Los recursos son elementos de la interfaz que proporcionan información al usuario. Los mapas de bits, los iconos, las barras de herramientas, los cursores son ejemplos de recursos.
Con estos programas pues, lo que podemos hacer es ver, modificar, renombrar, añadir, borrar y extraer recursos de ejecutables EXE (algunos a 32 bits otros a 16), (DLL y OCX). Se pueden ver los cursores, iconos, bitmaps, imágenes GIF, AVI y JPG. También se pueden escuchar los recursos de audio WAV y MIDI y ver o modificar los Menús, Diálogos, Mensajes, Strings, etc.
A veces estos programas no encuentran todos los recursos, y por lo tanto estas veces será imposible modificarlo. Otras veces un programa reconoce un recurso que otro programa no encuentra.

Seguro que habrá alguno que todavía no entiende qué es un recurso, voy a poner el primer ej.:
Imaginemos un programa que tiene un menú y al pulsar en File vemos lo siguiente:


Vemos que el menú File consta solamente de Open…
Podemos hacer una cosa sencilla por ej. que es modificar el idioma a nuestro gusto y queda por ejemplo así:


Ahora ya se entiende mejor, ¿verdad?

¿Dónde se guardan normalmente los recursos?
Normalmente se guardan en la sección de recursos. Si analizas un ejecutable o un archivo PE con un visor de encabezado (visor PE) verás que en la mayoría de ellos aparece una sección con el nombre .rsrc. En esa sección es donde los programas editores de recursos buscan los mismos.

Para los programas hecho en NET es un tanto diferente. Existen editores de recursos capaces de modificar ciertos recursos para estos programas, pero no es tan sencillo como en los de código nativo. Pondremos algún ejemplo.

Resource Hacker versión 3.4.0.79 y Resource Hacker (beta) versión 3.5.2

Bueno, antes de todo decir que este editor de recursos ya tiene varios bugs que el autor no quiere solucionar, pero que para explicar el funcionamiento de los editores de recursos, pues es una herramienta muy fácil de utilizar.

Su página oficial es:
http://www.angusj.com/resourcehacker/
Realmente la versión con la que he hecho este tutorial es la versión 3.4.0.79, pero el autor hizo una excepción y saco una nueva versión el 19 de diciembre de 2009 (v.3.5.2) para analizar recursos a 64bits.
Resource Hacker v.3.5.2:
http://www.angusj.com/resourcehacker/reshack_setup.exe

Resource Hacker v.3.4.0.79 (original en inglés):
http://delphi.icm.edu.pl/ftp/tools/ResHack.zip

Resource Hacker v.3.4.0.79 en español:
http://www.karmany.net/index.php/ingenieria-inversa/32-herramientas/23-resource-hacker-34079-spanish
Un programa que seguro que va a quitar muchas horas de sueño a muchos.

Para este tutorial he usado la v.3.4.0.79 traducida a español, que te he puesto en descarga.

Para que todo el mundo pueda seguir este tutorial, se me ha ocurrido la idea de trabajar con el mismo ejecutable de este programa. Así pues, lo primero que haremos y es lo que hay que hacer siempre es copiar el archivo a modificar, en este caso “ResHacker.exe” y lo pegamos por ejemplo en el escritorio. Yo le he cambiado el nombre para no equivocarme: “copia.exe”.

PD. Quisiera comentar que le mandé al autor de Resource Hacker varios emails pidiendo que siguiera con el proyecto y corrigiera los bugs. Como vi que Angus ha seguido programando, a mediados de marzo de 2007 se lo volví a pedir por última vez y me respondió lo siguiente:
-"No, I have no plans to update Resource Hacker. Sorry.
Angus"
Una lástima, no quiere ni dejar el código fuente para que otros puedan seguir el proyecto. Bueno, respeto su opinión aunque no la comparto y ya no se lo volveré a pedir más.

Lo primero ejecutamos de nuevo el programa “ResHacker.exe”.
Vamos a archivo --> abrir y abrimos el “copia.exe”  que teníamos en el escritorio.


La primera carpeta que vemos a la izquierda es GIF (o AVI). Aquí aparecen los archivos .gif y .avi como he señalado más arriba.
La abrimos al máximo: GIF, 128 y pulsamos en el 0, veremos que el recurso es un .gif de Resource Hacker en el que un martillo golpea a las letras.
Este gif aparece en ayuda --> acerca de… (Comprobarlo).
 
-Podemos guardar el .gif en nuestro disco duro para, por ejemplo, editarlo:
Pulsamos con el botón derecho en el recurso (0) y en el menú que sale, la tercera opción es: Guardar [GIF : 128 : 0], pulsamos y la guardamos donde queramos.

[GIF : 128 : 0] (esto nos indica el nombre “128”, el tipo “GIF” y el lenguaje “0” del recurso).

-Una vez retocada o cuando tengamos otro .gif que queramos usar, volvemos a pulsar con el botón derecho y damos a “reemplazar recurso”, en la siguiente ventana señalamos “abrir archivo con nuevo recurso”, elegimos el archivo .gif que queremos insertar y después debemos rellenar los dos primeros campos tal y como lo tenemos nombrado a la izquierda, es decir, en tipo de recurso escribiremos GIF y en nombre de recurso escribiremos 128. Le damos a reemplazar y ya lo tenemos. Para comprobarlo podemos “guardar como” ejemplo.exe (acordarse de poner la extensión .exe) y ejecutamos el nuevo ejemplo.exe.
Vamos a Ayuda --> acerca de… y veremos cómo ha cambiado el dibujo... ¿curioso verdad?


Problemas que he encontrado: dará fallos en la ejecución si se cambia el tipo, nombre o lenguaje del recurso.

En este ejemplo que he puesto, el archivo que tiene que reemplazarse tiene que ser .gif y da igual el número de píxeles y el tamaño. Pero es aconsejable que sean similares para poder verlos correctamente. Yo lo que he hecho ha sido crear una imagen con un programa editor gráfico (podéis si no retocar la imagen del programa o utilizar una vuestra) y después grabarla como .gif.



En los iconos y cursores la información del recurso está dividida en dos tipos:
“Cursor” y “Cursor group” por un lado e “Icon” e “Icon group” por otro lado.
Se puede observar perfectamente esto en la parte de la izquierda.

Cada icono o cursor puede contener varias imágenes relacionadas. Ej.
16 píxeles x 16 píxeles (16 colores)
32 píxeles x 32 píxeles (256 colores) dependiendo del tamaño y resolución del color se utilizará un icono u otro. Por ejemplo, el icono para ejecutar el programa no tiene el mismo tamaño ni resolución que el que hay en la esquina superior izquierda de la ventana.

-El “Icon group” contiene la información de un icono: nombre de la imagen, tamaño de la imagen y resolución del color.
-El “Icon” contiene la imagen real.

Para cambiar un icono: Vamos p.ej. a Icon Group --> MAINICON--> 3081 pulsamos con el botón derecho y seleccionamos reemplazar recurso. No tiene más complicación. Elegimos el que queremos (veis que se pueden seleccionar .exe etc…). Ahora podemos ver cómo se ha modificado “Icon” e “Icon Group”.
Para ver los resultados “guardar como” y veréis ya primeramente cómo ha cambiado el icono para ejecutar la aplicación.

Para cambiar el“Cursor” hacemos lo mismo. Lo que pasa es que aquí he encontrado algún que otro problema. Alguna vez he intentado cambiar algún cursor por otro que contenía algún programa .exe, y al ejecutarlo, me ha dado error en la aplicación. Así que si cambiáis algún cursor ¡probar que os funcione!.

Tenéis bastantes cursores en Windows --> cursores y cursor. Hay también muchas utilidades para crear vuestros propios .cur y utilizarlos.
Para crear iconos hay muchos programas gratuitos. Ejemplos:
http://greenfish.xtreemhost.com/downloads.php
http://icofx.ro/
http://www.conware.org/products/ia/about.php

Puedes igualmente reemplazar las imágenes. El mejor consejo aquí es que pruebes por ejemplo en Bitmap --> SMALLICONS y cambies la bmp por otra (botón derecho, reemplazar recurso). Estos iconos son de 16 x 16 pixels. En total el dibujo es de 64 x 16 pixels. Así que aunque sea complicado, para hacerlo bien hay que hacerlo en ese tamaño.
Puedes sino editar esa .bmp. Para esto tienes que guardarla en el disco duro. Botón derecho y guardar. A mi no me ha dado ningún problema incluso insertándole imágenes de mucho mayor tamaño y resolución.
En mi ejemplo he “jugado” con unas palabras, tú puedes intentar cualquier otra cosa que se te ocurra. Este es el resultado:


Para modificar imágenes o gráficos tenemos el archiconocido programa GIMP:
http://www.gimp.org.es/

Para modificar la información vamos a hacer un ejemplo:
Abrimos String Table --> 4077 y pulsamos en 0. Vemos que a la derecha en 65218 sale “¿Está seguro que quiere borrar recursos?”, todo lo que hay entre comillas se puede cambiar y variar el tamaño.
Poner lo que queráis. Yo he puesto: “Soy karmany”. Ahora le damos al botón de arriba “Compilar Script”.
Si no da ningún error ya lo tenemos. Para comprobarlo vamos a “guardar como”, ponemos por ej. ejemplo.exe y lo guardamos. Lo abrimos desde su icono ejemplo.exe y vamos a archivo abrir y abrimos “copia.exe”. Abrimos GIF --> 128 -->0, pulsamos con el botón derecho y decimos borrar recurso. Veréis lo que sale…


Esto sólo lo hace la primera vez que intentamos borrar un recurso, si aceptamos después ya no sale.

Hay que saber que:
-No cambiar nada que no haya entre comillas.
-Los símbolos % no hay que borrarlos ni cambiarlos de sitio ni borrar la coma que hay detrás ni las letras que van detrás pegadas.(%A0)
-El símbolo & significa que la letra que va detrás de este símbolo es el acceso rápido para el programa. En un mismo menú no puede ir la misma letra. La letra va subrayada.
-Como habréis podido observar hay mucha información que no deja cambiarla al pulsar en Compilar Script, y abajo sale error, ya explicaré más adelante cómo se puede intentar cambiar. También hay muchísima información que probablemente no veamos nunca, así que si queréis traducir un programa mi consejo es que traduzcáis lo imprescindible solamente.
-Para buscar recursos tenemos en el menú ver --> buscar texto. La verdad que a mi me resulta muy útil.



Aquí aparte de cambiar el texto, puedes cambiar el color, subrayado etc…este es el apartado que más me gusta.

Vamos a por el primer ejemplo:
Vamos a RCData --> TABOUTFORM y pulsamos sobre el 0. Ya os he explicado en el apartado anterior cómo cambiar el texto, así que podéis cambiar el “acerca de“ que hay en la sexta línea y que es el título de la ventana de ayuda --> acerca de. Pulsáis después Compilar Script, (siempre que cambiéis algo hay que pulsar Compilar Script) guardar cómo, no olvidar la extensión .exe y probar la aplicación.

Para variar otras características hay que entender un poco más:
Cada ventana, recurso etc… en este ejemplo empieza por object y termina por end. Si os fijáis arriba del todo (en RCData --> TABOUTFORM y pulsamos sobre el 0) pone: “object AboutForm: TAboutForm” que significa que va a empezar a definir la ventana de ayuda. El end lo tiene abajo del todo (es el último), es decir, que todo lo que hay entre “object AboutForm: TAboutForm” y end corresponde a los datos que hay en la ventana de ayuda “acerca de”.

Desde arriba todos los datos que veis hasta “TextHeight = 14” definen las características de la ventana, algunas de ellas como:
Left = 209, Top = 251, ClientHeight = 205, ClientWidth = 296 que indican respectivamente la posición en la horizontal, posición en la vertical, anchura y longitud de la ventana.
A veces es posible cambiar estos valores, pero mi experiencia dice que suelen dar bastantes errores. Para evitar estos errores yo lo que hago es compilar “programando” los textos yo mismo (esto está explicado un poco más abajo). Un valor de ejemplo que podéis compilar es ClientHeight=2 y veréis cómo cambia la ventana. Si ponéis otros valores y compiláis, el error os lo dará al intentar ejecutar la aplicación:
Error… no es una aplicación win32 válida…

Vamos a por otro objeto, el siguiente:

object Label3: TLabel
Left = 27
Top = 128
Width = 241
Height = 15
Cursor = crHandPoint
Caption = 'http://rpi.net.au/~ajohnson/resourcehacker'
Font.Charset = DEFAULT_CHARSET
Font.Color = clBlue
Font.Height = -12
Font.Name = 'Arial'
Font.Style = [fsBold, fsUnderline]
ParentFont = False
OnClick = Label3Click
End

-El “object Label3: TLabel” nos dice que va a definir un control Label (es un texto que no puede ser modificado por el usuario, cuando se ejecuta el programa).
-Las 4 siguientes líneas indican la posición como he explicado antes. (Aquí no me deja cambiarlas).
- Cursor = crHandPoint indica el cursor que va a tener cuando pasas el icono del ratón sobre el texto.(En este caso es una mano, indicando que es interactivo).
-Caption = es el mensaje.
-Font.Color = clBlue indica el color del texto. Color azul.
-Font.Height = -12 indica el tamaño. Mayor número mayor tamaño.
-Font.Name = ‘Arial’ es el tipo de letra.
-Font.Style = [fsBold, fsUnderline], indica las características del texto: Bold es negrita y underline es subrayado.
-OnClick = Label3Click activa para que cuando pulsemos (hagamos clic) sobre el texto haga una determinada función.

Bueno pues viendo lo que tenemos aquí, vamos a hacer nuestra pequeña programación en texto!! Así podremos poner el texto que queramos y donde queramos sin que nos dé ese error tan molesto de "no es una aplicación win32 válida..!!" (nota: esto de no es una aplicación válida suele aparecer al modificar ciertos recursos y guarda con el editor de recursos. Normalmente suele ser que no se ha modificado el encabezado correctamente. Esto que se explica seguidamente es para evitar este comportamiento del editor de recursos de una forma sencilla):

Lo primero es definir un texto:
“object Label9: TLabel” y ahora le pongo las características que yo quiero y en total me queda así:

object Label9: TLabel
Left = 0
Top = 0
Width = 241
Height = 15
Cursor = crDrag
Caption = 'Esto es una prueba'
Font.Charset = DEFAULT_CHARSET
Font.Color = clred
Font.Height = -20
Font.Name = 'Verdana'
Font.Style = [fsItalic]
ParentFont = False
End
Ahora lo que tenéis que hacer es insertar todo esto. Yo lo he insertado detrás de “TextHeight = 14”. Como si trabajarais con el bloc de notas. Luego lo compiláis y probáis la aplicación.
¡Impresionante verdad!.


En este punto yo sé que más de uno se va a animar haciendo muchísimas cosas más, pero lo dejo en vuestra imaginación.




Es muy curioso cómo actúa el programa Resource Hacker con los recursos de Dialog.
Como ejemplo voy a intentarlo con un archivo que espero tenga todo el mundo.
Primeramente haremos una copia de seguridad. Vamos a:
-Disco duro --> archivos de programa --> Windows Media Player --> y hacemos una copia del archivo ejecutable: “setup_wm.exe”.

Abrimos la copia con el Resource Hacker.
-Vamos a Dialog --> 51 y pulsamos en 3082. ¿Veis el botón que os he dicho antes?: “mostrar u ocultar diálogo”. En este caso ocultar diálogo:


Pulsadlo para que veáis lo que hace. Pues esa ventana que pone Iniciando descarga, la podéis modificar a vuestro gusto. Podéis pinchar sobre las dos barras de descarga y sobre las letras iniciando descarga y ponerlas donde vosotros queráis.
Aquí porque no salen botones (botones de aceptar, cancelar etc…), pero podéis pinchar igualmente sobre ellos y modificar la posición como queráis.

Esta es una de las maneras para modificar los recursos, pero podemos hacerlo de otras formas.
Otra forma es variar el código que en este caso es:

51 DIALOGEX 0, 0, 399, 134
STYLE DS_NOFAILCREATE | WS_CHILD
EXSTYLE WS_EX_RTLREADING | WS_EX_CONTROLPARENT
CAPTION ""
LANGUAGE LANG_SPANISH, 0x3
FONT 8, "Tahoma"
{
   CONTROL "Progress1", 8000, "msctls_progress32", PBS_SMOOTH | WS_CHILD | WS_VISIBLE | WS_BORDER, 64, 40, 286, 9
   CONTROL "Progress1", 8001, "msctls_progress32", PBS_SMOOTH | WS_CHILD | WS_VISIBLE | WS_BORDER, 64, 88, 286, 9
   CONTROL "", 1028, STATIC, SS_LEFT | WS_CHILD | WS_VISIBLE | WS_GROUP, 311, 25, 36, 8 , 0x00001020
   CONTROL "", 1021, STATIC, SS_LEFT | WS_CHILD | WS_VISIBLE | WS_GROUP, 311, 74, 36, 8 , 0x00001020
   CONTROL "Iniciando descarga...", 1022, STATIC, SS_LEFT | WS_CHILD | WS_VISIBLE | WS_GROUP, 64, 66, 222, 16 , 0x00000020
   CONTROL "", 1023, STATIC, SS_LEFT | WS_CHILD | WS_VISIBLE | WS_GROUP, 64, 17, 222, 16 , 0x00000020
   CONTROL "", -1, "NativeFontCtl", 0x50000010, 0, 0, 0, 0
}
 Así a primera vista parece complicado, pero se entenderá todo este código en el siguiente párrafo.

Una manera más de variar aquí los recursos es pulsando con el botón derecho (Cuando está mostrado el diálogo). Sale un menú y podéis insertar control, editar control, borrar control, editar diálogo y ocultar diálogo. Es una forma muy fácil de editar.

Voy a poner un ejemplo sencillo para entender también cómo se modifica el código.


Nos encontramos aquí de nuevo:


Pulsamos sobre la ventana que pone Dialog – 51 con el botón derecho y seleccionamos insertar control. Como en los ejemplos que hemos puesto arriba, vamos aquí también a insertar un texto label que diga por ejemplo: Espere.
Para ello en el menú desplegable seleccionamos STATIC:


O bien pulsamos sobre la palabra label. Si dejamos el puntero del ratón sobre cada icono nos dice a qué control corresponde.

En leyenda poner: Espere.

Por lo demás, he cambiado lo que se ve(podéis ver cómo se modifica el valor Style): 54020101


Y queda así:


Hay que darse cuenta que al modificar esto de esta forma, hemos cambiado el código que parecía tan complicado al principio. Acabamos de insertar en la ventana un control label. Vamos a ver cómo se ha puesto en el código:
CONTROL "Espere", 0, STATIC, SS_CENTER | SS_NOTIFY | WS_CHILD | WS_VISIBLE | WS_CLIPSIBLINGS | WS_GROUP, 134, 112, 74, 14 , 0x00020201

Ahora ya se entiendo todo... ¿verdad?

Ya se ve que no es nada complicado todo esto, simplemente es experimentar un poco.

Llegados a este punto he de decir una de las muchas utilidades del Resource Hacker. ;o)
Algunas veces al abrir un programa, nos podemos encontrar con alguna “pesada” e incomoda ventana de información, como la que he puesto al inicio, que nos puede avisar o comunicar cualquier cosa: desde la versión del programa hasta.... los días que nos quedan para utilizar el programa. ¿Qué se hace para evitar esta desagradable ventana de información?, pues, ya veréis pero no siempre, que borrando la carpeta con todos sus recursos ya no vuelve a salir. En el ejemplo anterior sería borrar por completo la carpeta 51.



Por último antes de acabar voy a poner un ejemplo que vi en el archivo ayuda de cómo insertar una imagen o un icono en programas que tengan la carpeta Dialog. Lo primero es buscar un programa que contenga la carpeta Dialog, así que buscando he encontrado uno muy conocido el emule 0,47a (compilado en C/C++ si no me equivoco).
Vamos a ir a Disco duro --> archivos de programa --> emule y copiamos el archivo “eMule.exe” y lo pegamos en el escritorio, lo utilizaremos como copia de seguridad.

Abrimos la copia del emule 0,47a con el Resource Hacker.
 
Ahora lo que vamos a hacer es insertar el icono que queremos que aparezca en la ventana. Para esto seleccionamos en Acción --> Añadir un nuevo recurso. Abrir archivo con nuevo recurso y vamos a buscar el icono.ico. Elegir el que queráis, yo he elegido uno de color verde. Seleccionarlo.
En tipo de recurso ya se tendrá que haber puesto ICONGROUP y en nombre de recurso ponéis el que queráis: NUEVOICONO he puesto yo. Le dais a añadir recurso. Para ver si está bien insertado nos vamos a Icon Group y tiene que aparecer nuestro NUEVOICONO (por orden alfabético).
Ahora nos vamos a ir a la ventana donde queremos insertarlo que en este caso está en: Dialog --> 315 por ej.
Pulsáis sobre el 0 y en la parte de la derecha arriba en ocultar diálogo (o cerrar la ventana). Y ahora vamos a insertar la orden oportuna, insertándola donde queráis, yo la he puesto la última:

CONTROL "NUEVO ICONO", -1, STATIC, SS_ICON | WS_CHILD | WS_VISIBLE, 171, 173, 21, 20


 Sobre todo tened cuidado de no borrar el {. Si la copiáis directamente tal vez os de error de sintaxis las comillas. Deberéis cambiarlas vosotros escribiéndolas de nuevo.
Tras todo esto pulsamos en Compilar Script y ya tenemos el icono. Lo ponemos donde queramos, volvemos a compilar y guardamos.
Para ver el resultado, abrimos el emule y vamos a preferencias, ahí estará la ventana con nuestro nuevo icono:


Bueno hasta aquí dejo ya el Resource Hacker.
Existen muchísimos programas para editar recursos. En el siguiente apartado veremos algunos.

Espero que os haya servido de ayuda todo este extenso tutorial.
La verdad que hoy día traducir un programa o hacerlo a gusto de cada uno es estar sentado delante del ordenador muchas horas, y cuando crees que lo tienes acabado encuentras alguna frase sin traducir, o cuando lo has traducido acaban de sacar al mercado una versión posterior.
Existen muchos programas para modificar los recursos. Yo utilizo estos 3 que acabo de mencionar. A veces uno abre lo que el otro no puede.
Muchas veces veréis que no son capaces de abrir muchos recursos y tendréis que utilizar programas editores hexadecimales. Hay que tener cuidado con estos últimos programas porque no se pueden insertar ni borrar bytes ya que sino la aplicación es muy probable que dé error. Por ej. puedes tener una aplicación en la que quieres traducir la palabra: Help que tiene 4 bytes: 48 65 6C 70 por ayuda en español que son 5 bytes: 41 79 75 64 61. Dará casi seguro error.
Por eso siempre antes de modificar cualquier archivo hay que hacer una copia de seguridad.
Otras veces veréis que algunas aplicaciones han sido comprimidas o encriptadas y no se pueden ni siquiera ver los recursos.
En este caso para ver los recursos hay que descomprimirlas o ‘desprotegerlas’... el ejemplo 2 es un caso concreto por ej.



Cualquier duda, error, cosa que queráis añadir…

Un saludo de karmany.

Ejemplo 02:

Descargar el archivo parche.rar del archivo zip. El enlace está en el primer mensaje de este hilo.

Utilizando el programa anterior podemos crear nuestros propios parches (repito y como pongo al final de este ejemplo, hay otras alternativas), pero si observáis la interfaz de estos parches no es muy agradable. Así que este ejemplo trata de eso:
Modificar los recursos de un parche generado con Embryo Patcher 1.2.

Programas para desempacarlo: OllyDBG con plugin OllyDump, Import REconstructor 1.6 final, LordPE.

Yo quería hacer un ej. sencillo, desempacando UPX de forma tradicional pero, sin quererlo he encontrado un programa que tiene alguna sorpresa...
Mi parche generado lo he llamado: parche.exe:


Si examinamos el archivo con el Peid nos dice que está empacado con UPX. Probé:
-Desempacarlo con UPX
-Utilizar el plugin del ej. anterior
Y nada de nada, daba error en todos, así que toca desempacarlo a mano:

Existen muchísimos tutes de cómo desempacar UPX. En el ejemplo anterior pongo un enlace para gente sin conocimientos. He hecho un tute paso a paso de cómo desempacar mi parche.exe. Si no lo tienes claro, descarga el archivo Explicación.doc. Lo que explico aquí a fin de evitar un mensaje muy largo es general.

Descargar el archivo Explicación.doc del archivo zip. El enlace está en el primer mensaje de este hilo.



1) Abro parche.exe con el Olly, veo que lo primero que aparece es un PUSHAD, así que utilizo una forma para obtener el OEP (Punto de entrada, Entry Point), que explico en el archivo anterior.
El OEP que obtengo es 401000.

2) Ahora lo que voy a hacer es dumpearlo con el plugin OllyDump. Lo único que destildo es “Rebuild Import” porque voy a buscar los datos de la IAT manualmente. El archivo dumpeado lo llamo: dumpeado.exe

3) Ahora sólo queda arreglar la IAT:
Botón derecho -> Search For -> Binary String y busco el famoso “FF 25”
Lo primero que me ha encontrado ha sido un salto en 401826.
Pulso: botón derecho -> Follow In Dump -> Memory Address
y obtengo Inicio, Fin y tamaño de la IAT:
INICIO de la IAT: 00402000
FINAL de la IAT:  00402080
Tamaño: 80

Si esto no se entiende descargar el archivo que he comentado antes que viene bien explicado.  

Con estos valores ya puedo abrir el Import REconstructor y attachear "parche.exe". E introduzco abajo a la izquierda los siguientes valores que he obtenido:

OEP:   00001000
RVA:   00002000
Size:    00000080

Pulso en Get Imports y observo que todas las entradas son válidas. Parece todo correcto, así que pulso en Fix Dump, elijo el archivo dumpeado.exe, que había creado con el plugin OllyDump y se crea satisfactoriamente el archivo: dumpeado_.exe.


Bueno mi intención era llegar hasta aquí, pero si ejecuto dumpeado_.exe observo con sorpresa que el texto es ilegible y el programa NO funciona correctamente...


En este punto me equivoqué en mis razonamientos (hace años de esto jeje, todos hemos sido novatos) y no saqué nada claro, así que le mandé mi desconcierto y sorpresa a Ricardo Narvaja para que me enseñara algún camino. Gracias a él pude continuar y no es difícil... Gracias Ricardo..



Abrí el programa desempacado (dumpeado_.exe) con el Olly, y me sale un aviso:

"module 'dumpeado' has entry point outside the code (as specified in the PE header). Maybe this file is self-extracting or self-modifyint. Please keep it in mind wen setting breakpoints!!"

Vaya... tiene el OEP fuera del código!?

Después de darle vueltas a la cabeza pulsé Alt + M y observé lo que el OllyDBG me decía:
 Address           Size           Section      Contains
00400000     00001000                        PE header
00401000     00005000        EMB0
OEP = 401000

El Olly tiene razón. Pues voy a modificar para que el OEP esté dentro del código. Cierro el OllyDBG.
Para esto utilizo el programa LordPE:
-Lo abro, pulso en PE EDITOR y selecciono el programa dumpeado_.exe. Se abre una ventana con toda la información.
-Veo que en BaseofCode pone 00006000. Lo voy a modificar por 00001000. Pulso en Save y Ok.                                                
Ahora ya podemos abrir el dumpeado_.exe con el OllyDBG sin ningún problema. Además aparece más información importante..



Después de observar el código hay unos saltos importantes que hay que conocer: CreateFileMapping, MapViewofFile.. como yo tampoco lo tenía muy claro busqué información:
http://www.formauri.es/arrobamasmas/Articulos/indexArticulo.php?art=1

Antes de esto abre un archivo y calcula el tamaño.
Ricardo me comentó que si en vez de abrir el archivo dumpeado_.exe pongo en la misma carpeta el original empacado "parche.exe" y le modifico el nombre a "dumpeado_.exe" el programa funciona perfecto..
Así que con todos estos datos me puse manos a la obra:



Cerré todo programa. Abrí el "parche.exe" con el Olly, me puse en el OEP(ya explicado) y observé dónde "coge" los datos:
Analizándo el código lo vi claro:
1º Abre el archivo "parche.exe"
2º Busca en la dirección B11400, 3A bytes. Mirar:

4010F2    MOV EDI,DWORD PTR DS:[4033F4] -> EDI = B10000
4010F8    ADD EDI,DWORD PTR DS:[4033B5] -> EDI = EDI + 1400 = B11400
4010FE    MOV ESI,EDI
401100    MOV ECX,DWORD PTR DS:[4033A7] -> ECX = 3A
401106    MOV EDI,DWORD PTR DS:[4033F8] -> EDI = 146A00

Y un poco más abajo:
40110D    REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]

Es decir, coge 3A bytes de la dirección B11400 y los pone en 146A00.
Solamente hay que saber cómo se ponen en B11400 los bytes, , para resolver el misterio...porque los datos, más abajo los toma de 146A00.



Bueno.. el programa abre un archivo (él mismo) y luego hace:
CreateFileMapping, MapViewOfFile...
Aquí está el quid de la cuestión... ¡A ver qué hace esto!

Voy a poner un Breakpoint justo después de MapViewOfFile.
Observo que retorna EAX con un valor = B10000 y si pulso Alt + M veo que se ha creado una nueva sección en la dirección: B10000 y pone "parche.exe".. interesante...

Voy a ver qué hay en esa sección.. Así que voy a la ventana de dumpeado pulso botón derecho -> goto -> expresion y pongo 00B10000.
Observo todo el código detenidamente, abro con un editor hexadecimal el "parche.exe" y veo que es exactamente igual.
Cuando vi esto, ya tuve las cosas bien claras..
Si la dirección de los 3A bytes es B11400 no cuesta nada apreciar que el Offset es 1400.



Resumen de todo esto: el programa copia 3A bytes que tiene en la dirección (Offset) 1400 y los pone en 146A00. Después coge los datos de aquí..
¿¿Qué pasa en el desempacado?? pues que los datos no están en esa dirección. No existen. Esto es posible si el programador ha primero empaquetado su aplicación y luego ha modificado el archivo insertando los datos..
¿Qué voy a hacer para hacer funcionar el archivo desempacado?
Voy a copiar los 3A bytes que están en el Offset 1400 del archivo original empacado (parche.exe) y los voy a pegar por ej. en Offset 8300 del archivo desempacado. Esto lo hago todo y fácilmente con el Ultraedit32.
Observación importante:Esto que estoy haciendo de pegar 3A bytes en el Offset 8300 que he visto vacío y no se modifica, quiero dejar claro que no está bien hecho. Hacerlo bien sería crear bytes nuevos (por ej. con el programa Topo), que con seguridad no se van a modificar y ahí pegar los 3A bytes.

Ahora solamente queda decirle al programa que lea los datos en 8300 y no en 1400.
Recordando de arriba:
4010F8    ADD EDI,DWORD PTR DS:[4033B5] -> EDI = EDI + 1400 = B11400
Vemos que el 1400 está en 4033B5. Así que sólo queda sustituir el 14 de 4033B6 por 83. Por supuesto con el editor hexadecimal.
Con todo esto resuelto voy a ejecutar mi programa:


Y compruebo que funciona bien..

Ahora se puede ya modificar todo con un editor de recursos. Extraño es que el Resource Hacker no me deja pero el Exescope y el XN Resource sí.

Una cosa curiosa que podéis hacer es que si queréis cambiar la dirección Web o el correo electrónico, solamente hay que modificar con un editor hexadecimal esto comentado y listo.


No quería extenderme tanto, pero ya he comentado en este amplio tutorial que modificar un programa puede ser muy trabajoso, y con este último ejemplo ha quedado demostrado..

Consideraciones finales sobre Embryo Patcher v.1.2:
Después de utilizarlo unas cuantas veces observé que el programa tiene algún bug y se cierra no sé por qué. (Con el archivo original.)
También al traducirlo observé que el límite de cambios de 2 archivos es 255.
Pienso que hay muchos y mejores programas que este, lo comento por si alguien aprovechando este tutorial quiere utilizar el Embryo Patcher.
Por ej. el programa diablo2oo2's Universal Patcher tiene muchísimas más opciones y es un programa en desarrollo y muy bueno... Además Shaddy nos hizo un excelente tutorial del manejo de este gran programa. Descarga:
dUP2.Diablo Universal Patcher v2.17 by ShaDDy
Su página web es la siguiente:
http://diablo2oo2.di.funpic.de/dup.htm