🚀 go-pugleaf

Tomasz Maciąg napisał(a):
> Dnia 27-10-2006 o 19:45:23 Matuzalem <codemaster_@op.pl> napisał:
>
> > Wiem sprawdziłem też w "W32Dasm" i jest tak jak podajesz. Zostaje więc:
> > uszkodzenie pliku, zaszyfrowanie, kompresja, SEH, a najbardziej
> > - wydaje mi się - SMC.
>
> Domyślam się że SEH i SMC to jakieś zabezpieczenia, ale za cieńki jestem w
> tym temacie, nawet nie staram się tego zrozumieć.
>
> > Możesz spróbować, uruchomić SoftICE, może zadziała.
>
> Niestety nie działa. W momencie wejścia do debuggera (Ctrl+D) dostaję
> słynny niebieski ekran, a czasem od razu następuje reset kompa :/
>
> Jakieś inne?
> > np.
> > - OllyDBG,
> > - WinDBG,
> > - i multum innych :) ->
> > http://www.thefreecountry.com/programming/index.shtml
>
> Popatrzę i coś sobie wybiorę (chyba)
>
> >> I jeszcze pytanie na koniec: kiedyś miałem taki sprytny programik, który
> >> napuszczony na np. exeka potrafił podać czym był utworzony ten exe, a
> >> jeśli exe był jakoś zabezpieczony, to potrafił nawet podać czym to było
> >> zabezpieczane/spakowane. Znasz może taki program?
> >
> > Chyba chodzi Ci o: PEiD -> http://peid.has.it/
>
> Tak, to jest właśnie to. I ten program napuszczony na obiekt mojego
> śledztwa raportuje mi:
> UPX 0.80 - 1.24 DLL -> Markus & Laszlo
> Czyli plik jest zaszyfrowany i/lub skompresowany. I to by się zgadzało, bo
> nie mogę znaleźć w nim żadnych ciągów znaków, a wiem że takowe napisy
> istnieją.
> Niestety, UPX 2.90 czyli najnowsza wersja dopiero co ściągnięta ze strony,
> nie jest w stanie tego rozpakować, twierdzi że plik jest zmodyfikowany.
> Pewnie gdzieś suma kontrolna jest zmieniona i UPX się burzy... nie ma
> opcji dekompresji "na siłę"... Czyli pozostaje żmudne siedzienie z
> debuggerem w nadziei że w końcu dojdę do interesującego mnie miejsca :|
>
> --
> T.M.

Użyj np. ProcDump do zrzutu pamięci, odbuduj tablice importów,
zmień odpowiednio EP i powinno hulać... 

Pozdrawiam