Illusion1

[Xylon]

Ich hab mir nochmal den Spaß gemacht ein CrackMe zu schreiben ich hoffe ihr habt auch euren Spaß daran
-Nicht gepackt
-Schwierichkeit?!?!Sagt ihr es mir.Der Algorhytmus ist sehr einfach.Allerdings ist das ganze Crackme vom Aufbau her schwierieger!Es gibt auch einige Hindernisse mehr als bei meinen letzten.
-Wie immer alles erlaubt was zum Ziel führt!

Edit:Hab noch zwei kleine BUG's entdeckt, die eig. nebensächlich sind(hat nichts mit der Erfolgsmeldung zu tun!),trotzdem hab sie gefixt und die Versionen unter "Bf" neu hochgeladen...

 

[cagiv]

Kann es sein das die Erfolgsmeldung wieder hakt

Name: cagiv
Code: cmgs3pY_0a


Cagiv.

 

[Xylon]

Nein,
aber es kann gut sein das du auf Junk-Code reingefallen bist..
Die Serial für deinen Namen ist anders und das keine Fehlermeldung angezeigt wird ist beabsichtigt
Ich bin doch nicht so blöd und benutz den selben Algo doppelt - jedoch lässt er sich als Junk noch gut verwenden!!!Das Motto dieses CrackMe's ist "Illusion"

Tipp:
Wenn man sich "All referenced text strings"an sieht, dann sieht man die Namen von diversen Funktionen zB.: "TestSerial","TestKey" etc. welche od. wieviele davon wirklich gebraucht werden müsst ihr selbst herrausfinden

Tipp2:
Ihr solltet euch mal an sehen welche Dateien geöffnet werden, vorallen wenn die Serial falsch ist.Oder sonstige Message's Boxen geöffnet werden...

Edit:
hatt ja immer noch keiner geschafft.Versucht ihr'S überhaupt? Also nächster Tipp: Wie man unschwer erkennen kann, sind auch in meiner Exe Ressourcen 1.bamod.dll 2.Opus.xm 3.xxx.sm (natürlich versucht Olly sie wieder zu inteprätieren)
1 + 2 muss ich glaube ich nicht weiter erklären.
Aber 3 wird euch das eine oder andere Kopfzerbrehen bereitet haben(zB Wie sieht die Erfolgs/Fehler Message aus?-"Schön" ist es nicht!!!)
Antwort: xxx.sm ist eine auf einfachste Weise mit Xor verschlüsselte Datei(wer etwas VB kann kann sich die Funktion hier: http://www.vbarchiv.net/archiv/tipp_details.php?pid=1082 ansehen, ist 1 zu 1 übernommen!)Sie wird während der Laufzeit in das Temp Verzeichnis entpackt und dort auch entschlüsselt. In ihr stehen dann die Fehlermeldungen etc.
Aber warum taucht der Dateinname nicht bei Olly auf?Tut er: "Lrqcc}t>t||" Xor 16 "basmod.dll"; "}~dby`>}t" Xor 16 "opus.xm"; & "hhh>c}" Xor 16 "xxx.sm"!!!

Hoffe das hat euch ein Stück weiter gebracht!

 

[CDW]

Antwort: xxx.sm ist eine auf einfachste Weise mit Xor verschlüsselte

das merkt man eher nicht - weil man gleich die entschlüsselte Datei sieht (vbaFileOpen ist sehr auffällig - und xxx.sm taucht da schon "normal" auf )


Auch bringt es nicht viel, zu wissen, was da drin steht, weil man dann nicht nach der
"GoodBoy"-Stelle suchen kann - allerdings (wie immer ) einen BP auf _vbaStrCmp
machen - damit kommt man auch recht schnell zu einem gültigen Name/Key paar. Wobei:
der Algo ist imho recht schlecht umkehrbar (hab den mir nicht angeschaut) - sowas ist
"unrealistisch" .

Aktiviren des Buttons geht wie "immer" (also wie in den Crackmes vorher).
Den Timer sucht man entweder per VB-Ressourceneditor oder im Hexedotor.
Die Zahl 3e8 (1000 -> ms also 1 Sekunde) ändert man am besten so, dass man nicht mehr so hektisch sein muss. Die "Antipatchroutine" findet man schnell, in dem man rtcMsgBox
(oder so ähnlich) Breakpointet. Das sollte eigentlich schon genügen.

 

[silenced]

wenn ich mit Hexi von

0x1C00 : 0380 8080 0004 7201 3804 7F08 7701 0800

auf

0x1C00 : 0380 8080 0004 7201 3804 7F08 7701 0801

(schaltern Enablen)

ändere seh ich nur Käse und das Programm beendet sich (ausblenden)

was mach ich falsch :-) ??? Bitte nur nen kurzen hint..

Hat sich erledigt.... Hmm jetzt wird der Versuch abgewehrt

Schalter aktivieren:
Org:
0x01C00 0380 8080 0004 7201 6804 7F08 7701 0800
Neu:
0x01C00 0380 8080 0004 7201 6804 7F08 7701 08FF

Timer auf FFFF (Zeit schinden):
Org:
0x01C20 6D65 7231 000B 03E8 0300 0007 0000 0000
Neu
0x01C20 6D65 7231 000B 03FF FF00 0007 0000 0000

Feld Serial aktivieren:
Org:
0x01BB0 0108 000B 0600 5365 7269 616C 0012 0300
Neu:
0x01BB0 0108 FF0B 0600 5365 7269 616C 0012 0300

Zeit unter Null (fehler da erst ab 3 sek Sichtbar):
00404B4B (75 B1) -> 74 B1

 

[John]

Hi,
Ich hab schon mal was raus:

MSVBVM60.__vbaStrCmp

wird von

SerialMe.004049B1
SerialMe.00405881
SerialMe.0040629C
SerialMe.00407C03

aufgerufen, während

__vbaStrComp
__vbaStrCompVar

nicht aufgerufen werden.

SerialMe.004049B1
SerialMe.00405881
SerialMe.0040629C
SerialMe.00407C03

werden ebenfalls nicht aufgerufen.

__vbaStrComp

hat was zu tun mit

MSVBVM60.__vbaStrComp
MSVBVM60.__vbaStrComp
MSVBVM60.__vbaStrComp
MSVBVM60.__vbaStrComp
MSVBVM60.__vbaStrComp

(CALL).

__vbaStrCompVar

hat was zu tun mit

MSVBVM60.__vbaStrCompVar
MSVBVM60.__vbaStrCompVar

(ebenfalls CALL).

Daher müsste die Lösung in

__vbaStrCmp
__vbaStrComp

und

__vbaStrCompVar

liegen, oder?