قوانين المنتدى | إعلانات هامة | صفحة المبتدئين | كتاب الفريق الأول | كتاب الفريق الثاني | مجلة الفريق | أسطوانتين للمبتدئين | من نحن ؟ | تبرع للموقع | Donate

الفريق العربي للهندسة العكسية › منتديات الهندسة العكسية - Reverse Engineering Forums › الهندسة العكسية - Reverse Code Engineering v
حل #04 تحدي كسر برنامج Ic0n!0n v2.7

تقييم الموضوع :
  • 3 أصوات - بمعدل 2.67
  • 1
  • 2
  • 3
  • 4
  • 5
ادوات الموضوع
حل #04 تحدي كسر برنامج Ic0n!0n v2.7
M!X0R غير متصل
.: عضو سابق بـ AT4RE :.
*****
Retired
المشاركات : 1,519
المواضيع : 287
الإعجاب المحصل: 102
الإعجاب المعطى: 48
الإنتساب : Oct 2018
السمعة : 36
#1
28-07-2019, 07:30 AM (آخر تعديل لهذه المشاركة : 28-07-2019, 08:34 AM بواسطة M!X0R.)
Salam
رابط التمرين:
https://www.at4re.net/f/thread-996.html
PHP

الحل:

في الأول حاولت كسره بجعله يقبل أي سيريال لكني فشلت...
السريال يتكون من 50 محرف يتم حفظه بالمسار
HKEY_CURRENT_USER\Software\Iconion.com\Iconion
PHP

يتم إستدعاء المفتاح عند إعادة التشغيل عن طريق إحدى الدالتين
RegOpenKeyA
RegOpenKeyExA
PHP

 المفتاح يتم معالجته بقسم من أقسام الحماية مما جعل الأمر معقدا نوعا ما 
بعد ذلك قررت فك الضغط و تجاوز محدودية البرنامج 

يمكن فك الضغط بضغطة زر بالأداة stripper 2.13 beta 9 by syd
https://www.at4re.net/f/thread-59.html
PHP

الملف المفكوك سيكون بحجم 4,8 ميقا

يمكن حذف أقسام الحماية بالصورة عن طريق برنامج CFF Explorer

[صورة مرفقة: 63BC81x.png]

عن الطريق الخيار Delete Section - Header and Data

الملف سيكون بحجم محترم بعد هذه الخطوة 3 ميقا

أغلب من حاول إعتمد على تغيير إحدى القفزات الشرطية بإجرائية من إجرائيات Save Icon

مما جعل البرنامج يبدو و كأنه غير مسجل لكن كانت لي نظرة مختلفة عن الجميع 

إعتمدت على بديهتي...

كلكم لاحظ صورة القفل فوق صور الإستايلات المدفوعة صحيح ؟

هي صورة ذات خلفية شفافة أي أنها من نوع PNG و هو ما إعتمدت عليه في البحث بالمنقح

حتى وجدت هذا الإسم ":/lock_64.png" توجهت مباشرة للإجرائية و ضعت نقطة توقف عند بداية الإجرائية و أعدت التشغيل

و بالفعل توقف البرنامج و عرفت أني في المكان الصحيح

[صورة مرفقة: SAANbfj.png]

تغيير القفزة الشرطية بالعنوان 00415DE7 بقفزة محققة دوما JMP SHORT 00415DFC

يمنع المرور بتعليمات lock_64.png 

تغيير الجملة "Free version - Non-Profit" يتم بالتوجه للعنوان 00486380

تحديد الأسطر المبينة ثم Binary > Edit أو CTRL + E

[صورة مرفقة: h2utv6h.png]

بعد الحفظ و إعادة التشغيل ستلاحظون البرنامج و كأنه مدفوع  Big Grin

يمكن إعادة ضغط الكراك ببرنامج UPX للحصول على حجم كراك محترم جدا 2,5 ميقا

محاولة للأخ EAX+4 
شرح فلاشي
https://www.filedropper.com/icon_2
PHP
 
باس فك الضغط
RITO12
PHP


منكم و إليكم و السلام عليكم  victory
لَّا إِلَٰهَ إِلَّا أَنتَ سُبْحَانَكَ إِنِّي كُنتُ مِنَ الظَّالِمِينْ.
عن أبي هريرة -رضي الله عنه- أن رسول الله -صلى الله عليه وسلم- كانَ يقولُ في سجودِهِ: «اللَّهُمَّ اغْفِرْ لي ذَنْبِي كُلَّهُ: دِقَّهُ وَجِلَّهُ، وَأَوَّلَهُ وَآخِرَهُ، وَعَلاَنِيَتَهُ وَسِرَّهُ».
(صحيح - رواه مسلم).
البحث
EAX+4 غير متصل
.: عضو مثابر :.
**
المشاركات : 57
المواضيع : 10
الإعجاب المحصل: 0
الإعجاب المعطى: 0
الإنتساب : Jan 2019
السمعة : 0
#2
28-07-2019, 11:29 AM
انا المرة الاولى تتبعت رسالة الخطا لكن فشلت هل تتبع رسالة في بعض الاحيان لاينفع فبعض البرامج لاتنفع معها هذه الطريقة
الصعوبة التي وجدتها في الهندسة العكسية هي في ايجاد مكان التعديل الصحيح
البحث
M!X0R غير متصل
.: عضو سابق بـ AT4RE :.
*****
Retired
المشاركات : 1,519
المواضيع : 287
الإعجاب المحصل: 102
الإعجاب المعطى: 48
الإنتساب : Oct 2018
السمعة : 36
#3
28-07-2019, 11:55 AM (آخر تعديل لهذه المشاركة : 28-07-2019, 11:56 AM بواسطة M!X0R.)
(28-07-2019, 11:29 AM)[EAX+4] كتب : هل تتبع رسالة في بعض الاحيان لاينفع فبعض البرامج لاتنفع معها هذه الطريقة

حسب البرنامج...
هناك برامج تحفظ بيانات التسجيل بالرجستري و أخرى بملف بمسار معين
و هناك برامج تقوم بالتحقق من بيانات التسجيل عند إعادة التشغيل و أخرى لا و أخرى تطلب التحقق من السيرفر...

(28-07-2019, 11:29 AM)[EAX+4] كتب : الصعوبة التي وجدتها في الهندسة العكسية هي في ايجاد مكان التعديل الصحيح

لا يهم مكان التعديل حتى و ان عدلت على عدة أماكن المهم هو النتيجة  Wink
لَّا إِلَٰهَ إِلَّا أَنتَ سُبْحَانَكَ إِنِّي كُنتُ مِنَ الظَّالِمِينْ.
عن أبي هريرة -رضي الله عنه- أن رسول الله -صلى الله عليه وسلم- كانَ يقولُ في سجودِهِ: «اللَّهُمَّ اغْفِرْ لي ذَنْبِي كُلَّهُ: دِقَّهُ وَجِلَّهُ، وَأَوَّلَهُ وَآخِرَهُ، وَعَلاَنِيَتَهُ وَسِرَّهُ».
(صحيح - رواه مسلم).
البحث
EAX+4 غير متصل
.: عضو مثابر :.
**
المشاركات : 57
المواضيع : 10
الإعجاب المحصل: 0
الإعجاب المعطى: 0
الإنتساب : Jan 2019
السمعة : 0
#4
28-07-2019, 12:35 PM
اعتقد في هذا التمرين البرنامج يطلب التحقق من السيرفر هل يمكن تجاوز هذا التحقق اظن ان الامر صعب
هناك برامج تستعمل طريقة authentification (الاستيثاق) للتحقق اظن نفس فكرة التحقق من السيرفر هل يمكن تجاوزها
حاولت كسر برنامج يشتغل بالنت لكن محمي بهذا الطريقة لكن وجدت صعوبة لتجاوزها
البحث
M!X0R غير متصل
.: عضو سابق بـ AT4RE :.
*****
Retired
المشاركات : 1,519
المواضيع : 287
الإعجاب المحصل: 102
الإعجاب المعطى: 48
الإنتساب : Oct 2018
السمعة : 36
#5
28-07-2019, 01:13 PM (آخر تعديل لهذه المشاركة : 28-07-2019, 01:26 PM بواسطة M!X0R.)
(28-07-2019, 12:35 PM)[EAX+4] كتب : اعتقد في هذا التمرين البرنامج يطلب التحقق من السيرفر
في حالة إدخال سيريال عشوائي أقل من 50 محرف
جرب إدخال 
12345678901234567890123456789012345678901234567890
PHP
سيطالبك بإعادة التشغيل مباشرة
ثم يتم فحص السيريال من البرنامج عند إعادة التشغيل
يمكن الوصول لإجرائية فحص السيريال بتتبع دوال فتح مفاتيح المسجل التي أشرت لها سابقا في حالة واحدة فقط
  • في حالة الملف محمي يعني لو تفك الضغط عن الملف لن يستدعي مسار مفاتيح التسجيل.
لَّا إِلَٰهَ إِلَّا أَنتَ سُبْحَانَكَ إِنِّي كُنتُ مِنَ الظَّالِمِينْ.
عن أبي هريرة -رضي الله عنه- أن رسول الله -صلى الله عليه وسلم- كانَ يقولُ في سجودِهِ: «اللَّهُمَّ اغْفِرْ لي ذَنْبِي كُلَّهُ: دِقَّهُ وَجِلَّهُ، وَأَوَّلَهُ وَآخِرَهُ، وَعَلاَنِيَتَهُ وَسِرَّهُ».
(صحيح - رواه مسلم).
البحث
EAX+4 غير متصل
.: عضو مثابر :.
**
المشاركات : 57
المواضيع : 10
الإعجاب المحصل: 0
الإعجاب المعطى: 0
الإنتساب : Jan 2019
السمعة : 0
#6
28-07-2019, 01:21 PM
(28-07-2019, 01:13 PM)M!X0R كتب : سيطالبك بإعادة التشغيل مباشرة

نعم وصلت الى هذه ثم توقفت
البحث
M!X0R غير متصل
.: عضو سابق بـ AT4RE :.
*****
Retired
المشاركات : 1,519
المواضيع : 287
الإعجاب المحصل: 102
الإعجاب المعطى: 48
الإنتساب : Oct 2018
السمعة : 36
#7
28-07-2019, 01:38 PM
(28-07-2019, 01:21 PM)[EAX+4] كتب : نعم وصلت الى هذه ثم توقفت

حمل الملف الأصلي للمنقح ثم ضع نقطة توقف عند الدالة RegOpenKeyExA و أضغط على F9 
31 مرة و ستلاحظ بالمكسدات أنه إستدعى مسار المفاتيح
[صورة مرفقة: bk8gDaO.png]
لَّا إِلَٰهَ إِلَّا أَنتَ سُبْحَانَكَ إِنِّي كُنتُ مِنَ الظَّالِمِينْ.
عن أبي هريرة -رضي الله عنه- أن رسول الله -صلى الله عليه وسلم- كانَ يقولُ في سجودِهِ: «اللَّهُمَّ اغْفِرْ لي ذَنْبِي كُلَّهُ: دِقَّهُ وَجِلَّهُ، وَأَوَّلَهُ وَآخِرَهُ، وَعَلاَنِيَتَهُ وَسِرَّهُ».
(صحيح - رواه مسلم).
البحث
fantazma غير متصل
.: عضو متميز :.
***
المشاركات : 123
المواضيع : 18
الإعجاب المحصل: 0
الإعجاب المعطى: 0
الإنتساب : May 2019
السمعة : 2
#8
04-08-2019, 01:13 AM
حلي المتواضع


البحث
Cold Love غير متصل
.: عضو نشيط :.
*
المشاركات : 37
المواضيع : 4
الإعجاب المحصل: 0
الإعجاب المعطى: 0
الإنتساب : Apr 2020
السمعة : 0
#9
01-05-2020, 02:56 PM (آخر تعديل لهذه المشاركة : 01-05-2020, 02:57 PM بواسطة Cold Love.)
أخي M!X0R سؤال

انا حملت برنامج CFF Explorer 

بس لكن كيف أريد أن أعرف ان هذه الحماية أو بيانات خاصة بالبرنامج

انا عملتها على برنامج وبعد ما عملت حفظ البرنامج اتغيرت شكل أيقونته ولا يعد يعمل

فكيف نريد ان نعرف الأسطر الخاصة بالحماية عن طريق برنامج CFF Explorer 

وشكراً لك
البحث


التنقل السريع :


يقوم بقرائة الموضوع: بالاضافة الى ( 1 ) ضيف كريم