PEcompact ver.2.78a ~ 3.0.3.9 (DLL Unpacking?)

[Enforcer]

Hey,

habe mich seit geraumer Zeit wieder einmal der Thematik "Unpacking" gewidmet. Die Pause tat mir offensichtlich nicht gut, da ich schon wieder keinen Plan von der Materie habe bzw. erneut hänge. Online gibt es ja zig Tutorials, aber fast immer geht es "nur" um .exe Dateien. Hier habe ich aber eine .dll Datei und irgendwie hänge ich bzw. komme so nicht weiter.
Angeblich ist es "nur" ein "einfacher" Packer und man kann per Trick 17
ganz einfach entpacken. Bei .exe hatte ich diesen Trick versucht und erfolgreich getestet. Zudem gibt es ja nette Unpacker, die diese Aufgabe erledigen. Allerdings wieder einmal "nicht" für .dll.

Habe selbstverständlich OllyDbg, LordPe, ImpRec und Co. im Einsatz.
Dummerweise komme ich nicht einmal sehr weit. Kurios ist auch,
dass es bei .exe stets funktioniert. Was ist denn bei den .dll Dateien
anders bzw. ist es dort schwieriger? Offensichtlich schon!

Der Witz an der Sache ist nämlich, dass ich zwar den "JMP EAX" finde und auch einen "BP" darüber setze, aber beim ausführen/tracen im CODE ich "nicht" dahinkomme! Also da läuft etwas schief, aber ich weiß nicht was!

Kann da eine Person ein "TUT" für ".dll" geben/nennen oder Online zeigen?

Ich kann ja die Datei einmal hochladen, damit sich CDW oder andere fähige User dies anschauen können.

Vielen Dank & merry xmas

 

[CDW]

Es gibt mehrere Codecs und zig "custom" Plugins (also für die gekaufte Version) samt verschiedenen "Schutzoptionen" für den PEC. Dies: http://coldblueeyes.clanhq.info/nfo...mpact documentation/055using ispacked api.htm ist afaik nur die Spitze des Eisbergs. Ein simplerer Check könnte auch so aussehen: "if getfilesize(self) < foo then ok else thread(sleep(random(1000)), nullpointerexception)"
Ich würde ehrlich gesagt a) eine kleine DLL selber packen und schauen, ob man mit bekannten Unpackschritten weiterkommt oder b) ein Script/Unpacker wie z.B WASM.RU ˜ / dll unpack, GetThreadContext error suchen.

Wobei es nicht immer wirklich PEC sein muss (nur weil es angezeigt wird).
Eventuell reicht es auch, "in memory" Patchs zu erstellen (das klappt wunderbar auch bei Themida/ExeCrypter, ohne dass man sich das Unpacken davon antun muss )