pues en general todo programa tiene sus herramientas,
bajado el programa (main) descompreso con 7zip, ,luego instalado el de accesorios..al parecer no tiene exes o es la mascara..? bueno
comienzo sabiendo la version:(armaversion.osc) disponible en mi github
en general es de los pocos armadillo que no usa debugblocker :O
---------------------------
MSG ODbgScript
---------------------------
Armadillo Version = 9.64
---------------------------
Aceptar Cancelar
---------------------------
aqui te presento un log como se ve desempacando.
OS--> Microsoft, 64-bit (build
9200)
<------- 08/15/2017 02:21:12 ------->
Loading target:
rpg2003.exe
Process ID: 18B8
Processing target...
==========================================
IAT Fixed Redirection Disabled!
VM address: 042BE290
VM variable: 0435CA20
==========================================
IAT Variable Redirection Disabled!
VM address: 04219CED
VM variable: 04345284
==========================================
No splices found.
==========================================
Dumping target...
Dump done!
Saved to: rpg2003_unpacked.exe
==========================================
Rebuilding Imports...
Rebuilding Imports completed
Return code: 0
Now, you should test your target. Good luck
==========================================
IAT RVA: 001931A4
IAT Size: 000007F8
OEP VA: 00406CEC
OEP RVA: 00006CEC
OEP call return VA: 005B7CD3
Exit Process ID: 18B8
en general esto significa que ha desempacado, pero que tenga un return va significa que no pilló el oep real..
solo basta ejecutar el programa en el depurador (sin que sea detectado) bp en CreateThread, al retornar..buscar mas abajo el cal ebx (es casi a 2 scroll de abajo)
el oep real es
005B7000 | E9 BB 0C 00 00 | jmp rpg2003.5B7CC0 |
este salta a otra direccion eso si::
a
005B7CC0 | 55 | push ebp |
005B7CC1 | 8B EC | mov ebp, esp |
005B7CC3 | 83 EC 04 | sub esp, 0x4 |
005B7CC6 | 53 | push ebx |
005B7CC7 | 56 | push esi |
005B7CC8 | 57 | push edi |
005B7CC9 | 68 70 7D 5B 00 | push rpg2003_unpacked_1b7cc0 _no oep.5B7D70 | 5B7D70:"kernel32"
005B7CCE | E8 19 F0 E4 FF | call <rpg2003_unpacked_1b7cc0 _no oep.GetModul |
005B7CD3 | 68 79 7D 5B 00 | push rpg2003_unpacked_1b7cc0 _no oep.5B7D79 | 5B7D79:"VirtualProtect"
005B7CD8 | 50 | push eax |
005B7CD9 | E8 1E F0 E4 FF | call <rpg2003_unpacked_1b7cc0 _no oep.GetProcA |
005B7CDE | 8D 55 FC | lea edx, dword ptr ss:[ebp - 0x4] |
005B7CE1 | 52 | push edx |
005B7CE2 | 6A 40 | push 0x40 |
005B7CE4 | 68 00 00 10 00 | push 0x100000 |
005B7CE9 | 68 00 70 5B 00 | push rpg2003_unpacked_1b7cc0 _no oep.5B7000 |
005B7CEE | FF D0 | call eax |
005B7CF0 | 68 88 7D 5B 00 | push rpg2003_unpacked_1b7cc0 _no oep.5B7D88 | 5B7D88:"ultimate_eb.dll"
005B7CF5 | E8 BA F0 E4 FF | call <rpg2003_unpacked_1b7cc0 _no oep.LoadLibr |
005B7CFA | 85 C0 | test eax, eax |
005B7CFC | 0F 85 0A 00 00 00 | jne rpg2003_unpacked_1b7cc0 _no oep.5B7D0C |
005B7D02 | 68 98 7D 5B 00 | push rpg2003_unpacked_1b7cc0 _no oep.5B7D98 | 5B7D98:"The required file \"ultimate_eb.dll\" could not be found! You might need to reinstall RPG Maker 2003."
en general, valida que esten las dll del programa, antes de llegar a ejecutar propiamente tal el programa...asi que si lo cambio a ese entrypoint (voilá...corre unpacked), se puede cambiar tambien al jmp lugar, pero siento que le queda mejor ese oep xD
lo comprimi en winrar , asi que espero que te sirva
http://rgho.st/7Hlv2Bx76insisto, no he visto nada mas que quitar el packer..
se ve que es un delphi y puedes por lo cual usar idr , pexplorer, resource hacker y otros para editar
Saludos Apuromafo
PD: para el RPGMV de la misma compañia (rpg maker mv o algo asi) tambien tiene armadillo, el procedimiento es el mismo
OS--> Microsoft, 64-bit (build
9200)
<------- 08/15/2017 03:23:51 ------->
Loading target:
RPGMV.exe
Process ID: 1938
EnumWindows: ArmaGeddon v2.2 for WinXP (32-bit final)
EnumWindows: armag 2.2 - Everything
EnumWindows: Armadillo Find Protected 2.1
Processing target...
==========================================
IAT Fixed Redirection Disabled!
VM address: 058DE290
VM variable: 0597CA20
==========================================
IAT Variable Redirection Disabled!
VM address: 05839CED
VM variable: 05965284
==========================================
No splices found.
==========================================
Dumping target...
Dump done!
Saved to: unpacked.exe
==========================================
Rebuilding Imports...
Rebuilding Imports completed
Return code: 0
Now, you should test your target. Good luck
==========================================
IAT RVA: 00023000
IAT Size: 00000718
OEP VA: 0041F68F
OEP RVA: 0001F68F
OEP call return VA: 05867F5A
Exit Process ID: 1938
el oep