TASM 5.0 сообщает --= Fatal error ** out of memory =--

Тема в разделе "WASM.ASSEMBLER", создана пользователем CyberMerlin, 28 дек 2006.

  1. cppasm

    cppasm New Member

    Публикаций:
    0
    Регистрация:
    18 июл 2006
    Сообщения:
    923
    hччp://www.cracklab.ru/download.php?action=get&n=MjE1
     
  2. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
    TermoSINteZ
    был прав - это UPX 1.8 (если правильно показал анализатор)
    я распаковал его
    но эти странные строки все равно есть

    результаты смотрите на http://cybermerlin.narod.ru/04/01/html
    там же и вылажу EXE файлик распакованный и пакованный

    часов в 19-00 будует лежать
     
  3. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
    в общем как я понял он генерит адрес (URL)
    в купе с запрашиваемым адресом
    но честно говоря у меня получается какая-то каша

    Кстати IDA - действительно Вещь класснючая спасибо

    а URL получается с какой-то цифрой, которая хитрым образом генерится
    или я глючу??
    ПОМОГИТЕ плз
    Какой все таки она посылает запрос??
     
  4. crypto

    crypto Active Member

    Публикаций:
    0
    Регистрация:
    13 дек 2005
    Сообщения:
    2.533
    CyberMerlin
    Нет ничего по указанной тобой ссылке
     
  5. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
  6. shoo

    shoo New Member

    Публикаций:
    0
    Регистрация:
    17 июл 2003
    Сообщения:
    1.537
    Адрес:
    Ukraine
    судя по твоей страничке я помог тебе больше всех :)
    ==========
    :)
     
  7. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
    shoo
    ааа провоцируешь? :)

    Навсамом деле я не обращал на такие мелочи когда вписывал
    У меня времени нет даже стил нормально придумать для этой странички, а ты говоришь о таких мелочах )

    Просто вписываю тех кто оказывает посильную помощь
    А потом укажу (и в самой программке) тех кто по серьезному помог разобраться и научиться понимать код Дезассемблированных чужих программулин. (Времени у меня мало, НО ВЗЯЛСЯ я более чем серьезно за это дело)
     
  8. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
    вот чего я выяснил он отправляет
    ;------ home ---- --= URL =-- ------
    http://toolbarqueries.google.com/search?client=navclient-auto&ch=&ie=UTF-8&oe=UTF-8&features=Rank&q=info:http%3A%2F%2Fya.ru
    ;------ end ---- --= URL =-- ------
    но это не работает
    -- логично ЧТО Я НЕ ПРАВИЛЬНО ВЫЯСНИЛ
    но тогда что отправляет??
     
  9. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.552
    Адрес:
    Russia
    В общем отправляется строчка :
    GET /search?client=navclient-auto&ch=6971432766&ie=UTF-8&oe=UTF-8&features=Rank&q=info:http%3A%2F%2Fwww%2Ewasm%2Eru HTTP/1.1..User-Agent: Mozilla/4.0 (compatible; GoogleToolbar2.0.110.4-big;Windows 2000 5.0)..Host: toolbarqueries.google.com..Connection:Close..Cache-Control: no-cache


    Включая последние \r\n\r\n
    Вот дамп буфера перед отсылкой:
    Код (Text):
    1. 002C4EB8  47 45 54 20 2F 73 65 61 72 63 68 3F 63 6C 69 65  GET /search?clie
    2. 002C4EC8  6E 74 3D 6E 61 76 63 6C 69 65 6E 74 2D 61 75 74  nt=navclient-aut
    3. 002C4ED8  6F 26 63 68 3D 36 39 37 31 34 33 32 37 36 36 26  o&ch=6971432766&
    4. 002C4EE8  69 65 3D 55 54 46 2D 38 26 6F 65 3D 55 54 46 2D  ie=UTF-8&oe=UTF-
    5. 002C4EF8  38 26 66 65 61 74 75 72 65 73 3D 52 61 6E 6B 26  8&features=Rank&
    6. 002C4F08  71 3D 69 6E 66 6F 3A 68 74 74 70 25 33 41 25 32  q=info:http%3A%2
    7. 002C4F18  46 25 32 46 77 77 77 25 32 45 77 61 73 6D 25 32  F%2Fwww%2Ewasm%2
    8. 002C4F28  45 72 75 20 48 54 54 50 2F 31 2E 31 0D 0A 55 73  Eru HTTP/1.1..Us
    9. 002C4F38  65 72 2D 41 67 65 6E 74 3A 20 4D 6F 7A 69 6C 6C  er-Agent: Mozill
    10. 002C4F48  61 2F 34 2E 30 20 28 63 6F 6D 70 61 74 69 62 6C  a/4.0 (compatibl
    11. 002C4F58  65 3B 20 47 6F 6F 67 6C 65 54 6F 6F 6C 62 61 72  e; GoogleToolbar
    12. 002C4F68  20 32 2E 30 2E 31 31 30 2E 34 2D 62 69 67 3B 20   2.0.110.4-big;
    13. 002C4F78  57 69 6E 64 6F 77 73 20 32 30 30 30 20 35 2E 30  Windows 2000 5.0
    14. 002C4F88  29 0D 0A 48 6F 73 74 3A 20 74 6F 6F 6C 62 61 72  )..Host: toolbar
    15. 002C4F98  71 75 65 72 69 65 73 2E 67 6F 6F 67 6C 65 2E 63  queries.google.c
    16. 002C4FA8  6F 6D 0D 0A 43 6F 6E 6E 65 63 74 69 6F 6E 3A 20  om..Connection:
    17. 002C4FB8  43 6C 6F 73 65 0D 0A 43 61 63 68 65 2D 43 6F 6E  Close..Cache-Con
    18. 002C4FC8  74 72 6F 6C 3A 20 6E 6F 2D 63 61 63 68 65 0D 0A  trol: no-cache..
    19. 002C4FD8  0D 0A 00 BA 0D F0 AD BA 0D F0 AD BA 0D F0 AD BA  ...є.р­є.р­є.р­є
     
  10. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
    TermoSINteZ
    а ты как в пошаге ползал и следил за регистром? (как и я) ??
    в IDA ??

    и если ты заметил "6971432766" получается не случайным способом
    я так и не понял чем он манипулирует при вычислении этих данных

    /и такие вещи как Host и User-Agent отправляются не как URL-составляющая, а как параметр соединения, и какую тогда функцию он использует?/
     
  11. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.552
    Адрес:
    Russia
    Я просто глянул буфер перед вызовом send() в отладчике OllyDbg.
    А то число меня как-то не интересовало. Нет пока времени реверсить это. Думаю это просто хеш адреса. или что-то в том же духе.
    Чтоб узнать как оно получается (если оно действительно разное при вводе новых адресов) - просто контроллируй взятие текста из Edit и далее по шагам смотри че с ним делают.
    И за одно увидишь в каком месте вставляется это число
     
  12. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
    таааак
    а теперича глупые вопросы с моей стороны
    1- реверсить - что такое? назад откатывать?
    2- я тоже с ollyDBg начал, потом мне IDA предложили
    3- буфер перед вызовом send() - как ты опредедляешь где происходит вызов этот?
    4- контроллируй взятие текста из Edit - как опознать поле в этом коде?
    5- ты говоришь про код который в окне выполнения проги или в окне ДезАсма exe - файлика??

    ; -- вроде вопросы кончились
     
  13. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.552
    Адрес:
    Russia
    мда...
    Раз я начал - разжую (не знал что ты на столько новичек, сорри)
    1) реверсить - исследовать
    2) Ида больше годиться для дизасма и расшифровки чего-либо, а как отладчик я его не юзаю - неудобно ИМХО. Оля - хороший отладчик.
    3) Очень просто. Ставлю точку останова на GetWindowText() смотрю стек, пока в нем класс окна не будет принадлежать "Edit", далее делаю точку останова на чтение буфера куда считался текст после вызова функции. И смотрю в каком месте идет обращение к буферу. Ставлю точку останова на send() и смотрю стек, в нем буфер для отправлки будет. Конечно можно сразу поставить точку останова на вызов send(), но это будет работать в нашем случае. В большинстве случаев будем напарываться на ложные вызовы.
    В общем почитай статьи по исследованию программ (здесь либо на cracklab).
    4) Как я и говорил в стеке будет класс окна с которого береться текст. Там еще и адрес буфера будет - его тоже можно проверить для полной уверенности - после вызова функции в нем будет текст введенный в поле элемента Edit. Но про код в этом поле - не пойму о чем это ты...
    5) Не понял что за код. Если ты имел ввиду то число (пост #30)- то это как тебе удобно так и ищи его. Если же класс окна, то он будет и в дизасме определен как ссылка на данные.
     
  14. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
    так-то оно понятно
    только я имел ввиду как ты узнаешь где там именно надо ставить точку останова
    я когда смотрел код (во время отладки асмовый код) то не видел там четких слов типа send() edit getwindowtext()

    в Ольге окно в котором ты ставишь Брекпоинты делится на четыре части
    1 - код который сейчас выполняется --= ты в этом смотрел и брек ставил?
    2 - файл ехе в бинарном или дезасмовом коде --= или в этом?
    3 - регистры ЦП
    4 - не помню что-то еще

    а за остальное спасибушки огромнейшее
    и за терпение тоже спасибо :)

    и еще
    сцылочку не черкнешь, что конкретно почитать?
     
  15. TermoSINteZ

    TermoSINteZ Синоби даоса Команда форума

    Публикаций:
    2
    Регистрация:
    11 июн 2004
    Сообщения:
    3.552
    Адрес:
    Russia
    Ну хотяб это почитай: http://www.wasm.ru/series.php?sid=17
    бряк ставлю в командной строке Оли: bp send() или bp GetWindowTextA()
     
  16. cppasm

    cppasm New Member

    Публикаций:
    0
    Регистрация:
    18 июл 2006
    Сообщения:
    923
    В Ольке жмёшь ALT+E - открывается окно подключённых модулей.
    Выбираешь нужный (например USER32.DLL для GetWindowTextA) и жмёшь CTRL+N.
    Открывается окно экспортируемых/импортируемых функций.
    Выбираешь нужную (набираешь имя на клаве - есть автопоиск).
    Дальше или F2 или аппартный бряк.
    Всё.
    Потом запускаешь прогу (F9) и ждёшь когда брякнется.
    Ну или из плагина командной строки как TermoSINteZ написал.
     
  17. CyberMerlin

    CyberMerlin New Member

    Публикаций:
    0
    Регистрация:
    18 сен 2006
    Сообщения:
    69
    TermoSINteZ
    cppasm
    Спасибо большое
    все оччень ясно стало
    а я уж все облазил и нигде не нашел ни send(), ни т.п.