|
Título: ayuda upx modificado? Publicado por: metropiezo en 21 Enero 2011, 19:09 pm Lo primero daros las gracias por vuestro tiempo.
Estoy empezando en esto de la ingeniería inversa y no me canso de leer tutoriales y hacer crackmes, quiero aprender. Vamos al lio, estoy intentando descomprimir este programa http://www.alcohol-soft.com/ Analizandolo con Peid me dice que es un UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay] Anlizandolo con RDG tambien me dice que es un UPX. Lo intento desempacar con Guipex y me dice que modified/hacked/protected. Lo abro con Olly y aparentemente si que es un UPX pero entrando en Memoria en lugar de UPX0 y UPX1 pone SSE3 y SSE2. luego como todos los UPX encuentro facilmente el POPAD y el JMP al OEP (o eso creo). Intentando reparar la IAT con ImpRec en automatico me dice que ni de coña. Lo intento hacer a mano buscando el call que me lleva al salto de la memoria y aparentemente va todo bien, pero cuando pongo el inicio y largo en el ImpRec me dice NO. Haber si alguien me puede orientar de donde está el truco de este UPX. Título: Re: ayuda upx modificado? Publicado por: AyudaPlis en 21 Enero 2011, 20:30 pm has probado con PEExplorer?
Título: Re: ayuda upx modificado? Publicado por: metropiezo en 21 Enero 2011, 22:11 pm para que tengo que pasarle el PEExplorer? (perdona mi ignorancia)
Título: Re: ayuda upx modificado? Publicado por: tena en 21 Enero 2011, 22:23 pm El PExplorer trae incorporado un unpacker para upx.
Ahora dinos que daos pusiste en el ImportRec oep, rva y size (inicio y tamaño de iat) Lo que veo es que en la iat, las dlls estan separadas por una gran cantidad de ceros, y el inicio y size que da el IR es incorrecto. Yo saque estos datos del olly rva 44919c, size 1504 aunque dejando los que te da el import el dump arranca, no se hasta que punto pero al menos va. Sea como sea, el dump sale funcional, solo te saca un cartelito de que no pudo cargar los controladores y no estaran disponibles algunas opciones de emulacion y de interfaz. Deberias ver porque no los carga el dumpeado. suerte Título: Re: ayuda upx modificado? Publicado por: tena en 21 Enero 2011, 22:25 pm Por las dudas, quizas no estas poniendo bien los datos en el IR, acordate de que tenes que poner el oep sin la imagen base (400000)
slds Título: Re: ayuda upx modificado? Publicado por: metropiezo en 22 Enero 2011, 16:40 pm los datos que he sacado son
OEP 1644 rva 49548 sice 2156 Es cierto que hay muuuchos ceros y lo que me mosquea es que en la direccion del dump 849cd4 hay un JMP to SHELL32.SHGetFolderPathW. ¿que estoy haciendo mal? Título: Re: ayuda upx modificado? Publicado por: metropiezo en 22 Enero 2011, 20:37 pm ya he conseguido descomprimirlo, el problema era que en inicio yo ponia 491a0 y hay que poner 4491a0.
el programa abre pero me avisa de que no se cargan unos controladores de emulacion (alguna ayuda para resolver esto?) Tambien el olly de dice que esta fuera del entry point. |