elhacker.net cabecera Bienvenido(a), Visitante. Por favor Ingresar o Registrarse
¿Perdiste tu email de activación?.

 

 


Tema destacado: Usando Git para manipular el directorio de trabajo, el índice y commits (segunda parte)


+  Foro de elhacker.net
|-+  Programación
| |-+  Ingeniería Inversa (Moderadores: karmany, .:UND3R:., MCKSys Argentina)
| | |-+  De-Ofuscar Programa en Delphi
0 Usuarios y 1 Visitante están viendo este tema.
Páginas: [1] Ir Abajo Respuesta Imprimir
Autor Tema: De-Ofuscar Programa en Delphi  (Leído 6,512 veces)
Revolutions

Desconectado Desconectado

Mensajes: 113


Ver Perfil
De-Ofuscar Programa en Delphi
« en: 10 Abril 2015, 22:37 pm »

Hola, alguien que me ayude, por favor:
Tengo un PACIENTE con los siguientes síntomas:

PROTECCIÓN:
Packer UPX 3.08
ofuscado de código

LENGUAJE DE PROGRAMACIÓN:
Delphi

He operado y el packer esta erradicado, pero el problema es que no consigo saber como desenfuscar el código para poder SANARLO, Olly en diferentes modalidades SHAdow, SND, dan algún que otro error de excepcion de lectura, en references string nada de la interfaz, algún UNREGISTERED pero fuera de codigo por lo que BREAKPOINT es inútil.
Es un ejecutable que pesa 550Kb y al desempacarlo 4550Kb, no tiene base de datos ni nada, limita solo las funciones, botones y menús, que están en disable, lo he intentado con RESHACKER y VEOVEO, pero tiene una rutina que detecta que si se ha pulsado o ejecutado y no esta registrado, sale una nag, informando que se registre para usar esa función, así que botón aceptar y cierra. lo he analizado con DEDE y es antiguo lo abre pero, no muestra nada de procesos ni formularios, en CDR, he conseguido descompilarlo, pero todas las direcciones son de fuera de código.
Cualquier ayuda, sugerencia, de otro punto de ataque, pues lo que he podido recordar, no han tenido éxito.
GRACIAS
En línea

tincopasan


Desconectado Desconectado

Mensajes: 1.286

No es lo mismo conocer el camino que recorrerlo.


Ver Perfil
Re: De-Ofuscar Programa en Delphi
« Respuesta #1 en: 11 Abril 2015, 00:43 am »

hola:
        vamos por partes:
1)supongo que el soft sin el packer se ejecuta normalmente.
2)¿tiene para ingresar algún código de registro?
3)fuera de la sección código, ¿te referís a la sección CODE?
4)delphi de por si no crea ofuscación de código, así que deben ser trampas del programador
5) hay varias formas de cazar la zona caliente de las nag en delphi
6) intentaste o leíste esto: http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS801-900837Introduccic3%b3n%20a%20las%20cryptos%20por%20HMX0101.rar
7)siempre se puede pausar y mirar el stack
8) si da errores en dede debe haber otro packer o tiene rastros del upx.
9)upx 3.08 crea secciones basura en el desempacado de la iat, imagino que eso está solucionado.
En línea

Revolutions

Desconectado Desconectado

Mensajes: 113


Ver Perfil
Re: De-Ofuscar Programa en Delphi
« Respuesta #2 en: 13 Abril 2015, 09:59 am »

GRACIAS por la respuesta.....

hola:
        vamos por partes:
1)supongo que el soft sin el packer se ejecuta normalmente.
SI

2)¿tiene para ingresar algún código de registro?
SI, sale nag al iniciar

3)fuera de la sección código, ¿te referís a la sección CODE?
SI, Olly te alerta de esta situación, que el breakpoint no surtirá efecto

4)delphi de por si no crea ofuscación de código, así que deben ser trampas del programador
??, es muy posible

5) hay varias formas de cazar la zona caliente de las nag en delphi
¿las call magicas?

6) intentaste o leíste esto: http://ricardonarvaja.info/WEB/CURSO%20NUEVO/TEORIAS%20NUMERADAS801-900837Introduccic3%b3n%20a%20las%20cryptos%20por%20HMX0101.rar
SI

7)siempre se puede pausar y mirar el stack
Si pero no veo nada, que me indique la zona a analizar

8) si da errores en dede debe haber otro packer o tiene rastros del upx.
En compracion con el original, en PEID esta limpio, en RPG sale que todavia tiene rastro. Ahora bien en DEDE no da errores, sino que no muestra nada de datos lo que supongo que esta en una version de delphi mas nueva que DEDE no puede analizar pues esta desfasado.

9)upx 3.08 crea secciones basura en el desempacado de la iat, imagino que eso está solucionado.
para eliminar el packer, he usado Olly, dump del programa y imprec, saltando el codigo de UPX y dandole el EntryPoint correcto.
En línea

tincopasan


Desconectado Desconectado

Mensajes: 1.286

No es lo mismo conocer el camino que recorrerlo.


Ver Perfil
Re: De-Ofuscar Programa en Delphi
« Respuesta #3 en: 13 Abril 2015, 23:44 pm »

si dede no muestra los form pero si lo carga, definitivamente está mal hecho el unpack.
En línea

Revolutions

Desconectado Desconectado

Mensajes: 113


Ver Perfil
Re: De-Ofuscar Programa en Delphi
« Respuesta #4 en: 15 Abril 2015, 09:31 am »

estoy de acuerdo, esta mal hecho el unpack.
visto lo visto.

GRACIAS tincopasan
En línea

MCKSys Argentina
Moderador Global
***
Desconectado Desconectado

Mensajes: 5.513


Diviértete crackeando, que para eso estamos!


Ver Perfil
Re: De-Ofuscar Programa en Delphi
« Respuesta #5 en: 15 Abril 2015, 20:51 pm »

estoy de acuerdo, esta mal hecho el unpack.
visto lo visto.

GRACIAS tincopasan

Si el packer es UPX, puedes usar el mismo packer para desempacar...
En línea

MCKSys Argentina

"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."

Revolutions

Desconectado Desconectado

Mensajes: 113


Ver Perfil
Re: De-Ofuscar Programa en Delphi
« Respuesta #6 en: 4 Mayo 2015, 12:53 pm »

Graciassssss, conseguido desempacado, dumpeo e IAT.
Estoy traceando, haber si me acerco a la zona caliente.
Os pediré ayuda si me atranco.

Saludos
En línea

Revolutions

Desconectado Desconectado

Mensajes: 113


Ver Perfil
Re: De-Ofuscar Programa en Delphi
« Respuesta #7 en: 21 Mayo 2015, 21:50 pm »

Hola quisiera preguntar por el mismo programa, pero tengo una duda, he sacado el comienzo de la rutina del form principal con IDR, este tiene caption value UNREGISTERED y una vez que comprueba si esta registrado lo cambia por el nombre del programa + numero de serial, el problema viene que traceando con Olly para ver donde esta la comprobación del mismo, no consigo que corra, incluso con W32dsm9b con el debugger, llega a dar entrar en un bucle dando FATAL ERROR INSTRUCTION.



GRACIAS





En línea

MCKSys Argentina
Moderador Global
***
Desconectado Desconectado

Mensajes: 5.513


Diviértete crackeando, que para eso estamos!


Ver Perfil
Re: De-Ofuscar Programa en Delphi
« Respuesta #8 en: 22 Mayo 2015, 03:17 am »

... el problema viene que traceando con Olly para ver donde esta la comprobación del mismo, no consigo que corra...

A qué te refieres con eso? El programa detecta el debugger? Estás usando plugines? Cuáles?

Necesitas especificar un poco más...

Saludos!

PD:

... incluso con W32dsm9b con el debugger...

W32Dasm no se usa desde hace unos 15 años (más o menos).  :P
En línea

MCKSys Argentina

"Si piensas que algo está bien sólo porque todo el mundo lo cree, no estás pensando."

Páginas: [1] Ir Arriba Respuesta Imprimir 

Ir a:  

Mensajes similares
Asunto Iniciado por Respuestas Vistas Último mensaje
Modificar programa Delphi
Ingeniería Inversa
xAnubiSx 5 5,940 Último mensaje 21 Agosto 2010, 00:06 am
por xAnubiSx
Ayuda programa en Delphi « 1 2 »
Ingeniería Inversa
AyudaPlis 12 8,908 Último mensaje 26 Enero 2011, 13:35 pm
por 79137913
Quitar Limitacion Programa En Delphi
Ingeniería Inversa
AyudaPlis 5 5,178 Último mensaje 11 Febrero 2011, 05:51 am
por apuromafo CLS
ofuscar html
Desarrollo Web
Kase 2 4,369 Último mensaje 3 Junio 2011, 09:33 am
por Kase
Decompilar programa Delphi
Ingeniería Inversa
oplazais 2 3,385 Último mensaje 20 Febrero 2019, 20:25 pm
por apuromafo CLS
WAP2 - Aviso Legal - Powered by SMF 1.1.21 | SMF © 2006-2008, Simple Machines