[Frage] Packet logger - login

TheCherry · 04/25/2012, 23:28

habs nun mit

Code:

const char* AccName

versucht aber dann schmiet Nostale einfach nur ab, mehr nicht.

~~Elektrochemie~~ · 04/25/2012, 23:32

POP ECX entfernen.
Ohne Stack definiert kannst auch nichts poppen ;o

Vermut ich.

PainToTheWorld · 04/25/2012, 23:41

ich kanns im mom nicht testen aber daran liegts nicht

~~Elektrochemie~~ · 04/25/2012, 23:43

Naja da steht zumindest dass was mitm ESP nicht stimmt. ESP => Stack Pointer.

TheCherry · 04/26/2012, 01:32

Quote:

Originally Posted by Elektrochemie

POP ECX entfernen.
Ohne Stack definiert kannst auch nichts poppen ;o

Vermut ich.

Selber Fehler, ich weiß nicht mal was "poppen" (... haha

) ist xD
Gleich mal googeln

Mensch heut lerne ich mal wieder viel hehe

Quote:

Originally Posted by PainToTheWorld

versuch mal 00631E88 zu callen wenn es mit leeren feldern geht

Der Schreibt den String beim eintippen etwas anders in den Speicher scheinbar, die Funktion über der E88 ist dafür verantwortlich, deswegen ist der aufruf wohl da drunter i-wie wichtig, hier wird auch schon die IP in den Speicher gelegt und dann erst der login angesprochen ... i-wie seltsam gemacht

Ich werde mir das morgen mal genauer anschauen, macht aber übertrieben spaß so was zu debuggen hehe

mal entlich etwas was n bissel schwieriger ist

Wollte nun mal selbst die Stelle vom "Ok" button durch das raufgehen von der send methode finden.
Jedoch bleibe ich bei dieser Stelle hier hängen :

Code:

005DC850   C3               RETN
005DC851   8B43 04          MOV EAX,DWORD PTR DS:[EBX+4]
005DC854   E8 FB9DFFFF      CALL nostalex.005D6654

weder bei mov noch beim call, kann ich per strg + r einen call finden ....
mache ich etwas falsch?

Ah ok das muss ich wohl mit Trace machen oder?
Werde mal auf OSH gucken ob ich nen tut dafür finde ...

Leider finde ich nicht brauchbares, kann mir jemand mal einen Crashkurs geben? ^^

TheCherry · 04/26/2012, 16:01

Wen interessiert euer Scheiß?
Macht das per PM oder trefft euch und haut euch die Köpfe ein, ihr benehmt euch beide wie Kinder "er hat angefängen, mimimi" mensch wo sind wa denn hier?
Geht wieder back to Topic, ansonsten klappe. Danke!

TheCherry · 05/01/2012, 07:20

So ich bin schonmal weiter.
Mit Olly + CE kann ich das ganze schonmal simulieren.
Doch bei der Umsetzung habe ich noch ein Problem.

Ich muss in den Register EDX die Adresse zum String rein bekommen, jedoch klappt dies nicht so ganz, hier mein Code:

Code:

	std::string AccName = "test";
	DWORD JMPAdress = 0x00630DAB;
	DWORD UserAdress = 0x06EF5150;
__asm
		{
			MOV esi, AccName			
			MOV EDX, 0x06EF5150
			MOV [EDX], esi
			JMP JMPAdress
		}

In EDX steht die 0x06EF5150 drinne, jedoch ist hinter der Adresse nur eine Zahl und in Textform nur etwas Cryptisches. Was mache ich falsch?

p.S. Habe nun ca. 9 Stunden gebraucht um überhaupt die richtige ASM stelle zu finden und das ganze mit CE zu simulieren ... Mein Kopf raucht ein bisschen

Trollface- · 05/01/2012, 08:27

Quote:
Originally Posted by TheCherry
So ich bin schonmal weiter.
Mit Olly + CE kann ich das ganze schonmal simulieren.
Doch bei der Umsetzung habe ich noch ein Problem.

Ich muss in den Register EDX die Adresse zum String rein bekommen, jedoch klappt dies nicht so ganz, hier mein Code:
Code:
	std::string AccName = "test";
	DWORD JMPAdress = 0x00630DAB;
	DWORD UserAdress = 0x06EF5150;
__asm
		{
			MOV esi, AccName			
			MOV EDX, 0x06EF5150
			MOV [EDX], esi
			JMP JMPAdress
		}
In EDX steht die 0x06EF5150 drinne, jedoch ist hinter der Adresse nur eine Zahl und in Textform nur etwas Cryptisches. Was mache ich falsch?

p.S. Habe nun ca. 9 Stunden gebraucht um überhaupt die richtige ASM stelle zu finden und das ganze mit CE zu simulieren ... Mein Kopf raucht ein bisschen

String in einen Char Array kopieren (strcpy, besser strncpy) und den Char Array übergeben ;o

TheCherry · 05/01/2012, 08:46

Quote:

Originally Posted by Trollface-

String in einen Char Array kopieren (strcpy, besser strncpy) und den Char Array übergeben ;o

Kannst du mir mal n Bsp. code geben? ^^
Und noch eine kleine frage, kann ich auch nen Dynamischen Pointer machen? Oder muss ich eine Native speicher stelle nehmen, weiß ja nicht mal ob die frei wäre dann etc ...

TheCherry · 05/03/2012, 17:06

Ich komme i-wie nicht ganz weiter, den String habe ich nun im Speicherdrinne, doch die Funktion schmiert mittendrinnen ab. Ich hoffe mit den Daten die ich nun hier poste, könnt ihr was anfangen und mir helfen.
Ist nur n bissel viel ... Hilfe wäre echt super

Also ... Ich habe mal ein paar test Logins gemacht, die register kopiert und mir zu jeder Speicheradresse die Values rausgesucht:

Code:

EAX 0714EEB0 - 005DA790
ECX 06CC5228 ASCII "asd2"
EDX 06CC5240 ASCII "asd1"
EBX 06AA13D0 - 0063038C
ESP 0012FC88 - 00630DB0
EBP 0012FCB0 - 0012FCC0
ESI 0196001E - ?
EDI 00090009 - ?
EIP 005DB3AC Nostale_.005DB3AC
C 0  ES 0023 32bit 0(FFFFFFFF)
P 1  CS 001B 32bit 0(FFFFFFFF)
A 0  SS 0023 32bit 0(FFFFFFFF)
Z 0  DS 0023 32bit 0(FFFFFFFF)
S 0  FS 003B 32bit 7FFDF000(C000)
T 0  GS 0000 NULL
D 0
O 0  LastErr ERROR_SUCCESS (00000000)
EFL 00000206 (NO,NB,NE,A,NS,PE,GE,G)
ST0 empty -??? FFFF 000001B2 C2D1FF80
ST1 empty 0.0
ST2 empty -0.0
ST3 empty 223.42401123046875000
ST4 empty 1.0000000000000000000
ST5 empty 60000000.000000000000
ST6 empty 1.9867671728134155270
ST7 empty 2.2000000476837158200
               3 2 1 0      E S P U O Z D I
FST 0020  Cond 0 0 0 0  Err 0 0 1 0 0 0 0 0  (GT)
FCW 107F  Prec NEAR,24  Mask    1 1 1 1 1 1

Code:

EAX 0719EEB0 - 005DA790
ECX 06D15150 ASCII "asd2"
EDX 06D15168 ASCII "asd1"
EBX 06AF13D0 - 0063038C
ESP 0012FC88 - 00630DB0
EBP 0012FCB0 - 0012FCC0
ESI 019C001B - ?? 
EDI 000F000F - 01000100
EIP 005DB3AC Nostale_.005DB3AC
C 0  ES 0023 32bit 0(FFFFFFFF)
P 1  CS 001B 32bit 0(FFFFFFFF)
A 0  SS 0023 32bit 0(FFFFFFFF)
Z 0  DS 0023 32bit 0(FFFFFFFF)
S 0  FS 003B 32bit 7FFDF000(C000)
T 0  GS 0000 NULL
D 0
O 0  LastErr ERROR_SUCCESS (00000000)
EFL 00000206 (NO,NB,NE,A,NS,PE,GE,G)
ST0 empty -??? FFFF 000001B2 C2D1FF80
ST1 empty 0.0
ST2 empty -0.0
ST3 empty 222.52801513671875000
ST4 empty 1.0000000000000000000
ST5 empty 60000000.000000000000
ST6 empty 1.9856978654861450200
ST7 empty 2.2000000476837158200
               3 2 1 0      E S P U O Z D I
FST 0020  Cond 0 0 0 0  Err 0 0 1 0 0 0 0 0  (GT)
FCW 107F  Prec NEAR,24  Mask    1 1 1 1 1 1

Code:

EAX 0727EEB0 - 005DA790
ECX 06DF5138 ASCII "XXXXXXXXXXX" <- verändert, ist mein richtiges passwort eig. drinne
EDX 06DF5150 ASCII "einaccount1"
EBX 06BD13D0 - 0063038C
ESP 0012FC90 - 00630DB0
EBP 0012FCB8 - 0012FCC0
ESI 066C0DF0 - 0049D2F4
EDI 0049D2F4 Nostale_.0049D2F4
EIP 005DB3AC Nostale_.005DB3AC
C 0  ES 0023 32bit 0(FFFFFFFF)
P 0  CS 001B 32bit 0(FFFFFFFF)
A 0  SS 0023 32bit 0(FFFFFFFF)
Z 0  DS 0023 32bit 0(FFFFFFFF)
S 0  FS 003B 32bit 7FFDE000(FFF)
T 0  GS 0000 NULL
D 0
O 0  LastErr ERROR_SUCCESS (00000000)
EFL 00000202 (NO,NB,NE,A,NS,PO,GE,G)
ST0 empty -??? FFFF 000001B2 C2D1FF80
ST1 empty 0.0
ST2 empty -0.0
ST3 empty 227.74400329589843750
ST4 empty 1.0000000000000000000
ST5 empty 60000000.000000000000
ST6 empty 0.9866463541984558105
ST7 empty 2.2000000476837158200
               3 2 1 0      E S P U O Z D I
FST 0020  Cond 0 0 0 0  Err 0 0 1 0 0 0 0 0  (GT)
FCW 107F  Prec NEAR,24  Mask    1 1 1 1 1 1

Dies ist nun der Login, wenn man aus der Characterwahl auf den login Server zurück switcht:

Code:

EAX 0737EEB0 - 005DA790
ECX 06EF5150 ASCII "XXXXXXXXXXX" <- verändert, ist mein richtiges passwort eig. drinne
EDX 06EF5168 ASCII "einaccount1"
EBX 06C6CF30 - 00630570
ESP 0012FDB8 - 0063134C
EBP 0012FDE0 - 0012FE1C
ESI 043FB660 - 43800000
EDI 0064D064 Nostale_.0064D064
EIP 005DB3AC Nostale_.005DB3AC
C 0  ES 0023 32bit 0(FFFFFFFF)
P 1  CS 001B 32bit 0(FFFFFFFF)
A 0  SS 0023 32bit 0(FFFFFFFF)
Z 1  DS 0023 32bit 0(FFFFFFFF)
S 0  FS 003B 32bit 7FFDF000(C000)
T 0  GS 0000 NULL
D 0
O 0  LastErr ERROR_SUCCESS (00000000)
EFL 00000246 (NO,NB,E,BE,NS,PE,GE,LE)
ST0 empty 285713.28125000000000
ST1 empty 285712.28125000000000
ST2 empty 1.0000000000000000000
ST3 empty -97656.250000000000000
ST4 empty 1.0000000000000000000
ST5 empty -142856.14062500000000
ST6 empty 1.0000000000000000000
ST7 empty 1.0000000000000000000
               3 2 1 0      E S P U O Z D I
FST 0020  Cond 0 0 0 0  Err 0 0 1 0 0 0 0 0  (GT)
FCW 107F  Prec NEAR,24  Mask    1 1 1 1 1 1

Wie man sieht sind die Values immer die gleichen, also habe ich mir gedacht, schreibe ich sie einfach so in die Register, jedoch schmiert auch dann das Programm an der Selben stelle ab.

Hier mein Code:

Code:

	std::string AccName = "test1";
	auto AccNameAddr = &AccName[0];
	std::string AccPW = "test2";
	auto AccPWAddr = &AccPW[0];

    int t1 = 0x005DA790;
	int t2 = 0x0063038C;
	int t3 = 0x00630DB0;
	int t4 = 0x0012FCC0;
	int t5 = 0x0049D2F4;
	auto t1p = &t1;
	auto t2p = &t2;
	auto t3p = &t3;
	auto t4p = &t4;
	auto t5p = &t5;



//	DWORD CallAdd = 0x00630DAB;
//	DWORD UserAdress = 0x072AEEB0;
//	DWORD PasswordAdress = 0x06EF5150;
//__asm
//		{
//			MOV EAX, UserAdress
//		    MOV EDX, AccNameAddr
//			MOV ECX, AccPWAddr
//			CALL UserAdress
//		}


	DWORD CallAdd = 0x005DB3AC;
	DWORD StackAdd = 0x0012FCB0;
	DWORD UserAdress = 0x072AEEB0;
		__asm
		{
			MOV EAX, UserAdress

			mov edx, [AccNameAddr]
			mov [StackAdd-0x4], edx

			mov edx, [AccPWAddr]
			mov [StackAdd-0x8], edx

			mov edx, [AccNameAddr]
			mov [StackAdd-0x10], edx

			mov edx, [AccPWAddr]
			mov [StackAdd-0xC], edx

			mov ecx, AccPWAddr
			mov edx, AccNameAddr

			mov eax, t1p
			mov ebx, t2p
			mov esp, t3p
			//mov ebp, t4p
			mov esi, t5p

			CALL CallAdd
		}

Dann noch ein Paar Olly ausschnitte:

Das Buttonevent:

Code:

00630D2C  /$ 55             PUSH EBP
00630D2D  |. 8BEC           MOV EBP,ESP
00630D2F  |. 33C9           XOR ECX,ECX
00630D31  |. 51             PUSH ECX
00630D32  |. 51             PUSH ECX
00630D33  |. 51             PUSH ECX
00630D34  |. 51             PUSH ECX
00630D35  |. 53             PUSH EBX
00630D36  |. 8BD8           MOV EBX,EAX
00630D38  |. 33C0           XOR EAX,EAX
00630D3A  |. 55             PUSH EBP
00630D3B  |. 68 060E6300    PUSH Nostale_.00630E06
00630D40  |. 64:FF30        PUSH DWORD PTR FS:[EAX]
00630D43  |. 64:8920        MOV DWORD PTR FS:[EAX],ESP
00630D46  |. 8B42 60        MOV EAX,DWORD PTR DS:[EDX+60]
00630D49  |. 8943 60        MOV DWORD PTR DS:[EBX+60],EAX
00630D4C  |. 83E8 01        SUB EAX,1                                                  ;  Switch (cases 0..1)
00630D4F  |. 72 07          JB SHORT Nostale_.00630D58
00630D51  |. 74 7C          JE SHORT Nostale_.00630DCF
00630D53  |. E9 80000000    JMP Nostale_.00630DD8
00630D58  |> A1 508A6400    MOV EAX,DWORD PTR DS:[648A50]                              ;  Case 0 of switch 00630D4C
00630D5D  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
00630D5F  |. E8 B09CFAFF    CALL Nostale_.005DAA14
00630D64  |. 84C0           TEST AL,AL
00630D66  |. 74 70          JE SHORT Nostale_.00630DD8
00630D68  |. 6A 00          PUSH 0
00630D6A  |. 8D55 F8        LEA EDX,DWORD PTR SS:[EBP-8]
00630D6D  |. 8B83 FC000000  MOV EAX,DWORD PTR DS:[EBX+FC]
00630D73  |. E8 9C41E7FF    CALL Nostale_.004A4F14
00630D78  |. 8B55 F8        MOV EDX,DWORD PTR SS:[EBP-8]
00630D7B  |. 8D45 FC        LEA EAX,DWORD PTR SS:[EBP-4]
00630D7E  |. E8 9541DDFF    CALL Nostale_.00404F18
00630D83  |. 8B45 FC        MOV EAX,DWORD PTR SS:[EBP-4]
00630D86  |. 50             PUSH EAX
00630D87  |. 8D55 F0        LEA EDX,DWORD PTR SS:[EBP-10]
00630D8A  |. 8B83 F8000000  MOV EAX,DWORD PTR DS:[EBX+F8]
00630D90  |. E8 7F41E7FF    CALL Nostale_.004A4F14
00630D95  |. 8B55 F0        MOV EDX,DWORD PTR SS:[EBP-10]
00630D98  |. 8D45 F4        LEA EAX,DWORD PTR SS:[EBP-C]
00630D9B  |. E8 7841DDFF    CALL Nostale_.00404F18
00630DA0  |. 8B55 F4        MOV EDX,DWORD PTR SS:[EBP-C]
00630DA3  |. A1 508A6400    MOV EAX,DWORD PTR DS:[648A50]
00630DA8  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
00630DAA  |. 59             POP ECX
00630DAB  |. E8 FCA5FAFF    CALL Nostale_.005DB3AC   <<--- Call der Funktion.
00630DB0  |. 84C0           TEST AL,AL
00630DB2  |. 74 24          JE SHORT Nostale_.00630DD8
00630DB4  |. C683 00010000 >MOV BYTE PTR DS:[EBX+100],1
00630DBB  |. 33D2           XOR EDX,EDX
00630DBD  |. 8BC3           MOV EAX,EBX
00630DBF  |. E8 D0A6E4FF    CALL Nostale_.0047B494
00630DC4  |. 33D2           XOR EDX,EDX
00630DC6  |. 8BC3           MOV EAX,EBX
00630DC8  |. E8 B339E7FF    CALL Nostale_.004A4780
00630DCD  |. EB 09          JMP SHORT Nostale_.00630DD8
00630DCF  |> 33D2           XOR EDX,EDX                                                ;  Case 1 of switch 00630D4C
00630DD1  |. 8BC3           MOV EAX,EBX
00630DD3  |. 8B08           MOV ECX,DWORD PTR DS:[EAX]
00630DD5  |. FF51 44        CALL DWORD PTR DS:[ECX+44]
00630DD8  |> 33C0           XOR EAX,EAX                                                ;  Default case of switch 00630D4C
00630DDA  |. 5A             POP EDX
00630DDB  |. 59             POP ECX
00630DDC  |. 59             POP ECX
00630DDD  |. 64:8910        MOV DWORD PTR FS:[EAX],EDX
00630DE0  |. 68 0D0E6300    PUSH Nostale_.00630E0D
00630DE5  |> 8D45 F0        LEA EAX,DWORD PTR SS:[EBP-10]
00630DE8  |. E8 8345DDFF    CALL Nostale_.00405370
00630DED  |. 8D45 F4        LEA EAX,DWORD PTR SS:[EBP-C]
00630DF0  |. E8 8B3EDDFF    CALL Nostale_.00404C80
00630DF5  |. 8D45 F8        LEA EAX,DWORD PTR SS:[EBP-8]
00630DF8  |. E8 7345DDFF    CALL Nostale_.00405370
00630DFD  |. 8D45 FC        LEA EAX,DWORD PTR SS:[EBP-4]
00630E00  |. E8 7B3EDDFF    CALL Nostale_.00404C80
00630E05  \. C3             RETN

Die Funktion, die ich per Call aufrufe:

Code:

005DB3AC  /$ 55             PUSH EBP
005DB3AD  |. 8BEC           MOV EBP,ESP
005DB3AF  |. 51             PUSH ECX
005DB3B0  |. B9 0D000000    MOV ECX,0D
005DB3B5  |> 6A 00          /PUSH 0
005DB3B7  |. 6A 00          |PUSH 0
005DB3B9  |. 49             |DEC ECX
005DB3BA  |.^75 F9          \JNZ SHORT Nostale_.005DB3B5
005DB3BC  |. 51             PUSH ECX
005DB3BD  |. 874D FC        XCHG DWORD PTR SS:[EBP-4],ECX
005DB3C0  |. 53             PUSH EBX
005DB3C1  |. 56             PUSH ESI
005DB3C2  |. 57             PUSH EDI
005DB3C3  |. 894D F8        MOV DWORD PTR SS:[EBP-8],ECX
005DB3C6  |. 8955 FC        MOV DWORD PTR SS:[EBP-4],EDX
005DB3C9  |. 8BF8           MOV EDI,EAX
005DB3CB  |. 33C0           XOR EAX,EAX
005DB3CD  |. 55             PUSH EBP
005DB3CE  |. 68 D8B75D00    PUSH Nostale_.005DB7D8
005DB3D3  |. 64:FF30        PUSH DWORD PTR FS:[EAX]
005DB3D6  |. 64:8920        MOV DWORD PTR FS:[EAX],ESP
005DB3D9  |. 8A47 31        MOV AL,BYTE PTR DS:[EDI+31]
005DB3DC  |. 2245 08        AND AL,BYTE PTR SS:[EBP+8]
005DB3DF  |. 75 1C          JNZ SHORT Nostale_.005DB3FD
005DB3E1  |. 8B45 FC        MOV EAX,DWORD PTR SS:[EBP-4]
005DB3E4  |. E8 679BE2FF    CALL Nostale_.00404F50
005DB3E9  |. 85C0           TEST EAX,EAX
005DB3EB  |. 7E 0C          JLE SHORT Nostale_.005DB3F9
005DB3ED  |. 8B45 F8        MOV EAX,DWORD PTR SS:[EBP-8]
005DB3F0  |. E8 5B9BE2FF    CALL Nostale_.00404F50
005DB3F5  |. 85C0           TEST EAX,EAX
005DB3F7  |. 7F 04          JG SHORT Nostale_.005DB3FD
005DB3F9  |> 33C0           XOR EAX,EAX
005DB3FB  |. EB 02          JMP SHORT Nostale_.005DB3FF
005DB3FD  |> B0 01          MOV AL,1
005DB3FF  |> 8845 F7        MOV BYTE PTR SS:[EBP-9],AL
005DB402  |. 807D F7 00     CMP BYTE PTR SS:[EBP-9],0
005DB406  |. 0F84 9C030000  JE Nostale_.005DB7A8
005DB40C  |. 8D55 C4        LEA EDX,DWORD PTR SS:[EBP-3C]
005DB40F  |. A1 DC886400    MOV EAX,DWORD PTR DS:[6488DC]
005DB414  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
005DB416  |. E8 91DBE7FF    CALL Nostale_.00458FAC
005DB41B  |. 8B45 C4        MOV EAX,DWORD PTR SS:[EBP-3C]
005DB41E  |. 8D55 C8        LEA EDX,DWORD PTR SS:[EBP-38]
005DB421  |. E8 F210E3FF    CALL Nostale_.0040C518
005DB426  |. 8D45 C8        LEA EAX,DWORD PTR SS:[EBP-38]
005DB429  |. 8B15 E8606400  MOV EDX,DWORD PTR DS:[6460E8]                              ;  Nostale_.005DA7D4
005DB42F  |. E8 249BE2FF    CALL Nostale_.00404F58
005DB434  |. 8B45 C8        MOV EAX,DWORD PTR SS:[EBP-38]
005DB437  |. 8D55 CC        LEA EDX,DWORD PTR SS:[EBP-34]
005DB43A  |. E8 71F1FFFF    CALL Nostale_.005DA5B0
005DB43F  |. BB 10000000    MOV EBX,10
005DB444  |. 8D75 CC        LEA ESI,DWORD PTR SS:[EBP-34]
005DB447  |> 8D4D C0        /LEA ECX,DWORD PTR SS:[EBP-40]
005DB44A  |. 33C0           |XOR EAX,EAX
005DB44C  |. 8A06           |MOV AL,BYTE PTR DS:[ESI]
005DB44E  |. BA 02000000    |MOV EDX,2
005DB453  |. E8 480AE3FF    |CALL Nostale_.0040BEA0
005DB458  |. 8B55 C0        |MOV EDX,DWORD PTR SS:[EBP-40]
005DB45B  |. 8D45 E0        |LEA EAX,DWORD PTR SS:[EBP-20]
005DB45E  |. E8 F59AE2FF    |CALL Nostale_.00404F58
005DB463  |. 46             |INC ESI
005DB464  |. 4B             |DEC EBX
005DB465  |.^75 E0          \JNZ SHORT Nostale_.005DB447
005DB467  |. 8D55 B8        LEA EDX,DWORD PTR SS:[EBP-48]
005DB46A  |. A1 DC886400    MOV EAX,DWORD PTR DS:[6488DC]
005DB46F  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
005DB471  |. E8 36DBE7FF    CALL Nostale_.00458FAC
005DB476  |. 8B45 B8        MOV EAX,DWORD PTR SS:[EBP-48]
005DB479  |. 8D55 BC        LEA EDX,DWORD PTR SS:[EBP-44]
005DB47C  |. E8 9710E3FF    CALL Nostale_.0040C518
005DB481  |. 8D45 BC        LEA EAX,DWORD PTR SS:[EBP-44]
005DB484  |. 8B15 EC606400  MOV EDX,DWORD PTR DS:[6460EC]                              ;  Nostale_.005DA7EC
005DB48A  |. E8 C99AE2FF    CALL Nostale_.00404F58
005DB48F  |. 8B45 BC        MOV EAX,DWORD PTR SS:[EBP-44]
005DB492  |. 8D55 CC        LEA EDX,DWORD PTR SS:[EBP-34]
005DB495  |. E8 16F1FFFF    CALL Nostale_.005DA5B0
005DB49A  |. BB 10000000    MOV EBX,10
005DB49F  |. 8D75 CC        LEA ESI,DWORD PTR SS:[EBP-34]
005DB4A2  |> 8D4D B4        /LEA ECX,DWORD PTR SS:[EBP-4C]
005DB4A5  |. 33C0           |XOR EAX,EAX
005DB4A7  |. 8A06           |MOV AL,BYTE PTR DS:[ESI]
005DB4A9  |. BA 02000000    |MOV EDX,2
005DB4AE  |. E8 ED09E3FF    |CALL Nostale_.0040BEA0
005DB4B3  |. 8B55 B4        |MOV EDX,DWORD PTR SS:[EBP-4C]
005DB4B6  |. 8D45 E0        |LEA EAX,DWORD PTR SS:[EBP-20]
005DB4B9  |. E8 9A9AE2FF    |CALL Nostale_.00404F58
005DB4BE  |. 46             |INC ESI
005DB4BF  |. 4B             |DEC EBX
005DB4C0  |.^75 E0          \JNZ SHORT Nostale_.005DB4A2
005DB4C2  |. 8D45 E0        LEA EAX,DWORD PTR SS:[EBP-20]
005DB4C5  |. 8B55 FC        MOV EDX,DWORD PTR SS:[EBP-4]
005DB4C8  |. E8 8B9AE2FF    CALL Nostale_.00404F58
005DB4CD  |. 8D55 CC        LEA EDX,DWORD PTR SS:[EBP-34]
005DB4D0  |. 8B45 E0        MOV EAX,DWORD PTR SS:[EBP-20]
005DB4D3  |. E8 64F0FFFF    CALL Nostale_.005DA53C
005DB4D8  |. 8D45 E0        LEA EAX,DWORD PTR SS:[EBP-20]
005DB4DB  |. E8 A097E2FF    CALL Nostale_.00404C80
005DB4E0  |. BB 10000000    MOV EBX,10
005DB4E5  |. 8D75 CC        LEA ESI,DWORD PTR SS:[EBP-34]
005DB4E8  |> 8D4D B0        /LEA ECX,DWORD PTR SS:[EBP-50]
005DB4EB  |. 33C0           |XOR EAX,EAX
005DB4ED  |. 8A06           |MOV AL,BYTE PTR DS:[ESI]
005DB4EF  |. BA 02000000    |MOV EDX,2
005DB4F4  |. E8 A709E3FF    |CALL Nostale_.0040BEA0
005DB4F9  |. 8B55 B0        |MOV EDX,DWORD PTR SS:[EBP-50]
005DB4FC  |. 8D45 E0        |LEA EAX,DWORD PTR SS:[EBP-20]
005DB4FF  |. E8 549AE2FF    |CALL Nostale_.00404F58
005DB504  |. 46             |INC ESI
005DB505  |. 4B             |DEC EBX
005DB506  |.^75 E0          \JNZ SHORT Nostale_.005DB4E8
005DB508  |. 807F 31 00     CMP BYTE PTR DS:[EDI+31],0
005DB50C  |. 74 58          JE SHORT Nostale_.005DB566
005DB50E  |. 8B47 40        MOV EAX,DWORD PTR DS:[EDI+40]
005DB511  |. 8B40 10        MOV EAX,DWORD PTR DS:[EAX+10]
005DB514  |. C1E8 06        SHR EAX,6
005DB517  |. 25 FF000000    AND EAX,0FF
005DB51C  |. 25 03000080    AND EAX,80000003
005DB521  |. 79 05          JNS SHORT Nostale_.005DB528
005DB523  |. 48             DEC EAX
005DB524  |. 83C8 FC        OR EAX,FFFFFFFC
005DB527  |. 40             INC EAX
005DB528  |> 8947 44        MOV DWORD PTR DS:[EDI+44],EAX
005DB52B  |. 8B47 40        MOV EAX,DWORD PTR DS:[EDI+40]
005DB52E  |. 8B40 10        MOV EAX,DWORD PTR DS:[EAX+10]
005DB531  |. 25 FF000000    AND EAX,0FF
005DB536  |. 8947 48        MOV DWORD PTR DS:[EDI+48],EAX
005DB539  |. 68 BC020000    PUSH 2BC                                                   ; /Timeout = 700. ms
005DB53E  |. E8 FD5DE3FF    CALL <JMP.&kernel32.Sleep>                                 ; \Sleep
005DB543  |. 807D 08 00     CMP BYTE PTR SS:[EBP+8],0
005DB547  |. 75 14          JNZ SHORT Nostale_.005DB55D
005DB549  |. 8B55 FC        MOV EDX,DWORD PTR SS:[EBP-4]
005DB54C  |. 8BC7           MOV EAX,EDI
005DB54E  |. E8 31F7FFFF    CALL Nostale_.005DAC84
005DB553  |. 8B55 F8        MOV EDX,DWORD PTR SS:[EBP-8]
005DB556  |. 8BC7           MOV EAX,EDI
005DB558  |. E8 27F7FFFF    CALL Nostale_.005DAC84
005DB55D  |> C647 30 01     MOV BYTE PTR DS:[EDI+30],1
005DB561  |. E9 42020000    JMP Nostale_.005DB7A8
005DB566  |> B8 FFFF0000    MOV EAX,0FFFF
005DB56B  |. E8 F081E2FF    CALL Nostale_.00403760
005DB570  |. 66:8947 6C     MOV WORD PTR DS:[EDI+6C],AX
005DB574  |. 807F 60 00     CMP BYTE PTR DS:[EDI+60],0
005DB578  |. 0F84 84000000  JE Nostale_.005DB602
005DB57E  |. 8B47 68        MOV EAX,DWORD PTR DS:[EDI+68]
005DB581  |. E8 CA99E2FF    CALL Nostale_.00404F50
005DB586  |. 85C0           TEST EAX,EAX
005DB588  |. 7E 2C          JLE SHORT Nostale_.005DB5B6
005DB58A  |. FF77 64        PUSH DWORD PTR DS:[EDI+64]
005DB58D  |. 68 F4B75D00    PUSH Nostale_.005DB7F4
005DB592  |. FF77 68        PUSH DWORD PTR DS:[EDI+68]
005DB595  |. 68 00B85D00    PUSH Nostale_.005DB800                                     ;  ASCII " 0 "
005DB59A  |. FF75 E0        PUSH DWORD PTR SS:[EBP-20]
005DB59D  |. 8D45 AC        LEA EAX,DWORD PTR SS:[EBP-54]
005DB5A0  |. BA 05000000    MOV EDX,5
005DB5A5  |. E8 669AE2FF    CALL Nostale_.00405010
005DB5AA  |. 8B55 AC        MOV EDX,DWORD PTR SS:[EBP-54]
005DB5AD  |. 8BC7           MOV EAX,EDI
005DB5AF  |. E8 D0F6FFFF    CALL Nostale_.005DAC84
005DB5B4  |. EB 0A          JMP SHORT Nostale_.005DB5C0
005DB5B6  |> 8B57 64        MOV EDX,DWORD PTR DS:[EDI+64]
005DB5B9  |. 8BC7           MOV EAX,EDI
005DB5BB  |. E8 C4F6FFFF    CALL Nostale_.005DAC84
005DB5C0  |> 8D47 4C        LEA EAX,DWORD PTR DS:[EDI+4C]
005DB5C3  |. BA 0CB85D00    MOV EDX,Nostale_.005DB80C
005DB5C8  |. E8 0797E2FF    CALL Nostale_.00404CD4
005DB5CD  |. 8D47 50        LEA EAX,DWORD PTR DS:[EDI+50]
005DB5D0  |. E8 AB96E2FF    CALL Nostale_.00404C80
005DB5D5  |. BB 0A000000    MOV EBX,0A
005DB5DA  |> B8 FE000000    /MOV EAX,0FE
005DB5DF  |. E8 7C81E2FF    |CALL Nostale_.00403760
005DB5E4  |. 8BD0           |MOV EDX,EAX
005DB5E6  |. 42             |INC EDX
005DB5E7  |. 8D45 A8        |LEA EAX,DWORD PTR SS:[EBP-58]
005DB5EA  |. E8 7998E2FF    |CALL Nostale_.00404E68
005DB5EF  |. 8B55 A8        |MOV EDX,DWORD PTR SS:[EBP-58]
005DB5F2  |. 8D47 50        |LEA EAX,DWORD PTR DS:[EDI+50]
005DB5F5  |. E8 5E99E2FF    |CALL Nostale_.00404F58
005DB5FA  |. 4B             |DEC EBX
005DB5FB  |.^75 DD          \JNZ SHORT Nostale_.005DB5DA
005DB5FD  |. E9 A6010000    JMP Nostale_.005DB7A8
005DB602  |> B8 17000000    MOV EAX,17
005DB607  |. E8 5481E2FF    CALL Nostale_.00403760
005DB60C  |. 8BF0           MOV ESI,EAX
005DB60E  |. 8D45 F0        LEA EAX,DWORD PTR SS:[EBP-10]
005DB611  |. E8 6A96E2FF    CALL Nostale_.00404C80
005DB616  |. 8B45 F8        MOV EAX,DWORD PTR SS:[EBP-8]
005DB619  |. E8 3299E2FF    CALL Nostale_.00404F50
005DB61E  |. 85C0           TEST EAX,EAX
005DB620  |. 0F8E 87000000  JLE Nostale_.005DB6AD
005DB626  |. 8945 DC        MOV DWORD PTR SS:[EBP-24],EAX
005DB629  |. BB 01000000    MOV EBX,1
005DB62E  |> 8D4D A4        /LEA ECX,DWORD PTR SS:[EBP-5C]
005DB631  |. 8B45 F8        |MOV EAX,DWORD PTR SS:[EBP-8]
005DB634  |. 0FB64418 FF    |MOVZX EAX,BYTE PTR DS:[EAX+EBX-1]
005DB639  |. BA 02000000    |MOV EDX,2
005DB63E  |. E8 5D08E3FF    |CALL Nostale_.0040BEA0
005DB643  |. 8B45 A4        |MOV EAX,DWORD PTR SS:[EBP-5C]
005DB646  |. 50             |PUSH EAX
005DB647  |. 8D4D A0        |LEA ECX,DWORD PTR SS:[EBP-60]
005DB64A  |. 8B04B5 F060640>|MOV EAX,DWORD PTR DS:[ESI*4+6460F0]
005DB651  |. BA 02000000    |MOV EDX,2
005DB656  |. E8 4508E3FF    |CALL Nostale_.0040BEA0
005DB65B  |. 8B55 A0        |MOV EDX,DWORD PTR SS:[EBP-60]
005DB65E  |. 8D45 EC        |LEA EAX,DWORD PTR SS:[EBP-14]
005DB661  |. 59             |POP ECX
005DB662  |. E8 3599E2FF    |CALL Nostale_.00404F9C
005DB667  |. 8B45 EC        |MOV EAX,DWORD PTR SS:[EBP-14]
005DB66A  |. 8A40 01        |MOV AL,BYTE PTR DS:[EAX+1]
005DB66D  |. 8845 E7        |MOV BYTE PTR SS:[EBP-19],AL
005DB670  |. 8D45 EC        |LEA EAX,DWORD PTR SS:[EBP-14]
005DB673  |. E8 309BE2FF    |CALL Nostale_.004051A8
005DB678  |. 8B55 EC        |MOV EDX,DWORD PTR SS:[EBP-14]
005DB67B  |. 8A52 02        |MOV DL,BYTE PTR DS:[EDX+2]
005DB67E  |. 8850 01        |MOV BYTE PTR DS:[EAX+1],DL
005DB681  |. 8D45 EC        |LEA EAX,DWORD PTR SS:[EBP-14]
005DB684  |. E8 1F9BE2FF    |CALL Nostale_.004051A8
005DB689  |. 8A55 E7        |MOV DL,BYTE PTR SS:[EBP-19]
005DB68C  |. 8850 02        |MOV BYTE PTR DS:[EAX+2],DL
005DB68F  |. 8D45 F0        |LEA EAX,DWORD PTR SS:[EBP-10]
005DB692  |. 8B55 EC        |MOV EDX,DWORD PTR SS:[EBP-14]
005DB695  |. E8 BE98E2FF    |CALL Nostale_.00404F58
005DB69A  |. 8D46 01        |LEA EAX,DWORD PTR DS:[ESI+1]
005DB69D  |. B9 17000000    |MOV ECX,17
005DB6A2  |. 99             |CDQ
005DB6A3  |. F7F9           |IDIV ECX
005DB6A5  |. 8BF2           |MOV ESI,EDX
005DB6A7  |. 43             |INC EBX
005DB6A8  |. FF4D DC        |DEC DWORD PTR SS:[EBP-24]
005DB6AB  |.^75 81          \JNZ SHORT Nostale_.005DB62E
005DB6AD  |> B8 A7000000    MOV EAX,0A7
005DB6B2  |. E8 A980E2FF    CALL Nostale_.00403760
005DB6B7  |. 8D55 9C        LEA EDX,DWORD PTR SS:[EBP-64]
005DB6BA  |. E8 CD06E3FF    CALL Nostale_.0040BD8C
005DB6BF  |. 8B55 9C        MOV EDX,DWORD PTR SS:[EBP-64]
005DB6C2  |. 8D45 F0        LEA EAX,DWORD PTR SS:[EBP-10]
005DB6C5  |. 8B4D F0        MOV ECX,DWORD PTR SS:[EBP-10]
005DB6C8  |. E8 CF98E2FF    CALL Nostale_.00404F9C  <--- HIER SCHMIERT ES DRINNEN AB
005DB6CD  |. 68 24B85D00    PUSH Nostale_.005DB824                                     ;  ASCII "NoS0575 "
005DB6D2  |. B8 80969800    MOV EAX,989680
005DB6D7  |. E8 8480E2FF    CALL Nostale_.00403760
005DB6DC  |. 05 11610800    ADD EAX,86111
005DB6E1  |. 8D55 98        LEA EDX,DWORD PTR SS:[EBP-68]
005DB6E4  |. E8 A306E3FF    CALL Nostale_.0040BD8C
005DB6E9  |. FF75 98        PUSH DWORD PTR SS:[EBP-68]
005DB6EC  |. 68 38B85D00    PUSH Nostale_.005DB838
005DB6F1  |. 8D45 E8        LEA EAX,DWORD PTR SS:[EBP-18]
005DB6F4  |. BA 03000000    MOV EDX,3
005DB6F9  |. E8 1299E2FF    CALL Nostale_.00405010
005DB6FE  |. FF75 E8        PUSH DWORD PTR SS:[EBP-18]
005DB701  |. FF75 FC        PUSH DWORD PTR SS:[EBP-4]
005DB704  |. 68 38B85D00    PUSH Nostale_.005DB838
005DB709  |. 8D45 E8        LEA EAX,DWORD PTR SS:[EBP-18]
005DB70C  |. BA 03000000    MOV EDX,3
005DB711  |. E8 FA98E2FF    CALL Nostale_.00405010
005DB716  |. 8D45 E8        LEA EAX,DWORD PTR SS:[EBP-18]
005DB719  |. 8B55 F0        MOV EDX,DWORD PTR SS:[EBP-10]
005DB71C  |. E8 3798E2FF    CALL Nostale_.00404F58
005DB721  |. FF75 E8        PUSH DWORD PTR SS:[EBP-18]
005DB724  |. 68 38B85D00    PUSH Nostale_.005DB838
005DB729  |. B8 80969800    MOV EAX,989680
005DB72E  |. E8 2D80E2FF    CALL Nostale_.00403760
005DB733  |. 8D4D 94        LEA ECX,DWORD PTR SS:[EBP-6C]
005DB736  |. BA 08000000    MOV EDX,8
005DB73B  |. E8 6007E3FF    CALL Nostale_.0040BEA0
005DB740  |. FF75 94        PUSH DWORD PTR SS:[EBP-6C]
005DB743  |. 8D45 E8        LEA EAX,DWORD PTR SS:[EBP-18]
005DB746  |. BA 03000000    MOV EDX,3
005DB74B  |. E8 C098E2FF    CALL Nostale_.00405010
005DB750  |. 8B47 68        MOV EAX,DWORD PTR DS:[EDI+68]
005DB753  |. E8 F897E2FF    CALL Nostale_.00404F50
005DB758  |. 85C0           TEST EAX,EAX
005DB75A  |. 7E 2C          JLE SHORT Nostale_.005DB788
005DB75C  |. FF75 E8        PUSH DWORD PTR SS:[EBP-18]
005DB75F  |. 68 F4B75D00    PUSH Nostale_.005DB7F4
005DB764  |. FF77 68        PUSH DWORD PTR DS:[EDI+68]
005DB767  |. 68 00B85D00    PUSH Nostale_.005DB800                                     ;  ASCII " 0 "
005DB76C  |. FF75 E0        PUSH DWORD PTR SS:[EBP-20]
005DB76F  |. 8D45 90        LEA EAX,DWORD PTR SS:[EBP-70]
005DB772  |. BA 05000000    MOV EDX,5
005DB777  |. E8 9498E2FF    CALL Nostale_.00405010
005DB77C  |. 8B55 90        MOV EDX,DWORD PTR SS:[EBP-70]
005DB77F  |. 8BC7           MOV EAX,EDI
005DB781  |. E8 FEF4FFFF    CALL Nostale_.005DAC84
005DB786  |. EB 0A          JMP SHORT Nostale_.005DB792
005DB788  |> 8B55 E8        MOV EDX,DWORD PTR SS:[EBP-18]
005DB78B  |. 8BC7           MOV EAX,EDI
005DB78D  |. E8 F2F4FFFF    CALL Nostale_.005DAC84
005DB792  |> 8D47 4C        LEA EAX,DWORD PTR DS:[EDI+4C]
005DB795  |. 8B55 FC        MOV EDX,DWORD PTR SS:[EBP-4]
005DB798  |. E8 3795E2FF    CALL Nostale_.00404CD4
005DB79D  |. 8D47 50        LEA EAX,DWORD PTR DS:[EDI+50]
005DB7A0  |. 8B55 F8        MOV EDX,DWORD PTR SS:[EBP-8]
005DB7A3  |. E8 2C95E2FF    CALL Nostale_.00404CD4
005DB7A8  |> 33C0           XOR EAX,EAX
005DB7AA  |. 5A             POP EDX
005DB7AB  |. 59             POP ECX
005DB7AC  |. 59             POP ECX
005DB7AD  |. 64:8910        MOV DWORD PTR FS:[EAX],EDX
005DB7B0  |. 68 DFB75D00    PUSH Nostale_.005DB7DF
005DB7B5  |> 8D45 90        LEA EAX,DWORD PTR SS:[EBP-70]
005DB7B8  |. BA 0F000000    MOV EDX,0F
005DB7BD  |. E8 E294E2FF    CALL Nostale_.00404CA4
005DB7C2  |. 8D45 E0        LEA EAX,DWORD PTR SS:[EBP-20]
005DB7C5  |. E8 B694E2FF    CALL Nostale_.00404C80
005DB7CA  |. 8D45 E8        LEA EAX,DWORD PTR SS:[EBP-18]
005DB7CD  |. BA 03000000    MOV EDX,3
005DB7D2  |. E8 CD94E2FF    CALL Nostale_.00404CA4
005DB7D7  \. C3             RETN

Die Funktion die abschmiert:

Code:

00403050  /$ 56             PUSH ESI
00403051  |. 57             PUSH EDI
00403052  |. 89C6           MOV ESI,EAX
00403054  |. 89D7           MOV EDI,EDX
00403056  |. 89C8           MOV EAX,ECX
00403058  |. 39F7           CMP EDI,ESI
0040305A  |. 77 13          JA SHORT Nostale_.0040306F
0040305C  |. 74 2F          JE SHORT Nostale_.0040308D
0040305E  |. C1F9 02        SAR ECX,2
00403061  |. 78 2A          JS SHORT Nostale_.0040308D
00403063  |. F3:A5          REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ESI]
00403065  |. 89C1           MOV ECX,EAX
00403067  |. 83E1 03        AND ECX,3
0040306A  |. F3:A4          REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
0040306C  |. 5F             POP EDI
0040306D  |. 5E             POP ESI
0040306E  |. C3             RETN
0040306F  |> 8D7431 FC      LEA ESI,DWORD PTR DS:[ECX+ESI-4]
00403073  |. 8D7C39 FC      LEA EDI,DWORD PTR DS:[ECX+EDI-4]
00403077  |. C1F9 02        SAR ECX,2
0040307A  |. 78 11          JS SHORT Nostale_.0040308D
0040307C  |. FD             STD
0040307D  |. F3:A5          REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ESI] <<<--- Hier bleibt er stehen
0040307F  |. 89C1           MOV ECX,EAX
00403081  |. 83E1 03        AND ECX,3
00403084  |. 83C6 03        ADD ESI,3
00403087  |. 83C7 03        ADD EDI,3
0040308A  |. F3:A4          REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
0040308C  |. FC             CLD
0040308D  |> 5F             POP EDI
0040308E  |. 5E             POP ESI
0040308F  \. C3             RETN

Das Register beim Stehenbleiben:

Code:

EAX 09CD4478
ECX 0273511E
EDX 4B1B0058
EBX 09C3FED8
ESP 09C3FE54
EBP 09C3FEF8
ESI 139143CC
EDI 54E844CC
EIP 0040307D Nostale_.0040307D
C 0  ES 0023 32bit 0(FFFFFFFF)
P 1  CS 001B 32bit 0(FFFFFFFF)
A 0  SS 0023 32bit 0(FFFFFFFF)
Z 0  DS 0023 32bit 0(FFFFFFFF)
S 0  FS 003B 32bit 7FFA9000(C000)
T 0  GS 0000 NULL
D 1
O 0  LastErr ERROR_SUCCESS (00000000)
EFL 00010606 (NO,NB,NE,A,NS,PE,GE,G)
ST0 empty -??? FFFF 726B7300 74666100
ST1 empty -??? FFFF 2E6E6562 65677265
ST2 empty 4.9157507590454787070e+18
ST3 empty 4.7710736431842071570e+18
ST4 empty 3.7625323344733921840e+18
ST5 empty 3.6189998617397962750e+18
ST6 empty 5.0587290434738752510e+18
ST7 empty 2.1474836480100000000e+11
               3 2 1 0      E S P U O Z D I
FST 0000  Cond 0 0 0 0  Err 0 0 0 0 0 0 0 0  (GT)
FCW 027F  Prec NEAR,53  Mask    1 1 1 1 1 1

TheCherry · 05/06/2012, 14:10

push