CrackMe - VERY HARD!

P

PMTheQuick

0
Hi, :D

hier ein sehr sehr schweres CrackMe von mir! Gar nicht einfach.

REGELN:
- Alles ist erlaubt, Hauptsache man findet einen Lösungsweg.

Sprache: PureBasic
Schwierigkeit: Extrem

Es ist mit vielen Methoden geschützt. Wetten, dass die ganze Community versagt :D

Gruss
PMTheQuick ;)
 
Original von PMTheQuick
Keine Ahnung vielleicht :D Auf jedenfall is es sehr sehr extrem die Schutzmethode :D

Gruss
PMTheQuick ;)
Zum Vergrößern anklicken....

Ironie ?

GRATULATION! DU HAST ES GESCHAFFT!
Poste im Forum den Crack und schreibe dazu diesen Code: 144
 
Und was genau soll daran nun Dein Verdienst sein? Oder das Ziel? Möglichst viele Protectoren aneinander zu hängen (signatur sagt irgendwas "oreans", wofür auch die Codevirtualisierung spricht)? Wobei der OllyExploit natürlich sehr nett ist.
PS: wozu die Rumkopiererei in den Windows Ordner und C:\;C:\Dokumente und einstellungen ?
 
Was? xD Zu Verdienst: Ich wollte mal schauen, ob das jemand hier geknackt kriegt, wiel dass is recht derb. Olly Exploit, Entry POint Verschiebung etc. Blub.txt: Wie hast du das gemacht? xD

Gruss
PMTheQuick ;)

EDIT: Zu rumkopiererei. Dass is wegen MD5 Fingerprint :D Somit is es auch noch ne Art Anti-Patching :D
 
Wie hast du das gemacht?
Zum Vergrößern anklicken....
Er hat wahrscheinlich die Anwendung im Debugger erst nachträglich geöffnet - dadurch macht der Exploit (den man überigens auch in Olly korrigiren kann) nichts. Wobei der Code eher an Zufallszahlen erinnert ;)
 
Tja. Ein Paradebeispiel dafür, dass man auch selbst als Programmierer ein Schutzsystem anstrengen muss und nicht alles einer kommerziellen VM anvertrauen darf. In diesem Fall CodeVirtualizer von Oreans, zusammen mit TheMida.
Egal wie ausgeklügelt die Anti-Dump Methoden auch sein mögen. Den Speicher eines Prozesses wird man immer irgendwie auslesen können. Notfalls mit WinDbg.

Zwar sind die Codeportionen aufgrund der VM nur mit Mühe zu reversen, aber die Strings liegen hier im Plaintext vor und können aus einem RAW-Dump ausgelesen werden.
 
Nein. Die richtige Seriennummer ist immer gleich! Also nur eine gültige. Das mit Zufall ist nur wegen dem Final-Code, zum prüfen ob hier niemand irgendwie gemogelt hat :D (z.b. ich habs geschafft juhu :D )

EDIT: ATTO: Hm... Sollte ich es in Chr(9)+Chr(10)+... abspeichern? Wäre dies besser? Oder wie könnte ich auch dies noch verhindern? Zu Themida: Stimmt übrigens :D Aber ich habe jetzt ehct gedacht das seie unknackbar. Tja, Wette verloren :D
 
@Atho: ich konnte das ganze recht bequem in Olly debuggen ;) - über das nachträgliche Attachen. Allerdings ist Themida scheinbar auch nicht mehr das ist, was es mal war (die vertrauen imho zu recht auf die VM) - oder gibt es da immer noch den sehr paranoiden/instabilen Ring0 Schutz ?

ollte ich es in Chr(9)+Chr(10)+... abspeichern?
Zum Vergrößern anklicken....
Das Endergbnis ist exakt dasselbe.Nur der Quellcode ist schwerer zu lesen. Wobei die SDK da doch was anbieten sollte - ExeCrypter SDK bietet afaik z.B solche "sicheren" Strings an, die nur bei Gebrauch entschlüsselt und danach wieder verschlüsselt werden. Genauso wie "sichere" Datumfunktionen und noch irgendein Zeug.
 
@Atho: ich konnte das ganze recht bequem in Olly debuggen Augenzwinkern - über das nachträgliche Attachen. Allerdings ist Themida scheinbar auch nicht mehr das ist, was es mal war (die vertrauen imho zu recht auf die VM) - oder gibt es da immer noch den sehr paranoiden/instabilen Ring0 Schutz ?
Zum Vergrößern anklicken....

Der Ring0 Part wurde entfernt AFAIK. Jedenfalls weit und breit keine oreans.sys mehr zu sehen (und kam auch kein modul dazu). Würde TheMida dort rootkit-ähnliche Funktionen haben, hätten wir denke ich schon längst einen SonySkandal. :D

Bei mir hat irgendein Thread von TheMida sich selbst sofort nach dem Starten von OllyDbg gekillt.
Habe jedenfalls kein modifiziertes Olly mit geänderten Fenster-Titeln und anderen Modifikationen zur Hand.
 
Original von +++ATH0
Bei mir hat irgendein Thread von TheMida sich selbst sofort nach dem Starten von OllyDbg gekillt.
Habe jedenfalls kein modifiziertes Olly mit geänderten Fenster-Titeln und anderen Modifikationen zur Hand.
Zum Vergrößern anklicken....

Kein Wunder. Das killt sich selber, wenn es nen Debugger erkennt. Oder, es bringt den Debugger zum abstürzen :D

Gruss
PMTheQuick ;)
 
Aehm, laesst sich recht einfach patchen:

00401564 /0F84 8D000000 JE CrackMe.004015F7
-> NOP

Code: 
Serial: ok
GRATULATION! DU HAST ES GESCHAFFT!
Poste im Forum den Crack und schreibe dazu diesen Code: 1296

oder

Serial = "EnormSchwerDiesesCrackMeZuKnacken!" (ohne ")

Code: 
Serial: EnormSchwerDiesesCrackMeZuKnacken!
GRATULATION! DU HAST ES GESCHAFFT!
Poste im Forum den Crack und schreibe dazu diesen Code: 2664


@CDW: was fuer ein exploit? Mir ist nichts aufgefallen.
 
@CDW: was fuer ein exploit? Mir ist nichts aufgefallen.
Zum Vergrößern anklicken....
Olly säuft ab (Shadow mit Advanced Plugin+Korrekturen wie auch original Olly), sobald er versucht, am Anfang den Code zu Disassemblieren (d.h ich muss manuel erstmal im Dumpfenster zu der Stelle springen und paar Bytes korrigieren, bevor ich im Disassemblefenster zu der Stelle wechseln kann).
 
Olly säuft ab (Shadow mit Advanced Plugin+Korrekturen wie auch original Olly), sobald er versucht, am Anfang den Code zu Disassemblieren (d.h ich muss manuel erstmal im Dumpfenster zu der Stelle springen und paar Bytes korrigieren, bevor ich im Disassemblefenster zu der Stelle wechseln kann).
Zum Vergrößern anklicken....

Ich habe mein Olly daher so [1] gepatched. Natürlich könnte man den Part auch händisch nullen / noppen, aber ich bin mit dieser nachhaltigen Lösung ganz zufrieden. ;)

[1] http://www.woodmann.com/forum/showpost.php?p=66037&postcount=5
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben