راه و روش های کلی آنپکینگ برای تازه کارها : Generic Unpacking for newbies

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

مقدمه مولف

آنپک کردن يک هنر است.يکي از هيجان انگيزترين بازي هاي فکري که در دنياي Reversing باقي مانده است.آنطور که من متوجه شدم اکثر کرکرهاي تازه کار،نمي توانند فايل ها را دستي آنپک کنند و براي آنپک کردن به آنپکرهاي نرم افزاري پناه مي برند.به همين دليل اين مقاله را نوشتم،تا کرکرهاي تازه کار با راه و روش هاي کلي آنپکينگ آشنا شوند.در اين مقاله ما 55 فايل پک شده را آنپک مي کنيم.سعي کردم در اين قسمت از مقاله،از پکرهاي ساده تر استفاده کنم.اگر هم پکر سختي را انتخاب کردم،سعي کردم تنها تعداد کمي از Protection هاي آن را فعال کنم تا اين مقاله براي شما زياد سخت نباشد.
توصيه ما براي خواندن مقاله اين است که تمام کارهايي که من انجام دادم را شما همراه من قدم به قدم انجام دهيد و علاوه بر روش هاي من سعي کنيد روش هاي بهتري پيدا کنيد :31: يعني بعد از خواندن اين مقاله شما بايد 55 فايل آنپک شده در اختيار داشته باشيد.
اگر زنده باشيم،اين مقاله قسمت دومي هم خواهد داشت که در آن فايل هاي سخت تري را آنپک مي کنم.ليست نيمه کاملي از مباحثي که در قسمت دوم مطرح مي شود:

Analysising Virtual Machine in Asprotect – Unpack Armadillo with Nanomites – Unpack SDProtector 1.16 – How to write a simple unpacker in MASM – Analysis Protections in ActiveMark – Unpack Thinstall – Unpack .net Applications – How to write a plugin for ImportREC

در پايان از تمامي دوستاني که ما را در ساخت اين مقاله سخت و طولاني کمک کردند،تشکر مي کنيم:

1.Tactools به خاطر تست فايل هاي آنپک شده + تست اسکريپت ها با فايل هاي مختلف + آپلود مقاله و نرم افزارهای هدف
2. lvl@ster تست فايل هاي آنپک شده + راهنمايي در نوشتن مقالات
3. MnF خواندن نسخه هاي اوليه مقاله + نظرات و پيشنهادات مفيد
4. mJo0t نرم افزار InfoViewer از ايشان بود،که ما به عنوان نرم افزار هدف از آن استفاده کرديم + قالب فايل آموزشي
5.Hakhamanesh تست فايل هاي آنپک شده

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

لینک دانلود مقاله،با حجم 7.2 مگابایت و در 256 صفحه:31:

کد:

---

http://www.box.net/shared/yblghelpdx

---

لینک دوم دانلود مقاله(فرقی با قبلی نداره.فقط تو یک سرور دیگه آپلود شده):

کد:

---

http://rapidshare.com/files/76250648/Generic_Unpacking.rar.html

---

لینک دانلود نرم افزارهای هدف(فایل هایی که باید آنپک شوند):

کد:

---

http://www.box.net/shared/bq4po654q2

---

لینک دوم دانلود نرم افزارهای هدف(فرقی با قبلی نداره،فقط توی یک سرور دیگه آپلود شده):

کد:

---

http://rs273.rapidshare.com/files/76256235/Targets.rar

---

لینک دانلود اسکریپت برای فیکس کردن IAT در PeCompact (این فایل قرار بود در داخل Attachments موجود باشد،اما یادم رفت اینو بذارم)

کد:

---

http://subtitle.persiangig.com/PeCompact%20OEP%20Finder%20%26%20IAT%20Fixer.txt

---

لینک دانلود فایل های آنپک شده(نیازی به دانلود این مورد ندارید.شما فقط نرم افزارهای هدف و مقاله رو دانلود کنید که جمعا 17 مگابایت می شه)

کد:

---

http://www.box.net/shared/abb9eghlbr

---

به دلیل زیاد بودن ابزارهای استفاده شده در مقاله،لینک دانلودی برای آن نذاشتم،هر کدوم از ابزارها را خواستید،بگید تا من یا سایر دوستان براتون بذارند...در ضمن اگر اشکالی در مقاله(اعم از اشکال املایی،نگارشی،محتوایی و ...) دیدید،بگویید تا یک هفته بعد،آن مشکلات را حل کنم و مقاله را دوباره آپلود کنم

:11:

ممنون امیر جان...مشابه این کار رو Netspc در مورد Reversing انجام داده بود که شما تکمیلش کردی. شدیدا منتظر قسمت دوم هستیم...بازم ممنون :10:

خيلي ممنون امير جان ميدونم خيلي خيلي براش زحمت كشيدي من كه هر مقاله 2 - 3 صفحه اي مينويسم 2 - 3 ساعت هم وقتم رو ميگيره ديگه چه برسه به 256 صفحه.
مشتاقانه منتظر قسمت دوم هم هستيم.:11:

ببینم این 256 صفحه فقط برای قسمت اول بود؟؟
خیلی عالیه

تشکر امیر جون

با سلام خدمت استاد گرامی Amirgooran

امیرجان واقعا کارت حرف نداره بیسته بیستی
خلاصه اینکه از این مقاله بینظیرت کمال تشکر و سپاس را دارم.
:11:

امیرجان الان مقاله را خوندم . خیلی زیبا و پرمحتوا بود

فقط خواستم بگم کاش اولش یه فهرست میزاشتی چون تعداد صفخات زیاده مستقیما نمیشه رفت روی یه پکر خاص

ممنونم .

نقل قول:

---

نوشته شده توسط lvl@ster [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

امیرجان الان مقاله را خوندم . خیلی زیبا و پرمحتوا بود

فقط خواستم بگم کاش اولش یه فهرست میزاشتی چون تعداد صفخات زیاده مستقیما نمیشه رفت روی یه پکر خاص

ممنونم .

---

از Bookmarks استفاده کن.
در ضمن به نظر من خوندنه مقاله از رو هیچ تاثیری نداره....شما باید علاوه بر خوندن،فایل ها را هم آنپک کنید...تا بفهمید که من چه کار کردم:13:

سلام

ممنون ، امیر عزیز باز هم مثل همیشه عالی :)

امیدوارم همیشه موفق باشی .

بای

دارم دنلود میکنم حتماً که عالیه . قسمت دوم هم باید جالب باشه منتظره قسمت دوم هم هستیم .
کمکی از دستمون بر بیاد در خدمتیم.
یا علی

به نظر منم خیلی عالیه ... واقعا خسته نباشی .
خیلی منتظر همچین آموزشی بودم .
مثل بقیه دوستان منتظر قسمت بعدی هستم ...
:20::11:

سلام امیر جان!
خیلی ممنون هستم ازت بابت زحمتی که برای تهیه این مقالات کشیدی ...
امیدوارم که موفق و پیروز باشی ...

امیر جان از زحمتی که کشیدی ممنون بای

ممنون امير جان عالی بود.

خسته نباشی
مثل اون مقاله های Asp حرف نداره

به غیر از خیلی خیلی ممنون چیز دیگه ای هم میتونم بگم؟:31:(من که دیگه به اسم های(!) خودم عادت کردم، mJo0t,MjO0t,...)
خیلی خیلی خیلی ممنون

چه بلایی سره mIV بیچاره من آوُردی!!!:22::24:

نقل قول:

---

نوشته شده توسط mJo0T [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

به غیر از خیلی خیلی ممنون چیز دیگه ای هم میتونم بگم؟:31:(من که دیگه به اسم های(!) خودم عادت کردم، mJo0t,MjO0t,...)
خیلی خیلی خیلی ممنون

---

تا اونجایی که من می دونم...اسم mJo0T رو همه جا درست نوشتم:13:...فکر کنم توی مقاله یک جا نوشتم:MJo0t
که اون هم چون اول جمله بود...m رو بزرگ گرفتم:46:

آقا دستت درد نکنه دارم دانلود میکنم 100% که باید عالی باشه ولی جون مادرتون تو قسمت دوم آموزش حتما طریقه آنپک دستی Armadillo 3.78 - 4.xx -> Silicon Realms Toolworks رو بزارید که خیلیا دنبالشن مرسی یا علی

نقل قول:

---

نوشته شده توسط amirgooran [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

تا اونجایی که من می دونم...اسم mJo0T رو همه جا درست نوشتم:13:...فکر کنم توی مقاله یک جا نوشتم:MJo0t
که اون هم چون اول جمله بود...m رو بزرگ گرفتم:46:

---

من که گفتم دیگه عادت کردم، اصلاً مهم نیست:10:
:11:

با سلام و تشکر از آموزشتون!د ر آموزش آنپک Armadillo من به مشکل خوردم !

چه مشکلی !؟
1.برنامه Arma-Detach رو برامون بزارید !:31:

2.تو آموزش گفتید که ما Attach میکنیم ! و اینطوری توضیح دادید که :در oldbg از منوی فایل رفته و بعد attach را میزنیم .من طبق گفته شما عمل کردم و یک صفحه جدید با نام attach باز شد مشکل اینجاست که من در صفحه باز شده باید چه چیزی رو اتچ کنم ؟ برنامه ArmaDetach رو اتچ کنم ؟ یا .....با این حال من برنامه ArmaDetach رو اتچ کردم ! وقتی این کار رو کردم سرعت سیستم اومد پایین ! چراشو نمیدونم ! با این حال من ادامه دادم .در ادامه آموزش گفته بودید پس از این کارها ما در Entry point خواهیم بود اما من در این نقطه نبودم مشکل کجاس؟لطفا واضح تر توضیح بدید!:46:

3. آیا این آموزش برای تمامی آپشنهای این پکر است یا خیر؟:10:

* یک مسئله دیگه اینکه من ویروس یاب کسپر اسکای دارم و این فایلها رو به عنوان ویروس میشناسه :
\targets\enigma\unpackme.exe
\targets\ep! exepack\unpackme.exe
targets\jdpack\unpackme.exe
targets\kbys packer\unpackme.exe
لطفا بررسی کنید !:41::41:

نقل قول:

---

نوشته شده توسط alikhoub [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

با سلام و تشکر از آموزشتون!د ر آموزش آنپک Armadillo من به مشکل خوردم !

چه مشکلی !؟
1.برنامه Arma-Detach رو برامون بزارید !:31:

2.تو آموزش گفتید که ما Attach میکنیم ! و اینطوری توضیح دادید که :در oldbg از منوی فایل رفته و بعد attach را میزنیم .من طبق گفته شما عمل کردم و یک صفحه جدید با نام attach باز شد مشکل اینجاست که من در صفحه باز شده باید چه چیزی رو اتچ کنم ؟ برنامه ArmaDetach رو اتچ کنم ؟ یا .....با این حال من برنامه ArmaDetach رو اتچ کردم ! وقتی این کار رو کردم سرعت سیستم اومد پایین ! چراشو نمیدونم ! با این حال من ادامه دادم .در ادامه آموزش گفته بودید پس از این کارها ما در Entry point خواهیم بود اما من در این نقطه نبودم مشکل کجاس؟لطفا واضح تر توضیح بدید!:46:

3. آیا این آموزش برای تمامی آپشنهای این پکر است یا خیر؟:10:

* یک مسئله دیگه اینکه من ویروس یاب کسپر اسکای دارم و این فایلها رو به عنوان ویروس میشناسه :
\targets\enigma\unpackme.exe
\targets\ep! exepack\unpackme.exe
targets\jdpack\unpackme.exe
targets\kbys packer\unpackme.exe
لطفا بررسی کنید !:41::41:

---

1.شما که خودت برنامه Arma-Detach رو داری...پس برای چی می خوای؟:18:

کد:

---

http://subtitle.persiangig.com/ArmaDetach.v1.3-RES-tool.rar

---

2.برای چی به پروسه Arma-Detach اتچ کردی؟:18:...شما باید به پروسه ای اتچ کنی که Process ID آن در داخل برنامه Arma-Detach نوشته شده:10:
3.این آموزش برای آنپک کردن Best Protection در آرمادیلو هست،البته آرمادیلو چند قابلیت مهم دیگر هم دارد:
Nanomites
Import table elimatination
stategic code splicing
و memory patch protection
این قابلیت ها معمولا توسط برنامه نویس فعال نمی شود.ولی در قسمت دوم به بررسی اینها هم می پردازیم:13:

4.در مورد اینکه گفتید آنتی ویروس این فایل های رو ویروس می شناسه...Enigma و EP! Exepack را از سایت tuts4you.com دانلود کردم...بنابراین امکان نداره ویروس داشته باشد...KBys Packer و JDPack را هم خودم پک کردم...متاسفانه کسپرسکی فایل های پک شده با این دو پکر را ویروس تشخیص می ده:41:... اون هم راهش اینکه که آنتی ویروس رو خاموش کنید(یا مثل من کلا بی خیال آنتی ویروس بشید:27:)

من یه فایل رو که با آرمادیلو پک شده ان÷ک می کنم ولی این ارور رو میده به نظر شما مشکل از کجاست:

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

نقل قول:

---

نوشته شده توسط SadeghPM [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

من یه فایل رو که با آرمادیلو پک شده ان÷ک می کنم ولی این ارور رو میده به نظر شما مشکل از کجاست:

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

---

این خطا به خاطر اینه که آرمادیلو فهمیده برنامه دستکاری شده است(CRC Check)...اگر برنامه به طور کامل آنپک می شد،هیچوقت همچین خطایی داده نمی شد...شما برنامه را درست آنپک نکردید.:13:

یعنی اگه SCR Check ro درست کنم فایل مشکلی نداره؟

نقل قول:

---

نوشته شده توسط amirgooran [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

1.شما که خودت برنامه Arma-Detach رو داری...پس برای چی می خوای؟:18:

کد:

---

http://subtitle.persiangig.com/ArmaDetach.v1.3-RES-tool.rar

---

2.برای چی به پروسه Arma-Detach اتچ کردی؟:18:...شما باید به پروسه ای اتچ کنی که Process ID آن در داخل برنامه Arma-Detach نوشته شده:10:
3.این آموزش برای آنپک کردن Best Protection در آرمادیلو هست،البته آرمادیلو چند قابلیت مهم دیگر هم دارد:
Nanomites
Import table elimatination
stategic code splicing
و memory patch protection
این قابلیت ها معمولا توسط برنامه نویس فعال نمی شود.ولی در قسمت دوم به بررسی اینها هم می پردازیم:13:

4.در مورد اینکه گفتید آنتی ویروس این فایل های رو ویروس می شناسه...Enigma و EP! Exepack را از سایت tuts4you.com دانلود کردم...بنابراین امکان نداره ویروس داشته باشد...KBys Packer و JDPack را هم خودم پک کردم...متاسفانه کسپرسکی فایل های پک شده با این دو پکر را ویروس تشخیص می ده:41:... اون هم راهش اینکه که آنتی ویروس رو خاموش کنید(یا مثل من کلا بی خیال آنتی ویروس بشید:27:)

---

دستت درست مرسی از این که جواب دادی لطفا اگه میشه آموزش آنپک کردن Copy Minder رو هم برامون بزارید مرسی:10:

نقل قول:

---

نوشته شده توسط SadeghPM [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

یعنی اگه SCR Check ro درست کنم فایل مشکلی نداره؟

---

اگه می خوای آنپک کنی...باید درست و از اول آنپک کنی...اما اگه می خوای Inline Patch کنی،باید مشکل CRC check رو درست کنی:46:

نقل قول:

---

نوشته شده توسط alikhoub [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

دستت درست مرسی از این که جواب دادی لطفا اگه میشه آموزش آنپک کردن Copy Minder رو هم برامون بزارید مرسی:10:

---

باشه...یک مثال برای CopyMinder هم می زنم:13:

امیر جون یه بوس بده :thumbsup::thumbsup:


دمت گرم :8:

امیر جان تمام کارهایی که برای آنپک گفته بودی رو کردم در آرمادیلو (فایلی که به همراه آموزش هست رو به سادگی آنپک میکنم اما.........)
تو آنپک دیگر فایلها مشکل دارم مثلا این فایل رو ببین:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
اینم یکی دیگه :
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
اصلا سر در نمیارم چرا نمیشه لطف کن بررسی کن ببین چرا اینطوری آنپک نمیشه و اگر تونستی آنپکش کنی بگو چطوری این کار رو کردی مرسی!

امان از دست این Debugblocker :13::24:

نقل قول:

---

نوشته شده توسط alikhoub [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

امیر جان تمام کارهایی که برای آنپک گفته بودی رو کردم در آرمادیلو (فایلی که به همراه آموزش هست رو به سادگی آنپک میکنم اما.........)
تو آنپک دیگر فایلها مشکل دارم مثلا این فایل رو ببین:
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
اینم یکی دیگه :
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
اصلا سر در نمیارم چرا نمیشه لطف کن بررسی کن ببین چرا اینطوری آنپک نمیشه و اگر تونستی آنپکش کنی بگو چطوری این کار رو کردی مرسی!

---

هر دو فایلی که دادی،هیچ جور Trial یا نسخه آزمایشی ندارند...برنامه نویس از الگوریتم شماره سریال Armadillo استفاده می کند...لذا اول باید الگوریتم شماره سریال آرمادیلو رو کرک کنی یا یک شماره سریال درست به برنامه بدهی،بعد اقدام به آنپک اون بکنی

امیر جان هیچ نسخه Trial نداره!
من هم این رو میدونم <<< (برنامه نویس از الگوریتم شماره سریال Armadillo استفاده می کند...)
نکته اینجاس که اگه ما سریال رو داشته باشیم دیگه نیازی به کرک برنامه نداریم !
در ضمن این برنامه با Armadillo5.20 پک شده و اگر ما آنپکش کنیم دیگه نیازی به سریال دادن نیست و خود به خود نگی که اول برنامه میاد حذف خواهد شد !
ببین راه دیگه ای نیست؟؟؟
این جور برنامه ها رو قبلا یه خارجی کرکمیکرد ولی الان.......
اگه راهی هست بگو که بد تو کفم!

نقل قول:

---

نوشته شده توسط alikhoub [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

امیر جان هیچ نسخه Trial نداره!
من هم این رو میدونم <<< (برنامه نویس از الگوریتم شماره سریال Armadillo استفاده می کند...)
نکته اینجاس که اگه ما سریال رو داشته باشیم دیگه نیازی به کرک برنامه نداریم !
در ضمن این برنامه با Armadillo5.20 پک شده و اگر ما آنپکش کنیم دیگه نیازی به سریال دادن نیست و خود به خود نگی که اول برنامه میاد حذف خواهد شد !
ببین راه دیگه ای نیست؟؟؟
این جور برنامه ها رو قبلا یه خارجی کرکمیکرد ولی الان.......
اگه راهی هست بگو که بد تو کفم!

---

خوب،وقتی شما شماره سریال درست رو داری،برنامه رو آنپک کن...تا توی هر سیستمی اجرا بشه.(ممکنه آنپک کردنش یک خرده با فایل هایی که شماره سریال ندارند،فرق داشته باشه:13:)

شما منظور من رو متوجه نشدی من اصلا سریالشو ندارم >>> (خوب،وقتی شما شماره سریال درست رو داری،برنامه رو آنپک کن)
مشکل همین جاست!
راستی با برنامه Armadillo.Key.Generator.V1.5 میشه کاری کرد؟؟؟

نقل قول:

---

نوشته شده توسط alikhoub [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

شما منظور من رو متوجه نشدی من اصلا سریالشو ندارم >>> (خوب،وقتی شما شماره سریال درست رو داری،برنامه رو آنپک کن)
مشکل همین جاست!
راستی با برنامه Armadillo.Key.Generator.V1.5 میشه کاری کرد؟؟؟

---

ArmaKG دیگه قدیمی شده و روی ورژن های جدید جواب نمی ده...خوب،راهی نیست مگر اینگه الگوریتم پیچیده آرمادیلو رو رد کنی:2:

خوب،راهی نیست مگر اینگه الگوریتم پیچیده آرمادیلو رو رد کنی <<< اونم که کا من نیست !
دستت درست یاعلی

بالاخره یک جوانمردی پیدا شد...به فکر این تاپیک افتاد:13:

نقل قول:

---

نوشته شده توسط amirgooran [ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

بالاخره یک جوانمردی پیدا شد...به فکر این تاپیک افتاد:13:

---

ميبخشيد بايد زودتر از اينها اين تاپيك مهم ميشد ديروز داشتم تاپيك ها رو بررسي ميكردم ديدم تاپيك به اين خوبي مظلوم واقع شده و داره خاك ميخوره.در هر صورت اگر دوستان فكر ميكنن تاپيكي هست كه بايد مهم بشه اعلام كنن تا بررسي كنيم.

دوستان كسي ترجمه مقاله The Art of Unpacking رو كه amirgooran عزيز معرفي كرده رو نداره. راستي يه مقاله خوب هم در زمينه ساختار فايل هاي اجرايي به صورت فارسي كمبودش احساس ميشه.