مرحبا اخوتي المتخصصين في الهندسة العكسية بما أن هذا أول موضوع لي هنا أردت أن أشكركم على دروسكم القيمة التي ساعدتني مع العديد من البرامج 
البرنامج الذي أريد كسره هذه المرة صعبٌ بعد الشيء بالنسبة لي ربما لأنه مازال لدي الكثيرة لاتعلمه 

إسم البرنامج : CashBot
لنك التحميل الأصلي : هنا
نواة البرنامج: 64bit
نوع الحماية :

هنا جربت العديد من الدروس من أجل فك هذه الحماية ( enigma) على x64dbg لكن لم ينفع أي شيء ...

• ما مقدار صعوبة هذا النوع هذه الحماية ؟
  • هل هناك إضافة ك ODBGSCRIPT على x64dbg يسهل هذا أأمر ؟
    
  •  
    
  • 
    
  •  
    
• بعد فشل فك الضغط اضطررت على التعامل مع هذا بوت وهو محمي فقمت بالإستعانة بأداة PYG_DLL_Patcher_x64 memory  لكن لم تنجح عملية hooking  رغم أنها تشتغل في كل tutorial التي شاهدتها هنا نقطة إستفهامٍ أيضاً   لم أعرف أين هو الخطأ 
  
• رغم ذلك واصلت السعي لتكسيره  في هذه المرة بعدما توصلت للقفزة التي يتثبت منها من بيانات المستخدم وتجاوزتها البرنامج يضهر بهذه الحالة 
  
•  اعتذر عن الاطاله في الموضوع ولكني تعبت كثيراً وأردت أن اشارككم تجربتي كما هي مالذي توصلت إليه في الأخر على حسب خبرتي البسيطة :
  
• البرنامج عندما يتصل بالسرفير فإنه يتوصل بملف سكربت بصيغة json ليكمل تشغيل البرنامج قمت باكتشاف ذلك عنطريق HTTP Debugger 
  
•  
  
• 
  
•  
  
• هنا في ملف engine.dll المسؤول على مراحل تشغيل البرنامج كان هناك شيءٌ له علاقة بإختفاء نوافذ البرنامج ورغم وضع breakpoint لم أصل لشيء .
  

من فضلكم المساعدة لقد يئست حقاً ......

إقتباس :بأداة PYG_DLL_Patcher_x64 memory  لكن لم تنجح عملية hooking

DWORD OLDP;
VirtualProtect((LPVOID)0xTargetAddress,0x01,PAGE_EXECUTE_READWRITE,&OLDP);
__asm{
mov eax,TargetAddress
mov byte ptr ds:[eax],0xByteShouldBeWritten
}

(17-05-2021, 01:14 AM)Cyros كتب : اعمل hook لمكتبة version.dll بشكل يدوي افضل من استخدام الاداة PYG
استخدم هذا   version.dll proxy
https://github.com/advancedmonitoring/Pr...01_TryHard
افحص اي دالة يستخدمها البرنامج من مكتبة version.dll ثم ضع كود الكتابة بتلك الدالة  
ان اخفقت معك الدالة WriteProcessMemory بالكتابة على ذاكرة البرنامج قم بالكتابة بشكل مباشر عبر المسجلات (لاتنسى استخدام الدالة VirtualProtect قبل الكتابة  والا سيحدث خطأ Access violation ) مثلا هكذا
DWORD OLDP;VirtualProtect((LPVOID)0xTargetAddress,0x01,PAGE_EXECUTE_READWRITE,&OLDP);
__asm{
mov eax,TargetAddress
mov byte ptr ds:[eax],0xByteShouldBeWritten
}

شكرا جزيلا أخي  لو أمكن شرح عملي أو أحد الدروس يشرح طريقتك هذه وشكرا 

(16-05-2021, 07:10 PM)mounirsoltan كتب : في هذه المرة بعدما توصلت للقفزة التي يتثبت منها من بيانات المستخدم وتجاوزتها البرنامج يضهر بهذه الحالة