-
-
[分享]终于脱掉了SecuROM 4.X-5.X
-
发表于: 2005-11-18 08:37
-
标题：Unpack SecuROM 4.x-5.x with FlyODBG v1.10
目标：秋之回忆：想君简体中文版
调试环境：WinXP、flyODBG、PEiD、LordPE、ImportREC
声明：纯粹为了速度和节省光驱的人。
作者：无聊的菜鸟
时间：2005年11月18日
前天花了30个小时才把秋之回忆：想君的简体中文版下下来（希望各位高人不要鄙视我这种喜欢GALGAME的菜鸟），装完一看SecuROM 4.X-5.X -> Sony DADC。无语了。
开启FlyODBG载入，先F9一下看看能运行不，结果可以，不过那个异常叫多啊。（大家记得要选上忽略0000 0000-FFFF FFFF段的所有异常，还有要把调试器的进程优先级设为低。。。）
下面就来找我们的OEP吧：
运行之后有个健康游戏提示，有拿它下手吧F2停下，然后下text段下个内存访问断点，找了半天没发现调用GetVersion的地方，API全是Call [18X XXXX]之类的东西，还有不少Call 18X XXXX之类的或前或后有个inc eax,nop,daa,cmc之类的指令（5+1字节的东西不用猜就知道是Call []的变形了）。
重来之后，He GetVersion，注意堆栈提示返回有text段的时候就可以停下了。返回后向上找一点，会发现传说中的OEP。然后我们再次重来，直接g OEP。漫长的等待之后，OD停在了OEP处。堆栈的顶部也是OEP，这就对了。
到这里之后就是没有技术含量的事情了，一个个Patch Call变形了返回，一个个的手动修改。数了一下大概有300个的样子，稍微熟练一下大概能10s一个，一两个小时也就能作完了。（其实我很想写PatchCode，不过Sony个贱人，你API调用得太快它就会丢个错误的结果给你，直接让你异常。）如果修复中出现错误的返回值的话，就在那里重新新建EIP，F8在取一次结果，一般就对了，不过不要重复太多次，Sony是很贱的。。。
其实真正返回API的地方不多，我这里就4处。
第一处：2XX XXXX的调用最后都会死到SFX段中的17X XXXX那里去（如果你小跟下前面的代码，你会发现它们就是从17X XXXX那里复制过去的），所以我们直接Patch尾部的JMP EAX为add esp,4；retn，Patch上面一点的Mov eax,[esi]为NOP，目的就是为了任他不去执行API直接返回，而且EAX里就是API的存储位置。然后还有三个是在SFX下面的那个段中的。大家就按着上面那个目标Patch吧，我记不得了，也没心情在去重装3CD的游戏。
最后我们用LordPE来个Dump Full,IAT在修复中你就会知道在哪里了，用ImportREC获取，添加新段修复（你爱写到其他地方也行，只要不影响运行。记得不选创建新的IAT。）
现在让DAEMON Tool（PS：终于出4.0了，等的好辛苦）弹出CD3，运行成功地出现了健康游戏提示。不容易啊~~~~~~~~~
之后又出现一个“请插入资料碟”的提示，这个东西的去除我就不想说了，改一个jnz就DONE了。
脱下来的文件居然是21.7MB，懒得优化了，直接UPX一下，1.08MB，启动速度没区别（C-M1.5G）。
PS：Fly版主，上次那片精华先帮我去掉把，毕竟还没完成的说。。。。
目标：秋之回忆：想君简体中文版
调试环境：WinXP、flyODBG、PEiD、LordPE、ImportREC
声明：纯粹为了速度和节省光驱的人。
作者：无聊的菜鸟
时间：2005年11月18日
前天花了30个小时才把秋之回忆：想君的简体中文版下下来（希望各位高人不要鄙视我这种喜欢GALGAME的菜鸟），装完一看SecuROM 4.X-5.X -> Sony DADC。无语了。
开启FlyODBG载入，先F9一下看看能运行不，结果可以，不过那个异常叫多啊。（大家记得要选上忽略0000 0000-FFFF FFFF段的所有异常，还有要把调试器的进程优先级设为低。。。）
下面就来找我们的OEP吧：
运行之后有个健康游戏提示，有拿它下手吧F2停下，然后下text段下个内存访问断点，找了半天没发现调用GetVersion的地方，API全是Call [18X XXXX]之类的东西，还有不少Call 18X XXXX之类的或前或后有个inc eax,nop,daa,cmc之类的指令（5+1字节的东西不用猜就知道是Call []的变形了）。
重来之后，He GetVersion，注意堆栈提示返回有text段的时候就可以停下了。返回后向上找一点，会发现传说中的OEP。然后我们再次重来，直接g OEP。漫长的等待之后，OD停在了OEP处。堆栈的顶部也是OEP，这就对了。
到这里之后就是没有技术含量的事情了，一个个Patch Call变形了返回，一个个的手动修改。数了一下大概有300个的样子，稍微熟练一下大概能10s一个，一两个小时也就能作完了。（其实我很想写PatchCode，不过Sony个贱人，你API调用得太快它就会丢个错误的结果给你，直接让你异常。）如果修复中出现错误的返回值的话，就在那里重新新建EIP，F8在取一次结果，一般就对了，不过不要重复太多次，Sony是很贱的。。。
其实真正返回API的地方不多，我这里就4处。
第一处：2XX XXXX的调用最后都会死到SFX段中的17X XXXX那里去（如果你小跟下前面的代码，你会发现它们就是从17X XXXX那里复制过去的），所以我们直接Patch尾部的JMP EAX为add esp,4；retn，Patch上面一点的Mov eax,[esi]为NOP，目的就是为了任他不去执行API直接返回，而且EAX里就是API的存储位置。然后还有三个是在SFX下面的那个段中的。大家就按着上面那个目标Patch吧，我记不得了，也没心情在去重装3CD的游戏。
最后我们用LordPE来个Dump Full,IAT在修复中你就会知道在哪里了，用ImportREC获取，添加新段修复（你爱写到其他地方也行，只要不影响运行。记得不选创建新的IAT。）
现在让DAEMON Tool（PS：终于出4.0了，等的好辛苦）弹出CD3，运行成功地出现了健康游戏提示。不容易啊~~~~~~~~~
之后又出现一个“请插入资料碟”的提示，这个东西的去除我就不想说了，改一个jnz就DONE了。
脱下来的文件居然是21.7MB，懒得优化了，直接UPX一下，1.08MB，启动速度没区别（C-M1.5G）。
PS：Fly版主，上次那片精华先帮我去掉把，毕竟还没完成的说。。。。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
建议写个教程
前几个月我也搞过它 OEP很简单 但是那些变型的IAT就....太BT了 结果放弃了  也想写个IR的DLL来取IAT,不过没有SDK就一直没写成 游戏运行中的那个MessageBox是在一个CALL里面的 它是建立在一个循环里面的 也就是说游戏运行的话就一直会读光驱.. SONY想我们的光驱快点完蛋  BTW:用LORDPE重建一下DUMP后的PE文件就会小很多的了 建议把那个CALL也NOP掉 想君不太好玩的,それから还不错,不过还比不上MO1 BTW2:最好把这里改了 01820185 2B05 20739401 sub eax,dword ptr ds:[1947320] 0182018B 3D 60EA0000 cmp eax,0EA60 01820190 0F86 08010000 jbe OMOKIMI.0182029E 01820196 833D B0BE8A01 0>cmp dword ptr ds:[18ABEB0],0 0182019D 74 0F je short OMOKIMI.018201AE 0182019F 68 C0758D01 push OMOKIMI.018D75C0 ; ASCII "70011C5AEBA713BD58EEB4EF9BA10FB238C354C0C3FD2BE9FD8FE5FE5967C596BCC5" 改为 01820185 2B05 20739401 sub eax,dword ptr ds:[1947320] 0182018B 3D 60EA0000 cmp eax,0EA60 01820190 E9 09010000 jmp OMOKIMI_.0182029E 01820195 90 nop 01820196 833D B0BE8A01 0>cmp dword ptr ds:[18ABEB0],0 0182019D 74 0F je short OMOKIMI_.018201AE 0182019F 68 C0758D01 push OMOKIMI_.018D75C0 ; ASCII "70011C5AEBA713BD58EEB4EF9BA10FB238C354C0C3FD2BE9FD8FE5FE5967C596BCC5" SecuRom会提取系统的时间作对比的,太快不行,太慢了也不行的 直接JMP过去就可以了 还有提醒一个: 修复IAT的时候最好下个timeGetTime的断点 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
其实一共就只用两种API调用，一个是从171c6XX处复制过来的，还有一个和你说的那个一样，只不过call OMOKIMI_.01822BB0上面的参数是从1至5。不过游戏中只用到了第一个和另外一个的其中的三个而已。对我来说，只有PatchCode的区别，因为我也看不懂
|
|
|
|
|
|
|
|
|
|
|
|
终于发现了SecuRom对函数的时间确定还真是TMD变态，不过呢，我帮它小补了一下，让它一边运行一边修复函数，所以呢，就算没全部解开，也不太会影响我现在的运行。
终于有个可用的版本了。。。。。 虽然还没完全脱了。 下面我再想，先把那些没有时间校检的函数先给修了，然后再给他补上上面那个补丁，之后呢，在需要修复的代码就会少得可怜了吧。  刚刚实践了一下，只剩80个，一下子少了2/3，而且已修复的都是正确的不会错的。挖哈哈哈哈哈。。。。 旁边一人： 
|
