|
| Посл.отвђт | Сообщенiе |
|
|
Дата: Окт 15, 2003 10:17:10 Спору нет похоже, но дойдя до .data:100D20E3 pop eax .data:100D20E4 retn 0Ch оказываешься вот тут .data:100D20E7 xor eax, eax .data:100D20EE retn 0Ch мы уходим на SEH конструкцию, лано предположим один из ret ето выход на OEP, возникает вопрос почему мы проходим ДВА раза через EP .data:100D2001 pusha ??? |
|
|
Дата: Окт 15, 2003 12:09:34 Asterix И всета ки я с тобой не согласен этот кусок кода я сдела зажав ASPR Pe tools: .data:004490AE push dword ptr [ebp+35h] .data:004490B1 call dword ptr [ebp+3Dh] .data:004490B4 .data:004490B4 loc_4490B4: ; CODE XREF: .data:0044908Ej .data:004490B4 ; .data:004490A5j .data:004490B4 pop ebx .data:004490B5 or ebx, ebx .data:004490B7 popa .data:004490B8 jnz short loc_4490C0 .data:004490BA push 1 .data:004490BC pop eax .data:004490BD retn 0Ch .data:004490C0 ; ---------------------------------------------------------------------- ----- .data:004490C0 .data:004490C0 loc_4490C0: ; CODE XREF: .data:004490B8j .data:004490C0 xor eax, eax .data:004490C2 neg eax .data:004490C4 sbb eax, eax .data:004490C6 inc eax .data:004490C7 retn 0Ch сходства не находишь ???? Так что я бумаю это ASPR только сним что странное твориться !!! Я уже зол :(( |
|
|
Дата: Окт 15, 2003 16:58:35 Помнится мне тоже Dll попадалась, а пейд определял как ASpack. Правда аспр был не новый и все решилось с помощью Stripper'a... |
|
|
Дата: Окт 15, 2003 18:02:23 Cigan Дык, я и говорю что для ASPack это не совсем типичный код. Ты, в отличие от меня, можешь запустить и проверить, если мы не попадаем в прогу после ret-это не АСПак и нужно смотреть дальше что там будет.. |
|
|
Дата: Окт 15, 2003 20:52:34 [ Cigan: этот кусок кода я сдела зажав ASPR Pe tools:] Какую версию ASProtect ты использовал?? |
|
|
Дата: Окт 15, 2003 21:50:23 · Поправил: Cigan Asterix Версия ASPR 1.23 Вот такая ботва но это ботва уже напрегает :))), так вот может они дествительно что то намудрили???:((( |
|
|
Дата: Окт 15, 2003 21:56:14 DeMoNiX Ты знаешь stripper отдыхае он говорит не чего не найдено то бишь ASPR'a и Aspack. |
|
|
Дата: Окт 16, 2003 09:01:25 народ вопросик есть loadlibrary отказвается загружать dll кто знает почему ??? какие параметры проверяет load прежде чем загружает dll ??? некоторые подумают что вопрос не в тему обясню разговор идет о opst_ui.dll кстате там аспак так что определители не врут !!! или это очень старый аспр так как там даже IAT целая единственно я вот не помню аспак трет секции или нет ??? |
|
|
Дата: Окт 16, 2003 10:10:42 Незнаю не знаю, я несколькораз ручками прошодил и по всему выходило что это аспр, а аспак 2.12 у меня трет секции, а [народ вопросик есть loadlibrary отказвается загружать dll кто знает почему ??? какие параметры проверяет load прежде чем загружает dll ??? не знаю надо посмотреть, узнаю отвечу. |
|
|
Дата: Окт 16, 2003 18:37:28 angel_aka_ks Всё очень просто, при загрузке ей нужна ещё одна dll'ка, название не помню, но тоже из комплекта outpost, гы, а потом может ей ещё чего понадобится, не знаю сколько там у этого outpost'а в пакете dll'ок :-))) |
|
|
Дата: Окт 17, 2003 00:14:38 может и аспротект но старенький так как наворотов нет импорт чистый !!! байты наместе init тоже кстате вопросик на засыпку вот ты говоришь аспр хм.... а какой EP у аспра обычно при image 400000 он равен 401000 и EP в запакованном виде в файле есть !!! тоесть можно ченить с ним зделать типа cch поставить :)))) а тут у нас EP в запакованном виде нету !!! тоесть он появляется только после распаковки это как называется ???? у аспра такого небыло !!!! блин у меня проблема короче loadlibrary делает нето что надо !!! вместо load делает unload и прога просто уходит на exitprocess код очень простой loadlibrary test eax,eax jz exitprocess jmp на call ebp в который записывается какойто адресс пренадлежащий opst_ui.dll впринцепи если бы load прошел бы успешно то прога бы запустилась вообще это странно так как импорт правильный oep и дамп тоже хм.... что бы это значило .... вообще почему loadlibrary может unload делать, ей случайно размер dll не передается ???? |
|
|
Дата: Окт 17, 2003 00:28:32 [ angel_aka_ks: а тут у нас EP в запакованном виде нету !!!] Ты вдумайся в то что ты написал и тебе станет смешно :-))) |
|
|
Дата: Окт 17, 2003 02:14:15 Asterix я понимаю звучит смешно но ты сам попробуй найти d4001 в файле !!! он напишет jmp out file типа нет такого :((((( |
|
|
Дата: Окт 17, 2003 02:35:09 Ты пишешь про Entry Point! Entry Point есть у файла всегда, если ты о чём то другом выражайся точнее. |
|
|
Дата: Окт 17, 2003 03:27:11 обясняю у opst_ui.dll entry point d4001 так пробую найти его в hiew пишет jmp out file Ж. я понимаю что он обязан быть это факт но что здесь творится я не знаю :((((( ты сам то не хочешь конкретно покопать outpost ??? |