Tema destacado: Recuperar cuenta de Google, GMail, Youtube
 Autor
|
Tema: Ayudenme a desempacar esta mañosa aplicación... porfa (Leído 1,191 veces)
|
TM_Recargado
 Desconectado
Mensajes: 5
|
Hola gente de EL HACKER como veran me atrevi a registrarme a esta maravillosa página, tiempo hace que la vengo siguiendo, por cierto muy interesante, y agradecer y felicitar a Shaddy y Karmany por tan maravillosos tutes... Bueno vamos al grano... como dice un joven con ácne... jeje... sin insultar a nadie que quede claro...  Tengo un problemón... món... món y es que quiero desempacar una aplicación llamada Exeinfo PE, ahi pongo la imagen   El problema en si no esta en desempacarla, de poder se puede... lo que pasa es que cuando la desempaqueto y ejecuto la aplicación me pasa esto...   Que es lo que quiero, quiero que alguién buena gente me diga que es lo que puede estar pasando... haber si karmany o Shaddy se aparecen por aqui y me ayudan... Ya intente hasta con el OllyDBG y me sale archivo corrompido, la dumpeo, reconstruyo el PE y me llega a dar un error de ceros y efes, ahi pongo la imagen para que vean...   Disculpenme si la imagen esta muy grande, como pueden ver en el EIP: 0000FFFF; hasta ahora no habia visto algo asi... con esto vuelvo a ser novato del OllyDBG....  Bueno espero me ayuden, cualquier ayuda, cualquier comentario, es bienvenido... si me quieren putear, es aceptable...  Me olvidaba, aqui esta la aplicación... pesa 1.70 MB  http://www.mediafire.com/?frbckk97l6cwk1y |
|
|
|
« Última modificación: 17 Noviembre 2011, 00:17 por TM_Recargado »
|
En línea
|
|
|
|
Иōҳ
Desconectado
Mensajes: 454
|
Para mi que el error está en el head....
Y cómo lo unpackeastes?, para evitar cualquier problema, hazlo con la opción que trae el mismo UPX.
|
|
|
|
|
En línea
|
|
|
|
|
karmany
|
Eso tiene pinta de ser una protección anti desempacado de UPX.
¿Cómo lo has desempacado con UPX?
PD. Por experiencia diría que lo has desempacado bien pero que tienes una protección que te queda por resolver.
|
|
|
|
|
En línea
|
 - "Tu sitio para aprender, enseñar y compartir" |
|
|
Иōҳ
Desconectado
Mensajes: 454
|
Eso tiene pinta de ser una protección anti desempacado de UPX.
¿Cómo lo has desempacado con UPX?
PD. Por experiencia diría que lo has desempacado bien pero que tienes una protección que te queda por resolver.
o claro no contemplé esa opción...
|
|
|
|
|
En línea
|
|
|
|
.:UND3R:.
Desconectado
Mensajes: 1.960
Ingeniería inversa
|
No contiene detección CRC
No contiene detección de tamaño
No detecta modificación de nombre de segmento
Sigo viendo saludos
|
|
|
|
|
En línea
|
|
|
|
TM_Recargado
Desconectado
Mensajes: 5
|
No contiene detección CRC
No contiene detección de tamaño
No detecta modificación de nombre de segmento
Sigo viendo saludos
Gracias .:UND3R:. - Karmany - Иōҳ - por el interes, y a los demas muchachos se les agradece tambien... espero encuentren la raiz del problema y me muestren una solucion, yo por lo pronto, sigo intentando... gracias  Ah me olvidaba, el programa no lo empaquete yo, pero segun averigue fue comprimido con el nivel 7 de compresion upx, segun los analisis... ojala sirva...
|
|
|
|
« Última modificación: 17 Noviembre 2011, 23:09 por TM_Recargado »
|
En línea
|
|
|
|
apuromafo
Desconectado
Mensajes: 640
|
1) el programa tiene upx, pero tiene un packer/ofuscador CUSTOM del autor de la aplicacion 2) el programa tiene antidebug/seh y detecciones, pero solo comienzan despues del verdadero oep reconstruido 3) tiene un gran antidump con la memoria, actualmente tengo un dumped de 87mb por ese tema recontruido aproximadamente el oep seria asi: 0053FAD4 > 55 PUSH EBP
0053FAD5 54 PUSH ESP
0053FAD6 5D POP EBP
0053FAD7 83C4 E0 ADD ESP,-20
0053FADA 53 PUSH EBX
0053FADB 56 PUSH ESI
0053FADC 57 PUSH EDI
0053FADD 33C0 XOR EAX,EAX
0053FADF 8945 E4 MOV DWORD PTR SS:[EBP-1C],EAX
0053FAE2 8945 E0 MOV DWORD PTR SS:[EBP-20],EAX
0053FAE5 8945 EC MOV DWORD PTR SS:[EBP-14],EAX
0053FAE8 8945 E8 MOV DWORD PTR SS:[EBP-18],EAX
0053FAEB B8 44EA5300 MOV EAX,53EA44
eso.animo en todo lo que sigue, yo tengo un unpacked, fixed de una version anterior, pero no creo tener el tiempo como en aquellos dias pero aqui esta la version anterior (deben ser como 1 o 2 versiones anterior, no recuerdo) como bien esta el original y unpacked, pueden guiarse para este nuevo , pero ojo tb los recursos estan por sumas de id y variables, no es como cualquier programa esta aplicacion. saludos Apuromafo |
|
|
|
« Última modificación: 19 Noviembre 2011, 03:08 por apuromafo »
|
En línea
|
|
|
|
Иōҳ
Desconectado
Mensajes: 454
|
grande Mafo!!!!....  como siempre sabemos, la mejor protección es la custom (aunque esto puede ser relativo, en fin...) XD. Nox. |
|
|
|
|
En línea
|
|
|
|
TM_Recargado
Desconectado
Mensajes: 5
|
1) el programa tiene upx, pero tiene un packer/ofuscador CUSTOM del autor de la aplicacion
2) el programa tiene antidebug/seh y detecciones, pero solo comienzan despues del verdadero oep reconstruido
3) tiene un gran antidump con la memoria, actualmente tengo un dumped de 87mb por ese tema
recontruido aproximadamente el oep seria asi:
eso.animo en todo lo que sigue, yo tengo un unpacked, fixed de una version anterior, pero no creo tener el tiempo como en aquellos dias
pero aqui esta la version anterior (deben ser como 1 o 2 versiones anterior, no recuerdo)como bien esta el original y unpacked, pueden guiarse para este nuevo , pero ojo tb los recursos estan por sumas de id y variables, no es como cualquier programa esta aplicacion.
saludos Apuromafo
Gracias apuromafo... justamente me estaba leyendo unos tutes tuyos... veo que iba por buen camino... excelente... excelente... con esto creo que ya tengo una respuesta.... por lo pronto doy por cerrado el tema.... es asi... o los admin deciden cerrarlo o no.... de todas formas gracias a todos... viva el foro el hacker... siempre encontre soluciones aqui... una belleza... gracias... gracias...    Apuromafo me olvidaba... no tendras un tute de alguna aplicacion parecida ya resuelta... me gustaria poder tener algo que guardar...  
|
|
|
|
« Última modificación: 20 Noviembre 2011, 02:03 por TM_Recargado »
|
En línea
|
|
|
|
jackgris
Desconectado
Mensajes: 137
|
Grande MAfo, gracias
|
|
|
|
|
En línea
|
|
|
|
apuromafo
Desconectado
Mensajes: 640
|
NOP,cercanos a esto, seria depurar un upx con Private Exe Protector.
lo que hay ahi, es un resultado compartido entre varios dias y varias consultas esto es cosa de animo e instancias, eso, gracias por los agradecimientos, pero aun insisto si el motivo era aprender, aun no veo que dijieras que pillaste de donde reconstrui el oep
saludos Apuromafo
|
|
|
|
|
En línea
|
|
|
|
TM_Recargado
Desconectado
Mensajes: 5
|
NOP,cercanos a esto, seria depurar un upx con Private Exe Protector.
lo que hay ahi, es un resultado compartido entre varios dias y varias consultas esto es cosa de animo e instancias, eso, gracias por los agradecimientos, pero aun insisto si el motivo era aprender, aun no veo que dijieras que pillaste de donde reconstrui el oep
saludos Apuromafo
Parece que la puse demasiado confusa  .... jejeje... pasa que cuando coloco esos puntitos suspensivos cambio de oracion y me refiero a cada cosa que comienza despues de los puntitos... referente a lo que me comentas, estaba leyendo acerca de esto que pille por la web - "1404-desempacando peid 095 upx y agregando una imagen ,mod Apuromafo.pdf.7z" .... y si, mi objetivo era aprender, la verdad que habia visto algo asi, pero con esta aplicacion se me complico aun mas, es mas logre descomprimirla a su tamaño original sin problemas... y una vez mas el cracker triunfa, jejeje... Me olvidaba, Apuromafo si tengo la suerte de que leas esto de nuevo, queria preguntar acerca del tuto del peid, en la ultima parte del crash del Runtime error - floating point que mencionas, tenes algun tutorial que enseñe como reparar ese error, o alguno de otro master que podas compartir... desde ya muchas gracias, ah y subo la imagen de las propiedades de la aplicacion para que me creas... jejeje ... no soy un vago  , jejeje , medio dudoso 
|
|
|
|
« Última modificación: 23 Noviembre 2011, 00:14 por TM_Recargado »
|
En línea
|
|
|
|
apuromafo
Desconectado
Mensajes: 640
|
pues como todo empacar y reempacar, y como agregar y quitar iat, es realmente temas de flags, permisos de incializacion y eso, es solo mirar mas aplicaciones y permisos
en cuanto al gran dumpeado hay que pensar que hay que cambiar los bloques de memoria y todo, bien deje el antiguo y el nuevo para que lo estudiaras, y del dumped esta bien pero hay varios detalles aparte del antidebug, luego de que corre y todo dice que no analiza y luego de cambiar los saltos y antidebug resulta bien
me encantaria apoyar, pero creo que ya una etapa de mi vida esta formada, agradezco igual sus apoyos ideas y conclusiones...
|
|
|
|
|
En línea
|
|
|
|
TM_Recargado
Desconectado
Mensajes: 5
|
me encantaria apoyar, pero creo que ya una etapa de mi vida esta formada, agradezco igual sus apoyos ideas y conclusiones...
Apuromafo por esos sos grande... gracias por tomarte la molestia de leer mis comentarios... espero que sigas haciendo tutoriales, yo por mi lado voy a practicar, practicar, practicar y tratar de aprender mas y mas de esta maravillosa arte... me encanta y espero seguir encantado con ella... todavia soy joven, pero aun asi se lo que quiero... Gracias y segui haciendo tutes, que personas como yo, que medio que saben lo necesitan... grande mafo, grande....
|
|
|
|
|
En línea
|
|
|
|
|
 |
