Blog. Just Blog

Автоматические распаковщики исполняемых файлов

Версия для печати Добавить в Избранное Отправить на E-Mail | Категория: Темная сторона Силы | Автор: ManHunter
Автоматические распаковщики исполняемых файлов предназначены для снятия навесных протекторов и упаковщиков с PE-файлов без применения других инструментов. Безусловно, ручная распаковка - это круто, но когда реверсинг поставлен на поток или не хватает навыков для снятия серьезных протекторов, то автоматические распаковщики будут очень кстати. Наиболее мощные распаковщики находятся в привате, но есть много хороших инструментов и в свободном доступе. Часть из них я выложу здесь с небольшими описаниями.

Скриншот программы Quick Unpack
Скриншот программы Quick Unpack

Начнем с универсальных распаковщиков. Лидер в этой категории - Quick Unpack, уникальный продукт, не имеющий аналогов в мире. Позволяет за несколько секунд снимать более сотни известных пакеров и протекторов, а также новые и неизвестные пакеры. Более подробное описание возможностей есть в прилагаемой документации. Над программой в разное время работали разные люди, сейчас разработку Quick Unpack поддерживает команда tPORt.

Quick Unpack 2.0 FinalQuick Unpack 2.0 Final

Quick.Unpack.2.0.Final.zip (991,884 bytes)

Quick Unpack 2.1 FinalQuick Unpack 2.1 Final

Quick.Unpack.2.1.Final.zip (1,048,732 bytes)

Quick Unpack 2.2 FinalQuick Unpack 2.2 Final

Quick.Unpack.2.2.Final.zip (1,072,442 bytes)

Скриншот программы RL!dePacker
Скриншот программы RL!dePacker

RL!dePacker от ReversingLabs. Еще один универсальный распаковщик, также справляется более чем с сотней различных пакеров. К сожалению, неоднократно сталкивался с тем, что после распаковки получается нерабочий файл.

RL!dePacker 1.41RL!dePacker 1.41

RL!dePacker.1.41.zip (112,827 bytes)

RL!dePacker 1.5 (RAR password: 123)RL!dePacker 1.5 (RAR password: 123)

RL!dePacker.1.5.rar (152,852 bytes)

Скриншот программы Dr.WEB FLY-CODE Unpacker
Скриншот программы Dr.WEB FLY-CODE Unpacker

Dr.WEB FLY-CODE Unpacker от PE_Kill - универсальный распаковщик, основанный на движке FLY-CODE антивируса Dr.Web. Распаковывает многослойные пакеры и протекторы, в том числе и неизвестные, все промежуточные результаты сохраняются. Даже если файл не удается распаковать до рабочего состояния, секция кода в любом случае получается распакованной, а этого вполне достаточно для анализа. Распаковщик имеет достаточно большой размер, скачать его можно здесь.

Скриншот программы Faster Universal Unpacker
Скриншот программы Faster Universal Unpacker

Faster Universal Unpacker - универсальный распаковщик, или скорее оболочка для плагинов, созданных на движке TitanEngine. Если вы обладаете достаточными навыками, то можете сами написать нужные плагины для снятия различных упаковщиков.

Faster Universal Unpacker 0.1.1 BetaFaster Universal Unpacker 0.1.1 Beta

Faster.Universal.Unpacker.0.1.1b.zip (1,076,961 bytes)

Скриншот программы UN-PACK
Скриншот программы UN-PACK

UN-PACK - консольный анализатор и распаковщик исполняемых файлов. Несмотря на то, что программа была разработана еще во времена MS-DOS, она остается актуальной и сейчас. Распаковка современных пакеров и протекторов выполняется за счет внешних плагинов.

UN-PACK 2.3UN-PACK 2.3

UN-PACK.2.3.zip (1,186,205 bytes)

От универсальных распаковщиков перейдем к специализированным. Они заточены под строго определенные протекторы и работают, учитывая особенности их алгоритма защиты.

Скриншот программы DilloDie
Скриншот программы DilloDie

DilloDie - один из первых автоматических распаковщиков Armadillo от команды CiP. Прекрасно справляется со старыми версиями 3.xx-4.xx, на новых не работает. Было выпущено несколько версий распаковщика, я использую их все, т.к. на некоторых файлах разные версии дают более корректный результат.

DilloDie 1.4DilloDie 1.4

dilloDIE.1.4.zip (25,350 bytes)

DilloDie 1.5DilloDie 1.5

dilloDIE.1.5.zip (65,496 bytes)

DilloDie 1.6DilloDie 1.6

dilloDIE.1.6.zip (66,009 bytes)

Скриншот программы ArmaGeddon
Скриншот программы ArmaGeddon

ArmaGeddon от команды ARTeam - самый мощный распаковщик Armadillo на сегодняшний день. Справляется со всеми версиями протектора, включая последние. Я также держу под рукой несколько разных версий ArmaGeddon'а, иногда предыдущие версии дают более корректный результат. Последнюю версию всегда можно скачать с сайта разработчиков. Версия 1.9 поддерживает работу в Windows 7 x86, версия 2.0 достаточно успешно борется с самыми последними версиями Armadillo, но работоспособна только на системе Windows XP x86.

ArmaGeddon 1.7ArmaGeddon 1.7

ArmaGeddon.1.7.zip (1,366,425 bytes)

ArmaGeddon 1.8ArmaGeddon 1.8

ArmaGeddon.1.8.zip (2,069,069 bytes)

ArmaGeddon 1.9ArmaGeddon 1.9

ArmaGeddon.1.9.zip (2,059,573 bytes)

ArmaGeddon 2.0ArmaGeddon 2.0

ArmaGeddon.2.0.zip (2,133,055 bytes)

ArmaGeddon 2.1ArmaGeddon 2.1

ArmaGeddon.2.1.zip (1,713,646 bytes)

ArmaGeddon 2.2ArmaGeddon 2.2

ArmaGeddon.2.2.zip (1,310,562 bytes)

Скриншот программы ACKiller
Скриншот программы ACKiller

ACKiller от HoBleen - предназначен для автоматической распаковки программ, защищенных протектором ACProtect (в прошлом UltraProtect). Работает со всеми известными версиями ACProtect со всеми опциями защиты.

ACKiller 1.0b FinalACKiller 1.0b Final

ACKiller.1.0b.Final.zip (36,625 bytes)

Скриншот программы Stripper
Скриншот программы Stripper

Stripper от syd - единственный работающий распаковщик ASProtect, который есть в свободном доступе. Успешно справляется со старыми версиями ASProtect, на новых не работает. Из-за того, что разработчики протектора оперативно реагировали на появление новых версий Stripper'а, на некоторое время разработка была перенесена в приват. Но один мудак, имеющий доступ к приватным бета-версиям, выложил Stripper на паблик, из-за этого syd отказался от дальнейшей поддержки и разработки. Несмотря на то, что проект официально закрыт, его алгоритмы и модули используются в других распаковщиках, например, в Quick Unpack. Выложено несколько наиболее стабильных версий Stripper'а, так как они работают с разными версиями ASProtect.

Stripper 2.07 final + Stripper 2.07 htStripper 2.07 final + Stripper 2.07 ht

Stripper.2.07.zip (483,457 bytes)

Stripper 2.11 rc2Stripper 2.11 rc2

Stripper.2.11 rc2.zip (141,326 bytes)

Stripper 2.13 beta 2Stripper 2.13 beta 2

Stripper.2.13.beta.2.zip (168,534 bytes)

Stripper 2.13 beta 9Stripper 2.13 beta 9

Stripper.2.13.beta.9.zip (199,333 bytes)

Stripper 2.14 rc1Stripper 2.14 rc1

Stripper.2.14.rc1.zip (234,721 bytes)

Stripper 2.14 beta 2Stripper 2.14 beta 2

Stripper.2.14.beta.2.zip (182,482 bytes)

Stripper 2.14 beta 3Stripper 2.14 beta 3

Stripper.2.14.beta.3.zip (229,263 bytes)

Скриншот программы DecomAS
Скриншот программы DecomAS

Наконец-то вышел из привата релиз DecomAS - мощнейшего распаковщика ASProtect от PE_Kill. За пять лет разработки он доведен практически до совершенства и с легкостью справляется со всеми версиями ASProtect, включая последние. К сожалению, DecomAS работоспособен только на Windows XP и новых версий пока что не ожидается.

DecomAS 1.7 beta1DecomAS 1.7 beta1

DecomAS.1.7.beta1.zip (793,039 bytes)

Скриншот программы CASPRGUI
Скриншот программы CASPRGUI

Для распаковки старых версий ASProtect рекомендую использовать консольный распаковщик CASPR от SAC/UG2001. Он распаковывает ASProtect полностью в статичном режиме, то есть без запуска файла. Эх, были же светлые головы! CASPR уже давно не обновлялся, но до сих пор остается отличным примером того, как надо писать статические распаковщики.

CASPR 1.012CASPR 1.012

CASPR.1.012.zip (71,033 bytes)

CASPR 1.110CASPR 1.110

CASPR.1.110.zip (74,028 bytes)

Графическая оболочка для CASPR - CASPRGUIГрафическая оболочка для CASPR - CASPRGUI

CASPRGUI.zip (15,047 bytes)

Скриншот программы ASPack unpacker
Скриншот программы ASPack unpacker

ASPack unpacker от PE_Kill предназначен для распаковки файлов, накрытых упаковщиком ASPack. Снятие упаковщика происходит настолько виртуозно, что файл восстанавливается практически до исходного состояния. К сожалению, у меня не сработал на файлах, упакованных последней версией ASPack, приходится распаковывать такие файлы вручную.

ASPack unpacker 1.13ASPack unpacker 1.13

ASPack.Unpacker.1.13.zip (385,219 bytes)

Скриншот программы Themida / WinLicense Unpacker
Скриншот программы Themida / WinLicense Unpacker

Themida / WinLicense Unpacker от китайских программистов. Первая публичная утилита, реально позволяющая автоматически снимать этот серьезный протектор. На новых версиях Themida не работает.

Themida / WinLicense Unpacker 2.0Themida / WinLicense Unpacker 2.0

Themida.Unpacker.2.0.zip (600,781 bytes)

Еще есть утилиты для распаковки Themida от команды AoRE, но добиться рабочего результата от этих распаковщиков мне так и не удалось.

Скриншот программы Unpacker ExeCryptor
Скриншот программы Unpacker ExeCryptor

Unpacker ExeCryptor от RSI - единственный работающий автоматический распаковщик для протектора ExeCryptor. Работает со всеми версиями линейки 2.x, включая последнюю. В некоторых случаях требуются дополнительные патчи для распакованного файла, остальное меняется в настройках распаковщика. Назначение настроек подробно расписано в прилагаемой документации.

Unpacker ExeCryptor 2.x.x RC1Unpacker ExeCryptor 2.x.x RC1

Unpacker.ExeCryptor.2.x.x.RC1.zip (42,890 bytes)

Unpacker ExeCryptor 2.x.x RC2Unpacker ExeCryptor 2.x.x RC2

Unpacker.ExeCryptor.2.x.x.RC2.zip (61,889 bytes)

Это далеко не полный набор утилит для автоматической распаковки, но с их помощью вы сможете справиться с большинством современных защит и упаковщиков. Другие инструменты можно без особого труда найти через поисковые системы или на тематических ресурсах.

Поделиться ссылкой ВКонтакте Поделиться ссылкой на Facebook Поделиться ссылкой на LiveJournal Поделиться ссылкой в Мой Круг Добавить в Мой мир Добавить на ЛиРу (Liveinternet) Добавить в закладки Memori Добавить в закладки Google
Просмотров: 67839 | Комментариев: 32

Метки: реверсинг
Внимание! Статья опубликована больше года назад, информация могла устареть!

Комментарии

Отзывы посетителей сайта о статье
ManHunter (24.10.2017 в 17:25):
Владёха, русский язык сперва выучи, потом только за компьютер садись.
Владёха (24.10.2017 в 16:17):
А что сам он распаковывает файлы из зип архива раз он автоматический?! Или в ручную надо за место него это делать опять челу из за программистиков?!
ManHunter (23.06.2017 в 09:05):
Избавь человечество от себя, не засоряй генофонд планеты.
Покежь-ка (23.06.2017 в 08:52):
Не вижу здесь пока ничего автоматического!
ManHunter (05.03.2017 в 00:37):
Отладчик, голова и руки. Иначе никак.
Александр (05.03.2017 в 00:11):
ENIGMA 4.0   распаковщик нужен дайте пожалуйста
Ted (15.09.2016 в 09:21):
Спасибо. Для распаковки ASPack v1.08.02 подошёл ASPack unpacker 1.13
speedboy (23.03.2016 в 09:40):
good
ManHunter (19.12.2014 в 09:26):
"Статью не читал, но прокомментирую" (с)
александр (19.12.2014 в 08:53):
а где yoda s , armadillo потерял?
Alex (23.08.2014 в 13:21):
Ребята может кто подскажет как взломать Exe файл защищенный паролем. Купил у одного мудака курс "как набрать вес" а он закрыл сайт поддержки и теперь после переустановки винды не могу активировать этот курс. А автор не отвечает на письма. пробовал всеми програмками выложенными сдесь ничего не получилось. Программа защищена 24 значным паролем. И для ее активации требует перейти по ссылке, ввести на сайте сгенерированый программой ключ, и полученный пароль активации ввести в соответствующем окне. Подскажите кто вкурсе как ломонуть эту защиту
Egorich (27.02.2014 в 13:36):
Стало быть у меня какая-то особенная проблемма
ManHunter (27.02.2014 в 12:10):
Это не так. Все работает прекрасно.
Egorich (27.02.2014 в 12:09):
Quick Unpack в 7-ке на последних стадиях обработки виснет и завершается
Vladimir (06.11.2013 в 03:36):
ArmaGeddon 2.0 - просто волшебный. Без малейших усилий снять Armadillo и получить работающий exe - просто фантастика! Спасибо за шикарную подборку.
Johan pipka (07.03.2013 в 21:47):
goood!!!
миргалим (17.02.2013 в 18:01):
познавательно спасибо
SERGEY (14.02.2012 в 23:28):
Действительно ОГРОМНОЕ СПАСИБо !! долго бился с новым Asprotectom 2.28 кое как дополз до OEP и просто наткнулля на этот сайт СПАСИБО !! за DecomAS
всё получилось не пришлось терять время
очень хорошая и свежая подборка
ManHunter (20.10.2011 в 13:20):
Начни с мозга, дальше видно будет.
ил (20.10.2011 в 13:19):
и чёёёё выбирать
anonymous (08.10.2011 в 03:09):
Спасибо, очень полезная подборка. Про многие не знал.
А есть что-нибудь действенное против Enigma Protector?
Дмитрий (13.07.2011 в 19:37):
Спасибо "RL!dePacker" нашел точку входа и смог распаковать. Когда вручную подставил OEP, то и "Quick Unpack" справился...
Сайт однозначно в мемориз :-)
ManHunter (10.06.2010 в 22:41):
Добавил, спасибо. Как-то я его на кряклабе не заметил.
xXx (10.06.2010 в 22:23):
Unpacker ExeCryptor 2.x.x RC2
http://www.cracklab.ru/f/index...&topic=10070
semiono (10.06.2010 в 20:08):
Неплохо бы по дебагерам теперь пройтись, вернее достаточно OllyDbg,
но хотелось бы статей по MSDN/API/FASM...
По CRACKME статей хватает, однако отлаживание своего кода до меня не доходит, может это только со мной так :)
Про дебагер напишите пожалуйста.
Soso (10.06.2010 в 19:29):
Спасибо ManHunter? за отличные нвости, поучительно !!!
x (09.06.2010 в 21:58):
Спасибо, хорошая информация.
ManHunter (09.06.2010 в 10:36):
Поправил, спасибо. Вредно по ночам статьи писать :)
Rustamer (09.06.2010 в 10:35):
Не знал про File Format Identifier. Думал это какой-нибудь старый сниффер. Почитал и попробовал - однозначно в коллекцию. Спасибо! Кстати еще у унпакера от PE_Kill'а поправь версию - там 1.13. Правда эту версию я в первый раз вижу 0_o.
ManHunter (09.06.2010 в 10:35):
Добавил Unpacker ExeCryptor
ManHunter (09.06.2010 в 10:06):
Китайский VMUnpacker очень удачно трансформировался в утилиту под названием File Format Identifier. Я ее выкладывал раньше, так что дублировать здесь не стал:
http://www.manhunter.ru/underg..._faylov.html
Stripper 1.35 после использования часто валит систему в синий экран, поэтому я его тоже не выкладываю. По функционалу его прекрасно заменяет следующая версия 2.11 rc2. А анпакер для говнокриптора да, действительно забыл. У меня их целая куча всяких разных, вот и пропустил :)
Rustamer (09.06.2010 в 08:33):
Хм, а что tPORt решилась продолжить разработку QU? Да и Archer был в tPORt на тот момент...
По делу, имхо еще стоит добавить неплохой анпакер для execryptor'а от RSI. Ну и из универсалов VMUnpacker от китайцев тоже имхо вполне неплох, хоть и на него многие грешат, но зато делает все на автомате. Есть еще версия StripperXP v.1.35 для аспра. Ну а остальную кучу анпакеров и действительно можно найти в инете.
Спасибо за разные версии некоторых анпакеров - многие в первый раз их вижу.

Добавить комментарий

Заполните форму для добавления комментария
Имя*:
Текст комментария (не более 2000 символов)*:

*Все поля обязательны для заполнения.
Комментарии, содержащие рекламу, ненормативную лексику, оскорбления и т.п., а также флуд и сообщения не по теме, будут удаляться. Нарушителям может быть заблокирован доступ к сайту.
Наверх
Powered by PCL's Speckled Band Engine 0.2 RC3
© ManHunter / PCL, 2008-2017
При использовании материалов ссылка на сайт обязательна
Время генерации: 0.09 сек. / MySQL: 2 (0.0032 сек.) / Память: 4.5 Mb
Наверх