محاولة جادة لحماية ملف تنفيذي

أين أنتم :)

chik و jaas انا بانتظار سماع رأيكم

اضافة الى اعضاء المنتدى الكرام

تحياتي

السلام عليكم ورحمة الله ,,,

في البداية أعتذر عن التأخر في الرد ,,, كنت مشغول يومين ؟!

المهم :

سؤحاول كسر البرنامج وأوافيك بالجديد ؟!! شكلة معقد

غداً نلتقي بإذن الله

وبالتوفيق

السلام عليكم ..

سرني جدا وجودك .. وبانتظار رأيك

تحياتي

السلام عليكم,

بإلقاء نظرة عاجلة على البرنامج يبدو أنه مر على نوعين من الحماية. الأولى من نوع SoftLock والثانية بنسخة من Asprotect .

الكسر ليس مستحيل ولكن قد يأخد بعض الوقت إدا كان جديدا وإدا لم يسبق له أن كسر مسبقا . فأنا شخصيا مند وقت لم أعد أهتم بهدا لأنه كان يأخد حيزا لا بأس به من الوقت.

إلى اللقاء.

السلام عليكم جميعاً هذا هو الملف بعد فك التشفير.

warning: it issues a Remote Procedure Call

لذلك استعد لإقلاع النظام إذا أردت تشغيل الملف!

بالمناسبة البرنامج يتأكد من وجود ملف LPK.DLL لعله جزء من الحماية :)

قم بصنع هذا الملف وستجد ال string ظهر معكوساً . Bad Image

Best Regards

tHe_Rriddler

Unpacked.exe

وعليكم السلام ,,,,

وهذا الملف 2 بعد فك التشفير ,, ولكنة شبية بملف أخونا tHe_Rriddler

عندما تطلع على البرنامج سترى البرنامج طبيعي , مثل الدوال و ملفات المصادر والكود , كل البيانات غير مشفرة

وبمجرد تشغيل البرنامج وبعد مرور 5 ثواني سيعيد تشغيل الجهاز ؟!

وأعتقد بأن السبب ( مكاتب التشغيل لبرامج الفيجول بيسك , والإصدارات المختلفة )

المهم أني لم أشرح البرنامج بشكل تفصيلي لضيق الوقت ,,

سأبحث في الموضوع , وأكتب ما أتوصل إلية ,,,

إلى اللقاء

CrackMe008.zip

السلام عليكم ورحمة الله وبركاته

بصراحة في البداية اصابني الاحباط من قلة الردود وعدد مرات تحميل الملف .. لذا فقط تم ارساله الى موقع CrackMes وهو تحت النبش الآن :)

ولكني اطمئنكم جميعا أن اياً منكم لم يستطع كسر حماية البرنامج ، واليكم مجموعة من الاسئلة :

1. للاجابة على سؤال اعادة التشغيل الذي ذكرتموه في ردودكم .. فلو دققتم في اول مشاركة لي في هذا الموضوع لوجدتم انني ذكرت لكم انه سيعيد تشغيل الجهاز في حالة وجود خطأ في CRC ;) :) ... أي ان هذه العملية هي ضمن الحماية .

اقتباس

2. CRC Check Sum : في حالة كشف محاولة لتغيير الملف التنفيذي سوف يقوم البرنامج بإعادة تشغيل الكمبيوتر .. حتى لا ترى نتيجة التغيير

2. بعد فك التشفير ، وعند تشغيل الملف ، هل ظهرت لكم رسالة : " لقد تم كسر الحماية " ، والتي تظهر في حالة تحقق شرط الحماية ؟؟ حيث ان هذا هو الهدف من كسر الحماية وليس فقط فك التشفير .

3. هل استطاع احدكم تتبع تشغيل البرنامج في برنامج الـ Debugger و .. مثل OllyDBG ?? ماذا كانت النتيجة ؟؟

4. هل استطاع احدكم أن يعرف بالضبط عن ماذا يبحث الملف ؟؟ طبعا ليس الملف LPK.DLL . :)

5. هل حاولتم اقتفاء اثره باستخدم FileMon ؟؟ أو RegMon ؟؟ وماذا كانت النتيجة ؟؟

ان اجابة هذه الاسئلة تحدد المرحلة التي وصلنا اليها في فك حماية الملف :)

وجميعكم انشغل بفك التشفير .. وهذا هو الهدف الاساسي منه .. وسيفرح الجميع لكون الاصدار الذي تمت حمايته بواسطته قديم ( 1.1 ) .. ;)

بالنسبة للأخ chik :

الملف المرفق في هذا الموضوع هو من حمايتي انا ، وهو يختلف عن الملف الذي طلبت منك فحصه ، ولذا فهو لا علاقة له بـ SoftLock ولكني كما ذكرت لكم وبالانجليزي فهو مشفر بواسطة ASPROTECT :)

ارجو منكم أن تجيبوا على الاسئلة التي ذكرتها في هذا الرد وان تضعوها في هذا الموضوع حتى يتم التحقق من مستويات الحماية ...

ارجو ان يكون هذا مثال على انه بالرغم من ان الحماية هي مسألة وقت .. فهذا الوقت قد يطول ويطول ويطول :)

مع العلم انني بإمكاني اضافة عقبات اضافية .. ولكني بانتظار كسر حماية هذا الملف بدايةً

تحياتي لكم جميعا

وشكرا لتعاونكم

السلام عليكم ,,,

وهذة النسخة , بعد فك التشفير وإلغاء الحماية 100%

اقتباس

بصراحة في البداية اصابني الاحباط من قلة الردود وعدد مرات تحميل الملف

أعتقد بأن أغلب الأعضاء لا يحبون التسلية :)

والمشرفين مشغولين في أمور المنتدى

-------

UnCrackMe0A.zip

السلام عليكم ..

أهنئك أخي JAAS على التقدم الكبير في فك حماية الملف :)

حيث أنك استطعت تجاوز :

1. فك تشفير ASPROTECT .

2. الغاء فحص CRC واعادة تشغيل الجهاز .

3. الغاء فحص Debugger مع بقاء المشكلة قائمة مع SmartCheck .

ولكنك وقعت في الفخ ;)

حيث انك قمت بالغاء طلب اجراء فحص الـ Debugger بكامله .. ولكنك بهذا قمت ايضاً بالغاء وايقاف البرنامج كلياً .. أي ان البرنامج لن يعمل وسيقف عند هذه النقطة ولن يقوم بإظهار رسالة بأنه تم كسر الحماية والتي يمكن ان يكون مكانها اي اجراء آخر للبرنامج والذي يمثل بقية اجزاء البرنامج ... لأن الرسالة تأتي كنتيجة للفحص وليست مستقلة عنه ...

ولا بد انك لاحظت ان اياً من الرسائل لم تعد تظهر على الفورم .

ولكني مع ذلك أشهد لك بأنك قمت بعمل كبير ورائع .. ولكن انتظر مني الضربة القاضية قريبا :)

أما بالنسبة لـ

اقتباس

أعتقد بأن أغلب الأعضاء لا يحبون التسلية

فأنا اعتقد انه على العكس تماماً .. فمن الخطأ تماما ان نضع هذا الموضوع تحت باب التسلية .. اذن ، لماذا تقوم مواقع كاملة على انشاء ملفات محمية ومحاولة كسرها مثل Crackmes ؟؟

وبصراحة ، فإن التحدي الحقيقي هو في انتاج حماية وليس في فكها وكسرها :)

لأن مهمة مصمم الحماية أن يتنبأ وان يحاول ان يفكر بطريقة المقرصن لذا فعليه عبء أكبر من محاولة كشف الحماية .. كما يجب ان عليه معرفة اساليب فك الحماية حتى يتجنبها في برنامجه .

ومثال على هذا مصمم جهاز التلفاز ، فهو اعظم قدرة من الفني الذي يأخذ دورة :) ليستطيع فحص وكشف الاعطال وتصليحها .. مجرد توضيح :)

خبر عاجل :

بعد ان زاد عدد قارئي الموضوع عن 117 وبعد ان تم تحميل الملف 19 مرة سأكشف لكم ولأول مرة - سبق صحفي :) - عن الحماية التي يبحث عنها البرنامج ... وهي عبارة عن ملف اسمه AAAA حرف كبير موضوع على الجذر الرئيسي للقرص C .. أي هكذا C:\AAAA بدون اي تابع .. حاول انشاء هذا الملف وشغل البرنامج الاصلي .. ستجد ان البرنامج يظهر رسالة : "تم كسر حماية البرنامج" ...

والان أخي JAAS ..

1. ما هو تقييمك للحماية ؟؟

2. ما هي نقاط الضعف فيها ؟؟

3. هل تستطيع جعل البرنامج يستمر في العمل بعد ايقاف تتبع الديبغر ؟؟

طلب آخر أخي JAAS ..

هل يمكنك وضع شرح للطرق التي اتبعتها .. إذ أن الهدف هو ان نطور عملنا ولن يتم ذلك إلا بأخذ الملاحظات ..

رجاء اجب عن جميع الاسئلة .. ويمكنك الاستعانة بصديق ;)

شكرا لكم ..

تحياتي

ما شاء الله عليك أخي jaas أنا لم استطع فك تشفير البرنامج برغم أن عندي

stripper 2.07 وهو يفك حتى اصدارات أحدث من هذا الاصدار !!!!

لا أدري ما السبب ...

شكل أخي الاحتراف وضع سم في البرنامج عشان ما يفك هذا البرنامج تشفيره ههههه .

أخي jaas أضم صوتي لصوت الأخ الاحتراف ....

هل تتكرم بشرح لنا كيف تمكنت من :

* فك تشفير البرنامج .

* وتجاوز الحماية .

تحياتي

مرحبا بالجميع ,,,

اقتباس

ولكنك وقعت في الفخ

أي فخ تقصد أخي الإحتراف ,,

هل هو هذا

وتريد رؤية النافذة بهذا الشكل , دون فك التشفير وتجاوز الحماية ؟؟!

-

تستطيع تجاوزة وإظهار الرسالة " تم كسر البرنامج " دون الحاجة لكل الخطوات التي

قمت بها مثل فك التشفير وإلغاء الحماية ,, أصلاً مافائدة التشفير إذا كنت هذة هي الحماية ؟! لأن الصورة التي تراها للبرنامج وهو مشفر ومحمي , وتجدة يظهر الرسالة

وهو بداخل olly ,,, بالفعل إستغربت من سؤالك بعد أن فهمتة ؟؟

بصراحة لم أتوقع أنك تريد الحل ,,, ( ضع ملف جديد في محرك C وإسمة AAA)

بينما الحل الصحيح هو بتجاوز كود التحقق من وجود الملف , والإستمرار في التنفيذ

بمعنى الشغل كلة يكون داخل البرنامج ؟! راجع المثال الذي وضعتة من قبل

المهم حقك علينا

---

اقتباس

1. ما هو تقييمك للحماية ؟؟

الحماية عن طريق الملف AAAA , أم فك التشفير وإلغاء الحماية ؟

بالنسبة للطريقة الأولى : أعتقد أنها بسيطة

بالنسبة للطريقة الثانية : هي متوسطة ولكن هل تعرف السبب وراء تعقيدها أكثر

لأن البرنامج مصمم بالفيجول بيسك ( أي أن التنفيذ كلة يجري خارج البرنامج )

مما يتطلب مراقبة كل مكاتب التشغيل للفيجول

اقتباس

ما هي نقاط الضعف فيها ؟؟

بالتأكيد مثل باقي برامج التشفير ,, هل تعتقد أن هذا النوع من التشفير يكشف أنة مراقب بالعكس, فأنا أراقبة بواسطة olly والبرنامج ولا عندة خبر , والسبب أنا نافذة

برنامج olly لدي بها بعض التغييرات ( فقط غير إسمها - لكي لا تكشفها أغلب برامج الحماية )

اقتباس

3. هل تستطيع جعل البرنامج يستمر في العمل بعد ايقاف تتبع الديبغر ؟؟

لم أفهم السؤال ؟

------------------

بالنسبة لشرح هذا النوع من الحماية ,,, بالتأكيد سيتم في أقرب وقت ممكن ؟!

وبالتوفيق ,,,

السلام عليكم ....

لقد هزمتني أخي jass :) .

ولكن هناك طريقة أخرى لتجاوز هذه الحماية وهي عمل patch ل msvbvm60 ووضعها

مع البرنامج . وتستطيع عندها التخلص من جميع العوائق :).

Best Regards

tHe_Rriddler

السلام عليكم ..

شكرا لجميع الاخوة الذين شاركوني هذه التجربة ..

أنا لم أقصد انني كنت انتظر منك ان تنسخ الملف ، أو ان تبحث عن الحماية وتضعها في الجهاز .. بل كان الهدف الغاء الحماية من دخل الملف .. وهذا ما قمت انت به بالضبط .

وعندما ذكرت الفخ كان قصدي انك قمت ايضاً بالغاء تنفيذ البرنامج مع الغاء الحماية .. هذا هو ما قصدته !!

وكان سؤالي : هل تستطيع ان توقف عملية الفحص التي يقوم بها البرنامج حول اذا ما كان مراقبا من برنامج ديبغر مع استمرار البرنامج في عمله الطبيعي وظهور رسالة : "لقد تم كسر الحماية" ؟؟

وعندما ذكرت موضوع الملف c:\AAAA كان القصد أن اظهر لك الحالة الطبيعية للملف حين تجاوزه للحماية وهي رسالة : "لقد تم كسر الحماية" .. وليس عدم ظهور اي شيء !!

أما بالنسبة للصور التي يظهر فيها اسم الملف ، فلقد حاولت مراراً وتكراراً ولكنها لم تظهر معي !! وحتى لو قمت بتغيير اسم الشاشة ، فالـ OLLYDBG يعرف على انه من النوع Step By Step Debugger .. أي من المستحيل ان ينجح الامر !! الرجاء التوضيح !!

هل ظهرت هذه الرسالة

بعد تغييرك للملف وكسر البرنامج أم بعد انشائك للملف على C:\AAAA ؟؟

هل بإمكانك ارسال باتش شامل يشمل ازالة الحماية مع اظهار الرسالة دون وجود ملف الحماية ؟؟

الرجاء اخي ارسال الشرح بالسرعة الممكنة وذلك لأنني بحاجة له

آسف لكثرة أسئلتي

تحياتي

مرحبا ( tHe_Rriddler )

اقتباس

لقد هزمتني أخي jass

بالعكس أخي الكريم ,, فقد أعجبت بطريقتك في فك التشفير

وتدل على خبرة , وبصراحة لم أكن أريد المشاركة في هذا الموضوع

السبب الأول : لأني مشغول الآن بإعداد مواضيع للمنتدى + كتابة بعض البرامج

والسبب الثاني : لأنة لا يوجد هنالك من يشارك , أو قلة عدد المشاركين

ولكن بعد سلسلة من المواضيع التي بدأت بها ,, أتوقع أن المنتدى كلة سيتحول إلى CrackMe , وفي ذلك الوقت سأكون متفرغ مع بقية الأعضاء لكسر البرامج

هذة الفكرة هي التي أخطط لها من البداية , ولكن أخونا الإحتراف مستعجل :)

اقتباس

ولكن هناك طريقة أخرى لتجاوز هذه الحماية وهي عمل patch ل msvbvm60 ووضعها

هو البرنامج المشفر سيعمل بالشكل الذي تريدة ,, ولكن

كل برامج الفيجول بيسك في جهازك لن تعمل !

----

أخي ( الإحتراف )

الملاحظة التي ذكرتها أقصد بها طريقة حلك للموضوع : قم بإنشاء ملف

فلو كان البرنامج لايتحقق من الملف , مثلاً يتحقق من وجود سيدي , هل سيكون الحل

أدخل السيدي ؟! في هذة الحال لم تقم بشيء , فقط حققت شرط البرنامج , يعني إشتريت البرنامج ,, هذة النقطة هي التي تعجبت منها !

اقتباس

وكان سؤالي : هل تستطيع ان توقف عملية الفحص التي يقوم بها البرنامج حول اذا ما كان مراقبا من برنامج ديبغر مع استمرار البرنامج في عمله الطبيعي وظهور رسالة : "لقد تم كسر الحماية" ؟؟

أكيد ممكن ؟!

شوف أخي الكريم , البرنامج الذي طرحتة يقوم بالتالي :

فحص الحماية ..

فحص التغيير في البرنامج ..

فك تشفير البرنامج ..

بعد ذلك يبحث عن الملف ( وهو شرط الحماية ) ويظهر رسالة

ثم يعود إلى النافذة الرئيسية ويستمر في التنفيذ

---

البرنامج المرفق الذي وضعتة , يقوم بالتالي

عندما تشغل البرنامج .. يتجاوز عملية الفحص للملف( لأنة المفروض أن تكون غير موجودة)

ويستمر في التنفيذ . . لأنك كما تلاحظ يستجيب لأحداث النافذة

أما عن إظهار الرسالة فإني تجاوزتها لأنها لا تؤثر على سير البرنامج

ولكن السؤال , ماذا لو كان كود أساسي في البرنامج

في هذة الحال :

العنوان الذي قمت بتغييرة هو تجاوز كود فحص الحماية كلة

وتستطيع تغييرة إلى أي عنوان آخر ( مثل إلى عنوان الكود الأساسي في البرنامج)

حتى لو كان في وسط الحماية , فإنة لن يإثر , لأن الحماية تتم في بداية التشغيل

سؤحاول تطبيق هذة الفكرة في المثال !!

اقتباس

أما بالنسبة للصور التي يظهر فيها اسم الملف ، فلقد حاولت مراراً وتكراراً ولكنها لم تظهر معي !! وحتى لو قمت بتغيير اسم الشاشة ، فالـ OLLYDBG يعرف على انه من النوع Step By Step Debugger .. أي من المستحيل ان ينجح الامر !! الرجاء التوضيح !!

أريد أن أسألك كيف طريقتك في وضع نقاط التوقف ؟!

فكما تلاحظ في الصورة , أني وضعتها داخل ملف kernel32.dll وليس في البرنامج

وإذا كنت تستخدم نظام تشغيل أقل من 2000 فلن تستطيع عمل هذة الطريقة

توجد طريقة أخرى , أن تكتب نقاط التوقف في مراحل التغير في الملف التنفيذي

مثل : مرحلة فك التشفير , مرحلت إستيراد الدوال ...

وسأعطيك هذة العناوين للمثال الذي وضعتة

عنوان بداية إستيراد الدوال وهو addr = 00409045

عنوان بداية فك التشفير وهو addr 4093AC و addr 00409412

وبعد ذلك شغل البرنامج عن طريق shift+f9

وشوف سيقف البرنامج أو لا , ستجد أنة يعمل بشكل طبيعي , مع ملاحظة أن عنوان نافذة أولي مختلفة عن الأصل

-

بالنسبة للصورة , أول مرة ظهرت لي " لقد تم كسر الحماية "

عندما غيرت القيمة العائدة من دالة البحث ,, كما هو في الصورة الموضحة

بعد تنفيذ الدالة , غير قيمة المسجل eax وستظهر الصورة

ولكني لم أغير في البداية , لأني كما قلت البرنامج بالفيجول بيسك , والكود خارج

البرنامج , ولذلك فإني لم أبحث عن المصدر في داخل البرنامج , لأني كما توقعت

في بداية وضعك للمثال أنك تريد طريقة فك التشفير وإلغاء برامج الحماية للملف

المهم أني بدأت أفهمك وسأكتب لك باتش يفي بالغرض ,, وبالتوفيق

شكرا لك ..

السلام عليكم جميعاً....

أخي jaas انت لم تفهمني :) . لقد قلت اعمل patch ل msvbvm60 . وضعه مع البرنامج

أي في مجلد واحد :) . يعني لم أغير c:\windows\system32\msvbvm60 :) .

لذا جميع برامج visual basic سوف تعمل :) .

وهذه الطريقة رائعة لتغلب على ال IsDebuggerPresent و غيرها من ال anti-debugg

tricks :) . وكما تعلم فهي توجد في kernel . أي اعمل ل kernel patch ثم ضعه مع البرنامج ( c:\windows\system32\kernel ) لم يمسه أ شي :) . فقط النسخة التي وضعتها مع البرنامج .

Best Regards

tHe_Rriddler

السلام عليكم

أخي JAAS أنا بحاجة ماسة جدا جدا جدا للطريقة التي قمت فيها بفك تشفير وحماية البرنامج المرفق بالموضوع وذلك للاستفادة منها البرنامج التالي الذي سأضعه في المنتدى .. وانت وعدت بأن الدرس سوف يكون قريباً

أحببت ان اذكرك فقط

بانتظار الدرس

تحياتي

للعلم انه اذا اراد الطالب منا ان يتعلم كيف يقفل البرامج فليسأل شركة prolog المنتجة لبرنامج الذكاء الصناعي visiol prolog

عذرا ، لم افهم ردك ؟؟

بسم الله الرحمن الرحيم

أخي هل من الممكن شرح الطرية التي قمت بعملها لحماية برنامجك؟

أرجو الرد بسرعة