Вопрос Один вопрос.

Не могу посмотреть момент,где изменяется eax. Думаю,что я просто не разобрался с ret far(а может и нет).

Тут,когда я нахожусь на ret far меня должно направить на 001916B9 48 dec eax. То есть
Отсюда

Сюда

Но оно перекидывает меня сюда и далее никаких операций с eax,а просто проверка:

 

Как ты это определил и что мне с этим делать. Ответь пожалуйста. Буду очень рад

По опыту вижу. Открывай x64 отладчик, копируй байты кода crackme.$5018 (который передаётся в VirtualProtect) и копай.

 

Как ты это определил и что мне с этим делать. Ответь пожалуйста. Буду очень рад

Ставь RIP на начало функции, в RAX пихай выделенную память со строкой введённого ключа. К примеру тут мы видим что длинна ключа должна быть равна 0x10 (16 символов).

 

Посмотреть вложение 7304
Ставь RIP на начало функции, в RAX пихай выделенную память со строкой введённого ключа. К примеру тут мы видим что длинна ключа должна быть равна 0x10 (16 символов).

Спасибо огромное за помощь. Осталось теперь только подобрать значение. Кстати, я когда думал куда мне вставить этот код, я сначала создал длл пустую и туда просто через hedx editor вставил этот код, но отладчик не смог распознать pe file.Пришлось уродовать приложение.
Как можно сделать было лучше?

 

Спасибо огромное за помощь. Осталось теперь только подобрать значение. Кстати, я когда думал куда мне вставить этот код, я сначала создал длл пустую и туда просто через hedx editor вставил этот код, но отладчик не смог распознать pe file.Пришлось уродовать приложение.
Как можно сделать было лучше?
Посмотреть вложение 7312

Ну создаёшь консольный проект x64 в визуалке, байты кода копируешь в массив unsigned char, выделаешь память с правами PAGE_EXECUTE_READWRITE и туда копируешь массив. Адресу выделенной памяти присваиваешь тип функции и вызывай.

 

Спасибо огромное за помощь. Осталось теперь только подобрать значение. Кстати, я когда думал куда мне вставить этот код, я сначала создал длл пустую и туда просто через hedx editor вставил этот код, но отладчик не смог распознать pe file.Пришлось уродовать приложение.
Как можно сделать было лучше?
Посмотреть вложение 7312

Брутфорсить 16 символов слишком долго, в строке буквы с символами могут быть, надо изучать алгоритм шифрования.

 

Разбор CrackMe - Туториал - Расшифровываем пароль в CrackMe (x86) с x64 кодом