🚀 go-pugleaf

Tomasz Maciąg napisał(a):
> Za pomocą PEExplorera próbuję disasemblować pewną DLLkę. Interesuje mnie w
> niej jedna istrukcja:
>
> 81D1214E62FE    adc ecx,FE624E21h
> Powyższy ciąg bajtów można znaleźć w DLLce bezpośrednio dowolnym
> hexedytorem (jest to jedyny taki ciąg w pliku)

Skąd ten pomysł, że w każdej dll-ce? ( ja tak to zrozumiałem :P )

> Dziwi mnie to, że wg hexedytora dalej następuje:
> D4C7 ...itd

Może patrzysz na inny offset? (offset danych kodu nie zawsze zgadza
się z offset-em w pliku)

> Tymczasem wg PEExplorera następną istrukcją jest:
> 51   push ecx
> 50   push eax
>
> Skąd się bierze ta rozbieżność? Próbowałem w32dasmem, ale kosmos pokazuje,
> wg niego jest tam sieczka, jakieś przypadkowe rozkazy wymieszane z
> instrukcjami koprocesora, itp...
> Coś robię nie tak, czy o czymś zapomniałem/nie wiem?

Jesteś pewien, że przeglądasz kod z zakresu code a nie data?
Ciąg '81D1214E62FE' na pewno nie jest tym co podajesz, po dekodowaniu:

81D1214E adc, 04E21h
62 ??
FE inc b, [bx][si] ; ?

> Mam jeszcze jedno pytanie: dawno temu w czasach Win98 używałem SoftICE do
> hmm... powiedzmy debugowania :) i działało to fajnie. Jednak wypadłem z
> obiegu, czy dziś jest jakaś wersja SoftICE która współpracuje z WinXP?

Z tego co mi wiadomo, to SoftICE zakończył na 98, owszem można go
uruchomić na XP, jednak, osobiście nie znam nikogo komu by się to
udało, nawet z pełnym pakietem DriverStudio :] (mnie się udało
częściowo, tzn. przy starcie działa, ale potem odmawiał
posłuszeństwa, no i przy reboot/shutdown pojawiał się "blue
screen")

Pozdrawiam

Matuzalem napisał(a):
> Tomasz Maciąg napisał(a):
> > Za pomocą PEExplorera próbuję disasemblować pewną DLLkę. Interesuje mnie w
> > niej jedna istrukcja:
> >
> > 81D1214E62FE    adc ecx,FE624E21h
> > Powyższy ciąg bajtów można znaleźć w DLLce bezpośrednio dowolnym
> > hexedytorem (jest to jedyny taki ciąg w pliku)
>
> Skąd ten pomysł, że w każdej dll-ce? ( ja tak to zrozumiałem :P )
>
> > Dziwi mnie to, że wg hexedytora dalej następuje:
> > D4C7 ...itd
>
> Może patrzysz na inny offset? (offset danych kodu nie zawsze zgadza
> się z offset-em w pliku)
>
> > Tymczasem wg PEExplorera następną istrukcją jest:
> > 51   push ecx
> > 50   push eax
> >
> > Skąd się bierze ta rozbieżność? Próbowałem w32dasmem, ale kosmos pokazuje,
> > wg niego jest tam sieczka, jakieś przypadkowe rozkazy wymieszane z
> > instrukcjami koprocesora, itp...
> > Coś robię nie tak, czy o czymś zapomniałem/nie wiem?
>
> Jesteś pewien, że przeglądasz kod z zakresu code a nie data?
> Ciąg '81D1214E62FE' na pewno nie jest tym co podajesz, po dekodowaniu:
>
> 81D1214E adc, 04E21h
> 62 ??
> FE inc b, [bx][si] ; ?
>
> > Mam jeszcze jedno pytanie: dawno temu w czasach Win98 używałem SoftICE do
> > hmm... powiedzmy debugowania :) i działało to fajnie. Jednak wypadłem z
> > obiegu, czy dziś jest jakaś wersja SoftICE która współpracuje z WinXP?
>
> Z tego co mi wiadomo, to SoftICE zakończył na 98, owszem można go
> uruchomić na XP, jednak, osobiście nie znam nikogo komu by się to
> udało, nawet z pełnym pakietem DriverStudio :] (mnie się udało
> częściowo, tzn. przy starcie działa, ale potem odmawiał
> posłuszeństwa, no i przy reboot/shutdown pojawiał się "blue
> screen")
>
> Pozdrawiam

Jeszcze sprawdziłem w W32Dasm i podaje to co Ty: "81D1214E62FE    adc
ecx,FE624E21h".
Moim zdaniem patrzysz na co innego (zły offset; segment/sekcja _DATA)

Pozdrawiam

Dnia 27 Oct 2006 09:12:03 -0700, Matuzalem napisał(a):

> Z tego co mi wiadomo, to SoftICE zakończył na 98, owszem można go
> uruchomić na XP, jednak, osobiście nie znam nikogo komu by się to
> udało, nawet z pełnym pakietem DriverStudio :] (mnie się udało
> częściowo, tzn. przy starcie działa, ale potem odmawiał
> posłuszeństwa, no i przy reboot/shutdown pojawiał się "blue
> screen")

Słabo próbowałeś ;> U mnie bez problemu śmiga SI z DS 3.20, łącznie z
update do 3.21. Ostatnio tylko coś IceExt sprawia problemy, ale podejrzewam
że da się coś z tym zrobić.
Btw - nie masz karty graf. ATI? SI często odmawia współpracy w takich
warunkach...

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |

Dnia Fri, 27 Oct 2006 17:38:35 +0200, Tomasz Maciąg napisał(a):

> Skąd się bierze ta rozbieżność? Próbowałem w32dasmem, ale kosmos pokazuje,  
> wg niego jest tam sieczka, jakieś przypadkowe rozkazy wymieszane z  
> instrukcjami koprocesora, itp...
> Coś robię nie tak, czy o czymś zapomniałem/nie wiem?

Najprawdopodobniej kod jest spakowany/zaszyfrowany.

> Mam jeszcze jedno pytanie: dawno temu w czasach Win98 używałem SoftICE do  
> hmm... powiedzmy debugowania :) i działało to fajnie. Jednak wypadłem z  
> obiegu, czy dziś jest jakaś wersja SoftICE która współpracuje z WinXP?

SI jest w pakiecie DriverStudio. Ostatnia wersja to 3.20, jest jeszcze
update do 3.21. W pakiecie oprócz SI jest Visual SoftIce (przydatny tool do
remote debuggingu), BoundsChecker i kupa innych narzędzi ułatwiających
pisanie driverów...

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |

Dnia 27-10-2006 o 18:12:03 Matuzalem <codemaster_@op.pl> napisał:

> Jesteś pewien, że przeglądasz kod z zakresu code a nie data?
> Ciąg '81D1214E62FE' na pewno nie jest tym co podajesz, po dekodowaniu:

Tak, to jest sekcja .code
Jak rozumieć to co podają mi programy?
PEExplorer:
http://img158.imageshack.us/img158/8351/peexplorerte4.png
W32dasm:
http://img230.imageshack.us/img230/4081/w32dasmjv1.png


> Z tego co mi wiadomo, to SoftICE zakończył na 98, owszem można go
> uruchomić na XP, jednak, osobiście nie znam nikogo komu by się to
> udało, nawet z pełnym pakietem DriverStudio :]

To czym w takim razie debugować pod WinXP? Znasz jakiś inny dobry soft,  
który umożliwi ustawienie np. pułapki na daną funkcję systemu operacyjnego?

I jeszcze pytanie na koniec: kiedyś miałem taki sprytny programik, który  
napuszczony na np. exeka potrafił podać czym był utworzony ten exe, a  
jeśli exe był jakoś zabezpieczony, to potrafił nawet podać czym to było  
zabezpieczane/spakowane. Znasz może taki program?

-- 
T.M.

Tomasz Maciąg napisał(a):
> Dnia 27-10-2006 o 18:12:03 Matuzalem <codemaster_@op.pl> napisał:
>
> > Jesteś pewien, że przeglądasz kod z zakresu code a nie data?
> > Ciąg '81D1214E62FE' na pewno nie jest tym co podajesz, po dekodowaniu:
>
> Tak, to jest sekcja .code
> Jak rozumieć to co podają mi programy?
> PEExplorer:
> http://img158.imageshack.us/img158/8351/peexplorerte4.png
> W32dasm:
> http://img230.imageshack.us/img230/4081/w32dasmjv1.png

Wiem sprawdziłem też w "W32Dasm" i jest tak jak podajesz. Zostaje
więc: uszkodzenie pliku, zaszyfrowanie, kompresja, SEH, a najbardziej
- wydaje mi się - SMC.

> > Z tego co mi wiadomo, to SoftICE zakończył na 98, owszem można go
> > uruchomić na XP, jednak, osobiście nie znam nikogo komu by się to
> > udało, nawet z pełnym pakietem DriverStudio :]
>
> To czym w takim razie debugować pod WinXP? Znasz jakiś inny dobry soft,
> który umożliwi ustawienie np. pułapki na daną funkcję systemu operacyjnego?

Możesz spróbować, uruchomić SoftICE, może zadziała. Jakieś inne?
np.
- OllyDBG,
- WinDBG,
- i multum innych :) ->
http://www.thefreecountry.com/programming/index.shtml

> I jeszcze pytanie na koniec: kiedyś miałem taki sprytny programik, który
> napuszczony na np. exeka potrafił podać czym był utworzony ten exe, a
> jeśli exe był jakoś zabezpieczony, to potrafił nawet podać czym to było
> zabezpieczane/spakowane. Znasz może taki program?

Chyba chodzi Ci o: PEiD -> http://peid.has.it/

Pozdrawiam

Dnia 27-10-2006 o 19:45:23 Matuzalem <codemaster_@op.pl> napisał:

> Wiem sprawdziłem też w "W32Dasm" i jest tak jak podajesz. Zostaje więc: 
> uszkodzenie pliku, zaszyfrowanie, kompresja, SEH, a najbardziej
> - wydaje mi się - SMC.

Domyślam się że SEH i SMC to jakieś zabezpieczenia, ale za cieńki jestem w  
tym temacie, nawet nie staram się tego zrozumieć.

> Możesz spróbować, uruchomić SoftICE, może zadziała.

Niestety nie działa. W momencie wejścia do debuggera (Ctrl+D) dostaję  
słynny niebieski ekran, a czasem od razu następuje reset kompa :/

Jakieś inne?
> np.
> - OllyDBG,
> - WinDBG,
> - i multum innych :) ->
> http://www.thefreecountry.com/programming/index.shtml

Popatrzę i coś sobie wybiorę (chyba)

>> I jeszcze pytanie na koniec: kiedyś miałem taki sprytny programik, który
>> napuszczony na np. exeka potrafił podać czym był utworzony ten exe, a
>> jeśli exe był jakoś zabezpieczony, to potrafił nawet podać czym to było
>> zabezpieczane/spakowane. Znasz może taki program?
>
> Chyba chodzi Ci o: PEiD -> http://peid.has.it/

Tak, to jest właśnie to. I ten program napuszczony na obiekt mojego  
śledztwa raportuje mi:
UPX 0.80 - 1.24 DLL -> Markus & Laszlo
Czyli plik jest zaszyfrowany i/lub skompresowany. I to by się zgadzało, bo  
nie mogę znaleźć w nim żadnych ciągów znaków, a wiem że takowe napisy  
istnieją.
Niestety, UPX 2.90 czyli najnowsza wersja dopiero co ściągnięta ze strony,  
nie jest w stanie tego rozpakować, twierdzi że plik jest zmodyfikowany.  
Pewnie gdzieś suma kontrolna jest zmieniona i UPX się burzy... nie ma  
opcji dekompresji "na siłę"... Czyli pozostaje żmudne siedzienie z  
debuggerem w nadziei że w końcu dojdę do interesującego mnie miejsca :|

-- 
T.M.

Dnia Fri, 27 Oct 2006 22:22:17 +0200, Tomasz Maciąg napisał(a):

> Niestety nie działa. W momencie wejścia do debuggera (Ctrl+D) dostaję  
> słynny niebieski ekran, a czasem od razu następuje reset kompa :/

Karta graficzna ATI? Jeżeli tak to się nie dziwię. W innym wypadku oznacza
to, że SI jest źle skonfigurowany.

> Tak, to jest właśnie to. I ten program napuszczony na obiekt mojego  
> śledztwa raportuje mi:
> UPX 0.80 - 1.24 DLL -> Markus & Laszlo
> Czyli plik jest zaszyfrowany i/lub skompresowany. I to by się zgadzało, bo  
> nie mogę znaleźć w nim żadnych ciągów znaków, a wiem że takowe napisy  
> istnieją.
> Niestety, UPX 2.90 czyli najnowsza wersja dopiero co ściągnięta ze strony,  
> nie jest w stanie tego rozpakować, twierdzi że plik jest zmodyfikowany.  

Zainteresuj się więc programami typu ProcDump lub LordPE i pluginami do
nich, które potrafią zrzucić prawidłowy obraz pliku z pamięci.
Pogooglaj sobie i poszukaj haseł "upx generic unpacker"

> Pewnie gdzieś suma kontrolna jest zmieniona i UPX się burzy... nie ma  
> opcji dekompresji "na siłę"... Czyli pozostaje żmudne siedzienie z  
> debuggerem w nadziei że w końcu dojdę do interesującego mnie miejsca :|

Niekoniecznie. Prawdopodobnie ktoś użył jednego z wielu scramblerów do UPX.
UPX jendak jest bardzo prosty do zdekompresowania. Znalezienie EP to
kwestia 15min pod debuggerem, potem trio SI+IceExt+LordPE załatwia sprawę w
ciągu kilku milisekund.

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |

Maciej Oszutowski napisał(a):
> Dnia Fri, 27 Oct 2006 22:22:17 +0200, Tomasz Maciąg napisał(a):
>
> > Niestety nie działa. W momencie wejścia do debuggera (Ctrl+D) dostaję
> > słynny niebieski ekran, a czasem od razu następuje reset kompa :/
>
> Karta graficzna ATI? Jeżeli tak to się nie dziwię. W innym wypadku oznacza
> to, że SI jest źle skonfigurowany.

Nie ma to nic wspólnego z rodzajem karty (wiem to z prób i
błędów). Związane jest to z rodzajem sterowników ( w
szczególności vxd, które na NT nie działają, i nawet ich
emulowanie w większości przypadków nic nie daje )

> > Tak, to jest właśnie to. I ten program napuszczony na obiekt mojego
> > śledztwa raportuje mi:
> > UPX 0.80 - 1.24 DLL -> Markus & Laszlo
> > Czyli plik jest zaszyfrowany i/lub skompresowany. I to by się zgadzało, bo
> > nie mogę znaleźć w nim żadnych ciągów znaków, a wiem że takowe napisy
> > istnieją.
> > Niestety, UPX 2.90 czyli najnowsza wersja dopiero co ściągnięta ze strony,
> > nie jest w stanie tego rozpakować, twierdzi że plik jest zmodyfikowany.
>
> Zainteresuj się więc programami typu ProcDump lub LordPE i pluginami do
> nich, które potrafią zrzucić prawidłowy obraz pliku z pamięci.
> Pogooglaj sobie i poszukaj haseł "upx generic unpacker"
>
> > Pewnie gdzieś suma kontrolna jest zmieniona i UPX się burzy... nie ma
> > opcji dekompresji "na siłę"... Czyli pozostaje żmudne siedzienie z
> > debuggerem w nadziei że w końcu dojdę do interesującego mnie miejsca :|
>
> Niekoniecznie. Prawdopodobnie ktoś użył jednego z wielu scramblerów do UPX.
> UPX jendak jest bardzo prosty do zdekompresowania. Znalezienie EP to
> kwestia 15min pod debuggerem, potem trio SI+IceExt+LordPE załatwia sprawę w
> ciągu kilku milisekund.

Milisekund.... :|  ....................

Pozdrawiam

Tomasz Maciąg napisał(a):
> Dnia 27-10-2006 o 19:45:23 Matuzalem <codemaster_@op.pl> napisał:
>
> > Wiem sprawdziłem też w "W32Dasm" i jest tak jak podajesz. Zostaje więc:
> > uszkodzenie pliku, zaszyfrowanie, kompresja, SEH, a najbardziej
> > - wydaje mi się - SMC.
>
> Domyślam się że SEH i SMC to jakieś zabezpieczenia, ale za cieńki jestem w
> tym temacie, nawet nie staram się tego zrozumieć.
>
> > Możesz spróbować, uruchomić SoftICE, może zadziała.
>
> Niestety nie działa. W momencie wejścia do debuggera (Ctrl+D) dostaję
> słynny niebieski ekran, a czasem od razu następuje reset kompa :/
>
> Jakieś inne?
> > np.
> > - OllyDBG,
> > - WinDBG,
> > - i multum innych :) ->
> > http://www.thefreecountry.com/programming/index.shtml
>
> Popatrzę i coś sobie wybiorę (chyba)
>
> >> I jeszcze pytanie na koniec: kiedyś miałem taki sprytny programik, który
> >> napuszczony na np. exeka potrafił podać czym był utworzony ten exe, a
> >> jeśli exe był jakoś zabezpieczony, to potrafił nawet podać czym to było
> >> zabezpieczane/spakowane. Znasz może taki program?
> >
> > Chyba chodzi Ci o: PEiD -> http://peid.has.it/
>
> Tak, to jest właśnie to. I ten program napuszczony na obiekt mojego
> śledztwa raportuje mi:
> UPX 0.80 - 1.24 DLL -> Markus & Laszlo
> Czyli plik jest zaszyfrowany i/lub skompresowany. I to by się zgadzało, bo
> nie mogę znaleźć w nim żadnych ciągów znaków, a wiem że takowe napisy
> istnieją.
> Niestety, UPX 2.90 czyli najnowsza wersja dopiero co ściągnięta ze strony,
> nie jest w stanie tego rozpakować, twierdzi że plik jest zmodyfikowany.
> Pewnie gdzieś suma kontrolna jest zmieniona i UPX się burzy... nie ma
> opcji dekompresji "na siłę"... Czyli pozostaje żmudne siedzienie z
> debuggerem w nadziei że w końcu dojdę do interesującego mnie miejsca :|
>
> --
> T.M.

Użyj np. ProcDump do zrzutu pamięci, odbuduj tablice importów,
zmień odpowiednio EP i powinno hulać... 

Pozdrawiam

Dnia 27-10-2006 o 23:33:44 Maciej Oszutowski <look@my.sig> napisał:

> Karta graficzna ATI? Jeżeli tak to się nie dziwię. W innym wypadku  
> oznacza to, że SI jest źle skonfigurowany.

Faktycznie mam kartę ATI :) Ale zaglądałem już w sekcję troubleshooting,  
było napisane coby powyłączać parę rzeczy, a i tak nie pomogło...

> Niekoniecznie. Prawdopodobnie ktoś użył jednego z wielu scramblerów do  
> UPX. UPX jendak jest bardzo prosty do zdekompresowania. Znalezienie EP to
> kwestia 15min pod debuggerem, potem trio SI+IceExt+LordPE załatwia  
> sprawę w ciągu kilku milisekund.

To chyba będzie zbędne - znalazłem automat niemalże typu one-click-button  
który to zrobił za mnie :D
Gdybym mógł, to człowiekowi który to napisał, postawiłbym flaszkę :) to mi  
oszczędziło kawał roboty!
Teraz spokojnie mogę się zabrać za analizę i patchowanie tej DLLki :)
Dzięki wszystkim za odpowiedzi!

-- 
T.M.

Dnia 27 Oct 2006 15:21:23 -0700, Matuzalem napisał(a):

>> Niekoniecznie. Prawdopodobnie ktoś użył jednego z wielu scramblerów do UPX.
>> UPX jendak jest bardzo prosty do zdekompresowania. Znalezienie EP to
>> kwestia 15min pod debuggerem, potem trio SI+IceExt+LordPE załatwia sprawę w
>> ciągu kilku milisekund.
> 
> Milisekund.... :|  ....................

A ile trzeba na wykonanie jednego dumpa?

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |

Użytkownik "Tomasz Maciąg" <niezla@zmylka.pl> napisał:


> UPX 0.80 - 1.24 DLL -> Markus & Laszlo
> Czyli plik jest zaszyfrowany i/lub skompresowany. I to by się zgadzało, bo
> nie mogę znaleźć w nim żadnych ciągów znaków, a wiem że takowe napisy
> istnieją.
> Niestety, UPX 2.90 czyli najnowsza wersja dopiero co ściągnięta ze strony,
> nie jest w stanie tego rozpakować, twierdzi że plik jest zmodyfikowany.
> Pewnie gdzieś suma kontrolna jest zmieniona i UPX się burzy... nie ma
> opcji dekompresji "na siłę"... Czyli pozostaje żmudne siedzienie z
> debuggerem w nadziei że w końcu dojdę do interesującego mnie miejsca :|

Wszystkie wersje UPX'a są w sieci. Ściągasz właściwą i rozpakowujesz bez
problemu.

-- 
Pozdrawiam  Remek

K7S5A, Duron 1.1, 192 MB RAM
Win98 SE, Outlook Express 6.0

Maciej Oszutowski napisał(a):
> Dnia 27 Oct 2006 15:21:23 -0700, Matuzalem napisał(a):
>
> >> Niekoniecznie. Prawdopodobnie ktoś użył jednego z wielu scramblerów do UPX.
> >> UPX jendak jest bardzo prosty do zdekompresowania. Znalezienie EP to
> >> kwestia 15min pod debuggerem, potem trio SI+IceExt+LordPE załatwia sprawę w
> >> ciągu kilku milisekund.
> >
> > Milisekund.... :|  ....................
>
> A ile trzeba na wykonanie jednego dumpa?

Dump tak, tyle, że w przytoczonym fragmencie nic o nim nie
wspominasz... - milisekund do czego...?

Pozdrawiam

Dnia 28 Oct 2006 03:15:11 -0700, Matuzalem napisał(a):

> Dump tak, tyle, że w przytoczonym fragmencie nic o nim nie
> wspominasz... - milisekund do czego...?

Milisekund do otrzymania działającego rozpakowanego exeka.
Sądziłem że połączenie SI, IceExt i LordPE mówi samo za siebie...
W wypadku UPX zazwyczaj nie trzeba nic ręcznie poprawiać - wystarcza
rebuild który robi LordPE.

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |

Maciej Oszutowski napisał(a):
> Dnia 28 Oct 2006 03:15:11 -0700, Matuzalem napisał(a):
>
> > Dump tak, tyle, że w przytoczonym fragmencie nic o nim nie
> > wspominasz... - milisekund do czego...?
>
> Milisekund do otrzymania działającego rozpakowanego exeka.
> Sądziłem że połączenie SI, IceExt i LordPE mówi samo za siebie...
> W wypadku UPX zazwyczaj nie trzeba nic ręcznie poprawiać - wystarcza
> rebuild który robi LordPE.

ReBuild...? na UPX-ie...? a nie lepiej po prstu ściągnąć UPX-a i
rozpakować (UPX posiada opcje dekompresji)

Pozdrawiam

Dnia 28 Oct 2006 09:56:53 -0700, Matuzalem napisał(a):

> ReBuild...? na UPX-ie...? a nie lepiej po prstu ściągnąć UPX-a i
> rozpakować (UPX posiada opcje dekompresji)

Czytałeś cały wątek?

-- 
|   Maciej Oszutowski   | Mowa jest srebrem  |
| imagiATpsytranceDOTpl | a milczenie owiec. |

Maciej Oszutowski napisał(a):
> Dnia 28 Oct 2006 09:56:53 -0700, Matuzalem napisał(a):
>
> > ReBuild...? na UPX-ie...? a nie lepiej po prstu ściągnąć UPX-a i
> > rozpakować (UPX posiada opcje dekompresji)
>
> Czytałeś cały wątek?

iiiii..... ? :] - dobra super jest dzieki za rozmowe.

Pozdrawiam