Unpackme/Crackme Status Solved!

K

KingSuperFly

0
Hi
ich würde gerne mal euch testen lassen ob es einer schaft diese crackme zu entpacken und zu cracken :D
es geht mir um den packer in der hinsicht!Das crackme selber ist total easy :D lidel asm!
Bloß der packer wird euch zu schaffen machen hoffe ich mal! =)
Es hat noch keiner diesen packer geschaft soweit ich weiß include meiner wenigkeit!
Würde mich also über ein Tut freuen von dem Cracker der es schaft!
Happy Cracking
Die unpacked dump.exe könnt ihr gerne in diesem Traed anhängen!
In dem sinne!
Ps:Das ist nichts für anfänger =)
Greetz
KingSuperFly
 
Das entpacken ist nichts für Anfänger?

Bist du dir da sicher?

Ich kann die Datei leider nicht anhängen, aber das entpacken hat mich vor gar kein problem gestellt.
 
Original von blueflash
Das entpacken ist nichts für Anfänger?

Bist du dir da sicher?

Ich kann die Datei leider nicht anhängen, aber das entpacken hat mich vor gar kein problem gestellt.
Zum Vergrößern anklicken....

Hi also warum kannst du die unpacked exe nicht anhängen?
Wie hast du es entpackt?
Wie ist das passort bitte per Pm!
Also ohne exe dump glaube ich dir das nicht^^
 
Keine Ahnung, warum ich die exe nicht anhängen kann, müssteste Thro fragen.
Ich könnte sie ja wieder einpacken ;)

Also ich habe WinRar gestartet, das Archiv geöffnet, die Datei entpackt, fertig.
 
Löl du hast den sinn nicht verstanden =)
das crackme ist mit einem packer gepackt den es gilt zu entfernen =)
Nicht was du gemacht hast =)
Geiler Joke hast zu viel weed geraucht?
Greetz
SuperFLy
 
Original von blueflash
Keine Ahnung, warum ich die exe nicht anhängen kann, müssteste Thro fragen.
Ich könnte sie ja wieder einpacken ;)

Also ich habe WinRar gestartet, das Archiv geöffnet, die Datei entpackt, fertig.
Zum Vergrößern anklicken....

Ähm... es war nun nicht von Archiven die Rede, sondern von PE-Packern. Ein Packer, der die reine exe komprimiert. Das Archiv ist nicht das Problem :D
 
Hm also ich dachte das ist für jeden verständlich :D
Sorry wenn man das falsch versteht!
Das Crackme ist in ASm Code und mit nem exe packer geschütz,denn solst du entpacken! :D
 
Das war wirklich hart...lol?
War das mit dem entpacken ein Witz?

Es gibt da überhaupt keine Pass. Sicherheit...
 
Ah ja, das ist doch mal ein Tipp.
Bisher hatte ich das CM nicht mehr angeguckt, war mir irgendwie zu stressig. :D
Das man nicht attachen kann, finde ich doch recht hart. ;)
Werds mir nun aber nochmal ansehen.

Der Packer ist jedenfalls heftig. :)

Öhm, ich wollt das Tool grad runterladen, sehe aber keinen Download-Link. ?(
EDIT: Nun scheints doch zu gehen. Mein Browser war wieder zu sicher eingestellt. :D


Gruss

root
 
Bbin nach 3 Wochen wieder da - habe mir gerade die Crackme angeschaut, bin im Moment zu müde und werde erst mal morgen eine Anleitung schreiben - vorausgesetzt dieser Dump ist genug
Hier ist der Dump. Da ich im Moment keine Lust auf IAT und Import Experimente hatte :rolleyes: , habe ich die "Originalexe" genommen und den Entrypoint auf den entschlüsselten Teil gesetzt, was bei mir auch funktioniert - zwar kommt beim Olly anfangs die "Ungültige PE Anwendung" Meldung (wie beim "Original"), aber die Exe lässt sich trotzdem wunderbar debuggen (auch in Olly starten usw) - und auch Patchen. Das Passwort ist "GetDlgItemText". Zum Patchen: in der Dumped.exe den Offset 4AE von 0B nach 33 ändern (alle angaben in HEX). Das lässt den OR EAX,EAX in XOR EAX,EAX ändern was dann immer die richtigen flags setzten sollte (die werde ich gleich überprüfen, ich lege nur eine kurze, 700 Minütige Pause ein ;) ). zumindest scheint es jedes Passwort zu akzeptieren. Im Archiv: Dumped.exe und Patched.exe

EDIT: Patched.exe zum Archiv hinzugefügt
 
Hi CDW
nicht schlimm das du 3 wochen nicht da warst :D
also dein dump work fine bloß ist das teil immer noch packet laut paid was ja das primär ziel war =) es zu entpacken!Das Crackme selber war nur ne zugabe,und deshalb so easy!
Aber ich denke das geht auch in ordnung :]
Würde mich aber freuen über einen der es schaft dieses teil richtig zu entpacken =)
Gute arbeit aber CDW :rolleyes:
Bin aber mal auf dein weg gespannt,wie du es genau gelöst hast bzw die anderen auch user auch^^
Greetz
SuperFly
 
lso dein dump work fine bloß ist das teil immer noch packet laut paid was ja das primär ziel war
Zum Vergrößern anklicken....
also PEID meint das wäre auch laut dem Hardcorescan unpacked - die "richtige" EP ist 1011h und nicht wie ich anfangs angenommen habe 1007h. Ansionsten kann es (und ich auch) nichts mehr gepacktes an der EXE entedecken ;) (denn die Crackme ist in Olly und auch im Hexeditor gut und im klartext sichtbar). Hab mal im Archiv den Screenshot und die korrigierte Dump.exe eingefügt.
Lösungsansatz:
Crackme starten, Olly starten, die Crackme attachen, jetzt OllyDmp Plugin benutzen: manuelle eingaben: Start Address: 400 000 Size: B000 Entrypoint: egal
Base of Code:1000 Base of Data 3000, Kein "Rebuild import"
Die Exe die rauskommt ist natürlich nicht lauffähig - deshalb machen wir eine Kopie von der Originalcrackme, öffnen diese und die "dumped" im Hexeditor und kopieren von der "Dumped" die Entschlüsselte Code-section: sie liegt bei 1000h und hat die größe von 129h (ok, eignetlich mehr, aber nur diese 129h sind verschlüsselt und relevant ;) )
Also die 129h Bytes von der "Dumped" in die "Kopie der Originalcrackme" auf Adresse 400h kopieren. (alle Infos mi einem PE-Editor relativ leicht heruaszufinden, zum kopieren eignet sich ein beliebiger Hexeditor). Da der Code jetzt entschlüsselt ist und eine wiederholte entschlüsselung nur zum Fehler führen würde (kann man sehen wenn man die Exe startet) muss man noch den Entrypoint ändern. Also im Hexeditor die Bytes E8 und E9 mit 07 10 überschreiben. Jetzt kann man noch etwas weitergehen und z.B PHDUMP32 benutzen - da klickt man auf "unpacken" und wählt die schon "vorentpackte" exe aus. Was rauskommt hat einen EP von 1011, den Status "not packed" bei PEID und lässt sich auch schön in Olly starten.
Im Prinzip ist ja der Packer noch da und kann damit von PEID &Co entdeckt werden - nur wir er nicht mehr ausgeführt - also völlig unpacked ist es ja nicht ;). Aber man kann den auch in Hexer komplett mit Nullen überschreiben, so dass PEID und der Rest nciht mehr meckern dürften - man braucht sich nur im FileAlyzer die PE-Struktur anzuschauen - die Section .King kann überschrieben werden

EDIT:
Es stimmt aber schon, ist etwas gemogelt, denn bei richtig großen Exe hätte man viel mehr Probleme. Da ich aber nicht gereade MUP bewandert bin (was wohl einige Crackmelösungen beweisen ;) ) lasse ich das im Moment lieber sein, da es sonst zu viel Zeit verschliengt (und vielleicht gar nichts nutzt).
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben