Arthi´s Crackme M1A -SOLVED by CDW !

Ich will es mal so sagen :

Nach Stripper ist der Assemblercode etwas kryptischer, obwohl die Exe danach funktioniert !
 
Aber irgendwie zickt dann Olly etwas rum.
Zum Vergrößern anklicken....

Was ist los mit Dir ?
Normalerweise schaffst Du meine Crackmes in weniger als 10Min !

PS: Bin schon an der "2ten Version" dran. Und eins ganz ich sagen, der Algo wird DEUTLICH komplexer sein !
:D
 
Original von CDW
Was ASProtect2.0 problemlos geknackt ?
Zum Vergrößern anklicken....
EDIT: habe mal eine Chinesische Version gefunden und irgendwie auf Anhieb auch "entpackt" (obwohl auf den Schaltflächen nur ?? zu sehen war :D)
Aber irgendwie zickt dann Olly etwas rum.
Zum Vergrößern anklicken....

Hi CDW
könntest du mal die Chinesische Version uppen bitte!
So würde ich nur ein loader basteln zum patchen,würde aber gerne ne serial fischen,bloß bin kein freund von manual ASProtect2.0 unpacken!
Ps funzd denn die exe zu staren nach dem du den Chinesische ASProtect2.0 unpacker genutz hast?
Greetz
KinGSuperFly
 
Patch kannst Du gerne haben, der Algo ist im Prinzip: 40*49*3*11 und dann mal (vorher berechnete Zahl, mit Power gearbeitet)->Ergebnis:1.2717837624758762110E+82

Die vorher berechnete Zahl: 9 hoch 9 =387420489 nochmal hoch 9=1,9662705047555291361807590852691e+77

So, am Ende wird dann die Floatzahl, so wie sie ist mit der Eingabe verlgichen... Und die akzeptiert irgendwie kein 1.2717837624758762110E+82 ;).

Edit:

@King:Downloadlink: http://dxsh1.26down.com:8081/stripper_v211rc2_kungbim.rar
frag mich aber nicht was ich geklickt habe ;)
das Fishen ist recht einfach - nur komme ich nicht drauf, wie ich die Serial eingeben soll. Aber den Patch (für "originalverison" ;) ) werde ich mal machen.
 
Hi CDW =)
erst mal ein dickes danke schön an dich!
ich werde nachen essen kochen mal gucken ob es workt :D
werde mich später zum abend hin mal melden ob ich es schaffe =)
Zu der serial berechnung beste wird wohl sein satre melded sich mal zu deiner vermutung währe ja blöde wenn man die serial nicht eingeben kann!
Dann würde ein patch bzw loader ja REICHEN :]
Greetz
SuperFly
 
Sorry, aber der Serial ist leider falsch !

Es gibt nur EINE richtige Seriennummer. Ist diese eingegeben, bekommst Du eine Bestätigung.
 
Sorry, aber der Serial ist leider falsch !
Zum Vergrößern anklicken....
ich habs schon stark vermutet. Vielleicht auch nur ein Ablenkungsmanöver. Aber vorerst sollte auch dieser Loader reichen (funktioniert mit Originaldatei, soviel zu ASProtect ;) )
Er setzt voraus,dass euer Rechner schnell genug ist, das Crackme innerhalb von 2 Sekunden gestartet zu bekommen. Dann akzeptiert es jede Eingabe ;)
Source und Makeit.bat liegen bei.
 
Original von CDW
Was ASProtect2.0 problemlos geknackt ?
Zum Vergrößern anklicken....
muss man das? Ich weiß wo der Vergleich stattfindet, ich kann den patchen ;). Ich war mir nur nicht sicher, ob man es mit Eingabe lösen kann - denn es werden zwei unterschieldiche Typen verglichen (String und vermutlich eine Realzahl). Die VB-Namen sind da nicht gerade aussagefreudig und eine Doku vermisst man auch ;) Aber ich schau mir das gleich nochmal an.

Frage zu den Stripper: funktioniert die Exe danach oder ist es wirklich "Müll"? Weil nach meinen Experimenten gestern habe ich mir gedacht, dass da bestimmt sowas wie "Stolenbytes" verwendet werden und damit das Entpacken nciht ganz so einfach ist (wobei man immer noch bequem alles Debuggen kann ;) )

EDIT: habe mal eine Chinesische Version gefunden und irgendwie auf Anhieb auch "entpackt" (obwohl auf den Schaltflächen nur ?? zu sehen war :D)
Aber irgendwie zickt dann Olly etwas rum.
Zum Vergrößern anklicken....

mal ne noobfrage: wenn ich den olly an das crackme attache, lande ich in ntdll, wie komme ich von da aus in das crackme zurück?
 
Super gemacht, CDW. Du bist wahrlich ein absoluter Profi !

Unglaublich wie leicht man ASProtect mit ein paar Zeilen Assemblercode umgehen kann !
8o
 
Hallo CDW,

kannst du mir das mit dem Loader mal näher erklären?
Also, wie kamst du überhaupt bis zum Loader schreiben bzw was genau macht der Loader?

Erkläre doch mal, wie du an die Lösung bzw das CM rangegangen bist.
Loader sind auch für mich Neuland.

Ich frage auch deshalb, weil ich mir das File mit dem Asprotect-CRC Check Locator angesehen habe.

Code: 
[OK] Analysing File...
Kopie von Arthis_Crackme_M1A.exe
[OK] Found PE signature
[OK] Running process...start searching...
[OK] Found something! Here is patch info for your loader:
------------------------------------------------------------
VirtualOffset  : 00D61504
Original Bytes : 53 56 57 8B FA
Patch with this: 8B 44 24 14 C3

Kann damit aber gar nichts anfangen.

Gruss

root
 
Hi das ist doch easy zu verstehen SUID :D
ein loader patch dein Hauptspeicher wenn dich das app entpackt hat!
VirtualOffset ist deine adresse wo du patchen möchtest!
Die original bytes findest du doch unter binäre in Olly and der gwünschten adresse!
Und die patched byte sollten sich erklären von selbst!
Habe aber mal ein tut für dich für Armadillo und Asprotect loader making mit Source aber Delphi,aber sollte dir trotzdem helfen es zu verstehen!
http://rapidshare.de/files/5828466/ASProtect.and.Armadillo.loader.rar.html
 
Du bist wahrlich ein absoluter Profi
Zum Vergrößern anklicken....
übertreibs nicht ;)
wenn ich ehrlich sein soll, hatte ich die Stelle gestern nach 20 Minuten schon, mich hats aber gereizt die Serial herauszufinden. Könntest Du vielleicht die Stelle posten? Dann könnte ich mich (und wohl auch andere) über die VB-internen Strukturen weiterbilden. Irgendwie sehe ich dass eine Zahl berechnet wird - (immer gleicht. Und dann wird es mit der Eingabe verglichen - und mein Pascalerbe schlägt hier bei mir durch ;): bei Pascal konnte man keine Variablen vergleichen, die nicht vom selben Typ waren. Deshalb überlege ich auch die ganze Zeit, ob ich richtig lag oder nicht.

Zum Loader: das war mal ein Loader/Grundgerüst für:
http://hackerboard.de/thread.php?threadid=19861
da ist auch nicht alles entfernt worden(faulheit)

Was der Loader macht ist im Prinzip auch mit C/Pascal usw möglich:
einmal CreateProcess (das Crackme starten). Dann mit Sleep 2 Sekunden abwarten bis es sich entpackt hat (also weder Debugmodus noch sonstiges, man könnte natürlich auch mit FindWindow nach dem Crackmefenster suchen). Dann sehe ich gerade Überbleibsel aus dem anderen Code (werde gleich mal den Anhang editieren). Es bleibt nur noch mit WriteProcess zwei nops reinzuschreiben. Wenn man mit Olly an diese Stelle geht, sieht man auch warum.

Zu Deiner anderen Frage, root: keine Ahnung, ich habe hier auch andere Bytes stehen (wohl, weil im Olly etwas verschoben geladen wurde). Ich habe mir nur gedacht, dass der Schutz bestimmt nicht zur laufzeit die CRC überprüfen wird ;). Was dir der Locator rät wäre diesen Code
Code: 
00D34A20    53              PUSH EBX
00D34A21    56              PUSH ESI
00D34A22    57              PUSH EDI
00D34A23    8BFA            MOV EDI,EDX

mit diesem:

00D34A25    8B4424 14       MOV EAX,DWORD PTR SS:[ESP+14]
00D34A29    C3                   RETN
zu überschreiben (wozu auch immer ;) )
Loader sind auch für mich neu - in der erwähnten Crackme habe ich das mal "Spasseshalber" gemacht, zumindest was ich mir unter einem Loader vorstelle. Ich hab mir dann bei dieser Crackme gedacht, dass es auch funktionieren müsste.

EDIT:so, den anderen Anhang habe ich überarbeitet. Zu KingSuperflys Post kann ich nicht viel hinzufügen. Wie ich an die CM vorgegangen bin, ist in der Txt Datei.
 
Hallo Kingsuperfly, CDW.

@KingSuperfly: Ja, die Funktionsweise eines Loaders ist mir in etwa bekannt.
Allerdings war mir nicht klar, warum ich diese Bytes patchen soll.
Ich werde mir dein Tut gleich mal runter laden und ansehen. Delphi ist okay. Ich mag Delphi. =)

@CDW: Auch dir ein Dankeschön. Werd mir das jetzt ebenfalls mal ansehen.
Werde mich dann wohl noch mal tiefer einarbeiten müssen.
Achja: Sei nicht immer so bescheiden ;) :P

Gruss

root
 
Hi Suid:root =)
hätte noch ein super easy loader maker in meiner schatzkiste.
Der R!SC'sProcessPatcher ist nicht zu verachten ,bloß mußte da mit der zeit spielen wenn er patchen soll,mußte ein wenig testen da jeder pc nicht gleich schnell eine app started und in den Hauptspeicher schreibt!
Denke somit hast nun genug infos ,einfach mal die readme zu dem tool lesen bzw sich die exampel ansehen!
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben