o489862518/ я выложил свой первый туториал по анализу AsProtect v2.4 build 12.20. В этом туториале я подробно описал процесс восстановления эмулированных инструкций типа:
PUSH 0
PUSH 0CC5850
PUSH 0DB180C
CALL 00CEB814

Это - первая статья из нескольких статей по анализу протектора AsProtect v2.4 build 12.20. Мной уже подготовлены статьи по восстановлению таблицы IAT на основе таблиц данных AsProtect, прохода на OEP, и завершаю подготовку статьи по работе ключа активации программы.

Буду благодарен за критику, замечания, пожелания и отзывы. Возможно, удастся совместными усилиями разработать универсальный скрипт для восстановления всех эмулируемых инструкций.

SpoliatoR А ты думаешь еще нет, все ровно на паблик никто его не выложит...

-----
minimaL_patсh на руборде

SemDJ пишет:
SpoliatoR А ты думаешь еще нет, все ровно на паблик никто его не выложит...

А почему не выложат? Например, VolX выкладывает достаточно неплохие скрипты по распаковке Аспра. Правда, мне не все нравится в его скриптах, да и не решен им вопрос восстановления эмулированных подпрограмм с VM. Я тоже выкладываю материалы для широкого пользования. Хотя, из-за сложностей в восстановлении эмулированных подпрограмм и не получается пока сделать универсальный распаковщик аспра. Однако и тут появились кое-какие идеи. А может быть вдруг получится!!!

vnekrilov
Будем надеяться, что получится. И появится на паблике.
Материал действительно сложный и с наскоку не прокатит. В принципе так и нужно. Кто хочет учиться будет грызть гранит. Ну а кому не надо тот после нескольких строк надеюсь сам поймет что не для него.

progopis пишет:
mak
где откопал такое старьё?
Кому старьё, а я не натыкался на неё... Прикольная статья, надо вкурить по-внимательнее

-----
xOAg8vsg7/Du8fLuIOPl7ejpISEhIDsp

Вообще надо читать внимательнее , там написано откуда Я тоже к сожалению не встречал этот док.

-----
Nosce te, ipsum! - познай самого себя!

Немного поработал над скриптами, с целью устранения ошибок и автоматизации выполнения некоторых операций. Здесь я выкладываю обновленный набор скриптов. В скриптах, в частности, исправлено:
- восстановление эмулированных инструкций после вызовов эмулированных APIs;
- добавлена переадресация прыжков при переносе областей со Stolen Code в новую секцию файла, когда восстановленные инструкции записаны в секции .adata файла;
- и еще некоторые незначительные доработки.

8c25_30.03.2009_CRACKLAB.rU.tgz - Исправленные скрипты для Asprotect.rar

Тут в ебуке собрал все 9 частей анпака по vnekrilov (в 1-м поудобнее будет), мож кому сгодитца (перезалито ниже) с пассом, думаю, итак все ясно.

Valemox пишет:
Тут в ебуке собрал все 9 частей анпака по vnekrilov (в 1-м поудобнее будет), мож кому сгодица

Получилось очень неплохо. Спасибо Valemox. Когда немного поправятся дела со здоровьем, напишу последнюю часть статьи по протектору, в котором приведу скрипт для восстановления эмулированных инструкций в самой Asprotect.dll, а также приведу практический пример распаковки какой-либо программы, с помощью предложенного мной набора скриптов.

не было привычки собирать коллекции протов , теперь кажется она появляется. У кого есть коллекция Аспротектов ? Если не жалко поделиться , стукните в ЛС.

vnekrilov не отмазывайся) с тебя всеравно схм файл с последней статьей)

-----
Nosce te, ipsum! - познай самого себя!

может варинт в pdf и chm создадите?

-----
Gutta cavat lapidem

mak пишет:
vnekrilov не отмазывайся) с тебя всеравно схм файл с последней статьей)


А я и не отмазываюсь. Будут две статьи в формате CHM: одна - по восстановлению инструкций, а другая - по распаковке конкретной программы.

vnekrilov
С нетерпением ждем. Последних два запроса сделал только благодаря статьям. Очень доволен.

Valemox пишет:
Тут в ебуке собрал все 9 частей анпака по vnekrilov (в 1-м поудобнее будет), мож кому сгодитца _hттp://rapidshare.com/files/217510106/vnekr_tut.rar с пассом, думаю, итак все ясно.
перезалейте, пожалуйста, куда-нить кроме рапиды , желательно на Multi-up.com
спасибо.

alexey_k
--> http://multi-up.com/76679 <--

Сегодня я выкладываю 10-ю часть из цикла статей по распаковке Asprotect, в которой описана виртуальная машина для выполнения эмулированных подпрограмм в области Asprotect.dll. К этой статье приложен очищенный код виртуальный машины в виде файла recovery_emulate_inst_Asprotect_dll.bin, приложен скрипт для раскриптовки эмулированных инструкций, а также приведена структура массива данных для эмулированных подпрограмм. В 11-й части я приведу пример распаковки конкретной программы, а также набор откорректированных скриптов. Как быстро я напишу эту статью, не знаю, поскольку имеются некоторые проблемы со здоровьем. Буду, как всегда, очень признателен за отзывы, замечания, критику и пожелания.


0da0_10.04.2009_CRACKLAB.rU.tgz - ASProtect - Распаковка по vnekrilov (Часть 10).rar

Сегодня я выкладываю 11-ю часть из цикла статей по распаковке Asprotect, в которой описан процесс распаковки программы PasswordPro v2.5.1.0. К этой части статьи приложены переработанные и откорректированные скрипты. Я вынужден был разделить эту часть на две части, поскольку возникла необходимость разобрать вопросы эмуляции проверки регистрационного кода, которые мной не были ранее рассмотрены. Кроме того, я планирую подготовить и вторую статью по распаковке второй конкретной программы, поскольку программа PasswordPro v2.5.1.0 не позволяет рассмотреть все аспекты процесса распаковки. Возможно, кто-либо предложит небольшую по размеру программу, которую я мог бы использовать в качестве примера. Буду, как всегда, очень признателен за отзывы, замечания, критику и пожелания.


8dce_16.04.2009_CRACKLAB.rU.tgz - Распаковка Asprotect по vnekrilov(Часть 11).rar

Возможно, кто-либо предложит небольшую по размеру программу, которую я мог бы использовать в качестве примера
vnekrilov как насчет моего APROS?

-----
Лень - это подсознательная мудрость

vnekrilov пишет:
Возможно, кто-либо предложит небольшую по размеру программу, которую я мог бы использовать в качестве примера.
Этот экземпляр в запросах, выложенный LinXP, тож довольно интересный будет _hттp://www.aggsoft.ru/download/aspmon35.exe для исследования (глянул бы его).

depler пишет:
vnekrilov как насчет моего APROS?

Можно и APROS. Небольшая и удобная программа.

Valemox
Согласен. Ковырял но дамп так и не смог поднять. Было бы интересно.

SpoliatoR пишет:
Ковырял но дамп так и не смог поднять.

Вопрос в порядке обсуждения. Я распаковал большое число программ, упакованных разными версиями Asprotect. Приходилось натыкаться на разные ловушки, проблемные вопросы, и т.д. Накопился определенный опыт. Может быть стоит создать топик по практике распаковки программ? Хотелось бы узнать ваше мнение по этому вопросу.

vnekrilov пишет:
Может быть стоит создать топик по практике распаковки программ?
Я за! было бы полезно и интересно

из 11 статьи:
Для создания этой секции файла будем использовать утилиту PE Tools v1.8.800.2006 RC7
Это опечатка или же преват?

vnekrilov пишет:
Накопился определенный опыт. Может быть стоит создать топик по практике распаковки программ?
Кстати об этом уже не раз говорили, но дальше разговоров это не уходит. Было бы класно создать подфорум с названием распаковка или протекторы, а там уже создать определённые темы с протекторами, например:
Протекторы:
- ASProtect
-Armadillo
- ExeCryptor
ну и т.д.
Получается вся информация в одном месте, не захламляется основной форум+ не надо искать по всему форуму.

+1
Валентин, конечно за! Подобная тема вернет форуму его нормальное лицо, так как она действительно в тему - будет посвещена практическому реверсингу, а то форум почти полностью утонул во всяких запросах на взлом, постах на левый софт, и зафлудили его по полной.

LIZARD пишет:
Это опечатка или же преват?
Это опечатка, я надеюся, т.к. если заменить в версии одну цифру, то у меня такая есть PE Tools v1.5.800.2006 RC7

-----
Лучше быть одиноким, но свободным ©

vnekrilov пишет:
Может быть стоит создать топик по практике распаковки программ?
Нет...не стоит, инфо достаточно выложено, практически по любой защите.
Если кому-то не хватает ума, переварить его, это уже проблемы личного характера.

-----
Чтобы юзер в нэте не делал,его всё равно жалко..

BoRoV пишет:
Это опечатка, я надеюся, т.к. если заменить в версии одну цифру, то у меня такая есть PE Tools v1.5.800.2006 RC7

Да, это опечатка. Приношу свои извинения за допущенную опечатку.

Djeck пишет:
Было бы класно создать подфорум с названием распаковка или протекторы, а там уже создать определённые темы с протекторами

Идея неплохая!

Bronco пишет:
Если кому-то не хватает ума, переварить его, это уже проблемы личного характера.

Когда я впервые принимался за распаковку программ, имея под рукой неплохие статьи от PE_Kill, Pavka и других авторов, казалось, что все можно сделать очень быстро. Но, как всегда, приходилось сталкиваться со многими проблемами из-за того, что некоторые вещи приходилось понимать с большим трудом. При написании статьи, всегда забываются те подводные камни, на которые следует обращать внимание (особенно для новичков, кто только начинает разбираться с этим вопросом), поэтому забываешь обратить внимание читателя на эти нюансы.

На первых этапах, мне хотелось спросить совета, поделиться вопросом или сомнением, и т.д, но где?. По моему мнению, когда имеется подфорум, в нем всегда можно задать любой вопрос по тому или иному аспекту распаковки, и получить квалифицированный ответ или совет. С приобретением соответствующего опыта, таких вопросов становится все меньше и меньше. Поэтому я и поднял этот вопрос, учитывая, прежде всего, новичков в вопросах реверсинга, а не профессионалов. Наоборот, профессионалы именно и могут давать квалифицированные ответы и советы.

vnekrilov
Все правильно. Давно пора создать. По распаковке много всегда вопросов, а мусорить в форуме не хочется. Искать долго. Хотя согласен все есть.
Тутор прекрасный. Насчет подводных камней... На мой взгляд не стоит все разжевывать. Любой туториал должен оставаться открытым и задавать вопросы на которые хотелось бы найти ответы Иначе не будет желания двигаться вперед.
За туториал спасибо большое. Огромная работа . Надеюсь будет продолжение и по другим интересным темам.
Djeck
Это было бы хорошо. Да и мультиков много уже. Ваш по обсиду очень интересный. Не пора ли создать видио прокат ?

Сегодня я выкладываю 12-ю часть из цикла статей по распаковке Asprotect, в которой описано продолжение процесса распаковки программы PasswordPro v2.5.1.0. К этой части статьи приложены переработанные и откорректированные скрипты. Кроме того, я планирую подготовить и вторую статью по распаковке второй конкретной программы Advanced Serial Port Monitor, поскольку программа PasswordPro v2.5.1.0 не позволила рассмотреть все аспекты процесса распаковки. Скачал с сайта разработчика две Демо-версии Asprotect v1.5_2.5 SKE build 04.08. Беглый осмотр этих программ показал, что на них нормально работают выложенные мной скрипты. Может быть кто-то имеет не-Демо дистрибутивы этих программ, хотелось бы их получить для анализа!!! Буду, как всегда, очень признателен за отзывы, замечания, критику и пожелания.



8bb8_03.05.2009_CRACKLAB.rU.tgz - ASProtect - Распаковка по vnekrilov (Часть 12).rar