A poor reverser trying to unpack vmprotect -tutorial-

[mounirsoltan]

السلام عليكم 
لقلت شروحات فك الضغط حاولت القيام بهذا الشرح البسيط

البرنامج المستهدف:
Quantum Resonance Magnetic Analyzer
النسخة الاخيرة

نبذة على البرنامج:

The Quantum Resonance Magnetic Analyzer (QRMA) is a device claimed to analyze health using magnetic fields, providing non-invasive health assessments and biofeedback. It purports to offer nutritional guidance based on its analysis. However, its scientific validity is widely questioned, and reliance on established medical practices is recommended. Consultation with medical professionals for accurate health assessments is crucial.

[Newhak]

لقلت شروحات فك الضغط حاولت القيام بهذا الشرح البسيط

بارك الله فيك جميلة طريقتك لعلاج مشكلة ال antdump

فهمك لهذا الموضوع بدل على انك مهندس عكسي متمرس وليس poor كما تدعي

انا شاهدت لك درس في توليد مفتاح لبرنامج دوت نت سابقا

[خلوف1]

الله يرحمك، هل طريقةك مناسبة لنسخة 2.x أيضًا؟
لقد جربتها على Windows XP SP3 و Windows 7-64bit، مع هذا السكريبت ومع سكريبت LCF-AT VMProtect Ultra Unpacker 1.0، لكنني لم أتمكن من فك الضغط عن هذا البرنامج! (vmprotect 2.x)
إذا كان ذلك ممكنًا، يرجى إرشادي حتى أتمكن من فك الضغط عن هذا البرنامج.
أنا لست على دراية بـ IDA، وأنا أعمل مع olly و x64dbg.

[mounirsoltan]

بارك الله فيك جميلة طريقتك لعلاج مشكلة ال antdump

أستاذي العزيز و الله كلامك يعني لي الكثير لكن فقط يعتبر مجرد شرح بسيط امام مكتبتكم الضخمة من الشروحات فقط شرح تمنيت في يوم من الايام ان يشرحها لي شخص كما ان البرنامج لم اجد له نسخة مكركة لاتعلم منه فقط وجدت انه النسخة 3.5 من vmprotect و لغة البرمجة VB6 وقلت انه من الممكن التعامل معه و طبقت تلك المراحل في الشرح واشتغل البرنامج .
بالمناسبة لم ينتهي الشرح هنى مازالت مرحلة اخرى وصعبة لان البرنامج لا يشتغل عندة اعادة تشغيل الحاسوب او في حاسوب اخر اتمنى الله ان يعينني على تلك المرحلة

---

الله يرحمك، هل طريقةك مناسبة لنسخة 2.x أيضًا؟

فك الضغط اخي يحتاج الكثيرة من الخبرة انا اخذ مني الكثير لفهم تلك الاشياء التي شرحتها و مازال امامي الكثير لاتعلمه لا انصحك ان تعتمد على سكريبتات الجاهزة فقط استعملها لتتعلم منها ثم اختبر ماتعلمته مع البرنامج الذي تتعامل معه

[Newhak]

المناسبة لم ينتهي الشرح هنى مازالت مرحلة اخرى وصعبة لان البرنامج لا يشتغل عندة اعادة تشغيل الحاسوب او في حاسوب اخر اتمنى الله ان يعينني على تلك المرحلة

anti-dump ليس بالسهل الثغلب عليها ولايمكن لمبتدي الثغلب عليها بسهولة لذلك انا قلت الحقيقة انك ماشاء الله عليك وانت لست بال poor reserver

بخصوص المرحلة الثانية اعتقد ان العناوين تتغير لهذا السبب يتعطل سؤالي هنا هل تعود مشكلة ال anti-dump او يتعطل بسبب مشكلة اخرى اذا كنت تحتاج لااعادة تغير العناوين التى وضحتها في الشرح كل مرة فهنا يجب عليك عمل اونلاين باتش مع استخدام rva بمعنى حتى الملف المفكوك يحتاج عمل اونلاين او انك تستخدم cff explorer لكي تلغي ال aslr وكذلك تجعل القسم الذي يتم فيه التغير writable, readable,executable
ننتظرو نتائجك اخي الحبيب




الغي خيار DLL CAN MOVE

طبعا اذا سويت هذا التعديل قبل الفك والملف لايزال محمي فاتوقع ساينعطب الملف ولن يعمل حتى ولو تمكنت من فكه لانه ساتكون له ردة فعل الحماية crc وممكن حتى فكه سايكون مستحيل لانه crc ساتعترض طريقك قبل الوصول الى oep  بحكم ان التاكد من عدم العبث في الملف سايكون عادة في الميموري وفي طبقة الحماية

[Newhak]

والله اني اصبحت ختيار بالفعل المهم هناك شي اخر تذكرته الان وهو يجب عليك استخدام universal fixer قبل ماتسوي fix dump لانها ساتصلح العديد من الدوال المستوردة وكذلك تساعدك في تشغيل البرنامج على اكثر من جهاز بحكم ان جدول الدوال سايتم وضعه في مكان تختاره انت في اقسام الملف ولن يتغير بتغير نظام التشغيل

على مااظن لدي درس في كيفية عمل ذلك على برامج الفيجول بيسك وحماية الثلميذا ابحث عنه في البوابة


بالتوفيق ان شاء الله

[Newhak]

اخر ملاحظة اخي الحبيب لاني شاهدت جزء من شرحك الان مرة ثانية وهي ان oep التى في الشرح هي في قسم الحماية وليست في قسم الكود وهذا خطاء اخر واظن السبب عدم دقة السكريبت الذي استخدمته ولو القيت نظرة على النداء لدالة ThunRTMain ساتجد انه في قسم الكود كما وضخته انت وظاهر في المنقح 004083BC

ايضا انت وضعت جدول الدوال في الميموري المتغيرة وبالتالي فان العناوين حاتختلف من جهاز لجهاز وايضا عند اعادة التشغيل فقم باختيار احد الاقسام في الملف عوضا عن ذلك اظن ان هذا هو السبب الرئيسي لما حدث لك

[mounirsoltan]

بخصوص المرحلة الثانية اعتقد ان العناوين تتغير لهذا السبب يتعطل سؤالي هنا هل تعود مشكلة ال anti-dump او يتعطل بسبب مشكلة اخرى

ليست هناك مشكلة هنى ازالة ASLR و َ anti-dump ليس بهم مشاكل  و الحمد لله

طبعا اذا سويت هذا التعديل قبل الفك والملف لايزال محمي فاتوقع ساينعطب الملف ولن يعمل حتى ولو تمكنت من فكه لانه ساتكون له ردة فعل الحماية crc

عند التنصيب يكون البرنامج هكذا بدون اي check

oep التى في الشرح هي في قسم الحماية

ال oep في vmprotect العنيد تكون في قسم الحماية و هذا مالاحضته في الشرروحات القديمة, هناك امكانية تغيير مكانها عن طريق code cave لكن لن يغير شيء في تشغيل البرنامج
و الله اخي العزيز احرجتني بحرصك الشديد فشكرا جزيلا بالمناسبة قبل البدا في التعامل مع هذا البرنامج شاهدت شرحك مع حماية themida وهو شرح جد جيد فيه العديد من المعلومات خاصتا القفزات التي يجب تغييرها الخ .

حسب تجربتي البسيطة و قرااتي للعديد من المواضيع فان هناك بعض الدوال التي يقع فكها في الذاكرة وهي مازالت مفقودة يجب عليا البحث عليها و استخراجها و التعامل مع Virtualization للوصول اليها ثم CPUID ليشتغل في جميع الاجهزة الله يكون في عوني فقط .

فقط للتنويه لماذا اخترت هذا العنوان, اعني ب poor هنى المسكين و ليس الفقير ووجدته في محله لاني في مواجهة اصعب الحمايات على الاطلاق و مفعلة بكامل خصائصها Ultra (Mutation + Virtualization) وهو ليس تقليلا من شاني على الاطلاق.
بعد الانتهاء من هذا البرنامج سيكون لي جولة مع احد البرامج التي وقع طلب فكها في هذا المنتدى و لم يقع فكها على الاطلاق منذ 15 سنة (الموضوع كنت اشتغل عليه منذ مدة ووقع كتابة سكريبت فقط مازال الشرح العملي)

[Newhak]

و استخراجها و التعامل مع Virtualization للوصول اليها ثم CPUID ليشتغل في جميع الاجهزة الله يكون في عوني فقط .

الله يعينك اخي الحبيب

عندي سؤال لوتكرمت هل كسرت البرنامج او تعرف عناوين الكسر لتجاوز نافذة المطالبة بالترخيص اريد تجربة شي معين اذا لديك عناوين الكسر ياريت تسعفنا بها

---

بعد الانتهاء من هذا البرنامج سيكون لي جولة مع احد البرامج التي وقع طلب فكها في هذا المنتدى و لم يقع فكها على الاطلاق منذ 15 سنة (الموضوع كنت اشتغل عليه منذ مدة ووقع كتابة سكريبت فقط مازال الشرح العملي)

نحن بانتظار تجاربك ونتائجها

[mounirsoltan]

عندي سؤال لوتكرمت هل كسرت البرنامج او تعرف عناوين الكسر لتجاوز نافذة المطالبة بالترخيص اريد تجربة شي معين اذا لديك عناوين الكسر ياريت تسعفنا بها

لم اجرب كسره اخي لكن محمي بدونجل حسب معلوماتي يشترط فك الضغط اولا قبل البدأ في محاولة كسره كما اني ليس لديا دراية على كسر الدونجل اضن سانشر موضوع بعد فك الضغط عليه لطلب التعامل مع الدونجل بحيث يكون الموضوع كامل. فقط طلب بسيط لو ممكن تقييم هذا الموضوع لانه حصري بمنتدى at4re  ولم ينشر في اي منتدى اخر