🚀 go-pugleaf

On Thu, 19 Jan 2006 12:59:13 +0100, BLE_Maciek wrote:

> Hmm. Czy ktoś potrafi wyjaśnić na jakiej zasadzie zrobiona jest
> ochrona przed disassemblacją w niektórych programach windowsowych i
> jak ją ominąć ? Próbuję takiego np. Total Commandera rozebrać za
> pomocą URSoft Win32 Deasm i ... disassembler się zawiesza :-/
> Trafiłem też kilka innch prgramów które się nie dają. Co do dwóch z
> nich (obydwa tej samej firmy) wiem że mają jakąś celową ochronę,
> przypuszczam że z pozostałymi nie dającymi się ugryźć jest tak samo.
> Zatem - ktoś coś wie ?

AFAIK Total Commander jest (albo przynajmniej był) spakowany ASPackiem,
pierwsze go rozpakuj (są narzędzia do tego na necie) następnie spróbuj
ponownie.

-- 
ダレック
takeda@IRCnet.EFnet, ICQ# 15827691, YahooIM: takeda64
http://ircwiki.takeda.tk - strona wiki poświęcona IRC

Grzeczna odpowiedź do listu Wielce Szanownej Pani / Szanownego Pana
„BLE_Maciek”.

>	Hmm. Czy ktoś potrafi wyjaśnić na jakiej zasadzie zrobiona jest
>	ochrona przed disassemblacją w niektórych programach windowsowych i
>	jak ją ominąć ? Próbuję takiego np. Total Commandera rozebrać za
>	pomocą URSoft Win32 Deasm i ... disassembler się zawiesza :-/
>	Trafiłem też kilka innch prgramów które się nie dają. Co do dwóch z
>	nich (obydwa tej samej firmy) wiem że mają jakąś celową ochronę,
>	przypuszczam że z pozostałymi nie dającymi się ugryźć jest tak samo.
>	Zatem - ktoś coś wie ?
Nie wiem, ale...
Pseudoochrona przed deasemblacją lub debugowaniem jest oparta na jednym z
dwóch filarów:
-jeśli środowisko wykonywania się programu będzie chronić niezawodnie
bezpieczeństwa kodu wykonywalnego i danych, wtedy należy poinformować
to środowisko, że kod ma być niedostępny dla wbudowanego debugera tego
środowiska, podstawić procedury obsługi zdarzeń debugowania w tym
programie i wywłaszczać wszelkie próby, być może celowo podstawiając
nieprawdziwy, ale poprawny kod lub dane
-jeśli program może dostać się do niskopoziomowych elementów
środowiska, w którym się wykonuje, to należy je wykorzystać, często
gęsto dzięki posiadaniu wiedzy o nieopublikowanych funkcjach i specyfice
środowiska wykonywania programu, niedostępnej dla ludzi, którzy nie
podpisali cyrografów tajności i nie współpracują z gigantami
oprogramowania i sprzętu na zasadzie wymiany licencjami i informacjami.
To wszystko.
Środowisko wykonywania programu to jest kolejno: maszyna, system
operacyjny, otoczenie konkretnego gatunku programu.
Nieopublikowane funkcje środowiska to są różnego rodzaju mechanizmy
rejestracji procedur obsługi zdarzeń, które są wykonywane w
określonych sytuacjach po wywłaszczeniu głównego zadania, które
wykonuje program - przerwania sprzętowe, procedury obsługi błędów,
systemowe mechanizmy debugowania kodu, specyfika zachowania systemu w
określonej sytuacji nadzwyczajnej.
Specyfika środowiska wykonywania programu to jest dostęp programu do
struktur danych systemowych bądź maszynowych, które decydują o trybie
wykonywania programu, jego traktowaniu przez jednostkę uprzywilejowaną,
jaką jest sprzęt lub system operacyjny - dostęp bez udziału w modelu
bezpieczeństwa promowanym w systemie operacyjnym albo dzięki
pozostawieniu luki w takim modelu.

Wasz
-- 
: qo   |)     =@=N%_g=v=a=g_ed_e=c()=d=8= %IGn@8're: w8in ad
:    _x/ ,     H'%'a'h4'HA.XO'Xo'xo'xO.R %expo1ited: *-1 teh
:    |    ng  __%-- __ -- __ -- __ -- __%/by$qVerCo: &GooMee
^.__ -- __ -- % dbqr74oh4ekrbrgz.onion %/^v^'^ww^v^;_<E-O-F>

BLE_Maciek napisał(a) w wiadomości: ...
>Hmm. Czy ktoś potrafi wyjaśnić na jakiej zasadzie zrobiona jest
>ochrona przed disassemblacją w niektórych programach windowsowych

  Np. spakować (ew. zaszyfrować). Prymitywna disasemblacja niewiele da.
A inteligentny disasembler-debugger może się zmęczy...
  Jeżeli nawet nie to część rozpakowania można przenieść do wyjątków.
  Korzysta się ze znanych wyników wywołań funkcji systemowych, lub uzależnia
się wykonywanie kodu (w tym rozpakowanie/rozszyfrowanie) od znanych danych.
  Wpuszczanie w pętle nieskończone lub w niewykonalny kod - wyjście w obsłudze
wyjątku.
  Fragmenty kodu ze skokami do wewnątrz innych instrukcji.
  Klasyczny kod samomodyfikuący, ale od czasu zmiennej długości kolejki
rozkazów w procesorach (ostatnio domyślnie kolejkę się unieważnia) jest już
mniej skuteczne. W programach Windows to dodatkowo trzeba ustawić odpowiednio
atrybuty sekcji kodu (domyślnie do obszaru kodu się nie pisze).
  Modyfikacja na stosie adresów powrotów z procedur.
i inne

> i jak ją ominąć ?

-kupić taki program, którego nie będzie potrzeby disaseblować
-najpierw rozpakować?
-lepszy dissasembler
-ręcznie

> Próbuję takiego np. Total Commandera rozebrać za

Nieładnie... Rozebrać - to obsceniczne :)

>pomocą URSoft Win32 Deasm i ... disassembler się zawiesza :-/


Nie znam, nie wiem co mogą, czego nie.

>Trafiłem też kilka innch prgramów które się nie dają. Co do dwóch z
>nich (obydwa tej samej firmy) wiem że mają jakąś celową ochronę,
>przypuszczam że z pozostałymi nie dającymi się ugryźć jest tak samo.
>Zatem - ktoś coś wie ?

  Obecnie skomplikowanie, wielowątkowość i korzystanie z zewn. bibliotek
samo potrafi zabić klina disasemblerom. A jeżeli ktoś komunikację między
wątkami wykorzysta do rozpakowania/odszyfrowania...

Arek

> Nie wiem, ale...
> Pseudoochrona

z naciskiem na "pseudo".
Desperata, który się uprze i zechce postawić na swoim, nic i nikt nie 
powstrzyma.



-- 
Azarien

Dnia Thu, 19 Jan 2006 12:59:13 +0100, BLE_Maciek napisał(a):

> Hmm. Czy ktoś potrafi wyjaśnić na jakiej zasadzie zrobiona jest
> ochrona przed disassemblacją w niektórych programach windowsowych i
> jak ją ominąć ? Próbuję takiego np. Total Commandera rozebrać za
> pomocą URSoft Win32 Deasm i ... disassembler się zawiesza :-/

Akurat ten deasembler jest 'niezbyt' dobry... Wystarczy sekcji kodu zdjąć
atrybut 'executable' i już nie bierze jej pod uwagę przy deasemblacji.

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |

Mon, 23 Jan 2006 15:58:29 +0100 jednostka biologiczna o nazwie Maciej
Oszutowski <check@my.sig> wyslala do portu 119
jednego z serwerow news nastepujace dane:

>Akurat ten deasembler jest 'niezbyt' dobry... Wystarczy sekcji kodu zdjąć
>atrybut 'executable' i już nie bierze jej pod uwagę przy deasemblacji.
Jaki zatem polecasz ?

Dnia Tue, 24 Jan 2006 16:21:12 +0100, BLE_Maciek napisał(a):

>>Akurat ten deasembler jest 'niezbyt' dobry... Wystarczy sekcji kodu zdjąć
>>atrybut 'executable' i już nie bierze jej pod uwagę przy deasemblacji.
> Jaki zatem polecasz ?

Interactive Disassembler (w skrócie IDA). Była kiedyś wersja 4.5 freeware,
ale niestety nie jest już dostępna za darmo w sieci. Producent pisze, że
jeżeli już ktoś ma to może spokojnie dalej używać, więc się nie martwię ;>

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |

Maciej Oszutowski napisał(a):
> Dnia Tue, 24 Jan 2006 16:21:12 +0100, BLE_Maciek napisał(a):
> 
>>> Akurat ten deasembler jest 'niezbyt' dobry... Wystarczy sekcji kodu zdjąć
>>> atrybut 'executable' i już nie bierze jej pod uwagę przy deasemblacji.
>> Jaki zatem polecasz ?
> 
> Interactive Disassembler (w skrócie IDA). Była kiedyś wersja 4.5 freeware,
> ale niestety nie jest już dostępna za darmo w sieci. Producent pisze, że
> jeżeli już ktoś ma to może spokojnie dalej używać, więc się nie martwię ;>

Nie sprawdzałem dokładnie (bo nie używam IDA i nie mam zamiaru
używać), ale tu mam taki link do IDA Pro Freeware:
http://www.simtel.com/product.php?id=83756
Może komuś się przyda.
 Tylko nie piszcie do producenta, bo was zmiesza z błotem (było dawno
temu, na c.l.a.x86).

-- 
Pozdrawiam, Bogdan                                  (Linux i FreeDOS)
Kurs assemblera x86 (DOS i Linuks): http://rudy.mif.pg.gda.pl/~bogdro
Grupy dyskusyjne o asm:  pl.comp.lang.asm alt.pl.asm alt.pl.asm.win32
Forum o programowaniu:                     http://programista.xorg.pl

Witam!

> więc się nie martwię

Ile to waży, może mógłbyś mi popchnąć na priv?

A jeśli chodzi o główny wątek. Było trochę
materiałów w sieci na temat ochrony przed debuggingiem
i deasemblacją, oraz omijaniem tych zabezpieczeń, ale
ostatnio zauważyłem, że duża część tych materiałów
zniknęła. Strony poświęcone tym zagadnieniom
zostały zlikwidowane, albo rozwalone. Szukaj tutoriali
o crackingu. W razie problemów pisz.

W miarę przyzwoitym (poza IDA) i dość wygodnym deasemblerem
jest W32Dasm. Jeszcze jest parę innych: Pedasm, Ndisasm,
OllyDbg i jeszcze parę innych.

Pozdrawiam!

--
Remek