Строки

Тема в разделе "WASM.RESEARCH", создана пользователем sergegers, 6 ноя 2011.

  1. sergegers

    sergegers New Member

    Публикаций:
    0
    Регистрация:
    8 июн 2008
    Сообщения:
    172
    Всё время попадаются группы байт, начинающиеся с 0x1B, очень смахивающие на строки. Чтобы это могло быть UTF7, что-нибудь ещё?

    Код (Text):
    1. text:00F1E78C     byte_F1E78C     db 1Bh                  
    2. .text:00F1E78D                     db 0E1h ; с
    3. .text:00F1E78E                     db 0ACh ; м
    4. .text:00F1E78F                     db 0A8h ; и
    5. .text:00F1E790                     db  1Dh
    6. .text:00F1E791                     db    0
    7. .text:00F1E792                     db    0
    8. .text:00F1E793                     db    0
    9.  
    10.  
    11. .text:00F1E794     byte_F1E794     db 1Bh                  
    12. .text:00F1E794                     db 0E2h
    13. .text:00F1E794                     db 0B6h
    14. .text:00F1E794                     db 0ACh
    15. .text:00F1E794                     db 1Eh
    16. .text:00F1E794                     db 25h
    17. .text:00F1E794                     db 75h
    18. .text:00F1E794                     db 1Eh
    19. .text:00F1E794                     db 25h
    20. .text:00F1E794                     db 75h
    21. .text:00F1E794                     db 1Eh
    22. .text:00F1E794                     db 1Dh
    23. .text:00F1E794                     db 25h
    24. .text:00F1E794                     db 75h
    25. .text:00F1E794                     db 0
    26. .text:00F1E794                     db 0
    27.  
    28. .text:00F1E7A4     unk_F1E7A4      db  1Bh                
    29. .text:00F1E7A5                     db 0E2h ; т
    30. .text:00F1E7A6                     db 0B6h ; ¦
    31. .text:00F1E7A7                     db 0AFh ; п
    32. .text:00F1E7A8                     db  1Eh
    33. .text:00F1E7A9                     db  25h ; %
    34. .text:00F1E7AA                     db  75h ; u
    35. .text:00F1E7AB                     db  1Eh
    36. .text:00F1E7AC                     db  25h ; %
    37. .text:00F1E7AD                     db  75h ; u
    38. .text:00F1E7AE                     db  1Eh
    39. .text:00F1E7AF                     db  1Dh
    40. .text:00F1E7B0                     db  25h ; %
    41. .text:00F1E7B1                     db  75h ; u
    42. .text:00F1E7B2                     db    0
    43. .text:00F1E7B3                     db    0
     
  2. reversecode

    reversecode Guest

    Публикаций:
    0
    по крипчено может
    дебагерром станте и посморите
    а еще лучше глянте фукнции которые их используют
    если коприпчено, то будет какая то декрипт_стринг
     
  3. sergegers

    sergegers New Member

    Публикаций:
    0
    Регистрация:
    8 июн 2008
    Сообщения:
    172
    они напрямую передаются в функции типа printf вперемешку с нормальными ascii строками
     
  4. gazlan

    gazlan Member

    Публикаций:
    0
    Регистрация:
    22 май 2005
    Сообщения:
    414
    Возможно, дешифруются in place. printf() с таким точно не должен работать. Поставьте брэйк на запись на эту область памяти - кто-то их переписывает? Посмотрите выше и ниже - пока не найдете вменяемый код. Этот кусок может быть частью тела функции, которая дешифрует себя в памяти при вызове и шифрует назад при выходе. Наконец, это может быть просто мусорный код для обмана дизассемблера. Он в самом деле исполняется?
     
  5. reversecode

    reversecode Guest

    Публикаций:
    0
    а 0x1B это случайно не управление ESC последовательностями?