RE FORUM
[REVERSE ENGINEERING] => Newbie => Topic started by: pr0p4g4nd4 on March 30, 2007, 10:17:26 AM
-
Cafte chlapi a dami(su tu nejake? :rolleyes: ),
kedze je tu na fore dost mrtvo rozhodol som sa ze tu hodim nejake to pekne cmecko. Nie je to moja vyroba, ale to nevadi hlavne ze to cme bude zabavne... :D
Nazov: CrackMe #7
Autor: lord_Phoenix (REVENGE Crew)
Pack: n/a
Jazyk: asm
Prot: serial
Vasou ulohou je zistit spravny serial, napisat keygen a zbastlit nejaky tut...
(Blizsie info o cme je v nfocku)
-
...boha mi nehovorte ze to cme nikto neriesi?
...neserte ma a vsetci to ?luhajte riesit :mad:
-
Ja ted nemel o vikendu cas.Pustim se do toho asi dneska nebo zitra.Mam cele dopoledne volno.
-
Aj vam sa vypne crackme pri uhadnuti serioveho??? Pod ollym sa mi normalne vypise gb hlaska a ked to skusim naostro tak koniec... ??? Nechapacka...
-
Ze by nejaky "anti" tryk ?? :) ... newim, cme sem nedebuggoval, ani nespoustel, ale mozna neco podobneho jsem mel v nekterem z mych cme...
-
Jediný problém, čo som zaregistroval bol v tom, ?e borec zabudol vynulovať reťazec pre meno, no v prípade dlh?ieho mena tento problém nevzniká. Mô?e za to napevno stanovená hodnota v prevodovej funkcii. Preto pre krat?ie mená správny key funguje len po prvom spustení.
FaTaLiTeR: Neskočil si na zlú adresu, resp. nepreskočil nejakú dôle?itú in?trukciu? Napr. pushad, ktorou začína posledný check?
Rie?enie a keygen e?te dávať nebudem, som zvedavý, kto to nahodí prvý... :)
-
Mas pravdu s tym nevynulovanim mena. Este som sa nestretol s newbie crackme, kde by bola tato chyba osetrena, na to sa kvalitny keygen pise dost hard:)
Na pushade som bol. Ved to bola malina sa tam dostat, a mam taky pocit ze to cislo sa meni z casu na cas. Teda aspon posledna cifra. Este budem musiet okukat blizsie. No nic... Anti trik este preskumam, bo som si stiahol nanovo ollydbg, a moje skvele antiantitriky nefunguju...
-
koxo... Teraz to ide. Raz ide raz sa vypne... este vacsia nechapacka??? :mad:
povedzme ze toto je moje riesenie...
"FaTaLiTeR" -> klasika... co ine?
"BADFD183-1AE0B2E0-49D3185A-34567893" ->divocacek
{
00401B3C 60 PUSHAD
00401B3D A1 68774000 MOV EAX,DWORD PTR DS:[407768]
00401B42 2D 60173201 SUB EAX,1321760
00401B47 35 EFBE3713 XOR EAX,1337BEEF
00401B4C 83E0 0F AND EAX,0F
00401B4F 8D1D E2724000 LEA EBX,DWORD PTR DS:[4072E2]
00401B55 43 INC EBX
00401B56 8B0483 MOV EAX,DWORD PTR DS:[EBX+EAX*4]
00401B59 50 PUSH EAX
00401B5A 50 PUSH EAX
00401B5B E8 A00A0000 CALL
00401B60 5B POP EBX
00401B61 50 PUSH EAX
00401B62 53 PUSH EBX
00401B63 E8 10F9FFFF CALL crackme.00401478
00401B68 803D 831B4000>CMP BYTE PTR DS:[401B83],0EB
00401B6F 74 11 JE SHORT crackme.00401B82
00401B71 B8 831B4000 MOV EAX,crackme.00401B83
00401B76 BB 5B000000 MOV EBX,5B
00401B7B 53 PUSH EBX
00401B7C 50 PUSH EAX
00401B7D E8 4AF9FFFF CALL crackme.004014CC
00401B82 ? 61 POPAD
00401B83 ? EB 50 JMP SHORT crackme.00401BD5
00401B85 . 79 DB 79 ; CHAR 'y'
00401B86 . 30 DB 30 ; CHAR '0'
00401B87 . 21 DB 21 ; CHAR '!'
00401B88 . 20 DB 20 ; CHAR ' '
00401B89 . 75 DB 75 ; CHAR 'u'
00401B8A . 27 DB 27 ; CHAR '''
00401B8B . 72 DB 72 ; CHAR 'r'
00401B8C . 65 DB 65 ; CHAR 'e'
00401B8D . 20 DB 20 ; CHAR ' '
00401B8E . 72 DB 72 ; CHAR 'r'
00401B8F . 65 DB 65 ; CHAR 'e'
00401B90 . 61 DB 61 ; CHAR 'a'
00401B91 . 64 DB 64 ; CHAR 'd'
00401B92 . 69 DB 69 ; CHAR 'i'
00401B93 . 6E DB 6E ; CHAR 'n'
00401B94 . 67 DB 67 ; CHAR 'g'
00401B95 . 20 DB 20 ; CHAR ' '
00401B96 . 74 DB 74 ; CHAR 't'
00401B97 . 68 DB 68 ; CHAR 'h'
00401B98 . 69 DB 69 ; CHAR 'i'
00401B99 . 73 DB 73 ; CHAR 's'
00401B9A . 2C DB 2C ; CHAR ','
00401B9B . 20 DB 20 ; CHAR ' '
00401B9C . 73 DB 73 ; CHAR 's'
00401B9D . 6F DB 6F ; CHAR 'o'
00401B9E . 20 DB 20 ; CHAR ' '
00401B9F . 75 DB 75 ; CHAR 'u'
00401BA0 . 20 DB 20 ; CHAR ' '
00401BA1 . 63 DB 63 ; CHAR 'c'
00401BA2 . 61 DB 61 ; CHAR 'a'
00401BA3 . 6E DB 6E ; CHAR 'n'
00401BA4 . 20 DB 20 ; CHAR ' '
00401BA5 . 73 DB 73 ; CHAR 's'
00401BA6 . 61 DB 61 ; CHAR 'a'
00401BA7 . 79 DB 79 ; CHAR 'y'
00401BA8 . 20 DB 20 ; CHAR ' '
00401BA9 . 74 DB 74 ; CHAR 't'
00401BAA . 68 DB 68 ; CHAR 'h'
00401BAB . 61 DB 61 ; CHAR 'a'
00401BAC . 74 DB 74 ; CHAR 't'
00401BAD . 20 DB 20 ; CHAR ' '
00401BAE . 75 DB 75 ; CHAR 'u'
00401BAF . 20 DB 20 ; CHAR ' '
00401BB0 . 68 DB 68 ; CHAR 'h'
00401BB1 . 61 DB 61 ; CHAR 'a'
00401BB2 . 76 DB 76 ; CHAR 'v'
00401BB3 . 65 DB 65 ; CHAR 'e'
00401BB4 . 20 DB 20 ; CHAR ' '
00401BB5 . 64 DB 64 ; CHAR 'd'
00401BB6 . 6F DB 6F ; CHAR 'o'
00401BB7 . 6E DB 6E ; CHAR 'n'
00401BB8 . 65 DB 65 ; CHAR 'e'
00401BB9 . 20 DB 20 ; CHAR ' '
00401BBA . 77 DB 77 ; CHAR 'w'
00401BBB . 69 DB 69 ; CHAR 'i'
00401BBC . 74 DB 74 ; CHAR 't'
00401BBD . 68 DB 68 ; CHAR 'h'
00401BBE . 20 DB 20 ; CHAR ' '
00401BBF . 6D DB 6D ; CHAR 'm'
00401BC0 . 79 DB 79 ; CHAR 'y'
00401BC1 . 20 DB 20 ; CHAR ' '
00401BC2 . 63 DB 63 ; CHAR 'c'
00401BC3 . 72 DB 72 ; CHAR 'r'
00401BC4 . 61 DB 61 ; CHAR 'a'
00401BC5 . 63 DB 63 ; CHAR 'c'
00401BC6 . 6B DB 6B ; CHAR 'k'
00401BC7 . 6D DB 6D ; CHAR 'm'
00401BC8 . 65 DB 65 ; CHAR 'e'
00401BC9 . 2E DB 2E ; CHAR '.'
00401BCA . 2E DB 2E ; CHAR '.'
00401BCB . 63 DB 63 ; CHAR 'c'
00401BCC . 68 DB 68 ; CHAR 'h'
00401BCD . 65 DB 65 ; CHAR 'e'
00401BCE . 65 DB 65 ; CHAR 'e'
00401BCF . 72 DB 72 ; CHAR 'r'
00401BD0 . 7A DB 7A ; CHAR 'z'
00401BD1 . 20 DB 20 ; CHAR ' '
00401BD2 . 3A DB 3A ; CHAR ':'
00401BD3 . 5D DB 5D ; CHAR ']'
00401BD4 . 00 DB 00
00401BD5 A1 6C774000 MOV EAX,DWORD PTR DS:[40776C]
00401BDA 50 PUSH EAX
00401BDB 33C0 XOR EAX,EAX
00401BDD C3 RETN
}
tak alebo nejak inak?
-
No, ja som na anti-triky nenarazil, tro?ku som to prebehol a nič som si nev?imol. Mo?no zaúradoval i môj Olly s pluginmi, neviem. Na to som sa nesústredil.
Inak ten kus de?ifrovaného kódu by si mal mať správne. Skáče sa na adresu 00401B3C, tam je men?ia rutina vyu?ívajúca poslednú časť registračného čísla (musí končiť trojkou, to je celá podmienka, mne sa páči ...-DEADC0D3 :) ) a hlavne call na de?ifrovanie.
00401B82 > 61 popad
00401B83 . EB 50 jmp short 00401BD5
00401B85 . 79 30 21 20 7>ascii "y0! u're reading"
00401B95 . 20 74 68 69 7>ascii " this, so u can "
00401BA5 . 73 61 79 20 7>ascii "say that u have "
00401BB5 . 64 6F 6E 65 2>ascii "done with my cra"
00401BC5 . 63 6B 6D 65 2>ascii "ckme..cheerz :]",0
00401BD5 > A1 6C774000 mov eax, dword ptr ds:[40776C]
00401BDA . 50 push eax
00401BDB . 33C0 xor eax, eax
00401BDD . C3 retn
Skúsil som si vygenerovať pre tvoje meno pár kľúčov a v?etko mi funguje normálne, ten tvoj je taktie? v poriadku a správny. Samozrejme mô?em to vyskú?ať iba 1x, potom je nutné CM re?tartovať.
Inak neviem si predstaviť, ako by sa hľadalo rie?enie, ak by borec na konci nepou?il mo?nosti 0..F (ja som mal inak haluz, mne končil fake kľúč trojkou), ale hodil tam nejaké celé 32 bitové číslo a taktie? nejaký hutný key pre od?ifrovanie a nie dĺ?ku reťazca. Myslím, ?e v takomto prípade je úspech neporaziteľnosti do tej doby, ne? sa objaví prvé správne SN. Samozrejme musí byť pou?itá dobrá ?ifra, ktorú nemo?no v dne?nej dobe prekonať pomocou bruteforce.
-
no meno bolo zasifrovane md5kou... akurat ze mala trochu modifikovane inicializacne dwordy. Takze kgny na podobne cmecka nie su problemom!
-
Presnej?ie sa jednalo o DWORDy, ktoré tvoria tento retazec...
ASCII "[ REVENGE Crew ]" :)
//edit
Tak tu je kompletný keygenerátor. Popis je taký-nijaký pracovný, ale podstata sa pochopiť dá, navy?e to nebolo také ťa?ké, ?e áno... ;) A keby niečo, zdrojáky povedia viac. Z nich to ide vyčítať... :rolleyes:
-
objevil sem v tom crcME jednu dobrou vec k debate, podte si pokecat o teto instrukci
00401B60 5B POP EBX
co se pod ni skryva? co pro vas znamena? jak se na ni tvarite kdyz ji vidite? POP, co to je? zajimavy je ze kdyz se to cte pozpatku tak je zase POP. uplne to nuti k zamysleni. POP = 5B, jaka krasa a zaroven zaludnost kdyz neznate vody procesoru...
-
A čo sa ti na tom tak zapáčilo? Či chce? na niečo poukázať?
-
vzdyt se na to podivej. podivej se za.
-
Ako chce? tým poukázať na to, ?e in?trukcia pop ebx má opcode 5B, čo je vlastne i počet daných bajtov, ktoré sa následne de?ifrujú?
-
eraser:hej tie dwordy som myslel.
cf: no sranda... Taketo suvislosti ma este nenapadli hladat :)... To kvoli tomu si mi poslal ten odkaz??? Takze budem sa drzat tejto veci, a ked najdem pop x, tak si nasledne urcim ze treba dekryptovat ord(opcode(pop x)). A tolkoto bajtov potom dekodujem algoritmom(ord(opcode(pop x)) + ord(opcode(pop x.next.instrukcia?) xor dlzka_execka xor...)) a nechajme to...
-
z toho ==>
00401B76 BB 5B000000 MOV EBX,5B
00401b76 mov ebx, byte ptr[00401B60]???
to by sa celkom tiez dalo!
abo myslis POP ako pop-ovu hudbu? bueee... tak to radsej by tie instrukcie mali byt RO B - to by bolo ako push b
a potom CK B to by bolo ako pop b, alebo myslis daco ine?
napr? pop ako prasknut... prasknut, prasknut... aha dakoho prasknut :D ! To by bola celkom tiez haluz...
Pop.... Preco Ostatni Pindaju???
-
Conflicťák má nejakú kvalitnú stuffy-stuff. To pestuje? doma pod UV lampami, či ma? nejaký dobrý zdroj?
Sakra, ja u? vôbec nevnímam, o čom je reč, preto?e za posledné dva dni som na kolene zbúchal 6 CMiek, upravil nejaký loader, optimalizoval ASM kódy a u? pomaly neviem, ktorá bije... OK, chce to pauzu. Idem si čítať nejakú múdru knihu... :)
-
POP EBX, tato instrukce mluvi sama. Samotna POP by mohla povidat hodiny a hodiny. vzdyt se objevila uz strasne davno. POP EBX uz tak stara neni, ale protoze ma zkusenosti te stare POP a navic je upgradnuta tak by povidala jeste o ty hodiny novych zkusenosti vic. urcite si rikate proc zrovna tahle instrukce je tak pekna? to proto ze je hrozne blizko POP BMX. zavzpominejte na stare casy kdyz ste meli BMX a brazdili okolni svet. to kolo vydrzelo naprosto vse a jak se na vas trepalo kdyz bylo POPnuto na chodnik. POP EBX je strohe ale rika naprosto vse, jak tezke melo zivot, jak se musela probijet svetem nez se konecne usadila na vysluni. co hodin nad ni travi nejeden conflict ve svete, kdyz planuje jak ovladnout svet aby mohl do nejmensiho puntiku vyuzit jeji potencial. zkuste dat misto ni treba POP EBP a je to cely v haji, uz nikdy se nepodari tak nadherny veci jako s POP EBX. samotna kombinace PUSH a POP je tak nedherne spojeni, ze se objevilo i v reklame " Dej si PushPop a jen se smej...".
jeste neco... To ze si pod UV lampou pestuju jebaky na ksichte a uznavam kryptofasisticky-antimilihilisticky ovladani teroru samotnym terorem neznamena, ze mam doma "stuffy-stuff".
-
a do kelu... neuhdaol som... => badboy, goto hell :D
-
...dufam, ze este nie je skoro davat sem nejaky ten tut :confused:
...aj ked vy uz to mate davno vsetci poriesene si myslim(dufam ze to poriesili aj nejaky newbies - ak hej piste mi vsetci newbies PM-ku nech viem ci ste to riesili) :rolleyes:
-
No, tak ka?dopádne to vyzerá tak, ?e to má? porie?ené ty, ďalej FaTaLiTeR a taktie? i ja. :) Inak vidím, ?e si to ofajčil priamym skokom na goodboy pomocou tretej časti registračného čísla... ;)
-
Tak sem se na to jukl.Sem u toho call eax,ale jestli tusim spravne,tak lovit nejakou fci po cme se mi zrovna moc nechce :(
-
duvod proc to resi tak malo lidi je: nejsme newbies :D :D :D
-
Mna tam nemusite ani davat... Ved taketo cmecka som sejmul, ked som zacinal... A nepaci sa mi ten bug s tym nevynulovanim mena.. :(
tak... CF ma uz predbehol. Netvrdim o sebe ze som nejaky extra super ultra reverser, vzdy sa totizto najde daco nove v tych ochranach, takze vzdy je dovod cosi sa ucit, a svojim sposobom je newbie kazdy...
-
Tak sem si precetl posty na tehle strane,jelikoz sem si jich minule nevsim.Jak rika lame,fakt nevim,co CF huli,ale asi to musi bejt sila :D
Co se tyce cme,asi to vyresim,jak propaganda s presmerovanim primo na goodboy,myslenka to neni spatna.
A jak pravi CF a FT>je to lehci nez sem cekal.A jak psal eraser,6 cme behem jednoho dne,to by me zajimalo,jaky to byly :D
Dneska nebo zitra nahodim pravidla na unpacking a teprve nam zacne sranda.Hlavne jak dolezem treba k armadillu nebo ACprotectu ...
-
OT:
Inak napada ma, ze pre newbiekov by bolo vhodne naucit sa cosi aj o VB, native ale aj PCode (napriklad mozte skusit aj DARKERove[greetz, zijes este? :)], odporucam od 2-4, tie by mali byt celkom jasne...)... ak najdete dakto nejake cmecko vo VBcku, tak ho zverejnite, mozme konzultovat, prip. vam mozem poskytnut studijne materialy, nic oficialne, vsetko poznamky z domu, ale myslim si ze dost uzitocne...
-
OK - promazano - naposledy to delam "zadarmo" - priste rozdavam "bonusy"..
-
OK - promazano - naposledy to delam "zadarmo" - priste rozdavam "bonusy"..
...toto co je za bordel? odkedy sa tu zacinaju zmazavat prispevky? a navyse aj vyhrazky...
...kde sme sa to dostali :confused: :(
VYZVA PRE VSEKYCH: vsetci, ktory ste toto cme uspesne poriesili uverejnite svoje tuty, keygeny, kombinacie name/sn alebo hocico ine co by sa dalo povazovat za solution k danemu cme.
[EDIT:
Byl bych rad kdyby se nekteri "nejmenovani" jedinci zdrzeli komentaru k tomu jak to tady "vedeme" (potazmo ja) a snazili se dodrzet pravidla a temata fora - pokud nekomu z nejakych dovodu nevyhovuje rad fora neni nic jednodussiho nez se registrovat na jinem boardu a zkouset trpelivost moderatoru a administratoru tam.
Pokud nikdo citi potrebu "vyznavat" se ze svych dusevnich marasmu zkuste podobna "dopisovadla" o nicem jako zive apod.
Verte tomu nebo ne pravidla u nas nejsou zdaleka nejprisnejsi - zkuste chvili blabolit vase nesmysly treba na exetools popr. u woodmanna nebo na community RE - schvalne jak dlouho bude vas "ucet aktivni".
Vyjadril jsem se doufam jasne..]
llAmElliK
-
Od te doby,co uzivatele prasi forum nesmyslnejsma hadkama.Neboj,nejste prvni ani posledni.
-
OT:
Inak napada ma, ze pre newbiekov by bolo vhodne naucit sa cosi aj o VB, native ale aj PCode (napriklad mozte skusit aj DARKERove[greetz, zijes este? :)], odporucam od 2-4, tie by mali byt celkom jasne...)... ak najdete dakto nejake cmecko vo VBcku, tak ho zverejnite, mozme konzultovat, prip. vam mozem poskytnut studijne materialy, nic oficialne, vsetko poznamky z domu, ale myslim si ze dost uzitocne...
Na www.crackmes.de je tech VB CME hafo :) .... a mas pravdu bylo by to vhodne .. ja jak vidim CME ve VB (mam asi takovy vyraz: :eek: )tak na neho ani nekoukam :)
-
Na www.crackmes.de je tech VB CME hafo :) .... a mas pravdu bylo by to vhodne .. ja jak vidim CME ve VB (mam asi takovy vyraz: :eek: )tak na neho ani nekoukam :)
...a co keby si nejake to VB cme vybral a dal ho ako dalsie newbiecme?
[EDIT:
Byl bych rad kdyby se nekteri "nejmenovani" jedinci zdrzeli komentaru k tomu jak to tady "vedeme" (potazmo ja) a snazili se dodrzet pravidla a temata fora - pokud nekomu z nejakych dovodu nevyhovuje rad fora neni nic jednodussiho nez se registrovat na jinem boardu a zkouset trpelivost moderatoru a administratoru tam.
Pokud nikdo citi potrebu "vyznavat" se ze svych dusevnich marasmu zkuste podobna "dopisovadla" o nicem jako zive apod.
Verte tomu nebo ne pravidla u nas nejsou zdaleka nejprisnejsi - zkuste chvili blabolit vase nesmysly treba na exetools popr. u woodmanna nebo na community RE - schvalne jak dlouho bude vas "ucet aktivni".
Vyjadril jsem se doufam jasne..]
llAmElliK
...taketo "silne" slova si si mohol ale fakt odpustit. Vobec nie je treba pouzivat takyto druh medziludskej komunikacie :(
-
Tuto by som chcel v?etkých poprosiť, keby mi umo?nili zadanie daľ?ieho CM, preto?e som sa s Frenzym aka hybridfusion-nom dohodol, ?e by som nahodil také Newbie CM, ktorého rie?ením by bol loader, toti? myslím si, ?e táto technika sa v ?kôlke e?te neukázala a taktie? by som chcel tro?ku helfnúť Frenzymu, ktorý sa vrátil k RE, i vďaka môjmu men?iemu "nátlaku". Som s ním pravidelne na dráte, no niektoré veci by som i rád uverejnil pre ostatných. To sa týka i loaderov a následne by som rozobral i prípadne otázky k tejto problematike.
V podstate by islo len o také mini-kolo, maximálne 2-3 dni a uverejním rie?enie, vrátane zdrojákov.
-
Na loader tu jedno cme bylo,protoze se kontrolovalo crceckem myslim,tak sme to resili loaderem.Nebo to byla ostra app?Ted uz nevim...
-
...a co keby si nejake to VB cme vybral a dal ho ako dalsie newbiecme?
...taketo "silne" slova si si mohol ale fakt odpustit. Vobec nie je treba pouzivat takyto druh medziludskej komunikacie :(
Tak jako ja bych ho nahodil .. ale kdyz uz stim tady ma vetsina skusenosti .. tak ber to takhle -> Kdo to CME nahodi tak by měl udelat i pořadny tutor .. a to odemě nemů?e? v ?ádném případ čekat .. s mojím záčatenickým skillem
-
Tak jako ja bych ho nahodil .. ale kdyz uz stim tady ma vetsina skusenosti .. tak ber to takhle -> Kdo to CME nahodi tak by měl udelat i pořadny tutor .. a to odemě nemů?e? v ?ádném případ čekat .. s mojím záčatenickým skillem
...o ten tutor by som sa mohol postarat ja alebo ERASER :rolleyes:
-
Na loader tu jedno cme bylo,protoze se kontrolovalo crceckem myslim,tak sme to resili loaderem.Nebo to byla ostra app?Ted uz nevim...
Ja mám toti? v pláne viacero typov loaderov, od najjednoduch?ieho, aplikovateľného na nepacknuté/nekryptované targety, cez pou?iteľného na packnuté/kryptované programy, a? po ?pecifikum mini-debuggera, ktorý je vhodný na packované/kryptované vecičky, ktoré majú cieľové adresy, resp. oblasti pre zmeny v inicializačnej časti.
...o ten tutor by som sa mohol postarat ja alebo ERASER
No, na VB sa nechytám a momentálne sa rýpem v toľkých činnostiach naraz, pričom ide o RE, ?e toto by som asi u? vôbec nestíhal. :o
-
No, na VB sa nechytám a momentálne sa rýpem v toľkých činnostiach naraz, pričom ide o RE, ?e toto by som asi u? vôbec nestíhal. :o
...tak by som sa ujal toho ja. Ale iba v pripade ze by to bolo normalne VB lebo tomu pcode vobec nerozumiem :o
-
...tak by som sa ujal toho ja. Ale iba v pripade ze by to bolo normalne VB lebo tomu pcode vobec nerozumiem :o
Hej tak tohle beru :cool: .... do konce tydne neco najdu ... (do konce tydne ptz uz takhle mam fakticky malo casu :mad: ) ... takze se muzeme domluvit na ICQ ... jestli by ti zrovna to co vyberu vyhovovalo :)
-
Sice po funuse, ale nakoniec som nabuchal nejaky keygen..