-
Автор темы
- #1
=========================================================
Ахтунг! Пожалуйста, перед тем как оставлять комментарий по поводу темы, прочитайте текст в рамке.
Скажу сразу, это перезалив моей статьи с другого форума, поэтому очень высока вероятность того, что информацию которую вы для себя откроете в этой статье более чем не актуальна. (Исключение: CrackMe)
Это больше памятка для себя, т.к. есть основания полагать, что форум для которого я выпускал статьи может скоро загнуться, дабы не потерять весь свой материал я решил его перезалить сюда.
=========================================================
Ахтунг! Пожалуйста, перед тем как оставлять комментарий по поводу темы, прочитайте текст в рамке.
Скажу сразу, это перезалив моей статьи с другого форума, поэтому очень высока вероятность того, что информацию которую вы для себя откроете в этой статье более чем не актуальна. (Исключение: CrackMe)
Это больше памятка для себя, т.к. есть основания полагать, что форум для которого я выпускал статьи может скоро загнуться, дабы не потерять весь свой материал я решил его перезалить сюда.
=========================================================
Шалом.
Давно наткнулся на один крякми с crackmes.one, это был довольно примитивный крякми со сравнением пароля и двумя техниками против реверса которая помешала бы новичкам при отладке. Запомните момент про примитивность сравнения пароля, как никак автор этого крякми дал оценку 3 из 6 (Medium).
Начнём с разбора защиты, ибо как я уже и сказал выше она бы доставила много хлопот новичкам. Для начала расскажу какие функции против отладки она использует
Для просмотра содержимого вам необходимо авторизоваться.
Как вы уже могли понять, программа проверяет на наличие запущенных процессов в вечном цикле.
Ищет она эти процессы:
![1.png 1.png](https://yougame.biz/data/attachments/185/185438-4562efe771653c1cd9614760d08e123f.jpg)
Лоадер интериума также проверяет через эти функции запущенные процессы =)
Начинаем обходить эти трюки.
Так как IsDebuggerPresent тупо проверяет через CMP на 0x1 (true), то можно поменять проверку на любое другое число (кроме 1 и 0) как к примеру 0x55
(upd: ничо не мешает пронопать все это дело, или поставить mov eax, 0x1; ret в начало функции, но на момент написания статьи я посчитал это смешной хуйней и сделал так :D)
![2.png 2.png](https://yougame.biz/data/attachments/185/185439-d7c6448eb48973cb762bb1ab1204d5d9.jpg)
Первый трюк обошли. Идем дальше.
Тут уже идёт та самая проверка имени процессов. Кажется на первый взгляд, что патчить джампы тут будет очень геморрно, ибо тут слишком много джампов =)
На самом деле тут достаточно в начало функции перезаписать PUSH EBP на RET, тем самым мы обрезали все проверки на имена процессов одной инструкцией.
Теперь функция выглядит так:
C++:
void CheckProcessName()
{
return;
// Original code
}
![3.png 3.png](https://yougame.biz/data/attachments/185/185442-802626a843bb67f4db4deb7893982224.jpg)
![](/proxy.php?image=https%3A%2F%2Fi.postimg.cc%2FqMd2YB8f%2F4.png&hash=194690b70f148a801de9cd899cf00ef1)
И вот мы обошли два трюка против отладчика. Дальше у нас идёт пароль, тут всё ещё проще чем веник. Для крякми третьего уровня это довольно серьёзный косяк, из-за которого очень легко узнать пароль.
![](/proxy.php?image=https%3A%2F%2Fi.postimg.cc%2Ffb33y1xj%2F5.png&hash=aba82cb3b6f79ab8210fe4b2b6caea03)
Нужно поставить бряк на инструкцию где сравнивается значение из регистра и некая переменная, после перехода на бряк уже будет высвечен сам пароль.
![](/proxy.php?image=https%3A%2F%2Fi.postimg.cc%2F2yY3H6g2%2F6.png&hash=3e85c2035afa348724fd20e715dab848)
Пароль: 011101110111100001100011011100000111011101110010011001010111100001001100010110000110100001101011011101010111100001001100
![](/proxy.php?image=https%3A%2F%2Fi.postimg.cc%2F8PtsHT4m%2F7.png&hash=eb8c3bac3028ab092dd5b6da72fe5542)
Подписывайтесь на блог моей команды :)
На этом всё. Всем добра и позитива. (upd: оценка крякми как по мне 1/6)
Пожалуйста, авторизуйтесь для просмотра ссылки.
На этом всё. Всем добра и позитива. (upd: оценка крякми как по мне 1/6)