Título: Problema en el capítulo 51 ricardo narvaja (UnPackMe_ASProtect.2.3.04.26.a) Publicado por: .:UND3R:. en 13 Septiembre 2011, 02:38 am Hola a todos, bueno les comento tengo problemas con el antidump en el capítulo piden hacer un script que aparece en el capítulo 52 explicado.
pero mi problema recae en que quiero reparar el antidump de manera manual para luego hacer mi propio script, ricardo narvaja comenta: Citar Vemos que es un call a una api en este caso GetStartupInfoA y que al retornar, ya que es un comando de 6 bytes lo hace en 4272db, y en el que esta protegido con asprotect tambien debe retornar a la misma direccion lo que ocurre es que fue reemplazado por un comando de 5 bytes siendo el 6 basura, asi que si ponemos un BP en la direccion de retorno del call en el empacado con asprotect siempre debe ser un byte mas que el que indica la siguiente linea que se ve, en este caso la siguiente linea es 004272D5 E8 268D5801 CALL 019B0000 004272DA D9F6 FDECSTP pues el BP para que pare al retornar de la api, debe ser BP 4272db y alli parara al retornar, es muy importante usar BPMs aquí o sea si yo quisiera resolver esto, pensaria que para tracear y no volverme viejo ya que es una rutina larguisima, en este caso en algun momento debe acceder a los bytes de la api, aunque sea como en este caso para leerlos para copiarlos a otro sitio, asi que se que en este caso a la api GetStartupInfoA le pongo un BPM ON ACCESS en las primeras lineas de la api, con eso descubrire en mi maquina donde lee la api correcta, luego debo hallar el momento que cambia este CALL 019B0000 ya que luego de leer los bytes de la api los copia a otro lugar para ejecutarlos, asi que eso a mi no me interesa, solo cuando cambia el CALL 19b0000 por el call a ese nuevo lugar, eso tambien puede usarse un BPM ON WRITE y asi obtengo el lugar donde quiere modificar el call, con lo cual yo puedo alli accionar el script para que guarde lo que yo quiero para reparar el call y reemplazarlo por los bytes correctos y no lo que quiere guardar el jeje, esa seria la idea a ver quien la hace mejor. Tendran que luchar y pensar que debe funcionar en cualquier maquina, asi que adelante y a trabajar espero que alguien lo resuelva tienen hasta el 17 de agosto de 2006 como fecha limite. Ademas de la mencion y el uso del script del ganador, se mencionaran los nombres de todos los que enviaron scripts que funcionan aunque no hayan ganado, como premio consuelo jeje. Suerte y good work Ricardo Narvaja 02/08/06 De partida no sé que trabajar creo que el original no el dumpeado. si alguien puediera resolver esto de manera manual, muchas gracias Título: Re: Problema en el capítulo 51 ricardo narvaja (UnPackMe_ASProtect.2.3.04.26.a) Publicado por: scr21 en 13 Septiembre 2011, 02:46 am el ricardo narvaja este para ser una eminencia tan grande como comenta la peña no sale ni en la wikipedia :P :xD
Título: Re: Problema en el capítulo 51 ricardo narvaja (UnPackMe_ASProtect.2.3.04.26.a) Publicado por: .:UND3R:. en 13 Septiembre 2011, 03:23 am el ricardo narvaja este para ser una eminencia tan grande como comenta la peña no sale ni en la wikipedia :P :xD Buen punto, eso es verdad debería aparecer Título: Re: Problema en el capítulo 51 ricardo narvaja (UnPackMe_ASProtect.2.3.04.26.a) Publicado por: apuromafo CLS en 13 Septiembre 2011, 04:35 am en cuanto a asprotect los script mas normales que se pueden usar seria el de volx
http://tuts4you.com/download.php?view.2658 tienes de ejemplo a los script de indulgeo, no se donde va la pregunta, yo hace no mucho redireccione un antidump en pelock! y la tecnica deberia ser similar pero asprotect normalmente o emula o crea mas codigo del normal...no es 1 y vuelve... si es el tema de desempacar por tools el plugin de codedoctor permite desempacar y tu puedes complementar la redireccion... saludos Apuromafo Título: Re: Problema en el capítulo 51 ricardo narvaja (UnPackMe_ASProtect.2.3.04.26.a) Publicado por: MCKSys Argentina en 13 Septiembre 2011, 15:13 pm el ricardo narvaja este para ser una eminencia tan grande como comenta la peña no sale ni en la wikipedia :P :xD Conozco a Ricnar personalmente (trabajo todos los dias con el) y no se autoconsidera una eminencia ni nada por el estilo. Y por Wikipedia.. bueno, estoy contento de que no este. Eso demuestra que no todo lo que esta ahi es verdad y que hay cosas que son verdad y no estan... :P |