الفريق العربي للهندسة العكسية

رابط التمرين:

https://www.at4re.net/f/thread-996.html

الحل:

في الأول حاولت كسره بجعله يقبل أي سيريال لكني فشلت...
السريال يتكون من 50 محرف يتم حفظه بالمسار

HKEY_CURRENT_USER\Software\Iconion.com\Iconion

يتم إستدعاء المفتاح عند إعادة التشغيل عن طريق إحدى الدالتين

RegOpenKeyA
RegOpenKeyExA

المفتاح يتم معالجته بقسم من أقسام الحماية مما جعل الأمر معقدا نوعا ما
بعد ذلك قررت فك الضغط و تجاوز محدودية البرنامج

يمكن فك الضغط بضغطة زر بالأداة stripper 2.13 beta 9 by syd

https://www.at4re.net/f/thread-59.html

الملف المفكوك سيكون بحجم 4,8 ميقا

يمكن حذف أقسام الحماية بالصورة عن طريق برنامج CFF Explorer

[صورة مرفقة: 63BC81x.png]

عن الطريق الخيار Delete Section - Header and Data

الملف سيكون بحجم محترم بعد هذه الخطوة 3 ميقا

أغلب من حاول إعتمد على تغيير إحدى القفزات الشرطية بإجرائية من إجرائيات Save Icon

مما جعل البرنامج يبدو و كأنه غير مسجل لكن كانت لي نظرة مختلفة عن الجميع

إعتمدت على بديهتي...

كلكم لاحظ صورة القفل فوق صور الإستايلات المدفوعة صحيح ؟

هي صورة ذات خلفية شفافة أي أنها من نوع PNG و هو ما إعتمدت عليه في البحث بالمنقح

حتى وجدت هذا الإسم ":/lock_64.png" توجهت مباشرة للإجرائية و ضعت نقطة توقف عند بداية الإجرائية و أعدت التشغيل

و بالفعل توقف البرنامج و عرفت أني في المكان الصحيح

[صورة مرفقة: SAANbfj.png]

تغيير القفزة الشرطية بالعنوان 00415DE7 بقفزة محققة دوما JMP SHORT 00415DFC

يمنع المرور بتعليمات lock_64.png

تغيير الجملة "Free version - Non-Profit" يتم بالتوجه للعنوان 00486380

تحديد الأسطر المبينة ثم Binary > Edit أو CTRL + E

[صورة مرفقة: h2utv6h.png]

بعد الحفظ و إعادة التشغيل ستلاحظون البرنامج و كأنه مدفوع Big Grin

يمكن إعادة ضغط الكراك ببرنامج UPX للحصول على حجم كراك محترم جدا 2,5 ميقا

محاولة للأخ EAX+4
شرح فلاشي

https://www.filedropper.com/icon_2

باس فك الضغط

RITO12

منكم و إليكم و السلام عليكم victory

انا المرة الاولى تتبعت رسالة الخطا لكن فشلت هل تتبع رسالة في بعض الاحيان لاينفع فبعض البرامج لاتنفع معها هذه الطريقة
الصعوبة التي وجدتها في الهندسة العكسية هي في ايجاد مكان التعديل الصحيح

(28-07-2019, 11:29 AM)[EAX+4] كتب : [ -> ]هل تتبع رسالة في بعض الاحيان لاينفع فبعض البرامج لاتنفع معها هذه الطريقة

حسب البرنامج...
هناك برامج تحفظ بيانات التسجيل بالرجستري و أخرى بملف بمسار معين
و هناك برامج تقوم بالتحقق من بيانات التسجيل عند إعادة التشغيل و أخرى لا و أخرى تطلب التحقق من السيرفر...

(28-07-2019, 11:29 AM)[EAX+4] كتب : [ -> ]الصعوبة التي وجدتها في الهندسة العكسية هي في ايجاد مكان التعديل الصحيح

لا يهم مكان التعديل حتى و ان عدلت على عدة أماكن المهم هو النتيجة Wink

اعتقد في هذا التمرين البرنامج يطلب التحقق من السيرفر هل يمكن تجاوز هذا التحقق اظن ان الامر صعب
هناك برامج تستعمل طريقة authentification (الاستيثاق) للتحقق اظن نفس فكرة التحقق من السيرفر هل يمكن تجاوزها
حاولت كسر برنامج يشتغل بالنت لكن محمي بهذا الطريقة لكن وجدت صعوبة لتجاوزها

(28-07-2019, 12:35 PM)[EAX+4] كتب : [ -> ]اعتقد في هذا التمرين البرنامج يطلب التحقق من السيرفر

في حالة إدخال سيريال عشوائي أقل من 50 محرف
جرب إدخال

12345678901234567890123456789012345678901234567890

سيطالبك بإعادة التشغيل مباشرة
ثم يتم فحص السيريال من البرنامج عند إعادة التشغيل
يمكن الوصول لإجرائية فحص السيريال بتتبع دوال فتح مفاتيح المسجل التي أشرت لها سابقا في حالة واحدة فقط

في حالة الملف محمي يعني لو تفك الضغط عن الملف لن يستدعي مسار مفاتيح التسجيل.

(28-07-2019, 01:13 PM)M!X0R كتب : [ -> ]سيطالبك بإعادة التشغيل مباشرة

نعم وصلت الى هذه ثم توقفت

(28-07-2019, 01:21 PM)[EAX+4] كتب : [ -> ]نعم وصلت الى هذه ثم توقفت

حمل الملف الأصلي للمنقح ثم ضع نقطة توقف عند الدالة RegOpenKeyExA و أضغط على F9
31 مرة و ستلاحظ بالمكسدات أنه إستدعى مسار المفاتيح

حلي المتواضع

أخي M!X0R سؤال

انا حملت برنامج CFF Explorer

بس لكن كيف أريد أن أعرف ان هذه الحماية أو بيانات خاصة بالبرنامج

انا عملتها على برنامج وبعد ما عملت حفظ البرنامج اتغيرت شكل أيقونته ولا يعد يعمل

فكيف نريد ان نعرف الأسطر الخاصة بالحماية عن طريق برنامج CFF Explorer

وشكراً لك

M!X0R

EAX+4

M!X0R

EAX+4

M!X0R

EAX+4

M!X0R

fantazma

Cold Love