ملف مرفق لازالة حمايته

unpacked.zip

manual unpacking

لا تحتاج الى مراجعة الاقسام, فقط تتبع قليلا بواسطة F8 عبر olly حتى تصل الى ما تعتبره الـ OEP وهو واضح انه تطبيق دلفي لذا عليك الانتباه الى البداية تكون مليئة بـ calls الى الاجرائيات الرئيسية.

بعد الحصول على نسخة سليمة منه وتصحيح الـ IAT عليك بتغيير قفزة عند 40AF40 الى JMP كي يتم تخطي عملية فحص الملف فيما اذا تم ازالة الحماية عنه..

بما اني لا استطيع التاكيد فيما اذا كانت خوارزمية الـ checksum مستخدمه لاحقا للتحقق مرة اخرى ام لا (لانها مستخدمة مرة اخرى من اجل غرض اخر) لذا عليك التحقق ان كان الباتش ما يزال يعمل فان كان كذلك فالتحقق الاخر غير مهم ان شاء الله..

امر اخير, الـ strings مشفرة ويمكن ايجاد خوارزمية فك التشفير وتتبعهم بسهولة.

السلام عليكم

السلام عايكم

شكرا اخي الكريم على الاجابة لكن عندما اردت ان اصحح ال IAT في برنامج ImportREC واجهت مشكلة

عندما استعملت ال GetImport من ثم ال Show Invalid لم اقدر على محو

الملفات باستخدام Trace Level1(disasm) يعني بعد الانتهاء ما يشتغل الملف

My OEP : 040B66E ------> 0000B66E

طلب ثاني و انا ادري اثقلت عليك : ملف ثاني رجاء ان تفك تشفيره

على فكره الظاهر هذا الملف مضغوط شبيه ال Aspack حسب تقديري المتواضع

InitiateLockDrive.rar

محمد ممكن نعرف مصدر الملفات

أخي الكريم ما المقصود من مصدر الملفات

لربما تقصد يشبهه من حيث الانتقال بواسطة HWD على ESP في المكدس.. باي حال, الملف بدون حماية في المرفق

الطريقة نفسها لان الحماية نفسها للملف الجديد.

هناك ايضا crc على ما يبدو لكني لم اعدله, ساترك لك تقدير ان كان يحتاج ام لا.

بالمناسبة, بعد ان تصلح الـ IAT سيبق لديك nodes تابعة لـ RVA غير صحيحة (تستطيع التاكد من خلال disassemble لاي node..), عندما تكون واثقا انها غير ضرورية قم بتحديد الخاطئة واختر cut thunks لازالتها.

أيضا, برامج مثل aspr او arma تحوي على RVAs موجهة الى جزء من الكود في الذاكرة يتبع الحماية يقوم هو بتحديد الـ RVA الصحيح.. لذا ليس كل شئ تراه غير مصحح هو خاطئ.. انتبه

unpacked.rar