Tema destacado:
 Autor
|
Tema: Duda con comprobación CRC (Leído 839 veces)
|
.:UND3R:.
 Desconectado
Mensajes: 1.960
Ingeniería inversa
|
Hola a todos, bueno tengo una duda encontré un programa que tiene tal comprobación, es decir al momento de cambiar un flag de una sección, este me lo detecta, mi duda es como puedo evitar este chequeo? si al momento de descomprimirlo este me crea más secciones y con nombres distintos? Saludos
|
|
|
|
|
En línea
|
|
|
|
.:UND3R:.
Desconectado
Mensajes: 1.960
Ingeniería inversa
|
Pensándolo bien el programa debe leer las secciones y ver sus atributos, que API se encarga de eso?
VirtualProtect que más?
Gracias
|
|
|
|
|
En línea
|
|
|
|
.:UND3R:.
Desconectado
Mensajes: 1.960
Ingeniería inversa
|
además aparte de tener los mismos flag, debe tener la misma cantidad de secciones, como puedo hacer esto? o saltear la comprobación?
Gracias
|
|
|
|
|
En línea
|
|
|
|
MCKSys Argentina
Desconectado
Mensajes: 1.222
Diviérte crackeando, que para eso estamos!
|
Por definición, un CRC no comprueba los flags de las paginas de memoria donde estan las secciones.
Lo que comprueba es el PEHeader (y con esto los flags seteados en el para cada sección)
La tecnica mas sencilla de usar es el metodo de CreateFile.
NORMALMENTE el programa usa esta API para abrir el EXE. Si hookeas la API, puedes ver la parte donde calcula el CRC.
Si se pone dificil, puedes probar ir nativo y hookear ZwCreateFile (ntdll).
Saludos!
|
|
|
|
|
En línea
|
---------------------
MCKSys Argentina
"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."
|
|
|
.:UND3R:.
Desconectado
Mensajes: 1.960
Ingeniería inversa
|
Buena info, abría un tutorial de eso?, busqué por CRC pero ninguno hablaba sobre lo que comentaste
Saludos
|
|
|
|
|
En línea
|
|
|
|
MCKSys Argentina
Desconectado
Mensajes: 1.222
Diviérte crackeando, que para eso estamos!
|
Hace poco subi a CLS un inline para Winlicense que usa esta tecnica. Aunque es un poco distinta de la usada normalmente, la idea es la misma: 1) Hacer una copia del original con extension .ext 2) Hookear CreateFile (o ZwCreateFile) 3) Cuando el proggie llama a la API, redireccionar el parametro pasado para que apunte al EXE original (el renombrado) Asi, los CRC caen sin mucho esfuerzo, usando un inline. El tute que hice es este: http://ricardo.crver.net/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS/1301-1400/1332-Tut08_Winlicense_Inline_Patching_AbarrotesPDV212_por_MCKSys.7zSaludos! PD: Puedes usar el buscador de la web con "inline". Ahi salen varios. |
|
|
|
|
En línea
|
---------------------
MCKSys Argentina
"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."
|
|
|
.:UND3R:.
Desconectado
Mensajes: 1.960
Ingeniería inversa
|
Gracias por responder  , en resumen debo introducir la API dentro del exe alterada para que verifique el original.ext y cada vez que sea llamada por el programa, este apunte al injerto de creado?,esa es la teoria? Saludos |
|
|
|
|
En línea
|
|
|
|
MCKSys Argentina
Desconectado
Mensajes: 1.222
Diviérte crackeando, que para eso estamos!
|
No.
Colocar un gancho en la API para interceptar la llamada y cambiar los parametros en runtime.
|
|
|
|
|
En línea
|
---------------------
MCKSys Argentina
"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."
|
|
|
.:UND3R:.
Desconectado
Mensajes: 1.960
Ingeniería inversa
|
jeje lo escribes de manera que se vea facil, saludos
|
|
|
|
|
En línea
|
|
|
|
|
 |
