Ovo nisu ukradeni bajti .


004435C7 |. 59 POP ECX ; ANYDVD_5.004435D6
004435C8 |. 59 POP ECX ; ANYDVD_5.004435D6
004435C9 \. C3 RETN

004435CA 00 DB 00 ; stolen bytes
004435CB 00 DB 00
004435CC 00 DB 00
004435CD 00 DB 00
004435CE 00 DB 00
004435CF 00 DB 00
004435D0 00 DB 00

004435D1 . E8 72460000 CALL ANYDVD_5.00447C48 ; end of stolen bytes
004435D6 . BF 94000000 MOV EDI,94



Meni to izgleda kot 7 stolen bytes .


Kako pridemo do sem ? Alt+K (Call Stack) , glej "Called from" , vidimo da je klican od 004435D1 .

Call stack of main thread
Address Stack Procedure / arguments Called from Frame
006CFDB8 004435D6 ANYDVD_5.00447C48 ANYDVD_5.004435D1 006CFE38



Poslednji exception :


00E339EC 3100 XOR DWORD PTR DS:[EAX],EAX ; we are here
00E339EE 64:8F05 00000000 POP DWORD PTR FS:[0] ; 006CFF68
00E339F5 58 POP EAX ; 006CFF68
00E339F6 833D B07EE300 00 CMP DWORD PTR DS:[E37EB0],0
00E339FD 74 14 JE SHORT 00E33A13 ; press F2 here
00E339FF 6A 0C PUSH 0C
00E33A01 B9 B07EE300 MOV ECX,0E37EB0



Stisni F2 na 00E339FD 74 14 JE SHORT 00E33A13 (adresa če biti drugčija !) , onda Shift+F9 , disable F2 , Alt+M (memory bp on access na "code" section) , Alt+C (nazaj v CPU Window) ,
Ctrl+T :
[Condition is TRUE] esp==ebp


V "Debugging options" -> "Trace" označi samo "Log commands" , "Show ESP" .

Onda Ctrl+F11 (više puta če se ustaviti ). Pritiskaj Ctrl+F11 dokler ne prideš do fake OEP.

Small tut for OEP .

Stolen bytes so dobljeni iz Log Window nakon trace-anja sa Ctrl+F11 i memory bp na code section. (Meni View -> Run Trace) .[Za boljšo razpoznavnost : desni klik "Highlight register" -> ESP] . Greš na čisto spodaj kjer piše 0 ,onda pritiskaj "Page Up" dokler ni konec REP STOS BYTE PTR ES:[EDI]

Pri meni so na 5413 in 5412 stolen bajti (v rdeči barvi).

hvala na odgovoru!

Da da sad mi je jasno, mislio sam da se u trace log uvek trazi EBP=ESP ali vidim da to nije slucaj. Ali nisam uspeo da popravim IAT evo sta sam uradio:

- nop magic call
- trace level 1 dissasemble
- plugin tracer ASProtect 1.22

ali program se gasi bez ikakve poruke.


Pozdrav.

Stolen bytes so iz "Trace Log" . Aspr "zjebe" IAT , tako da moraš ručno provjeriti od kod do kod je IAT (ako popravljaš sa ImpRec) traži FF 25 i onda "folow in dump memory address"
-------------------------

iat:


start:
454000 (454000 - 400000 = 54000 -> vpišeš v RVA input box)

fin:
45428c


size : fin - start = 45428c - 454000 = 28c

Nešto tebi nije jasno . Ovo si napisao:

- nop magic call
- trace level 1 dissasemble


------------------------------
Ako loadaš AnyDVD (pakirano verzijo) brez NOP-anja Magic CALL , a onda Imprec -> (vpišeš OEP) -> IAT Auto Search)

Ima 95 "unresolved pointers" !

------------------------------


2 Way : NOP Magic CALL


(V Debugging Options -> Exceptions -> Ignore memory access violation in KERNEL32 ; samo ovo mora biti označeno)

Loadaš "AnyDVD.exe" v ollydbg ,F9 , Ollydbg se ustavi na :

Message=Access violation when writing to [00000000]

, stisni tipko "Home" , Ctrl+B -> HEX+00 vpišeš ovo: 8B 17 89 02


009932B4 E8 47FCFFFF CALL 00992F00
009932B9 E8 7EFEFFFF CALL 0099313C ;Magic CALL , daj bp (F2) ovdje
009932BE 8B17 MOV EDX,DWORD PTR DS:[EDI] ; we land here

Onda Shift+F9 (okoli 19 krat) dokler ne brejka na Magic CALL .
Desni klik -> Binary -> Fill with NOPS .

Pritisni F9 , onda " - " (minus , koji je na desni strani tipkovnice) , označi ove 4 NOP-e , desni klik -> Undo

selection . Onda slijedi procedura kao na početku , dokler nisi na fake OEP.

Pravi OEP :

004435CA > 6A 60 PUSH 60 ;
004435CC 68 085C4500 PUSH AnyDVD.00455C08


Popravi da izgleda kao ovdje (v Ollydbg) .

Kad si sredio OEP , klik na 004435CA , potem desni klik -> New Origin here .
Dumpaj sa Ollydump. Loadaj Imprec . (upišeš za OEP 435CA (offset) , a onda može i IAT Auto Search).

Ovo piše v LOG-u (v ImpRec):

Current imports:
4 (decimal:4) valid module(s) (added: +4 (decimal:+4))
9E (decimal:158) imported function(s). (added: +9E (decimal:+158))
(6 (decimal:6) unresolved pointer(s)) (added: +6 (decimal:+6))


Onda Klik na "Show Invalid" -> desni klik -> Plugin Tracers -> ASProtect 1.23 rc4 .

Ostati če još samo jedan (1) "invalid pointer":

Ponovno klik na "Show Invalid" -> desni klik -> Plugin Tracers -> ASProtect v1.2x Emul API . Izkaže se, da se radi

o user32.dll / DialogBoxParamA.


Programeri se stavili još nekoliko trika ,da ne možeš loadati razpakirano verzijo . Preimenuj "AnyDVD.exe" ->

"xxAnyDVD.exe" ; potem "dump_.exe" v "AnyDVD.exe" .

Ima još nekoliko trikova ovdje (sam češ jih vrlo brzo nači)