С пару месяцев назад запостил на васмах с кряклабами крякмек, но, вероятно, либо из за того, что ам\кг, либо потому что не особо у кого то работал, а может потому что тема превратилась в веселую вечеринку с троллобанами никто не стал в нем разбираться. Сказать по честному я бы тоже не стал. Работать может только на ХП, вероятно не на всех, вероятно может не выдавать окно о неверном ключе. Может вызывать бсод. Корованы грабить не умеет.
Мне сейчас уже даже в исходных текстах нихрена почти непонятно. Ну и так. что же там собственно было?
1. Пять тлс кэллбэков связанных друг с другом аки чип и дейл и каждый предыдущий добавляет в массив последующий, внутри них всякие извращения с изменениями контекстов, железными бряками, попытками поймать отладчики, изменениями точки входа в стеке (она же есчо только вызовется), маленькая защитка от аттача в первой же инструкции первого же кэллбэка (или нулевого, кому как удобнее)
2. EP указанная в пе-заголовке вроде как не настоящая, а совсем даже игрушечная. В ней для вызова MsgBox с сообщением об ошибке и отсутствием ключа также юзается небольшой движочек-обертка на функции, который, разумеется, всем интересен? ах, да, там есчо в зависимости от того на каком месте попадешься разные сообщения.. ну там с исключениями и флагами страниц это связано, я даже не знаю работает ли, вроде должно бы
3. Где то в районе второго кэллбэка, наконец начинает прояснятся и ежеле кодес нигде не был пропатчен (ибо контрольная сумма там считается чуть ли не на каждом шагу) начинает показываться поиск ключа. Им является ключевой файл имя которого генерится исходя из первого байта EP, куда дебуггеры любят зачем то ставить int 3(если кто знает зачем они это делают – не сочтите за труд, отпишитесь). ну и вот значит, имя придумали, (черточка подчеркивания, кстати должна получиться, вроде как) проверяем размер, размер годен – едем далее
4. 3й и 4й кэллбэк (это ежеле с нуля) - полная скукота ну за исключением того, что там происодит перехват функции из нтдлл и функция НтВрайтФаел превращается в НтРидФаел, ДелитФайл превращается во что то.. что то не найду даже. Вообщем прийти должно все после всех этих кэллбэков в TrueBranch: (файл TrueBranch.inc), путем патча EP в стеке. А, там еще VEH устанавливается и они наперегонки с SEH обрабатывают инструкцию ud2
5. По оригинальной ЕП – открывается и читается ключевой файл, берется первый дворд и используется как адрес куда передать управление, ежеле б кто нибудь дошел до туда и спросил, я бы обязательно ответил, что управление надо передать на адрес после метки db '!TUT', без дураков сказал бы. Только никто так и не спросил. Ну и после есчо нескольких телодвижений управление приходит на CubeOfRubek:, который по очереди сымает 4 раза по дворду с данных считанных с кей-файла. Они являются адресами функций, которые заключены в коде в теги db "Lemarchand's box BEGIN",0 - db "Lemarchand's box END",0, порядок вызова, ежеле считать их с низких адресов к высоким – 2,1,3,4. Опять же, кто спросил: "куда, Трещ, управление передать?" – нет. Ну и ладно. В этих 4х функциях генерируется md5 ключ-хеш из байтов кода кэллбэков, RC4 расшифровывает запакованный мультфильм , запиндюренный в маленькую виртуальную машинку, далее все это распечатывается алгоритмом хаффмана (спасибо bill prisoner, мне, кстати, на конфе васма сказали что он скололся.. помним, скорбим) ну и последняя функа этой коробки - передача управления на ВМ, сигнатура коей в начале "CatX" в честь моего кошака названа (он тоже немножко кодит)
6. Ну вм покажет окошечко с предложением заценить мульт, но упаси вас боже его глядеть тем более до завтрака.. лучше уж кофий без сахару
7. Секретная картинка находится в коде ВМ с кодом на архив, в котором сорцы, но я не буду ставить никаких паролей ибо хватило нам одного архива с зевсом.. его хоть брутили.
db "Ololo Kartinko TUT BEGIN",0
include pass.inc
db "Ololo Kartinko TUT END",0
8. Вообщем, я ничуть не удивлен, что никто не стал терять время на это гуанище, спасибо всем кто хоть пытался.
9. Если ты читаешь тут, то ты либо Икс Кот, либо ты это я. Далее есчо много чего,…. но все равно никто это не прочитал.
Спасибо.
вышел только в альфа версии. пароля архив не имеет
Мне сейчас уже даже в исходных текстах нихрена почти непонятно. Ну и так. что же там собственно было?
1. Пять тлс кэллбэков связанных друг с другом аки чип и дейл и каждый предыдущий добавляет в массив последующий, внутри них всякие извращения с изменениями контекстов, железными бряками, попытками поймать отладчики, изменениями точки входа в стеке (она же есчо только вызовется), маленькая защитка от аттача в первой же инструкции первого же кэллбэка (или нулевого, кому как удобнее)
2. EP указанная в пе-заголовке вроде как не настоящая, а совсем даже игрушечная. В ней для вызова MsgBox с сообщением об ошибке и отсутствием ключа также юзается небольшой движочек-обертка на функции, который, разумеется, всем интересен? ах, да, там есчо в зависимости от того на каком месте попадешься разные сообщения.. ну там с исключениями и флагами страниц это связано, я даже не знаю работает ли, вроде должно бы
3. Где то в районе второго кэллбэка, наконец начинает прояснятся и ежеле кодес нигде не был пропатчен (ибо контрольная сумма там считается чуть ли не на каждом шагу) начинает показываться поиск ключа. Им является ключевой файл имя которого генерится исходя из первого байта EP, куда дебуггеры любят зачем то ставить int 3(если кто знает зачем они это делают – не сочтите за труд, отпишитесь). ну и вот значит, имя придумали, (черточка подчеркивания, кстати должна получиться, вроде как) проверяем размер, размер годен – едем далее
4. 3й и 4й кэллбэк (это ежеле с нуля) - полная скукота ну за исключением того, что там происодит перехват функции из нтдлл и функция НтВрайтФаел превращается в НтРидФаел, ДелитФайл превращается во что то.. что то не найду даже. Вообщем прийти должно все после всех этих кэллбэков в TrueBranch: (файл TrueBranch.inc), путем патча EP в стеке. А, там еще VEH устанавливается и они наперегонки с SEH обрабатывают инструкцию ud2
5. По оригинальной ЕП – открывается и читается ключевой файл, берется первый дворд и используется как адрес куда передать управление, ежеле б кто нибудь дошел до туда и спросил, я бы обязательно ответил, что управление надо передать на адрес после метки db '!TUT', без дураков сказал бы. Только никто так и не спросил. Ну и после есчо нескольких телодвижений управление приходит на CubeOfRubek:, который по очереди сымает 4 раза по дворду с данных считанных с кей-файла. Они являются адресами функций, которые заключены в коде в теги db "Lemarchand's box BEGIN",0 - db "Lemarchand's box END",0, порядок вызова, ежеле считать их с низких адресов к высоким – 2,1,3,4. Опять же, кто спросил: "куда, Трещ, управление передать?" – нет. Ну и ладно. В этих 4х функциях генерируется md5 ключ-хеш из байтов кода кэллбэков, RC4 расшифровывает запакованный мультфильм , запиндюренный в маленькую виртуальную машинку, далее все это распечатывается алгоритмом хаффмана (спасибо bill prisoner, мне, кстати, на конфе васма сказали что он скололся.. помним, скорбим) ну и последняя функа этой коробки - передача управления на ВМ, сигнатура коей в начале "CatX" в честь моего кошака названа (он тоже немножко кодит)
6. Ну вм покажет окошечко с предложением заценить мульт, но упаси вас боже его глядеть тем более до завтрака.. лучше уж кофий без сахару
7. Секретная картинка находится в коде ВМ с кодом на архив, в котором сорцы, но я не буду ставить никаких паролей ибо хватило нам одного архива с зевсом.. его хоть брутили.
db "Ololo Kartinko TUT BEGIN",0
include pass.inc
db "Ololo Kartinko TUT END",0
8. Вообщем, я ничуть не удивлен, что никто не стал терять время на это гуанище, спасибо всем кто хоть пытался.
9. Если ты читаешь тут, то ты либо Икс Кот, либо ты это я. Далее есчо много чего,…. но все равно никто это не прочитал.
Спасибо.
вышел только в альфа версии. пароля архив не имеет