Messages posted by: quygia128

Có 1 điều em thấy lạ là đem 1 framework(em tạm gọi nó là 1 thư viện) so sánh với Debugger là thế nào?

VẬY CHO HỎI: CÁI TÍNH NĂNG NÀO CỦA "HÀNG NÓNG" CỦA BẠN HỖ TRỢ ĐƯỢC TẬN RĂNG THEO Ý CỦA TÔI VẬY?

Code bằng gì theo mình không quan trọng, miến sao giải quyết được yêu cầu đề ra. Còn việc code tốt, tối ưu code thì lệ thuộc vào kỹ năng và giải thuật.

Bài viết này mang tính chất là 1 bài "chỉ ra các thứ cần biết&cần nắm&cần học" để trở thành 1 lập trình viên chuyên nghiệp, với em chỉ có thế.

greerz!

ps: xin lỗi chưa đọc.

Google Chrome vẫn là lựa chọn đầu tiên, FF là thứ hai của mình.

Cờ Crôm hay Cốc Cốc nó là hàng do Việt Nam làm, mà chưa biết thực chất "Cha Mẹ Đẻ" nó là ai nên không dùng. Thời buổi cướp giật thông tin này phải cẩn thận.

Lão vuagun11 để ý vậy là OK, em cũng đồng ý không nên dùng khi chưa được chứng mình rõ ràng là sạch hay không

(Có khi bị mấy anh "tai to mặt bự" đứng sau lưng chỉ đạo phát triển để sniff thông tin từ người dùng thì xong luôn - Điều này có thể xảy ra ở chốn thiên lường này)

NOTES: từ vụ tên thật facebook em cũng nghi ngờ, tên thật để dể dàng theo dõi chăng ???

Cẩn thận vẫn hơn!

quygia128

Việc nó Jump không giống nhau theo mỗi lần chạy(hoặc sau 1 khoảng thời gian nào đó) là việc bình thường, coder có thể đặt các biến để Detect việc debug/Registering Times/Run Times... của bạn, khi bạn đã vượt qua các thông số đã được quy định thì chường trình sẽ thực hiện theo 1 hướng khác.

VD:

Các chường trình đang trong thời gian Trial, Demo, Standard version... bạn sẽ thấy rõ nhất, khi đã đăng ký(Registered) thì nó sẽ thay đổi dòng chảy của chương để thực hiện các tác vụ, nó dựa vào các "Conditional Jump", mà các "Conditional Jump" này lại phụ thuộc vào 1(nhiều biến) trong chương trình để thực hiện.

Ta muốn nó "thực hiện" hay "không" thì chị việc tìm các biến(Magic Bytes trong Cr@cking) và set giá trị cho nó, tìm tất cả các "References command" để xem các nó gán giá trị và Magic Bytes (thực hiện patch nếu cần)

Cách tìm các References command" thường theo 2 hướng:

1. Tìm tất cả các "References command" liên quan đến giá trị ta tìm được(Có trong OllyDbg và các trình Debug khác)
2. Đặt Hardware/Memory(Byte/Word/DWord) on Access/Read/Write để tìm thằng nào use/set value đến Magic Byte.

quy chỉ biết nhiêu đó, chia sẽ vậy thôi chứ thực tế để tìm nó và thực hiện theo điều mình muốn là việc hoàn toàn khác smilie

BR,
quygia128

Bây giờ quy đang tuởng tượng ra bạn đang muốn làm gì với chức năng này smilie

, bạn có thể nói tên plugin đó không ?

Mình sẽ xem và lấy ý tưởng từ plugin đó, có thể code 1 plugin để thử nghiệm. Thành công và đúng theo yêu cầu thì không chắc.

Trước hết cần ý tưởng trước đã.

Bạn đã thử với chức năng Tracing trong OllyDbg chưa ??

Thử với vài link bên dưới:

http://www.woodmann.com/forum/archive/index.php/t-10178.html
http://www.woodmann.com/forum/archive/index.php/t-11550.html
http://www.woodmann.com/forum/showthread.php?9807-Logging-conditional-jumps-plug-in-or-script
http://www.woodmann.com/collaborative/tools/index.php/Conditional_Branch_Logger
http://www.woodmann.com/forum/showthread.php?9807-Logging-conditional-jumps-plug-in-or-script/page2

Mong nó có ích cho bạn

BR,
quygia128

quy nghĩ là chưa có, về lý thuyết thì có thể code 1 plugin làm việc này(nhưng có lẽ sẽ làm chậm trong quá trình run app trong Ollydbg) vì mỗi lần EIP thay đổi thì plugin phải lấy nó và ghi vào file LOG.

Còn nếu chỉ Step Over thì thôi xem luôn trong quá trình trace cho rồi. Cần file LOG này làm gì với lại số lượng của nó sẽ vô cùng khủng.

Quên ý nghĩ này thì có lý hơn.

BR,
quygia128

Unicode được chứa trong mấy Bytes ?? ASCII chứa mấy Byte ?

bạn vào đây:

http://ic0de.org

Vừa học vừa nghiên cứu code của virus!

quygia128

OllyDbg v2.X có sự thay đổi lớn so với OllyDbg v1.10 và Plugins interface cũng thay đổi rất nhiều so với OllyDbg v1.10 nên Plugins cho ver 1.10 khộng thể hoạt động cho ver 2.X.

Bạn có thể thể tham khảo PDK (v2.X) của nó và một vài plugins(có source) để thấy sự thay đổi so với PDK(v1.10)

Plugins thì hiện tại đã đủ xài, có đến hơn 20 plugins hổ trợ cho OllyDbg 2.01(I)

Bác tham khảo và tải về ở đây nhé:

https://tuts4you.com/download.php?list.94

Đang cố gắng hoàn thành/fix bug/nâng cấp một số plugins có source cho ver 2.01(I), sẽ upload khi xong.

BR,
quygia128

File sạch của bạn ở đây:

https://app.box.com/s/91m9bjz64ecrlmjc54zj

BR,
quygia128

File này của bạn bị chèn Award Keylogger. Bạn cần các tool sau để tự gỡ bỏ.
1. Shadow defender: cái này dùng để đóng băng ổ đĩa tương tự như deepfreez, có cũng được không có cũng không sao, nhưng theo tôi bạn nên dùng cho chắc.

2. Process Explorer: dùng để xem tiến trình và kill process của keylogger(wak.exe)

3. IOBit Unlocker: cái này dùng để unlock thư mục(1) của keylogger và delete luôn thư mục nếu bạn không dùng Shadow.

Bây giờ bạn cho run file chứa keylogger, mở thư mục C:\program files copy thư mục Crazy Multi... ra ổ khác(D) 2 file trong thư mục đó là file sạch mặc dù các av có thể nhận diện nó là virus(do file được protect bằng Themida), 2 file đó có thuộc tính ẩn bạn cho show hiden file lên là thấy, chỉnh lại thuộc tính cho nó luôn.

Mở Process Explorer để kill các process và xóa file của keylogger. Nếu đã bảo vệ ổ C bằng shadow thì chỉ việc unprotect và restart là xong.

2 File (Crazy Multi.. khoảng 96x.x KB và file MyDll.dll) bạn có thể dùng yên tâm.

Sẵn vào xem file config của keylogger section EMail đó, coi cái email của nó quen không !

quygia128

DLL bạn code xong hoàn thiện các hàm thì export nó, dùng LoadLibrary load em nó lên, GetProcAddress tên hàm bạn đã export.

Khi code xong cái thư viện export function đầy đủ thì code 1 file exe chỉ đơn giản lấy address của hàm vừa export trong file dll xem ok chưa ?

Khi mọi thứ đã ổn rồi chuyển sang việc hook/ móc thoải mái smilie

)

Không được nữa thì cần đến Debugger (ollyDbg chẳn hạn), ta tiến hành đỳ bóc xem coi bị lỗi chổ nào, để có hướng giải quyết, fix code...

Nhiêu đó trước đã, HoooK thì em chịu!!!

Bạn coi các thư viện cần (include) trong project là gì ?, bạn bị thiếu thư viện/file, cần copy nó vào thư mục bin (lib/include). Sau khi đầy đủ thì không gặp lỗi này.

lưu ý chổ này khi khai báo: "" và <> còn sự khác nhau thì bạn xem trong sách nhé.

chào bạn!
quygia128

"quân tử trả thù mười năm chưa muộn"

Nếu tôi là bạn tối sẽ bỏ ra 5(10) năm để học hỏi, học cái mình cần sao đó sẽ quay lại mà xử lý(lúc đó bạn sẽ có cách xử lý(chọc chỉa gì đấy) hay và thông minh hơn)

BR,
quygia128

MAC Address Changer 1.0

Link:

https://app.box.com/s/metneu45kzd9u34p2zx7

Bạn thử phần mềm này xem được không ?

Nguồn: Max - eXetools

Chào bạn!

Thật tình mình không muốn trả lờ bài viết này, nhưng xem qua file bạn gửi mình nghĩ đây là sự thật.

Mình xin hỏi bạn: Bạn học ngành gì (trường nào) mà nghiên cứu bên lĩnh vực này ?

Mình thấy hơi bất ngờ khi giáo viên hướng dẫn ra đề như thế này (có lẽ giáo viên của bạn ra đề nhưng không hề quan tâm đến độ khó của crackme đã cho)

Có 2 trường hợp với đồ án này:

Thứ nhất: giáo viên ra đề này nhầm phân loại những bạn thật sự giỏi.

Thứ hai: giáo viên ra đề hoàn toàn không biết độ khó của đề mình đưa ra(Crackme _2 đã có sulution cách nay hơn 3 năm), cũng có thể người ra đề hoàn toàn chưa phân tích crackme này. Crackme 2 là một crackme rất khó, nếu bạn có thể vượt qua thì bạn không cần phải làm gì thêm.

Mình thì nghiêng về trường hợp thứ 2. khi phân tích và đọc code ASM bạn sẽ thấy độ khó của nó.

Crackme thứ nhất chỉ dùng phương pháp Xor nếu bạn phân tích hoàn chỉnh crackme này mình sẽ gửi bạn solution của crackme 2.

Nhờ Mod xoá hộ em bài này vì trả lời sai chổ, em sẽ post bên Thread "Cr@ck soft".

Xin cảm ơn!

OD2-ExPlug v201.09 - Plugin for OllyDBG 2.XX

Name: OD2-ExPlug v201.09
Date: 11.03.2013

=========================
ChangeLog:
=========================

+ OD2-ExPlug v201.09
- 11/03/2013
. Add "Import MAP To Library"
. Add "BTN iL"
. Right Click On "BTN iL" (Copy Victim path)
. Upgrade "Label Manager" (Add Module, Command)
. Fixed crash OllyDbg On "Open Label Table"
. Fixed internal bugs (I Know)

New Menu:
- Import MAP To Library (*.DLL, *.*)
. Import Labels
. Import Comments
. Import Signatures
. Search All Label From Module
. Clear All Signature Of Module

"Import MAP To Library" features can help you Import signatures to any module loaded by Mainmodue, You can chose module and import anytime you want.

Download:

https://app.box.com/s/dyd3buhuq4txv52nlr8g

BR,
quygia128

Name: OllyDbg2FixeR 201.02
Author: quygia128
Home: http://cin1team.biz

Description:

- "OllyDbg2FixeR" is a plugin for OllyDbg201(I).

- OllyDbg2FixeR allows to Fix OllyDbg Assemble BUG when you
press Space/DoubleClick on CALL/JUMP commands.

if you had choose "Show Symbolic Addresses" in OllyDbg Options,
This BUG only decode by Name of API/Label when it's exist.

You must be checked in "Fix Assemble" Menu to Fix BUG and
Uncheck if you want to ReStore Assemble as default of ollyDbg.

You can also add new parameter by manual for OllyDbg2FixeR to
Patch OllyDbg, include (ManualPatch, Address, OldByte
NewByte, PatchLen, PatchTime)

It's easy to fix SMALL BUG of OllyDbg automatic way when
you run OllyDbg with OllyDbg2FixeR Plugin.

NOTES: Plugin work only with last version of OllyDbg201(I)

Download:

https://app.box.com/s/psk2twxa3mwcmz1zgp4x

BR,
quygia128

shockandawe wrote:

thật ra yêu cầu chỉ cần thay cái thông báo ở Soft để người khác không tò mò biết mình đang dùng cái Soft gì thôi,
Mình đã tìm ra được cái Offset chứa cái tên rồi, nhưng mà chưa biết làm sao để thay đổi nó, nếu cậu đã hiểu thì mong cậu chỉ giúp mình.

Đã là một tiện ích được người ta viết ra để làm 1 công việc TỐT thì không nên làm như thế, thậm chí còn share nếu thấy có ích cho nhiều người.

Bạn đã tim được cả Offset rồi mà còn không biết làm gì, thì mình làm sao biết bây giờ ?

Thật sự xin lỗi vì mình không thể giúp bạn thêm được nữa, mình bó tay thiệt rồi smilie

hxxp://msdn.microsoft.com/en-us/library/windows/desktop/ms633546(v=vs.85).aspx

Trong OllyDbg không có hàm nào tên là SetWindowText chỉ có SetWindowTextA or SetWindowTextW.

Load chương trình vào OllyDbg.

Dùng lệnh sau tại command bar: bp SetWindowTextA và bp SetWindowTextW

Nhấn F9 để Run nếu chưong trình dùng 1 trong 4 hàm mình đã post phía trên thì bạn chỉ việc patch cái caption đó.

Hoặc có thể tim các string trong app xem có caption đó không, có thì xác định lại coi chính xác không (đặt breakpoint, restart và run lại để kiểm tra), nếu chính xác thì patch nó thành tên mới.

PS: mình nghĩ câu hỏi này chẳng tốt lành gì, một là cr@ck soft (lý do này có lẽ không đúng với bạn), hai là đạo soft của người ta mà còn thay tên đổi họ, lol

Load vào OllyDbg, Set Breakpoint tại SetWindowTextA(W) và SetDlgItempTextA(W) F9 là lượm thôi mà cậu.

OD2-ExPlug v201.08 - Plugin for OllyDBG 2.XX

Name: OD2-ExPlug v201.08
Date: 10.16.2013

=========================
ChangeLog:
=========================

+ OD2-ExPlug v201.08
- 10/16/2013
. Add "New Option"
. Add "Open Label Table"
. Add "Olly Hints" (Show The Hint In Status Bar)
. Add Right Click On "BTN I" (Import Label Only)
. Add "Set/Remove Memory Bps" On E In CPUDisasm (Shift + 4 or Shift + Space) (Shortcut Only)
. Add "Set/Remove Memory Bps" On RW In CPUDump (Shift + 4 or Shift + M) (Shortcut Only)
. Fixed Table Exporter (On Seclect Language)
. Fixed Follow In Dump (CPU_DUMPHIST //Add change to Dump history)
. Upgrade Menu "Breakpoint->" Engine (Set/Remove/Checked If Exist API Address In Bps List)
. Read "OD2ExPlug.ini" for more detail
. Fixed internal bugs

New Menu:
- Open Label Table
. Search All Labels (Shift + S)
. View In CPU Disasm (Shift + W)
. Set/Remove INT3 Beakpoint (Shift + 3)
. Set/Remove Hard Breakpoint (Shift + 4 or Shift + H)
. Copy Address Of Label (Alt + Insert)
. Copy File Offset (Shift + O) (Shortcut Only)

Download:

https://app.box.com/s/y2warsgfjjyz6cvl65mf

BR
quygia128

OD2-ExPlug v201.07 for OllyDBG2.XX

Changelogs:

+ OD2-ExPlug v201.07
- 09/30/2013
. Add "New Option"
. Add "MAP File Master"
. Add "Plugin Debug Break"
. Add "Label Master"
. Add "Offset address" to status bar
. Fixed MiNiHash(on sniff data)
. Fixed internal bugs

New Menu:
- MAP File Master
. Import Label
. Import Comment
. Clear All Label
. Clear All Comment
. BTN "I" to import Labels and Comments
- Plugin Debug Break
. DoMyJob
. Support..
- Label Master
. Add New Label (Ctrl + Shift + E)
. Follow In Dump (Ctrl + D)
. Search By Google (Ctrl + Shift + G)

Download:

https://app.box.com/s/aw07w5zqt4czveobbuzw

BR,
quygia128

Name: OD2-ExPlug v201.06
Date:09.09.2013
Author: quygia128
Home: http://cin1team.biz

=========================
Features:
=========================

+ Main Menu +

- Breakpoint Manager
. Import Breakpoints
. Export Breakpoints
- Option
- About...

+ Disasm Memu +

- Data Copy
. ASNI (str) (Copy ansi string to clipboard) (Ctrl + Alt + A)
. WIDE (str) (Copy wide string to clipboard) (Ctrl + Alt + W)
. BYTE (Copy 1 BYTE)
. WORD (Copy 2 BYTE)
. DWORD (Copy 4 Byte)
. Address (Copy selected address) (Alt + Insert)
- Breakpoint Manager
. Import Breakpoints
. Export Breakpoints
. Delete All INT3 BPs (Delete all INT3 Breakpoints)
. Delete All Hard BPs (Delete all Hardware Breakpoints)
. Delete All Mem BPs (Delete all Memory Breakpoints)
- Tools
. Notepad
. Calculator
. TaskMgr
. HashTool
. Configuration
- ASM2Clipboard (Ctrl + Shift + A)
- ASCII Hint
- ByteCounter
- Go EIP (Shortcut Only: Esc)

+ Dump Menu +

- Data Copy
. ASNI (str) (Copy ansi string to clipboard) (Ctrl + Alt + A)
. WIDE (str) (Copy wide string to clipboard) (Ctrl + Alt + W)
. BYTE (Copy 1 BYTE)
. WORD (Copy 2 BYTE)
. DWORD (Copy 4 Byte)
. Address (Copy selected address)(Alt + Insert)
- Follow In Dump (Ctrl + D)
- Follow In Disassembler (Ctrl + Alt + D)
- Create DumpWindow (Ctrl + Alt + C)
- ReverseHex (Ctrl + Z)
- MiNiHash (Ctrl + Alt + Z)

+ Info Bar +

- Add selected count(er)

+ Register Menu +

- Hardware Breakpoint [ESP]

+ INT3Breakpoint Menu +

- Breakpoint->
. Set a few breakpoint

+ HotKey +
1. PRESS and HOLD "H" key in 0.5s to Register/Unregister Hotkey
2. You must PRESS and HOLD the hotkey in 0.1s for it work
. "Esc" : go EIP(current origin) (Allow on any MDIWindows)
. "," : Copy BYTE
. "." : Copy WORD
. "/" : Copy DWORD
. "`" : Copy Address
. "[" : Go to start of function (You must analysis code before use it)
. "]" : Go to end (RET) of function
. "Gray *" : Set "Malware Analysis" breakpoint group
. "Gray /" : Set "NET" breakpoint group
. NOTE: MAYBE THE HOTKEY DO NOT WORK WITH THE MOD OLLYDBG (SND v2.2)

=========================
ChangeLog:
=========================

+ OD2-ExPlug v201.06
- 09/09/2013
. Add New Option
. Add Breakpoint Manager
. Add Hardware Manager
. Add ASM2Clipboard
. Add GoTo Start(Hotkey "[" & End(Hotkey "]" of Function
. Add Table Exporter (Max Len Supported 150000 byte)
. Update Count(er) (Converter LEN,VALUE(Hexadecimal) to Decimal)
. Bytecouter (Max Len Supported 60000 byte)
. Update MiNiHash(Auto detect Widestring), ReverseHex to version 0.2
. Fixed bug on copy Wide(str)
. Fixed internal bugs

Download:

https://app.box.com/s/zgykdw2marc7vtes4hlx

Update phiên bản mới. Bạn/anh nào có dùng thì giúp mình thông báo lỗi gặp phải khi sử dụng, mình sẽ khắc phục trong lần release sau.

Xin cảm ơn.

BR,
quygia128

Ý tưởng của em (chỉ là ý tưởng thôi nhé :-p )

Sau khi path hàm strcmp đến code của anh thì anh có thể GetActiveWindow, FindWindow, GetWindowText và so sánh với tên anh đã định sẵn muốn Enable hay disable -> kết quả trả về đúng sai gán vào EAX để điều khiển lệnh nhảy qua hàm hookey.

Anh có thể ví dụ cụ thể hai input windows nào không ?, để có thể demo.

Nói nghe có vẻ dễ ăn quá!

Cái Antisocial1 này theo em là chỉ để viết tuts và học cách fix các cách Anti debug thôi chứ nó không thực tế.

Thứ nhất: Nếu anti debug thì chỉ để chống lại việc thực thi file trong các trình Debuger, decompiler...

Thứ hai: Anti đến nổi không thể run được bên ngoài debuger, Decompiler thì anti để làm gì ?(không run được trên XP, Win7 32, Win7 64), nếu cái này là "AntiRUN" thì có lý hơn smilie

Các bạn khác đã xem rồi thì cho em xin ý kiến và nhận xét về con Antisocial1 này nhé.

Còn tut và kỹ năng phân tích của anh Kiên thì quá tuyệt vời rồi smilie

PS: Sẵn tiện anh em nào biết tên hoặc có IDA Plugin này:

Thì cho em xin.

Em xin cảm ơn.

Thật ra nếu chỉ phân tích sơ bộ bằng các phần mềm có sẵn để biết phần mềm import các hàm từ các DLL nào thì chưa đủ, vì khi thực thi phần mềm có thể load các thư viện (LoadLibrary) cần thiết để thực hiện một số tác vụ nào đó, mà để biết được nó cần load cái gì thì chỉ có Debug mới giải quyết được vấn đề (nếu không hề có thông báo nào).

VD:

khi muốn thực hiện hàm A file thực thi cần load thư viện B.DLL để thực hiện và có 2 trường hợp xảy ra:

1. Mọi thứ đầy đủ (đúng) chưong trình chạy tiếp.

2. Không có thư viện B.DLL chương trình sẽ

- Báo lỗi (trường hợp này sẽ dễ dàng hơn)
- Tiếp tục chương trình nhưng không thục hiện tác vụ vừa yêu cầu.
- Exit một cách âm thầm

Bạn xem mình đang ở trường hợp nào để biết cách giải quyết (nếu chương trình dung lượng nhỏ bạn có thể zip lại và gửi lên thử)

Đây là link 23 tuts (+crackme) và 1 vài tut khác của anh Kiên mình đã đọc qua và lưu tữ làm tài liệu tham khảo, mình up lên đây để bạn nào muốn đọc thì tải về.

Style thì mình không thay đổi vẫn giữ như anh Kiên, bạn phải giải được crackme v2.0 mới có Password đọc được OllyDbg_tut19.

Link:

https://app.box.com/s/085dlm3hg7nfmxmewshw

Chúc bạn học tốt và tiếp nối cảm hứng mà Kiên đã truyền cho các bạn qua loạt tuts này!

BR,
quygia128

Update:

OD2-ExPlug v201.05 - 08/05/2013

=========================
ChangeLog:
=========================

+ OD2-ExPlug v201.05
- 08/05/2013
. Add New Option
. Allow choose external tools for (Notepad,calculator,TaskMgr,HashTool)
. Add Hotkey
. Add Create DumpWindow
. Fixed Count(er), now, i think its good work
- (Bug: Overwrite message from OllyDbg)
. Fixed in ByteCounter(on get data) (Thanks to Vic4key)
. Fixed a few internal bug

Download:

https://app.box.com/s/8vnha8f2unwabejhovjd

Note: Có lẽ ít người quan tâm đến tiện ích này nên ai quan tâm thì tải về và đọc thêm changelog nhé.

BR,
quygia128

OD2-ExPlug v201.04 - 07/02/2013

=========================
ChangeLog:
=========================
+ OD2-ExPlug v201.04
- 07/02/2013
- Data Copy
. ASNI (str) (Copy ansi string to clipboard) (Ctrl + Alt + A)
. WIDE (str) (Copy wide string to clipboard) (Ctrl + Alt + W)
. BYTE (Copy 1 BYTE)
. WORD (Copy 2 BYTE)
. DWORD (Copy 4 Byte)
. Address (Copy selected address) (Alt + Insert)
. Add new breakpoint list (Malware Analysis + NET)
. Fix minor bug on MiNiHash

Download:

https://www.box.com/s/m69stte5x6l3zpd7urox

BR,
quygia128

OD2-ExPlug v201.03

ChangeLog:

+ OD2-ExPlug v201.03
- 06/22/2013
. Fix bug on get debug status
. Fix bug open path (On Windows 7 - Try reopen OD if not work)
. Fix Go EIP (work faild when use function "new origin here")
. Fix Hardware Breakpoint [ESP] (work faild when register modify by user)
. Fix and Correct new bp list
. Add icon BTN for open regedit
. Add option Enable Icon BTN

Download:

http://www.fshare.vn/file/QPQ2ZFEM0F

BR,
quygia128