[Unpacking] Vodafuck (tElock 0.99)

Stato
Discussione chiusa ad ulteriori risposte.
Ordina per data Ordina commenti per reazioni
P

Predator

Utente Storico
11 Giugno 2007
3,203
47
1,268
900
:ivist:
in rispetto delle regole inserite da Ctrl_alt_canc, vediamo come eliminare la protezione applicata al suo bel programma Vodafuck :D
e lo faremo tutto manualmente, senza bisogno di unpacker già pronti (se ce ne fossero)
procuriamoci il programma scaricandolo da
http://ctrlaltcanccorp.altervista.org/flatnuke-2.5.8.1/index.php?mod=Vodafuck
poi assicuriamoci di avere i seguenti tool
-OlllyDbg (poteva mancare?)
-RDG Packer Detector oppure PeID
-ImportRec

una volta scaricato analizziamolo con RDG Packer Detector
ci dice tElock 0.99
come sicuramente sapete tElcok 0.99 è un ottimo packer con diverse funzionalita' tra cui controlli CRC per verificare se ci sono alterazioni del file. Ma non solo il file fisico ma addirittura in memoria, pertanto non ci permette nemmeno di applicare brekpoint come vogliamo.
Ma noi lo elimineremo con estrema facilita'.

in questo tutorial non mi dilunghero' a descrivere dettagliatamente il funzionamento di tElock, che si sarebbe molto da dire (lo vedremo prossimamente)
Ora mi limitero' ad indicarvi la strada piu' rapida per eseguire l'unpacking del Vodafuck.

-Apriamo il vodafuck in olly
-prima di tutto sistemiamo le eccezioni nel modo adeguato a combattere questo packer
premete ALT+O
nella scheda Exception impostate come da immagine
01exception.jpg

premete OK

-Ora premiamo SHIFT+F9 per 20 volte!
in pratica bypasseremo tutte le eccezzioni ed arrivare al punto giusto
sarete qui su 447810
02pb.jpg

come da immagine piazzate un brekpoint su
Codice: 
0044781B    61                POPAD
ora premiamo SHIFT+F9 una sola volta, e saremo fermi all'offset 0044781B , ovvero dove abbiamo appena messo il bpx.

-Ora togliamo il brekpoint
-premiamo CTRL+F9 (per arrivare al primo RETN)
vi ritroverete qui
Codice: 
004478D4    C3                RETN
-premete F8 una sola volta per entrare nella funzione
a questo punto telock ha già decompresso molto del codice ma non è finita,
-premete tante volte fino ad arrivare al primo JMP dopo il POPAD, cioè
premiamolo per 29 volte, a questo punto sarete su
Codice: 
004477B5  - FF6424 D0         JMP     DWORD PTR SS:[ESP-30]
-ora premiamo una sola volta F8 per eseguire il jump sul quale siamo posizionati
TADAAANNNN ora siete nell'OEP!!! praticamente tutto è decompresso in memoria e pronto ad essere dumpato, poi non ci restera' che ricostruirlo con ImportRec
-bene effettuiamo il dump: da olly menu Plugins->Olly Dump->Dump debugged process
avrete anche voi questa schermata
03dump.jpg


-ricordatevi di togliere lo spunto da Rebuild import.

-annotiamo il valore del nuovo EP (1A989), premiamo [Dump] e salviamolo con il nome che ci pare io lo chiamo dump.exe
-ora SENZA chiudere olly apriamo ImportRec e selezioniamo il processo vodafuck.

- in OEP al posto dell'attuale valore inseriamo quello da noi trovato prima, cioè 1A989
- Premiamo [IAT AutoSearch]
- ImportRec dirà: Found Address which may be the Original IAT try 'Get Import'.....
-Premiamo [OK]
-Ora premiamo [Get Imports]
-appariranno le imports sistemate con un bel YES alla fine
-premiamo [Fix Dump]
-scegliamo il file dumpato prima (nel mio caso dump.exe)
-nel log leggeremo: C:\Downloads\Vodafuck\dump_.exe saved successfully.

- bene il gioco è fatto, chiudiamo ImportRec ed Olly
- testiamo il nostro nuovo file dump_.exe (doppio click) evvai si esegue :D
- provate a verificarlo con RDG e sta volta vi dira' che è fatto con Visual Basic e come packer Nada. E la dimensione sara' salita da 74.5 Kb agli originali 296 Kb

ora potete reversarlo ed eliminare la schermata iniziale dove chiede di premere i banner :tongue1: :tongue1: :tongue1:

Predator
 
oh dio esiste....nn avevo mai trovato una guida esauriente al telock :D:D grande pred

eccezioni si scrive con una Z sola ^^

cmq nella prossima versione,in tal caso,escogito un sistema per rovinarti la festa :D se bypassi la schermata banner,non si avvia il prog ^^ ho gia una ideuzza

[ot] dillo,t sei sentito una cacca a non aver rimosso a mano la schermata e chiedendomelo...XD[/ot]
 
ctrl: huahauahuauhauahuahaua
lo scopo principale era un minitutorial su tElock 0.99 :tongue1:
ma io non volevo rimovessi la schermata tu, ricordi? :grin1:
infatti qui non ho scritto nulla a riguardo hehehe
cito la messenger chat

ctrl_alt_canc: se woi ti do un exe senza il form
Predator: fa lo stesso thx ^^
ctrl_alt_canc: na,te lo passo 2 sec

:D
 
sisi è vero...pero la domanda era tendenziosa :fattbe: non dico nulla eh...scelta mia...xò io penso che poi ti sei pentito di aver fatto quella considerazione e hai detto...mbè? lo sproteggo e via...^^

W telock..e a breve una piccola protezione (ma ora che ci penso è facile da aggirare...2 minuti che allego a questo post l'exe modificato come dico io...te devi provvre a togliere il form dei banner (non lo proteggo neppure)...[attachment=710]
 
ma lol... bravo pred bravo, in effetti quella schermata è mooolto fastidiosa :asd: scherzo ctrl, li clicco i banner li clicco^^
 
guarda.... su 1000 protezioni o cose che puoi fare e/o mettere lui è capace di superarne 999.5 LOL
 
non penso di aver fallito
http://www.nexenteam.net/predator/reversing/crack/VodafuckREV_crk.rar

ho provato ad inviare sms e funziona.
 
azz come sei riuscito a far partire il form senza la dichiarazione della initcommoncontrol?? dovrebbe dare errore (pkè ha lo styleXp integrato,in cui il manifest è una risorsa)
 
in ogni caso quello che ho fatto ha mantenuto pure lo stile del programma, pertanto 100% cracked :D
ctrl sottovaluta il lato oscuro della forza LOL
 
Stato
Discussione chiusa ad ulteriori risposte.
Top Bottom
Indietro