Shareware Versionen vor Cracker schützen

[Luckie]

Zitat von Olli:

Zitat von brechi:

alternativ kommt man an die adresse wenn man
zu 7ffdf000 geht (wenn nicht vorhanden zu 7ffde000)
dann die adresse bei 7ffdf030 bzw 7ffde030 schaut
und dann an diese adresse geht
z.b. 7ffdc000 <- das 3. byte, also 7ffdc003 ist bei nem debugger dann ne 1 oder wenn nix aktiv ist ne 0
only NT

Na Luckie? Erinnert dich das an was?

Das war doch ein Member einer Struktur, die wir durchgegangen sind oder?

Nun ja voreillig? Ich dachte wir wären mit dem Austricksen des Debuggers durch.

[Olli]

Zitat von Luckie:

Das war doch ein Member einer Struktur, die wir durchgegangen sind oder?

Jupp. PEB.BeingDebugged!

Zitat von Luckie:

Nun ja voreillig? Ich dachte wir wären mit dem Austricksen des Debuggers durch.

Würdest du sagen, daß nach 5-stündiger Erklärung für, grob geschätzt, 100 Zeilen Code, und das Drumherum dieses Thema ausgekostet ist? Wir haben es angekratzt. Die Methode von brechi ist interessant und ich werde mir das einmal weiter anschauen. Gegenmaßnahmen sind durchaus drin sollten aber (gerade bei brechi, der im Übrigen die 2 gestern erklärten Tricks schon kannte) gut durchdacht sein. Genau das werde ich tun sobald es meine Zeit zuläßt.

@brechi: Du benutzt welchen Debugger? Würde den Debugger gern mal testen. Vor direktem Anti-XYZ-Produkt-Code brauchst du bei mir jedenfalls keine Angst haben.

[brechi]

7ffdxxx2 sollte es sein bei < XPSP2 ist es 7ffdf002
hab mich da um 1 verzählt ;>

bin im DF unter anderem namen angemeldet, wen du da jetzt vermutest weiß ich nicht, luckie sollte aber wissen wer ich bin
nichtsdestotrotz weiß ich wer du bist.

PEB.BeingDebugged selbstauslesen funzt hier nur so gut weils das prog für winNT only ist

fake exception kenn ich eigentlcih bisl anders durch int3 breakpoints aufrufen die von einem debugger immer abgefangen werden

hab genau so viele HW BPs wie du, eigentlich reicht immer einer oder max 2

ich benutze ollydbg der kennt auch memory breakpoints (wird über VirtualProtect gemacht)

[Olli]

Zitat von brechi:

bin im DF unter anderem namen angemeldet, wen du da jetzt vermutest weiß ich nicht,

Jemanden dessen Nick mit u beginnt jedenfalls.

Zitat von brechi:

nichtsdestotrotz weiß ich wer du bist.

Kunststück, wenn ich unter meinem Rufnamen unterwegs bin. Mein Wissensprofil ist auch relativ selten, von daher

Zitat von brechi:

PEB.BeingDebugged selbstauslesen funzt hier nur so gut weils das prog für winNT only ist

Pah, auf W9x stelle ich ein JS davor um es auf W9x nicht zuzulassen. Schwuppdi ist das Proggy kompatibel. Allerdings ist 1.) Luckies Prog nur unter NT lauffähig und 2.) das Ergebnis des verwendeten Scramblers.

Zitat von brechi:

fake exception kenn ich eigentlcih bisl anders durch int3 breakpoints aufrufen die von einem debugger immer abgefangen werden

Dies ist auch nicht der Sinn dieser Exceptions.

Zitat von brechi:

hab genau so viele HW BPs wie du, eigentlich reicht immer einer oder max 2

Noch

Zitat von brechi:

ich benutze ollydbg der kennt auch memory breakpoints (wird über VirtualProtect gemacht)

Danke. Teste ich mal aus.
Memory-BPX _ohne_ HW-BPX als Grundlage sind technischer Schwachsinn weil nicht zuverlässig. Noch gibt es zumindest keine Grundlage auf HW-Ebene die das erlauben würde. Aber solange es dir dient *g*

[brechi]

Delphi-Quellcode:

function IsDebuggerPresent: boolean; stdcall;
asm
  MOV     EAX, DWORD PTR FS:[$30]    
  TEST    EAX, EAX
  JS      @@W9X
@@WNT:
  MOV     EAX, FS:[$18]
  MOV     EAX, [EAX+$30]
  MOVZX   EAX, [EAX+2]
  RET
@@W9X:
  MOV     EAX, [$BFFC9CE4]
  MOV     ECX, [EAX]
  CMP     DWORD PTR [ECX+$54], 1
  SBB     EAX, EAX
  INC     EAX
  RET
end;

sollte unter NT, 2k, xp, 95, 98, 98 SE und ME funzen also NT / 9x wobei ichs net auf ME testen konnte :>
kumpel meinte aber es sollte stimmen

mit dem u am anfang haste recht

[Luckie]

Ich habe diese Postings vom XP Usermanager Thread abgespalten, da sie mit ihm eigentlich nichts zu tun haben. Ich habe im ertsen Posting wieder die Demo Version angehangen, um die es hier geht.

[lbccaleb]

EDIT:

UPPS, falscher Thread

[Douglas Quintaine]

Du bist im falschen Thread.

http://www.delphipraxis.net/internal...t.php?t=156077