Versucht es zu cracken !

Dir ist schon klar, dass es nur ein Crypter und kein Protector ist ?
Das "aufwändigste" am Dump ist das Durchgehen der Sections (RSize=VSize setzen) - fertig.
Aber ich will ja kein Spielverderber sein
http://uploaded.to/?id=y7wvck
Passwort ist das letze Wort der letzen Erfolgsmeldung (kleingeschrieben).

PE: 0xad0024 + 0x91bff.

0046C10D     2.   Active    jnz     short 0046C11B            jnz     short 0046C10F
0046C568     2.   Active    jnz     short 0046C590            jnz     short 0046C56A
0046C9E2     2.   Active    jnz     short 0046CA0A            jnz     short 0046C9E4

53, 57, 192.168.69.79.

/edit: Les' dir ein paar grundlegendere Tutorials zur Thematik durch, die Frage lässt sich nicht so ohne Weiteres umfassend beantworten - solche Fragen haben auch schon Bücher gefüllt.

Gut, hatte nicht wirklich darauf geachtet und den passenden - nun eben nicht konstanten - Wert manuell eingetragen. Die aufgeführten Patches umgehen das Problem so oder so.

Ebenso kann der Start der zweiten PE (die erste Adresse, die ich gepostet habe) natürlich variieren, hatte gerade meinen Notepad-Inhalt gepastet.

Sorry für die dumme Frage...aber wie "Crackt" man denn diese Exen?

Mfg

Falsche Section !!!!

Moved -> Lest euch mal bitte die Beschreibungen der einzelnen Section durch...

Syler

Zitat von CodeKing;13180

Sorry für die dumme Frage...aber wie "Crackt" man denn diese Exen?

Mfg

Mit einem Debuger, z.b. OllyDbg und zum lernen ist das hier geeignet: Tuts 4 You: Downloads / Lenas Reversing for Newbies Have fun.

Syler: mit Hashcracking hat es aber auch nichts am Hut

Topic:
Solange nach einem Check ein JNZ/JE folgt, bringen auch ausgeklügelte Algos nichts ;).
Dasselbe gilt für Plaintextvergleich (also Key berechnen und mit Eingabe direkt vergleichen).
1. Man sollte mit Fehler/Erfolgsmeldungen sparsam umgehen (sonst ist das Auffinden der Prüfroutine ein Kinderspiel). Wenn es sich nicht vermeiden lässt, sollte so eine Meldung zeitverzögert ausgegeben werden (und damit meine ich nicht einen "Sleep" vor der Ausgabe - Timer+Threads wären hier richtiger)).
Dazu auch die wichtigen Strings verschlüsselt vorliegen und erst unmittelbar vor der Nutzung entschlüsselt werden.
2.Man sollte auch immer mit der Usereingabe rechnen. Der komplizierteste Hashalgo bringt nichts, wenn es dann so aussieht:

if (super_hash(name)==eingabe then "Erfolg" else "Fehler!"

Vergleichsroutine sollte man selber schreiben. Dabei aber auf simple boolean Rückgaben verzichten (also wiederum nicht:

if(super_hash(key)==RSA(getHWID(myKeyCode)) then "Super!" else "FAAALSCH!!!")

- es bringt nichts, da hier letzendlich ein CALL XYZ, JNZ _false_ generiert wird.

Ideal wäre es, informationen zu verwenden vom Cracker nicht ohne weiteres nachvollzogen werden können.
Sollte also eher in die Richtung gehen:

Beim Programmstart:starte_irgendwo_unauffällig_den_false_Msg_thread;der Thread checkt z.B einen Flag und wenn der gesetzt sein sollte, gibt er die Falschmeldung aus....unmittelbare prüfung:lese_möglichst_unauffällig_die_eingabe;...check_eingabe(eingabe){  werte_array=berechne_paar_werte(eingabe) <- darf sehr gro� sein und viel Junkcode enthalten  noch_ein_arry=berechne_weitere_werte(werte_array); <-- dasselbe  function_adress_datatype myFunc=noch_ein_array  if (CRC(myFunc==XYZ)) then call(myFunc) else  {setze_false_flag};}

Der Code berechnet einen Wert, der als Adress für einen Funktionsaufruf genutzt wird. Das patchen des Vergleichs wird nur zum Absturz führen.

Der Cracker muss also erstmal die richtige Adresse finden/einen gültigen Key haben. Gegen Keyweitergabe könnte man noch paar HWIDs mit in die Berechnung einbauen.

Hier eine kleine Demo mit TurboPascal:

program proc_demo;


type tProc=PROCEDURE;


var zeiger:POINTER;
var proc:tProc;
var eingabe:string;


procedure demo; FAR;
begin
    writeln('hello');
end;


procedure false;
begin
    write('falsch');
end;


function super_hash(ein:string):pointer;
var toInt:longint;
var code:integer;
var temp:string;


begin
   temp:=ein[1]+ein[2]+ein[3]+ein[4]+ein[5]+ein[6]+ein[7]+ein[8]+ein[9];
   val(temp,toInt,code);
   super_hash:=POINTER(toInt);
end;


begin
  readln(eingabe);
  zeiger:=super_hash(eingabe);
  {hier sollte noch ein CRC/Try Catch rein}
    proc:=tProc(zeiger);
    proc;


  {writeln(LongInt(@demo)); { Adressermitltung/Ausgabe }
  readln;
end.

Sollte auch In Delphi genauso umsetzbar sein (eventuell Datentypen anpassen). Der Richtige Key hier:
364838918
"super_hash" ist natürlich bewusst einfach gehalten ;). Jedoch wird man bei einer grö�eren Anwendung ohne einen gültigen Key nur schwer weiterkommen können. Und der Aufwand zur Implementierung hält sich in Grenzen.