Размышлизмы по поводу PWAuto

[Dremalka]

Посмотрел внутренности этого бота.
Интересные данные есть в нем. На мой взгляд для бота вот это не нужно. Или я не прав? И подобное в файл пихает компилятор.

UPX1:0045DFDC off_45DFDC      dd offset dword_45DB2C+18h ; DATA XREF: UPX1:0045E094o
UPX1:0045DFDC                                         ; UPX1:0045E09Co
UPX1:0045DFE0                 dd offset a2ProtocolStd_0 ; "%2\\protocol\\StdFileEditing\\server"
UPX1:0045DFE4                 dd offset aClsid1Progid ; "CLSID\\%1\\ProgID"
UPX1:0045DFE8                 dd offset aClsid1Inprocse ; "CLSID\\%1\\InProcServer32"
UPX1:0045DFEC                 dd offset aClsid1Defaulti ; "CLSID\\%1\\DefaultIcon"
UPX1:0045DFF0                 dd 0
UPX1:0045DFF4 off_45DFF4      dd offset dword_45DB2C+0Ch ; DATA XREF: UPX1:0045E078o
UPX1:0045DFF4                                         ; UPX1:0045E0A0o
UPX1:0045DFF8                 dd offset aClsid1       ; "CLSID\\%1"
UPX1:0045DFFC                 align 10h
UPX1:0045E000 off_45E000      dd offset dword_45DB2C+18h ; DATA XREF: UPX1:0045E07Co
UPX1:0045E000                                         ; UPX1:0045E0A4o
UPX1:0045E004                 dd offset aClsid1Progid ; "CLSID\\%1\\ProgID"
UPX1:0045E008                 dd offset aClsid1Inprocha ; "CLSID\\%1\\InprocHandler32"
UPX1:0045E00C                 dd offset aClsid1Localser ; "CLSID\\%1\\LocalServer32"
UPX1:0045E010                 dd offset aClsid1Defaulti ; "CLSID\\%1\\DefaultIcon"
UPX1:0045E014                 align 8
UPX1:0045E018 off_45E018      dd offset dword_45DB2C+0Ch ; DATA XREF: UPX1:0045E080o
UPX1:0045E018                                         ; UPX1:0045E0A8o
UPX1:0045E01C                 dd offset aClsid1       ; "CLSID\\%1"
UPX1:0045E020                 dd 0
UPX1:0045E024 off_45E024      dd offset dword_45DB2C+18h ; DATA XREF: UPX1:0045E084o
UPX1:0045E028                 dd offset aClsid1Progid ; "CLSID\\%1\\ProgID"
UPX1:0045E02C                 dd offset aClsid1Inprocha ; "CLSID\\%1\\InprocHandler32"
UPX1:0045E030                 dd offset aClsid1Localser ; "CLSID\\%1\\LocalServer32"
UPX1:0045E034                 align 8
UPX1:0045E038 off_45E038      dd offset dword_45DB2C+18h ; DATA XREF: UPX1:0045E0ACo
UPX1:0045E03C                 dd offset aClsid1Progid ; "CLSID\\%1\\ProgID"
UPX1:0045E040                 dd offset aClsid1Inprocse ; "CLSID\\%1\\InProcServer32"
UPX1:0045E044                 align 8
UPX1:0045E048 off_45E048      dd offset dword_45DB2C+18h ; DATA XREF: UPX1:0045E08Co
UPX1:0045E048                                         ; UPX1:0045E0B4o
UPX1:0045E04C                 dd offset a2ProtocolStd_0 ; "%2\\protocol\\StdFileEditing\\server"
UPX1:0045E050                 dd offset aClsid1Progid ; "CLSID\\%1\\ProgID"
UPX1:0045E054                 dd offset aClsid1Inprocha ; "CLSID\\%1\\InprocHandler32"
UPX1:0045E058                 dd offset aClsid1Localser ; "CLSID\\%1\\LocalServer32"
UPX1:0045E05C                 dd offset aClsid1Defaulti ; "CLSID\\%1\\DefaultIcon"
UPX1:0045E060                 dd offset aClsid1Defaulte ; "CLSID\\%1\\DefaultExtension"

[lizardjazz2]

Это ты посмотрел как оно выглядит если его упоковать компрессором.
Я компресс распаковать уже успел, декомпилировать (кстати оказалось написаном на ассемблере) в итоге получил очень приближеный к исходному коду, но тут 2 проблеммы, 1 я не знаю этого языка а вторая возможны потери кода, что очень плохо

P.s. Хотя могу ошибаться ещё полностью нормально не дизасемблировал вот

[AEBus]

написан на c++
поэтому не декомпилируется а только дизассемблируется

[VeTaL_UA]

Цитата: Сообщение от lizardjazz2 уже успел декомпилировать (кстати оказалось написаном на ассемблере)

Цитата: Сообщение от lizardjazz2 но тут 2 проблеммы

Цитата: Сообщение от lizardjazz2 1 я не знаю этого языка а вторая возможны потери кода, что очень плохо

Вторую не указал, хот и так

Цитата: Сообщение от lizardjazz2 Хотя могу ошибаться ещё полностью нормально не декомпилировал

[finkrer]

Цитата: Сообщение от lizardjazz2 оказалось написаном на ассемблере

Цитата: Сообщение от VeTaL_UA Вторую не указал

Цитата: Сообщение от lizardjazz2 но тут 2 проблеммы, 1 я не знаю этого языка а вторая возможны потери кода

[Dremalka]

Хм. Апнули старую темку.
Я привел текст с данными, а не с кодом. А бот (и Nitrogen подтвердил мое предположение) действительно на C. Просто было занятно посмотреть на внутренности хорошего бота. Там много чего было интересного. Так же в данных присутствуют имена например. Вообще-то может они и были в разделе "О программе". Признаюсь честно, я туда не заглядывал.
А в приведенном выше коде так вообще ветки реестра если я не ошибаюсь.
Вот и озвучил свое удивление в этой ветке.

Кстати, приведенный выше код Ида показала уже после предварительной распаковки. Только вполне возможно процесс распаковки прошел не на все 152% гладко. Да я и не гнался за ним.

[lizardjazz2]

вот с чего вы взяли что на С++ я пробовал на IDA всё делать пишет адекватно только на ассемблер, либо я дурак Т_Т

[VeTaL_UA]

Цитата: Сообщение от lizardjazz2 с чего вы взяли что на С++

Со слов автора

Цитата: Сообщение от lizardjazz2 я пробовал на IDA всё делать пишет адекватно только на ассемблер

Программу, написанную на любом языке можно дизассемблировать и получить ассемблерный код...

[Dremalka]

Цитата: Сообщение от lizardjazz2 вот с чего вы взяли что на С++ я пробовал на IDA всё делать пишет адекватно только на ассемблер, либо я дурак Т_Т

Если Вы дизассемблировали код, то в нем найдете например вот такую строчку:
0045C0EC aFDdVctoolsVc_0 db 'f:\dd\vctools\vc7libs\ship\atlmfc\src\mfc\appcore .cpp',0

или такую:
00401650 call unknown_libname_136 ; MFC 3.1-10.0 32bit

И по-моему автор(-ы) бота создавал его в Visual Studio 2005

[Lethal]

Апну довольно старую темку, но все же , чем можно распотрошить бота?
Тоже хочется посмотреть что в нутри бота и, желательно найти то , что хочу)

[VeTaL_UA]

Цитата: Сообщение от Lethal Тоже хочется посмотреть что в нутри бота и, желательно найти то , что хочу)

Ты будешь смотреть что внутри по асм коду?

[Lethal]

Пардон... Плохо что всё так плохо.
Первое сообщение -hex редактор- правильно понял,или же нет?

[krukovis]

Цитата: Сообщение от Lethal чем можно распотрошить бота?

Дизасемблер OllyDbg, IDA Pro и т.д.

[VeTaL_UA]

Цитата: Сообщение от Lethal Первое сообщение -hex редактор- правильно понял,или же нет?

Дебагер.

[Lethal]

В общем хотел офсеты переписать - походу мне это пока не по силам
Пойду лучше дальше профета ковырять)