فك mpress

[mohamad]

السلام عليكم 


هل يوجد اداة محددة لفك ملف dll مضغوط mpress 

جرب عمل دامب و عدة ادوات ولم ينجح الامر معي  , من عنده اداة او سكربت او طريقة معينة مجربة يفيدني رجاء 

[the9am3]

جرب هذا الفيديو 

https://www.youtube.com/watch?v=XDui4cH4L7o

او اعمل نقطة توقف على dll و بعدها f8  واعمل follow in dump للــ esp الى ان تصل الى jmp الي تاخذك للـ Entry point

[mohamad]

جرب هذا الفيديو 
https://www.youtube.com/watch?v=XDui4cH4L7o

او اعمل نقطة توقف على dll و بعدها f8  واعمل follow in dump للــ esp الى ان تصل الى jmp الي تاخذك للـ Entry point

لا فائدة , لم بنجح الامر

[the9am3]

انتظر باقي الشباب وراح احاول معاه واقولك

[Gu-sung18]

انا لست خبير فالـ unpacking ولكن ما هي الادوات والسكربتات التي استخدمتها؟ لعلي اجد لك شيء لم تستخدمة من قبل.
كذلك نحن في قسم الاسئلة وتبادل الخبرات لذلك اي معلومات تضيفها ستكون مفيدة جدا خاصة لمن يواجه نفس مشكلتك مستقبلاً
وايظا صورة من برنامج الفحص

[the9am3]

الضاغط ليس mpress 
هو PECompact(1965618101)[-] 
يوجد شرح للاخ ابو البراء لكيفه فك ضغط بعمل نقطة توقف على VirtualAlloc  وبعدها f8 على ret
انزل تحت شوي تلاقي jmp هذه القفزة تاخذك لنقطة الانطلاق لكن المشكلة التي واجهتني IAT يوجد واحدة منهم لم استطع اصلاحها

[mohamad]

الضاغط ليس mpress 

عند فحص ملف dll يوجد قسمين باسم mpress ??? 

الادوات والسكربتات التي استخدمتها

qunpack + vmUnpack +  سكربت olly باسم Mpress  وجدته عندي بمجموعة سكربتات olyy

ملف dll يخص برنامج 

ElectraX2 x64

[Gu-sung18]

ربما يفيدك اذا كنت تستخدم Ida pro
Unpacking mpress’ed PE+ DLLs with the Bochs plugin

https://www.hex-rays.com/blog/unpacking-mpressed-pe-dlls-with-the-bochs-plugin/

[the9am3]

عند فحص ملف dll يوجد قسمين باسم mpress ??? 

 

العفو انا حملت نسخة 32 بت وليس 64 بت اعتقد ال64 هو mpress