Мастера DELPHI (документация, исходники, скачать)

Основная («Начинающим»)/ Базы / WinAPI / Компоненты / Сети / Media / Игры / Corba и COM / KOL / FreePascal / .Net / Прочее / RSDN.ORG

« предыдущая ветвь | форум | следующая ветвь »

OEP [D1, D2, D3, D4, D5, D6, D7, Win95/98, WinME, NT4, Win2k, WinXP]

Страницы: 1 2 >
iNBox © (2004-12-27 09:04:00)
Здраствуйте мастера, у меня к вам вопрос,как можно за XOR-ить первые 10 байт точки входа в программу?

n0name (2005-01-01 18:53:00) [1]
Наверно ты недопонимаешь как работают пакеры.
Сначала они сжимают код и данные. EP изменяют на свой код, распаковывающий секции и потом передают управление на старый EP.
Если интересно на wasm.ru есть статья "Об упаковщиках в последний раз" Володи.

g-l-u-k (2005-01-01 17:03:00) [2]
Тогда как можно решить эту проблему?

n0name (2005-01-01 10:54:00) [3]
Может не работать, так как не подкорретированны адреса, например код обращается к данным из .data. А после сжатия он будет обращаться по тому же адресу но этих данных скорее всего уже может не быть.

g-l-u-k (2004-12-31 21:10:00) [4]
По идее работать должно т.к. я не трогаю .rsrc секцию и секцию распаковщика.Спасибо за помощь.

n0name (2004-12-31 18:07:00) [5]
А чё рассказывать?
Создаешь секцию размером равным сумме размеров всех секций и выравненную на VirtAlgin и FileAlign. Устанавливаешь параметры на Запись+Чтение+Выполнение. Записываешь туда все секции. Но это тоже скорее всего не будет работать.

g-l-u-k (2004-12-31 17:22:00) [6]
C OEP разобрался,вы были правы после его шифровки запакованная прога не может запустить загрузчик.А старый EP у меня и так меняется на новый так что его мне не надо шифровать.Про слияние секций можете по подробнее,а то смутно себе это представляю.Где-то на Cracklab'е я читал про это но там это мутно описанно было.

n0name (2004-12-31 06:58:00) [7]
Если зашифровать первые n(n>0) байт exe по адресу EP, то загрузчик передаст управление на зашифрованный код. А кто знает как он будет зашифрован, может быть там было push ebp, а станет out 1, al например.

Может надо зашифровать старый EP, изменить его на новый, в котором будет происходить расшифровка старого и передача управления на него?

>>g-l-u-k (28.12.04 20:15) [18]
А какая разница? В какой они идут, так и засовывай.

g-l-u-k (2004-12-28 20:15:00) [8]
У меня все файла обработанные FakeSignзагружаются и выполняются нормально.Тогда я попробую поставить вопрос по другому.В какой последовательности можно засунуть все секции кроме .rsrcв одну секцию.

Digitman (2004-12-28 15:11:00) [9]

> g-l-u-k (28.12.04 14:29) [15]

посмотрел.
как и ожидалось, сие творение гадит исп.файл напрочь: после обработки загрузить и выполнить такой ехе-файл невозможно

еще раз повторяю - после "проксорки" код превратится в мусор.

Просто Джо (2004-12-28 14:38:00) [10]

если бы программы действительно не работали после такого рода обработки я бы и не спрашивал.

Новое слово в создании полиморфного кода -- проксорить все нахрен!
Я ПЛАКАЛЪ

g-l-u-k (2004-12-28 14:29:00) [11]
если бы программы действительно не работали после такого рода обработки я бы и не спрашивал.Digitman посмотри программу DotFix FakeSign там как раз такая защита применяется (P.S. freesoft.ru)

Digitman (2004-12-28 08:12:00) [12]

> g-l-u-k (27.12.04 19:57) [12]

а программа-то как работать у тебя будет после этого, если вместо осмысленных кодов маш.инструкций управление при старте будет передано на участок секции кода, содержащий галиматью ?

g-l-u-k (2004-12-27 19:58:00) [13]
признаюсь iNBox и g-l-u-k :- одно лицо.

g-l-u-k (2004-12-27 19:57:00) [14]

> Хех.
> Изменение EP это не только вир. технология.
> Напрмер может нужно для пакера.

n0name ты случайно у Настродамуса уроки не берёшь?

Да действительно я пишу пакер,и пусть скрытие EP звучит "неумно".Теперь обесню для чего мне это нужно:если я закриптую первые 10-20 ,точки входа это может обломать начинающих крякеров.

Игорь Шевченко (2004-12-27 15:25:00) [15]
n0name (27.12.04 14:51) [9]

Ты меня, конечно, извини, но для пакера вопрос "скрыть исходную EP XOR'ом" звучит как-то неумно.

С уважением,

Digitman (2004-12-27 15:13:00) [16]

> n0name (27.12.04 14:51) [9]

вот ты бы лучше вместо претензий на Нострадамуса в [5] и спросил бы у автора, не пакер ли он "лепит" XOR'ами (во что поверить ой как не легко).. и если не троян - "развел" бы автора на понимание того что ему нужно ВООБЩЕ .. и в какую сторону ему копать .. а то сразу - маппинг и иже с ними)

n0name (2004-12-27 14:51:00) [17]
Хех.
Изменение EP это не только вир. технология.
Напрмер может нужно для пакера.

Игорь Шевченко (2004-12-27 12:51:00) [18]
Эта....вирусы в другом месте пишем.

n0name (2004-12-27 12:48:00) [19]
>>2)EXE'ник на диске.
:)

А что ему требуется вообще непонятно :)
Если зашифровать первые n(n>0) байт exe по адресу EP, то загрузчик передаст управление на зашифрованный код. А кто знает как он будет зашифрован, может быть там было push ebp, а станет out 1, al например.

Digitman (2004-12-27 11:40:00) [20]

> n0name

телепат ты наш) ..
а через пару постов выяснится, что программа - это ехе-файл на диске (слава богу что не на Луне) .. и автору требуется совершенно иное ..

Страницы: 1 2 >

Наверх

	« предыдущая ветвь \| форум \| следующая ветвь »