PCL's Plugin Loader 1.1

Утилита PCL's Plugin Loader предназначена для загрузки плагинов от анализаторов исполняемых файлов PEiD, FastScanner и от утилиты PE Tools с целью запуска их как самостоятельных программ. Для этого скопируйте файл plugin_loader.exe в папку с нужным плагином и переменуйте его так, как называется файл плагина. Например, если надо запускать плагин kanal.dll, то загрузчик должен быть переименован в kanal.exe. При запуске загрузчика откроется окно с выбором файла, который будет обрабатываться плагином. Также файл для обработки можно передавать в командной строке.

Читать статью целиком »

PCL's JSiD 2.1 Public Release

PCL's JSiD - программа для определения чем зашифрован или обработан код JavaScript. Поиск выполняется в основном по сигнатурам, а в некоторых случаях эвристически, так что теоретически возможны неточности в идентификации. Скрипты также можно передавать через командную строку и drag'n'drop. Широко распространенных протекторов для JavaScript очень немного, а большинство упаковщиков и обфускаторов однотипные, поэтому PCL's JSiD определяет пока только следующие алгоритмы.

Читать статью целиком »

PCL's PHPiD 2.1 Public Release

PCL's PHPiD - программа для определения чем зашифрован или обработан PHP-скрипт, всего определяет более 80 различных протекторов и обфускаторов. PCL's PHPiD представляет собой один из модулей закрытого проекта Massacre, снабженный графической оболочкой (файл phpid.exe), а также консольный вариант программы (файл phpid_ce.exe). Поиск, в основном, выполняется по сигнатурам, так что теоретически возможны неточности в идентификации, но мне пока такие скрипты не попадались. Также некоторые обфускаторы используют сходные алгоритмы (например, PHP LockIt! и PHP Defender) и на выходе дают практически одинаковый результат. В этом случае точно определить, чем обработан скрипт, не получится, и будет выбран наиболее похожий вариант. Скрипты также можно передавать через командную строку и drag'n'drop.

Читать статью целиком »

Программы для поиска криптоалгоритмов в исполняемых файлах

При анализе различных защит часто приходится определять, какой алгоритм был использован для шифрования данных или преобразований регистрационного имени в правильный серийный номер. Часто авторы не изобретают велосипедов, а используют готовые алгоритмы шифрования или хеширования. Вы должны понимать, что алгоритмы шифрования и алгоритмы хеширования - это разные вещи, но для удобства в статье я буду называть их просто "криптоалгоритмами". Если алгоритмы стандартные, то их можно идентифицировать, например, по характерным константам-полиномам, таблицам преобразований или по последовательности выполняемых операций (хорошие статьи по этой теме на английском можно почитать тут). Для поиска криптоалгоритмов в исполняемых файлах созданы специальные программы, небольшой обзор которых я подготовил в этой статье.

Читать статью целиком »

File Location Calculator 1.4

Программа File Location Calculator предназначена для расчета и конвертирования файлового смещения, Virtual Address (VA) и Relative Virtual Address (RVA) в исполняемых файлах формата x86. В отличие от имеющихся аналогов, калькулятор корректно работает даже с поврежденными или хитро упакованными файлами. File Location Calculator не использует стандартные функции API типа ImageRvaToVa, самостоятельно разбирая структуру файла. Для VA можно сразу же поискать перекрестные ссылки, то есть адреса, которые ссылаются на этот участок памяти. Также в комплекте есть плагин flc.dll для анализаторов исполняемых файлов PEiD, Bit Detector, DiE, SCANiT, ExeScan, FastScanner, PE Tools и других утилит, поддерживающих этот формат плагинов. Калькулятор был написан, когда я столкнулся с печальным фактом, что ВСЕ существующие инструменты выполняют расчеты с ошибками. Даже такие именитые, как HIEW, CFF Explorer, PETools, для всех них я нашел абсолютно корректные PE-файлы и значения, на которых они обламываются. Мой File Location Calculator все считает правильно.

Читать статью целиком »