|
| Посл.отвђт | Сообщенiе |
|
|
Дата: Июн 4, 2003 22:41:04 koluchy. Однако ты скромняга :)...насчет call eax, однозначно отслежены все 8 адресов...а вот остальное надо посмотреть...хотя я тебя просил конкретные адреса сказать... |
|
|
Дата: Июн 4, 2003 23:08:34 koluchy. Скажем проще...ты заглушки где - нибудь ставил...если да, то по каким адресам. |
|
|
Дата: Июн 4, 2003 23:32:24 Ну да ладно,повредничал я немного :) 64c5ea - число оставшихся дней - в al. 64c4b8 - mov al,0 652265 - -//- 652a16 - -//- 653b34 - -//- Где-то среди последних четырёх можно адрес строки зарегенного пользователя в eax записать,не помню точно где.Но как только ты это сделаешь,прога покажет рег.инфу и усё (причём совсем усё...). 6529cf - там возникает злейший Exception,после которого не загружается StopAPI4.dll,вследствии чего вылетает неприятное окошко с красным крестиком:)=>убрать нахрен! |
|
|
Дата: Июн 5, 2003 00:07:35 koluchy. 6529cf - там возникает злейший Exception,после которого не загружается StopAPI4.dll,вследствии чего вылетает неприятное окошко с красным крестиком:)=>убрать нахрен! Ну так бы сразу :)))...вот за этот адрес тебе огроменное спасибо...попробую проанализировать че это за ексепшн...терь дамп работает как надо...еще раз спасибо :)) |
|
|
Дата: Июн 5, 2003 00:30:34 C Armadillo'й не поможешь?(хот бы доки какие и посвежее). См. новую тему... |
|
|
Дата: Июн 7, 2003 17:02:58 Кстати, AsprStripperXP довольно рульная штука...хотя я и руками работать умею... И вот тут Hex откопал новый AsPr...теперь только...при выходе на OEP не bpm esp-4...a bpm esp-24... hxxp://www.phpexperteditor.com/download/phpxedit_30.zip Если бы HEX его отрыл:))) Это я ему подсунул, так он два дня копался (от bpx mapviewoffile прошел до спертых байт и не поленился же он, не то что я) |
|
|
Дата: Июн 7, 2003 18:38:14 · Поправил: Asterix [Если бы HEX его отрыл:))) Это я ему подсунул, так он два дня копался (от bpx mapviewoffile прошел до спертых байт и не поленился же он, не то что я)] Не верю :-) |
|
|
Дата: Июн 7, 2003 20:28:59 Не верю :-) Что это значит? P.S. Кстати у меня есть отладчик аспра, так он по ходу распаковки программы покажет абсалютно все, даже адреса API функций аспра:) + можно контролировать ход выполнения распаковки программы. Короче рульная штука.(тестировалось под win2000) |
|
|
Дата: Июн 7, 2003 23:21:57 Аноним. P.S. Кстати у меня есть отладчик аспра, так он по ходу распаковки программы покажет абсалютно все, даже адреса API функций аспра:) + можно контролировать ход выполнения распаковки программы. Короче рульная штука.(тестировалось под win2000) Если у тебя есть такая штука, что ты скажешь насчет этой проги - ISO Commander http://www.turtleblast.com/ru/download.php Действительно там крадется 45 байт???...или это глюк AsprStripper'a... |
|
|
Дата: Июн 8, 2003 07:23:53 Если у тебя есть такая штука, что ты скажешь насчет этой проги - ISO Commander http://www.turtleblast.com/ru/download.php Действительно там крадется 45 байт???...или это глюк AsprStripper'a... Да, действительно, там крадется 2D байт(45). Причем если уничтожить API, то прога делает Terminate при запуске(а не глюк AsprStripper'a:). Адреса API аспра: 42A1DA 42A201 42A1E9 42A1C2 42C433 (расположены в порядке вызова при запуске). Так что без эмуляции не обойтись. |
|
|
Дата: Июн 8, 2003 13:50:46 Аноним [ Что это значит? ] А значит это то, что если уж трейсить к выходу на OEP, то как минимум от bpx GetProcAddress, но не от bpx MapViewOfFile. Может ты тогда в курсе, почему теперь так просто нельзя за-nop-ить call прямо в SoftIce, чтоб получить импорт, ASProtect стал чаще тестировать свой код в памяти? |
|
|
Дата: Июн 8, 2003 14:29:48 А значит это то, что если уж трейсить к выходу на OEP, то как минимум от bpx GetProcAddress, но не от bpx MapViewOfFile. :)))))))) А вот, что Hex сказал: Забей, солодовников допер наконец-то что надо что-то делать со стеком. Тут bpm esp-4 не катит по очень простой причине. Солодовников тут сделал так чтоб esp на EP было не равно esp на ОEP. Я всем всегда предлагал сделать проход от bpx mapviewoffile до OEP. После этого все вопросы отпадают, но все ж ленивые и не хотят трейсить ASProtect. Ну и ладно, короче у меня в win2k так: esp на EP = 12ffc4, на спертых байтах 12ffa4. итого bpm esp-24. Ну и??? |
|
|
Дата: Июн 8, 2003 16:24:55 Аноним Ты весь топик читал? Наверное нет.:-) Я раньше писал, если на "старом" Аспре, после того как сработает бряк bpm esp-4, дотрейсить до прыжка на OEP, внимательно наблюдая за стеком, то будет видно что этот участок стека(esp-24) использовался и в "старом" Аспре, поэтому утверждаю, что логично было сразу пробовать ставить bpm esp-24, а не трейсить по чём зря! |
|
|
Дата: Июн 8, 2003 16:31:19 И добавлю, вряд ли это уловка против cracker'ов, скорее всего Солодовников просто перетрёс исходники. |
|
|
Дата: Июн 8, 2003 17:58:16 Asterix Я лично внимательно читал, а вот ты нет. Я тебе еще раз повторяю, что это HEX сказал, а не я. P.S. Давай оставим эту тему, а то до драки так недалеко:)))) |