| |
|
162
|
Programación / Ingeniería Inversa / Re: [?] IsDebuggerPresent (¿Packer?)
|
en: 24 Agosto 2013, 23:51 pm
|
IsDebuggerPresent esta presente en todos los ejecutables hechos en autoit
No me refiero a eso, me refiero a que si te vas a las propiedades del ejecutable, pone que es un script en autoit.
Me he puesto en contacto con los que han hecho RDG, y me han dicho que esta empaquetado con algún crypter en delphi, por eso sale lo del Borland Delphi, pero que efectivamente están los dos en autoit  |
|
|
|
|
164
|
Programación / Ingeniería Inversa / Re: [?] IsDebuggerPresent (¿Packer?)
|
en: 23 Agosto 2013, 23:37 pm
|
1) no esta packed
2) es un trainer, o programa para modificar valores en runtime de algun juego
3) hay checkeos de tiempo? o mejor dicho de licencia
4) no es posible sacar codigos de fuente , no es hecho en autoit, y lo que tienes es un delphi que carga una libreria propia para cargar flash
hay muchisimo que debes leer, porque confiar en conocimientos de detectores está bien, pero está mejor cuando tomas ese log como consejo
leamos lo que yo veo en esa impresión de RDG detector
Compiler ->delphi consejo, usar IDR dede IDA con map
detected:nothing(posiblemente no está empacado).> puedes cambiar los recursos a gustos y revisarlo en ollydbg IDA u otro
posible check to isdebuggerpresent-> este indica que puede tener algun llamado a isdebuggerpresent por lo cual deberás estar pendiente si hay otros checks de apis para detectar el depurador
a primera vista lo unico que me llama la atención lo dejo aqui en quote.
Por lo que estoy viendo, reventar este software te costaría 5 minutos 
Lo has acertado todo, pero sigo pensando que esta hecho en autoit... 
Tengo otro ejecutable que ese si que estoy 100 % seguro de que es AutoIt, y me marca como delphi, pero si esta en Delphi, con DeDe en teoría debería salirme el código ...
Lo abro con Olly y no veo en ningún lado el IsDebuggerPresent, pero si apreto F9 para ejecutarlo se me sale  |
|
|
|
|
165
|
Programación / Ingeniería Inversa / Re: [?] IsDebuggerPresent (¿Packer?)
|
en: 23 Agosto 2013, 22:58 pm
|
Puedes pasar el ejecutable sin empacar y el empacado? Para compararlos.
Sin empacar y empacado? Es un programa que me he descargado y quería sacar el código fuente, pero no me deja porque dice que esta empaquetado, ya venia así |
|
|
|
|
167
|
Programación / Ingeniería Inversa / Re: [?] IsDebuggerPresent (¿Packer?)
|
en: 23 Agosto 2013, 22:21 pm
|
Una pregunta, como sabes que esta empacado?
El programa esta hecho con AutoIt3, la extensión es .au3, al convertirlo usa el UPX, al pasarle el RDG no me lo detecta, y si lo abro con un Hex, tampoco me sale UPX al inicio del ejecutable, si no estuviera empaquetado me dejaría decompilar el código
pero esa imagen del rdg indica que no lo esta (al menos, si veo esa imagen en un target, lo primero que hago es abrirlo en Olly para ver si es tan asi como parece.)
Es lo que no me cuadra, que me sale que no esta empaquetado pero no me deja decompilarlo, me da error  |
|
|
|
|
168
|
Programación / Ingeniería Inversa / [?] IsDebuggerPresent (¿Packer?)
|
en: 23 Agosto 2013, 21:53 pm
|
Buenas, queria saber como puedo saber con que esta empaquetado
Le he pasado el RDG Packer Detector y me sale esto: Se 100% seguro que esta empaquetado, saben de algún programa para analizarlo?
He probado también PEiD y me sale "Nothing Found"
Otra cosa, si sale que no esta empaquetado, el "IsDebuggerPresent" con que lo han puesto?
Saludos.
|
|
|
|
|
|
| |
|
Mostrar Mensajes
