|
|
| Date :......................................... 23
juin 1990 Programme :..................... 35MM EXPRESS Protection : ........Message d'entré à supprimer. Outils : ..................PERISCOPE + SWITCH Temps passé : ..................................4 heures. Fichier : ......................................35CEF.SYS Société :......................................................... Divers :.......................................................... Origine : ..................................................L.F. Numéro : .................................................027 |
Dans ce type de protection on passe 90% du temps à chercher l'endroit ou le soft sort et recode les caractères. Le CALL [2C3F] affiche tout ce qui est texte dans le driver de sortie OUT.DEV ( Driver EGA ) A ce niveau on remarque que la chaine pointée prête à être sortie est déjà en clair; DS:SI AX=FF45 BX=0003 CX=0000 DX=0E02 SP=019B BP=0235 SI=77FF DI=06B6 DS=3732 ES=A000 SS=3732 CS=3732 IP=2D5E NV UP EI PL NZ NA PO NC RD DS:2C3F = 3FB6 WR SS:0199 = 1511 3732:2D5E FF163F2C CALL [2C3F] 3732:77FF RSION NUMERO - :J 3732:783F Voici la routine de décodage d'AUTOMOBILES PEUGEOT REPéter tant que CX # Zéro. ( REPZ ) AX=06D3 BX=81BE CX=0015 DX=82E2 SP=01A1 BP=0237 SI=FD2B DI=82E3 DS=3732 ES=3732 SS=3732 CS=3732 IP=06DF NV UP EI PL NZ AC PO CY RD DS:FD2B = 7F6B WR ES:82E3 = 5C3A 3732:06DF F3 REPZ 3732:06E0 A5 MOVSW Voici le DUMP de la zone pointée par DS:SI Cette chaine se trouve dans le fichier 35CEF.SYS 3732:FD2B k&127;~egehcfoy. 3732:FD37 zo&127;moe~. 3732:FD3F . 3732:FD41 femcicof. 3732:FD4A yoxco. On reconnait bien les correspondances de lettres AUTOMOBILES PEUGEOT en scrutant les occurences des lettres e et o. Le codage est effectué de 2 manières differentes; la première ligne est codée aevc un XOR 2A et la seconde par un XOR 29. Avec le soft perso HEXUTIL.EXE réalisé peu de temps après on arrive immédiatement à trouver cette chaine codée dans le fichier OUT.DEV Freddy.
