🚀 go-pugleaf

Dnia Fri, 27 Oct 2006 22:22:17 +0200, Tomasz Maciąg napisał(a):

> Niestety nie działa. W momencie wejścia do debuggera (Ctrl+D) dostaję  
> słynny niebieski ekran, a czasem od razu następuje reset kompa :/

Karta graficzna ATI? Jeżeli tak to się nie dziwię. W innym wypadku oznacza
to, że SI jest źle skonfigurowany.

> Tak, to jest właśnie to. I ten program napuszczony na obiekt mojego  
> śledztwa raportuje mi:
> UPX 0.80 - 1.24 DLL -> Markus & Laszlo
> Czyli plik jest zaszyfrowany i/lub skompresowany. I to by się zgadzało, bo  
> nie mogę znaleźć w nim żadnych ciągów znaków, a wiem że takowe napisy  
> istnieją.
> Niestety, UPX 2.90 czyli najnowsza wersja dopiero co ściągnięta ze strony,  
> nie jest w stanie tego rozpakować, twierdzi że plik jest zmodyfikowany.  

Zainteresuj się więc programami typu ProcDump lub LordPE i pluginami do
nich, które potrafią zrzucić prawidłowy obraz pliku z pamięci.
Pogooglaj sobie i poszukaj haseł "upx generic unpacker"

> Pewnie gdzieś suma kontrolna jest zmieniona i UPX się burzy... nie ma  
> opcji dekompresji "na siłę"... Czyli pozostaje żmudne siedzienie z  
> debuggerem w nadziei że w końcu dojdę do interesującego mnie miejsca :|

Niekoniecznie. Prawdopodobnie ktoś użył jednego z wielu scramblerów do UPX.
UPX jendak jest bardzo prosty do zdekompresowania. Znalezienie EP to
kwestia 15min pod debuggerem, potem trio SI+IceExt+LordPE załatwia sprawę w
ciągu kilku milisekund.

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |