home *** CD-ROM | disk | FTP | other *** search
/ Reverse Code Engineering RCE CD +sandman 2000 / ReverseCodeEngineeringRceCdsandman2000.iso / RCE / Library / +HCU / 191-200.TXT < prev    next >
Text File  |  2000-05-25  |  44KB  |  1,200 lines
  1. ========================================================
  2. +HCU Maillist          Issue: 191             04/12/1998 
  3. --------------------------------------------------------
  4. Send Articles To:......................... *************
  5. Info, Help, Unsubscription, etc:....... ****************
  6. Web Repository.........................hcuml.home.ml.org
  7. ========================================================
  8.  
  9. CONTENTS:
  10.  
  11. #1  Subject: answer to the question about the differences between WinIce and SoftIce
  12.  
  13. #2  Subject: WINICE and SOFTICE confusions for newer users
  14.  
  15. #3  Subject: gthorne - 'spycatcher'
  16.  
  17. #4  Subject: van eck
  18.  
  19. ARTICLES:
  20.  
  21. -----#1-------------------------------------------------
  22. Subject: answer to the question about the differences between WinIce and SoftIce
  23.  
  24. j;Sô┬r▒╤╝æyV╦kuτ
  25. Reply-To: biGhEAd *********************
  26. Priority: Normal
  27. Message-ID: **************************
  28. To: *************
  29. Subject: answer to the question about the differences between WinIce and SoftIce
  30. Content-Type: text/plain; charset=us-ascii
  31. Content-Transfer-Encoding: 7bit
  32.  
  33. As I know, there're four Numega's SoftIce verisons for the four popular OS
  34. of PC: DOS, Windows 3.1(WIN16), Windows 95&Windows NT(WIN32). WinIce
  35. just means the Windows version. Ha...., too easy, isn't it?
  36. +biGhEAd(4/11/98)
  37.  
  38.  
  39. -----#2-------------------------------------------------
  40. Subject: WINICE and SOFTICE confusions for newer users
  41.  
  42. Message Body = 
  43.  
  44. winice is simply the 'other name' for any version of softice that is not the DOS-only version
  45. (softice for WinNT, for Win3.1, for Win'95)
  46.  
  47. I can see how that would be confusing to people who are not familiar with the pseudonym
  48.  
  49. many programs have pseudonyms, often hidden
  50. for example, if you see reference for 'GODOT' it is referring to a version 3 winice
  51.  
  52. photoshop 4 is known as the 'big electric cat' (ever hold down the alt key while loading the about-box/splash-screen?)
  53. no wonder since it is such a memory hog...
  54.  
  55. win95 called CHICAGO (the not-entirely-hidden ID code used by win95 apps to identify themselves as win95 native)
  56. newer versions called NASHVILLE and CAIRO just for the sake of having identity crisis alleviated when people talk about win95 upgrades (or just being silly maybe... who knows or cares)
  57.  
  58. the list goes on and on and on
  59.  
  60. +gthorne
  61.  
  62.  
  63. -----#3-------------------------------------------------
  64. Subject: gthorne - 'spycatcher'
  65.  
  66. Message Body = 
  67.  
  68. interesting book AZ111, i recently noticed i have at least 2 copies of it in hardback among my collection
  69.  
  70. so many novels i never remember what i have already purchased unless i go through all those attic crates before running to the bookstore anymore
  71.  
  72. (same with my software collection which is a problem i am sure many of you have had in the past (or now even ;)
  73.  
  74. sometimes i wonder whether it would be worth it to hire a high school student as a librarian...
  75.  
  76. +gthorne the collector (read: never seems to get rid of anything)
  77.  
  78.  
  79. -----#4-------------------------------------------------
  80. Subject: van eck
  81.  
  82. Ghiribizzo, that subject that you have recently wrote about is quite
  83. interesting.  Just one question, if the tempest specs are so classified
  84. and basically anything on the subject, where do you get this info? I
  85. would be happy if you could provide me with some more info on this. :)
  86.  
  87.  
  88. =====End of Issue 191===================================
  89.  
  90.  
  91.  
  92.  
  93. ========================================================
  94. +HCU Maillist          Issue: 192             04/13/1998 
  95. --------------------------------------------------------
  96. Send Articles To:......................... *************
  97. Info, Help, Unsubscription, etc:....... ****************
  98. Web Repository.........................hcuml.home.ml.org
  99. ========================================================
  100.  
  101. CONTENTS:
  102.  
  103. #1  Subject: A rose by any other name...
  104.  
  105. #2  Subject: van Eck device
  106.  
  107. #3  Subject: NT, OpenNT and lack of time
  108.  
  109. #4  Subject: RE: gthorne - regarding computer deletion and lack of security
  110.  
  111. #5  Subject: van Eck
  112.  
  113. ARTICLES:
  114.  
  115. -----#1-------------------------------------------------
  116. Subject: A rose by any other name...
  117.  
  118. SoftICE was the name of the original DOS debugger. Later versions were made
  119. for win3.1x and then win95/98/NT.
  120.  
  121. The win versions are 'nicknamed' winice. I don't know if that is the
  122. official name. At least on my sice documentation (3.22/95) it still calls
  123. it SoftICE.
  124.  
  125. A lot of the executable files etc are called winice.xxx
  126.  
  127. Since win95 has become the dominant OS for cracking, most people freely
  128. interchange the two terms.
  129.  
  130. It's a quirk I haven't really noticed before, but it's nothing to worry
  131. about really.
  132.  
  133. ~~
  134. Ghiribizzo
  135.  
  136. A sice by any other name...
  137.  
  138.          ...would trace as deeply...
  139.  
  140. -----#2-------------------------------------------------
  141. Subject: van Eck device
  142.  
  143. Right. Briefly put, the device resembles a TV with an antenna attached to
  144. it. You need a directional antenna, this allows you to pick out a single pc
  145. in a whole building full of them. The signals from the antenna will need to
  146. be re-synced to display on the monitor. The whole lot will need some
  147. shielding to prevent inteference (shielded cables etc.). If you want to
  148. save it onto video, you may need a time base corrector as well.
  149.  
  150. If you want to go for cheap, you can probably use your TV. All you need to
  151. do is 'tune' the signal in with a sync generator and you can record the
  152. results direct to video. Not very portable though :)
  153.  
  154. You can buy them pre-built from various shops (prices and quality vary). I
  155. bet there's even a 'how to build a van Eck device' tutorial on the web
  156. somewhere! :)
  157.  
  158. I've been discussing it with a friend who's much more into electronics than
  159. I am. He thinks there may be difficulties in sorting out the RGB signal,
  160. but I think there shouldn't be too much trouble.
  161.  
  162. I'll let you know in the summer if I get round to building one.
  163.  
  164. ~~
  165. Ghiribizzo
  166.  
  167. -----#3-------------------------------------------------
  168. Subject: NT, OpenNT and lack of time
  169.  
  170. Grrr. After getting a source for NT Server 4, I decided to wipe my hard
  171. disk completely... bad move. The CD didn't arrive till much later than
  172. expected and the free time I had to install the whole lot was gone.
  173.  
  174. Well, after a few days/weeks of having a crippled computer, I finally found
  175. time to reinstall a lot of stuff AND got the CD. I've done a partial
  176. install of NT and even had time to have a look at OpenNT.
  177.  
  178. Well, I now see what Muso meant. Here's what I've got so far:
  179.  
  180. #The serial check at setup is passed (for the serials I gave)
  181.  
  182. #The serial is checked at runtime (and fails). posix.exe is responsible,
  183. though others are involved. Interesting way of putting in the 10 sec delay.
  184.  
  185. #My given keys had expired but the prog was not sensitive to clock adjusts.
  186.  
  187. #posix.exe and mydll.dll has some very suspicious code in common. I suspect
  188. it to be the verify routines.
  189.  
  190. Well, that's all I could get in the free time I had. I've uninstalled the
  191. lot now anyway. If I get time during the summer, I'll have a look at it (if
  192. no other more appealing targets arrive).
  193.  
  194. Good luck, Muso. You may wan't to rip code from posix.exe if you're after
  195. the keygnerator. You could also possibly hack the mydll.dll to do the same
  196. thing as it seems that the 'true' verify routine is simple wrapped by a
  197. secondary interface for the setup. IDA comes into it's own on this one.
  198.  
  199. ~~
  200. Ghiribizzo
  201.  
  202. -----#4-------------------------------------------------
  203. Subject: RE: gthorne - regarding computer deletion and lack of security
  204.  
  205. > is it any wonder why the US military (probably in the
  206. > TEMPEST specification on comupter security) only
  207. > considers a hard drive clean after being overwritten 7
  208. > times completely with zeroes?
  209.  
  210. Actually, overwriting with zeroes is maybe not good enough. One should overwrite with different patterns like: 00 FF AA 55 and possibly some random values also.
  211.  
  212.                              Jack of Shadows
  213.  
  214.      Windows NT crashed.
  215. I am the Blue Screen of Death.
  216.   No one hears your screams.
  217.  
  218.  
  219. -----#5-------------------------------------------------
  220. Subject: van Eck
  221.  
  222. To: mystery writer
  223.  
  224. >>>
  225. Ghiribizzo, that subject that you have recently wrote about is quite
  226. interesting.  Just one question, if the tempest specs are so classified
  227. and basically anything on the subject, where do you get this info? I
  228. would be happy if you could provide me with some more info on this. :)
  229. <<<
  230.  
  231. Well the Tempest specs are classified, but many people have written papers
  232. about e/m leakage. We don't even know if the US gov are at the forefront of
  233. this area.
  234.  
  235. I really don't know all that much about it. Do a web search, you'll find
  236. what you need soon enough. There are also many good books (I was
  237. recommended one called 'information warfare' or 'information warrior',
  238. you'll find recommendations when you look around) also there's a privacy
  239. emailing list which has good stuff on it.
  240.  
  241. Hope this helps.
  242.  
  243. ~~
  244. Ghiribizzo
  245.  
  246. =====End of Issue 192===================================
  247.  
  248.  
  249.  
  250.  
  251. ========================================================
  252. +HCU Maillist          Issue: 193             04/14/1998 
  253. --------------------------------------------------------
  254. Send Articles To:......................... *************
  255. Info, Help, Unsubscription, etc:....... ****************
  256. Web Repository.........................hcuml.home.ml.org
  257. ========================================================
  258.  
  259. CONTENTS:
  260.  
  261. #1  Subject: OpenNT 2.1
  262.  
  263. #2  Subject: Re: computer deletion
  264.  
  265. #3  Subject: Speaking of Winice and more...
  266.  
  267. ARTICLES:
  268.  
  269. -----#1-------------------------------------------------
  270. Subject: OpenNT 2.1
  271.  
  272. Hi it's Muso,
  273. after Ghiribizzo had a look at OpenNT again, I'm happy that he 
  274. discovered the same 'strange' behaviour. These guys really have done 
  275. a pretty interesting protection-scheme (that means one that accepts 
  276. the old-keys in the first step but rejects them in the second...). 
  277. However, as Ghiribizzo noted there is a 10 second delay, which can be 
  278. passed by setting it just to 0 (I used this to test my key I have 
  279. generated with the OpenNT 2.0 keygenerator).
  280.  
  281. I know that they use some DES encryption technique (you can see 
  282. references to a DES-Endinge in the code). I have the 'feeling' that 
  283. the protection scheme didn't change a lot but that the keys now must 
  284. fullfill some other properties. Among those properties stuff like the 
  285. following might be possible:
  286. - they keys have a special cross-sum (sorry I don't know if that word 
  287. exists)
  288. - the first X chars are a random seed which leeds to the rest of the 
  289. chars by iterating as often as chars are missing
  290. - etc.
  291.  
  292. I could think off about thousand different properties such a key must 
  293. fullfill to be accepted by the posix.exe program. I will use IDA on 
  294. posix.exe and have a look if I can find something interesting. So 
  295.  
  296.  
  297. -----#2-------------------------------------------------
  298. Subject: Re: computer deletion
  299.  
  300.  
  301. I finally remembered where I read about the 3 pass overwrite. It was back
  302. in the old DOS days and a Norton Utility - "WipeInfo". Here's a bit of
  303. text from the manual:
  304.  
  305.  
  306. ~~Begin text
  307.  
  308.  
  309. <fontfamily><param>Times New Roman</param>When a new file  overlays an 
  310. old one,  it may  not fill  the last
  311.  
  312.  allocated cluster, leaving an area at the end called  slack. Slack
  313.  
  314.  is very likely to contain residual data from deleted files.      
  315.  
  316.                                                                  
  317.  
  318.  Although it doesn't show up in your directories and files, your
  319.  
  320.  hard disks and floppies could he full of data you don't want     
  321.  
  322.  prying eyes to see. A bit-wise snoop could use a program like
  323.  
  324.  Disk Editor to read the data right out of your clusters.         
  325.  
  326.                                                                  
  327.  
  328.  To make matters worse, even when you overwrite bytes,            
  329.  
  330.  traces of the old data may be left "underneath" the new data.
  331.  
  332.  Why? The disk recording head can't set in exactly the same       
  333.  
  334.  position every time it accesses a track. The minute differences
  335.  
  336.  are well within the hardware's own tolerances, so a drive        
  337.  
  338.  may not he aware of old data in the track. But devices can be
  339.  
  340.  (and are) constructed for picking up these forgotten             
  341.  
  342.  fragments of data.                                               
  343.  
  344.                                                                  
  345.  
  346.  For all these reasons you would be wise to wipe, and not just
  347.  
  348.  delete, confidential data from your disk. That's where Wipe      
  349.  
  350.  Information comes in. Wiping consists of completely              
  351.  
  352.  overwriting an area on your disk with a value of your choice,
  353.  
  354.  such as 0. So, when you delete a confidential file, wipe it      
  355.  
  356.  instead. When you prepare a diskette to be sent to a client, a
  357.  
  358.  colleague, or anyone else, wipe the diskette before copying      
  359.  
  360.  new files onto it.                                               
  361.  
  362.                                                                  
  363.  
  364.  If you are concerned about people using devices to lift data     
  365.  
  366.  from the edges of wiped tracks, wipe the disk several times      
  367.  
  368.  using different values. The more times you wipe it, the better
  369.  
  370.  your chance of opubterating data at the edges of the track. The
  371.  
  372.  U. S. Department of Defense has developed standards for          
  373.  
  374.  wiping confidential data from disks (DOD 5220.22M):              
  375.  
  376.                                                                  
  377.  
  378.     l. Overwrite the area first with Os, and then 1s, at least
  379.  
  380.          three times.                                             
  381.  
  382.     2. Overwrite the area with a random value.                    
  383.  
  384.     3. Verify the last write. If for some reason this             
  385.  
  386.          verification test fails, an attention message informs you
  387.  
  388.          that the disk should not be considered completely        
  389.  
  390.          wiped.                                                   
  391.  
  392. </fontfamily>
  393.  
  394. ~~ End Text
  395.  
  396.  
  397.  The manuals that come with Norton are actually quite good - especially
  398. the 'Disk Explorer' manual. I don't know if you can still get them.
  399.  
  400.  
  401. ~~
  402.  
  403. Ghiribizzo
  404.  
  405. -----#3-------------------------------------------------
  406. Subject: Speaking of Winice and more...
  407.  
  408.  
  409.  
  410. F.
  411.  
  412. =====End of Issue 193===================================
  413.  
  414.  
  415.  
  416.  
  417. ========================================================
  418. +HCU Maillist          Issue: 194             04/15/1998 
  419. --------------------------------------------------------
  420. Send Articles To:......................... *************
  421. Info, Help, Unsubscription, etc:....... ****************
  422. Web Repository.........................hcuml.home.ml.org
  423. ========================================================
  424.  
  425. CONTENTS:
  426.  
  427. #1  Subject: IDA
  428.  
  429. #2  Subject: Rubberduck
  430.  
  431. #3  Subject: IDA serial reversing
  432.  
  433. #4  Subject: none
  434.  
  435. #5  Subject: Re: what's new in ida 3.74
  436.  
  437. #6  Subject: Problems with the list
  438.  
  439. ARTICLES:
  440.  
  441. -----#1-------------------------------------------------
  442. Subject: IDA
  443.  
  444. I think that IDA Pro is one of the most incredible tools available to
  445. crackers at the minute (thanks Hackmore). One problem at the moment is the
  446. large idb files it generates makes it difficult to transport between crackers.
  447.  
  448. However I think one alternative is to supply the changes made (i.e. renamed
  449. functions/locations and changes in data/code/etc.) Rather than just
  450. exchanging by a list I was wondering whether we could use IDA to automate
  451. part of the process.
  452.  
  453. Applying the changes would be easier as we can use the 'g' command to jump
  454. to a location and apply the changes e.g. 'n' - if we can parse an external
  455. change file. I suspect the IDC language can handle this.
  456.  
  457. Reading a list of names may be more difficult as I don't think there is a
  458. command to simply jump to the next named location etc.
  459.  
  460. Now I haven't had much experience in IDC programming which is why I am
  461. appealing to the more experienced IDCers amoung you here. As I have
  462. mentioned in a recent post, I am short of time at present, but this is
  463. something I will follow up.
  464.  
  465. Anybody want to work with me on this?
  466.  
  467. Also, does anyone know what new features have been added to 3.74? Is it
  468. very buggy or not? There seems to be a big fuss about it on the Cracking
  469. Forum at the moment but I'm so happy with 3.7 that I haven't really thought
  470. about upgrading.
  471.  
  472. ~~
  473. Ghiribizzo
  474.  
  475. -----#2-------------------------------------------------
  476. Subject: Rubberduck
  477.  
  478. Hi to everyone,
  479. i've meet a new challenge with a "wonderful apps" for all acid-fans!
  480. Rubberduck 2.0 demo
  481. the 0.85/1.02 was still a bit nasty to register,since a keymaker come 
  482. out to a perfect reg,but now 2.0 is here and all i would know if:
  483. is this tool possible to be registered still as demo said,bcoz some 
  484. inside tell strange things,i'm not really a newbie in crack but want 
  485. opinion from other dudes here!
  486. can get it at:
  487. *************************************************
  488. Hope hear from this soon!
  489. enjoy...
  490.  
  491. ______________________________________________________
  492. Get Your Private, Free Email at **********************
  493.  
  494. -----#3-------------------------------------------------
  495. Subject: IDA serial reversing
  496.  
  497. Have any of you looked at Ghost 4.1b? It's available from the makers
  498. (<500kb download) do a web-search for homepage as I've forgotten it.
  499. Download the 'registered' upgrade version not demo.
  500.  
  501. I decided to take the long approach and use IDA to reverse a lot of it.
  502. Then I decided it would save a lot of time to do some live work.
  503. Unfortunately it uses a dos extender and can't be debugged straight off
  504. using sice (all versions) TD or debug. Anybody got some ideas to get around
  505. this?
  506.  
  507. The protection itself is quite interesting as it is DOS and you can also
  508. figure a lot about the serial composition just from poking around in IDA.
  509.  
  510. I just downloaded AZPR (following thread from the Forum). It doesn't seem
  511. as good as FZC but is commercial so has protection! I thought I'd do the
  512. same thing and get some practice at IDA reversing and spent 20 minutes with
  513. NTIce. I found the meat of the protection and have reverse the first phase
  514. of the protection. The next two look a bit more involved so I stopped there.
  515.  
  516. AZPR.idb is <2mb
  517. ghost.idb is <8mb
  518.  
  519. if anyone wants them.
  520.  
  521. ~~
  522. Ghiribizzo
  523.  
  524. -----#4-------------------------------------------------
  525. Subject: none
  526.  
  527. Hello Everyone
  528.  
  529. FYI, an article in a newspaper.
  530.  
  531. "Software pirates beware. Vans with special aerials might soon be 
  532. patrolling the streets of your town to track down unlicenced 
  533. computer programs, or so London's New Scientist weekly claims."
  534.  
  535. "Experts in Cambridge, England, are said to have developed a way
  536. of incorporating a code in the electromagnetic waves emitted by
  537. computers. The code can be read up to 40m away from the computer
  538. , it seems."
  539.  
  540. "Computer specialists Markus Kuhn and Ross Anderson have devised 
  541. a trick by which to include the serial number of a computer
  542. program in text. A modified TV set receives the signals emitted
  543. by your computer to make the hidden serial number visible,
  544. Mr Kuhn says."
  545.  
  546. However, Microsoft has refused to take up an offer to use the
  547. technique, worried electronic eavesdropping might give the 
  548. company a bad name." ( Abit late for that type of thinking.)
  549.  
  550. "That said, the attempt to eavesdrop in this way might well
  551. be doomed to failure. Researchers have also developed
  552. software to reduce the screen contrast and so to protect the
  553. data from eavesdroppers."
  554.  
  555. "Mr Kuhn claims this procedure obscures the radiation emitted
  556. so effectively that it cannot even be deciphered by a monitor
  557. placed right next to the computer."
  558.  
  559. cheers Rundus
  560.  
  561.  
  562. ______________________________________________________
  563. Get Your Private, Free Email at **********************
  564.  
  565. -----#5-------------------------------------------------
  566. Subject: Re: what's new in ida 3.74
  567.  
  568. Oops. I forgot they sent me an email telling me what was new. Nice to have
  569. a bug fixed version, but I don't really have any major problems with it. I
  570. can also do without the new functions so I'll stick to 3.74.. unless
  571. someone tells me that it really is worth the upgrade.
  572.  
  573. ~~
  574. Ghiribizzo
  575.  
  576. What is new...
  577. --------------------
  578.  
  579. This is mainly a maintenance release version. We have fixed all known
  580. bugs, when they could be reproduced.
  581.  
  582. Interface : the text selection with shift-arrows is now cancelled as
  583. soon as a non shifted cursor movement occurs. For the convenience of
  584. selecting whole segments, functions or similar objects, the ALT-L
  585. method still works.
  586.  
  587. Text Search is now able to use regular expressions. 
  588.  
  589. It is now possible to insert or remove an undefined byte from the
  590. middle of a structure. This features allows to recover gracefully
  591. from an incomplete initial structure definition.
  592.  
  593. A small assembler for 80x86 processors has been added. This feature
  594. allows you to patch the input program directly.
  595.  
  596. Two new IDC functions have been added:
  597.  
  598.         GetInputFile() - returns name of the input file
  599.         Exec(cmd)      - executes OS command
  600.  
  601. See IDC.IDC for complete language information.
  602.  
  603. The ARM 7xx family of processor is now supported. Note : the ARM
  604. module is currently available free of charge but isn't  included in
  605. the on-line version. Please request it directly if you are
  606. interested.
  607.  
  608.  
  609.  
  610. -----#6-------------------------------------------------
  611. Subject: Problems with the list
  612.  
  613. Hi all!
  614.  
  615. Lately, the server which handles the maillist had some problems
  616. and a few letters were lost (sorry Gthorne, yours letters just gone)
  617. or truncated. Sorry, for the inconvenience, hope they will fix the
  618. server soon.
  619.  
  620. However, I will soon resign as list manager and try to pass the list to
  621. another HCU member. This probably will cause some temporary problems
  622. like missing issues, lost letters etc. Please, bear with us.
  623.  
  624. Thanks
  625. Zer0+
  626.  
  627. =====End of Issue 194===================================
  628.  
  629.  
  630.  
  631.  
  632. ========================================================
  633. +HCU Maillist          Issue: 195             04/16/1998 
  634. --------------------------------------------------------
  635. Send Articles To:......................... *************
  636. Info, Help, Unsubscription, etc:....... ****************
  637. Web Repository.........................hcuml.home.ml.org
  638. ========================================================
  639.  
  640. CONTENTS:
  641.  
  642. #1  Subject: Packing & Unpacking
  643.  
  644. #2  Subject: list problems
  645.  
  646. #3  Subject: RE: new tricks (was none)
  647.  
  648. #4  Subject: 3m satellite program
  649.  
  650. #5  Subject: IDA v3.74  and .IDC updates
  651.  
  652. #6  Subject: Van ecch
  653.  
  654. ARTICLES:
  655.  
  656. -----#1-------------------------------------------------
  657. Subject: Packing & Unpacking
  658.  
  659.  
  660. Hey all, 
  661.  
  662. I know this is for those RE fans out there a dumb question, but
  663. I seriously don't know any better:
  664.  
  665. If I write a packer, what would prevent anyone from simply unpacking
  666. it manually ? 
  667. How would I create a "hard" packer ?
  668.  
  669. The first answers that pop into my mind would be: 
  670.     
  671.      - Divert from standard rules. Rule No. 1: Don't have
  672.        the first RET be the end of your decrypting routine
  673.     
  674.      - Anti Debugging tricks. Unfortunately, there are not
  675.        too many under Win95. SEH would be a feature to lock
  676.        out all Ring-3 Debugger, the thing would still be 
  677.        vulnerable against SICE though. 
  678.        Most Anti Debugging tricks are unfortunately in DOS 
  679.        and get you into serious trouble in a PMODE environment...
  680.     
  681.      - Mess Up the original executable so that the presence of 
  682.        the decrypting routine is required for the prog to run. 
  683.        Change it in a way that can't be easily undone.
  684.      
  685. I don't know, but all these things will be pretty helpless against
  686. someone who sits down with SICE for some time and thinks a bit...
  687.  
  688. Anyone out there who can point me to some resources about how to make
  689. unpacking hard ? 
  690.  
  691.  
  692. HalVar 
  693.  
  694. ______________________________________________________
  695. Get Your Private, Free Email at **********************
  696.  
  697. -----#2-------------------------------------------------
  698. Subject: list problems
  699.  
  700. Yes, I've noticed that my daily cracking 'fixes' have been delayed a few
  701. times :)
  702.  
  703. If the list ever goes down for a significant length of time you can always
  704. use the RE Forum: *******************************************
  705.  
  706. The advantages are speedier turnaround (instantaneous!) and greater
  707. readership, but the tone is a bit different from here. Still, if the list
  708. goes down, it's better than nothing.
  709.  
  710. I'd like to thank Zer0 for maintaining the list up till now. He's done a
  711. great job and I'm sure we've all benefitted from the list. Thanks.
  712.  
  713. ~~
  714. Ghiribizzo
  715.  
  716. -----#3-------------------------------------------------
  717. Subject: RE: new tricks (was none)
  718.  
  719. whered you here this?? well I guess if they start puttin this stuff into
  720. software then itll be harder for crackers to do their job...
  721.  
  722. TecH_bOi
  723.  
  724.  
  725.  
  726.  
  727.  
  728. -----#4-------------------------------------------------
  729. Subject: 3m satellite program
  730.  
  731. Hello all,
  732.  
  733. I was wondering if anyone wanted to try to crack a funny little 
  734. program (about 500kb) which is quite restricted, because it is only 
  735. for dealers in Access cards. It seems that it allows one to program 
  736. these cards and watch satellite TV for free. Someone sent it to me 
  737. while I was on #cracking on efnet.
  738.  
  739. Anyway, I thought it would be easy, just the usual looking for the 
  740. calculations of the key, but I trace, and I trace, and I can't bpx on 
  741. any function, I get no find on string searches on IDA and WDASM.
  742.  
  743. Very funny. Using smartcheck, I get that the program uses ZERO win32 
  744. functions. It seems to me that it verifies each keystroke, but I am 
  745. not sure. In any case, if someone's interested, pls e-mail me at 
  746. ************** and I will send the program as an attached file.
  747.  
  748. However, besides telling me where to patch, or making the patch 
  749. yourself, please explain to me a little how you found it, what I had 
  750. to be looking for, etc. Not a +HCU article, but just a little 
  751. explanation. Thanks,
  752.  
  753. WAFNA
  754.  
  755. -----#5-------------------------------------------------
  756. Subject: IDA v3.74  and .IDC updates
  757.  
  758. > I think that IDA Pro is one of the most incredible tools available to
  759.  
  760. couldnt have said any better ;-)
  761.  
  762. > large idb files it generates makes it difficult to transport between crackers.
  763.  
  764. 1. they're not so big if you compress them (either with the built-in gzip or your
  765.    favourite compressor).
  766. 2. if your partner already has the executable or its .IDB in question, it's enough
  767.    to transfer the .IDC version of the database (which can be very well compressed
  768.    as it is a text file). the trick is to comment out the Segments() and GenInfo()
  769.    calls in the main() function and then load this .IDC script into IDA (of course
  770.    open your .IDB first ;-). or you can do a clean start by deleting all segments
  771.    and executing the full .IDC script.
  772.  
  773. > Also, does anyone know what new features have been added to 3.74? Is it
  774. > very buggy or not? There seems to be a big fuss about it on the Cracking
  775. > Forum at the moment but I'm so happy with 3.7 that I haven't really thought
  776. > about upgrading.
  777.  
  778. as far as i can tell it has no serious bugs, in fact they did fix some old ones
  779. indeed ;-). and they didnt change the .IDB version number either so you can still
  780. interact with users of v3.7 if you have to.
  781.  
  782. > I decided to take the long approach and use IDA to reverse a lot of it.
  783. > Then I decided it would save a lot of time to do some live work.
  784. > Unfortunately it uses a dos extender and can't be debugged straight off
  785. > using sice (all versions) TD or debug. Anybody got some ideas to get around
  786. > this?
  787.  
  788. well, sorry to correct you, but DOS extended apps can be debugged with winice ;-),
  789. it just takes a bit more work on your side. for an extensive doc see
  790. ************************************* they say that only the NT version can do
  791. the trick, however i did successfully use even the win 3.1 version for such
  792. a purpose (in fact, that winice is still my favourite one when it comes to debugging
  793. DOS4GW extended programs... ;-) i guess i even mentioned it in my softice doc
  794. that's available on Fravia's site.
  795.  
  796. > Oops. I forgot they sent me an email telling me what was new. Nice to have
  797. > a bug fixed version, but I don't really have any major problems with it. I
  798. > can also do without the new functions so I'll stick to 3.74.. unless
  799. > someone tells me that it really is worth the upgrade.
  800.  
  801. declare a structure with 20-30 members (like the BreakPoint structure in winice ;-),
  802. then define this structure in the data area of your program where each field has say
  803. 20-30 references, then press ctrl-x at your structure's start address and see how many
  804. of the xrefs show up there... this bug can be quite annoying when you use the ctrl-x
  805. window for quickly getting to the cross-referees (and one more reason to go to 3.74 ;-)
  806.  
  807. well, i'm not saying that v3.74 is perfect, eg PUSHA/POPA still doesnt modify the internal
  808. stack pointer at all... 
  809.  
  810. > The ARM 7xx family of processor is now supported. Note : the ARM
  811. > module is currently available free of charge but isn't  included in
  812. > the on-line version. Please request it directly if you are
  813. > interested.
  814.  
  815. if anyone got this module please share it with us. i tried to get it a couple of times
  816. in vain (yes, i am a registered user and they fucking ignored my requests, although this
  817. didnt use to be the case earlier...).
  818.  
  819. regards, the owl
  820.  
  821. -----#6-------------------------------------------------
  822. Subject: Van ecch
  823.  
  824.  
  825. --Sorry to jump in so late on this, I was out of town for awhile. 
  826.  
  827. OK, about Van Eck. This stuff may be a little dated, but it should give 
  828. you some ideas what is going on. (hmmm, I haven't heard the term VanEck 
  829. in over five years...) Van Eck devices capture transient radiation 
  830. emitted by the photon gun in your monitor...i.e. it is a 
  831. "monitor-monitor", being that it re-creates on a second monitor (hooked 
  832. up to the VanEck device) the images being painted on the first.  
  833. Apparently this was a real problem with computers in the early 80's, 
  834. back when there were still some home-builds out there and the FCC hadn't 
  835. figured out that computer monitor rads interfered with standard 
  836. televsion reception (so your neighbor got your WordStar layout over his 
  837. 6 o'clock news). Range is usually a few miles/km, but with more 
  838. sophisticated (lab-quality) all-band receiving equipment you could have 
  839. basically unlimited range.
  840.  
  841. Once the FCC and similar agencies started shielding monitors, the 
  842. effectiveness of VanEck devices apparently went down...but now with the 
  843. high-freq SVGA monitors it is back in use. Note that alternate emissions 
  844. may be recorded; one source claims he could hear keyboard inputs (and 
  845. cursors blinking) using a high-end scanner. 
  846.  
  847. Van Eck devices can be defeated for specific machines by using a scanner 
  848. etc to test for emmission frequencies, then build a transmitter using 
  849. those frquencies to jam the computer emissions. Also  a place called 
  850. Deco (deco industries?) once produced something called a VT-75 that jams 
  851. VanEck emissions. Also computer facilities configured to the Tempest 
  852. specification are considered immune; Tempest  has many ratings (I think 
  853. the NT C2 rating is part of this...A1 is the highest, D is the lowest; 
  854. anti-emissions are probably only present in A-class systems).
  855.  
  856. Home-builds: You can experiment with B&W TVs and scanners; supposedly if 
  857. you use a B&W TV and hook up a sync generator (this can be jerry-rigged 
  858. with 2 555 timer chips, but I have no idea how) you can intercept 
  859. signals from a few blocks. Commercial systems have a range of miles and 
  860. can isolate one terminal out of thousands...it's all in the antenna, 
  861. kind of like using a shotgun mic to isolate a single conversation...
  862.  
  863. Where to get them? I've heard  Datasafe  and Consumertronics Co; SPY 
  864. Supply apparently sells plans (these are from old notes, these places 
  865. may not exist). Plans run maybe $100 US , devices $1000-$25000 US.
  866.  
  867. -----
  868. Ghiribizzo: 
  869. About IDA, how about echanging .diff files (using fc or somesuch) if the 
  870. idb files are the same size? or maybe just the .nam file (snatched in 
  871. mid-edit, before you quit IDA)
  872.  
  873. _m
  874.  
  875.  
  876.  
  877. ______________________________________________________
  878. Get Your Private, Free Email at **********************
  879.  
  880. =====End of Issue 195===================================
  881.  
  882.  
  883.  
  884.  
  885. ========================================================
  886. +HCU Maillist          Issue: 196             04/17/1998 
  887. --------------------------------------------------------
  888. Send Articles To:......................... *************
  889. Info, Help, Unsubscription, etc:....... ****************
  890. Web Repository.........................hcuml.home.ml.org
  891. ========================================================
  892.  
  893. CONTENTS:
  894.  
  895. #1  Subject: Dos Extender
  896.  
  897. #2  Subject: Ghost 4.1b - A game of Higher or Lower
  898.  
  899. #3  Subject: gthorne-testing
  900.  
  901. #4  Subject: Advanced API Debugging infos requested.
  902.  
  903. #5  Subject: re: .idc updates
  904.  
  905. #6  Subject: IDA 3.75 released
  906.  
  907. ARTICLES:
  908.  
  909. -----#1-------------------------------------------------
  910. Subject: Dos Extender
  911.  
  912.  
  913. >Then I decided it would save a lot of time to do some live work.
  914. >Unfortunately it uses a dos extender and can't be debugged straight off
  915. >using sice (all versions) TD or debug. Anybody got some ideas to get 
  916. around
  917. >this?
  918.  
  919. What kind of DOS extender does it use ? If it complies with the DPMI
  920. standard, it is usually no problem to run in a Win95 DOS box and use
  921. Winice to debug it. 
  922.  
  923. If the program utilizes the standard commands and it is the extender
  924. itself that's screwing it up, strip the extender from the prog. 
  925. The DOS-Box in Win95 automatically offers DPMI services.
  926.  
  927. If it doesn't and forcefully sets the CPU to pmode, you'll probably
  928. be in for quite a ride. I haven't tried it myself yet, but you'd 
  929. probably have to  
  930.     a) disable the switch to pmode
  931. and then either
  932.     1) break each time it tries to mess around with the pmode 
  933.        directly and create the descriptors it is trying to create by         
  934. in the LDT and give the progrsam back it's selectors...
  935.        It's going to be a pain and a mess. If the program tries to
  936.        write to the GDT, you'll have to find a way around that, too...
  937.        I seriously doubt this is possible at all...well, forget
  938.        this idea, it's bull; take 2: 
  939.     2) Majorly fumble around with the programs own code, replaceing
  940.        all the code that will prevent it from running in W95 with
  941.        DPMI compliant calls. A lot of work, but with IDA at hand
  942.        not that much of a problem. 
  943.  
  944. Either way, my method is NOT clean and certainly not worth the effort
  945. unless it is ABSOLUTELY necessary...
  946.  
  947. HalVar
  948.  
  949.  
  950. ______________________________________________________
  951. Get Your Private, Free Email at **********************
  952.  
  953. -----#2-------------------------------------------------
  954. Subject: Ghost 4.1b - A game of Higher or Lower
  955.  
  956. Well, I the prosect of coding a brute forcer didn't appeal to me so I took
  957. another look at the key hashing algorithm and spotted a weakness. It did
  958. not require a fixed length key and was approximately a linear function
  959. (well maybe not linear, I didn't bother to run stats on it and plot it or
  960. anything, but at least roughly increasing) so it wasn't too hard to get the
  961. serial by hand in NTice - numerical analysis does have its uses! It took me
  962. less than a minute.
  963.  
  964. This has been one of the most enjoyable cracks I've ever done and the game
  965. at the end was just a bonus. Thank you Ghostsoft.
  966.  
  967. ~~
  968. Ghiribizzo
  969.  
  970. -----#3-------------------------------------------------
  971. Subject: gthorne-testing
  972.  
  973. Message Body = 
  974.  
  975. testing posting
  976. please ignore this message
  977.  
  978. -----#4-------------------------------------------------
  979. Subject: Advanced API Debugging infos requested.
  980.  
  981. Hi all,
  982.  
  983. In order to improve the tracer of ProcDump, I need info on how to use the
  984. following APIs :
  985.  
  986. SetUnhandledExceptionFilter & UnhandledExceptionFilter.
  987.  
  988. Any help about it will be welcome.... Please don't paste me the API help...
  989. It is useless and I have already looked at it.
  990.  
  991. Moreover if someone could send me the PSAPI.DLL include file (might be in NT
  992. SDK), it would be really appreciated.
  993.  
  994. G-RoM
  995. "If it can run, it can be defeated."
  996.  
  997.  
  998. -----#5-------------------------------------------------
  999. Subject: re: .idc updates
  1000.  
  1001. >>Unfortunately it uses a dos extender and can't be debugged straight off
  1002.                                                              ^^^^^^^^^^^^
  1003. I thought that there were ways you could debug dos extended programs with a
  1004. little work. Someone wrote a tutorial about a year ago and did this
  1005. (yamato?). I was wrong. Using NTice you can just debug it straight away. I
  1006. just placed a CCh at the point I wanted to break in at and it worked!
  1007. Thanks for the link, it has actually changed a little:
  1008. ************************************
  1009.  
  1010. Ghost uses a serial/key hash compare type protection (i.e. serials and key
  1011. are hashed with different algos and the hashes should match). By using
  1012. NTice I could just sniff one of them and then use brute force to get the
  1013. other to match. (of course you could also write inline asm to get the prog
  1014. to show the hash). IDA proved itself again by providing most of the asm
  1015. necessary to build the brute forcer.
  1016.  
  1017. Cracking Ghost this way has been an excellent exercise and I recommend it
  1018. to all of you (esp. those of you like me who are getting rusty on DOS
  1019. cracking!). Nice to have to reverse little procs instead of just seeing
  1020. GetStrLengthA etc.
  1021.  
  1022. Thanks to OWLs advice, I've made an .idc file which has my disassembly in
  1023. for those who want to look at the protection who don't have the time to
  1024. reverse it themselves. The file is ghost.zip and is available at my site
  1025. (unlinked). It is  336K - a big improvement on the 8 meg idb file!
  1026.  
  1027. >(and one more reason to go to 3.74 ;-)
  1028.  
  1029. looks like another 10mb d/l ;(
  1030.  
  1031. >>>
  1032. if anyone got this module please share it with us. i tried to get it a
  1033. couple of times in vain (yes, i am a registered user and they fucking
  1034. ignored my requests, although this didnt use to be the case earlier...).
  1035. <<<
  1036.  
  1037. Do you have a password to access their site? If so you can d/l from there.
  1038. ******************** Also, there's a mailing list for IDA to inform you of
  1039. updates. I can't remember how I got on it.
  1040.  
  1041. Does anyone know what the difference is between the freeware version and
  1042. the normal version? Or the student version? I asked for pricing information
  1043. and I need to pay 21% more because of VAT from the Europe distro site :(
  1044.  
  1045. ~~
  1046. Ghiribizzo
  1047.  
  1048. -----#6-------------------------------------------------
  1049. Subject: IDA 3.75 released
  1050.  
  1051. They've learned not to give out the demo this time! (see comments on the
  1052. forum for new features etc.)
  1053.  
  1054. ~~
  1055. Ghiribizzo
  1056.  
  1057.  
  1058.  
  1059.  
  1060. =====End of Issue 196===================================
  1061.  
  1062.  
  1063.  
  1064.  
  1065. ========================================================
  1066. +HCU Maillist          Issue: 197             04/18/1998 
  1067. --------------------------------------------------------
  1068. Send Articles To:......................... *************
  1069. Info, Help, Unsubscription, etc:....... ****************
  1070. Web Repository.........................hcuml.home.ml.org
  1071. ========================================================
  1072.  
  1073. CONTENTS:
  1074.  
  1075. #1  Subject: re: dos extender
  1076.  
  1077. ARTICLES:
  1078.  
  1079. -----#1-------------------------------------------------
  1080. Subject: re: dos extender
  1081.  
  1082. >>>
  1083. What kind of DOS extender does it use ? If it complies with the DPMI
  1084. standard, it is usually no problem to run in a Win95 DOS box and use
  1085. Winice to debug it. 
  1086. <<<
  1087.  
  1088. The program used Phar-lap DOS extender, but the problem was that it was
  1089. built into the program so I would have had to locate the DPMI startup code
  1090. etc. However, NTice deals with it perfectly so I didn't need to bother.
  1091.  
  1092. ~~
  1093. Ghiribizzo
  1094.  
  1095. =====End of Issue 197===================================
  1096.  
  1097.  
  1098.  
  1099.  
  1100. ========================================================
  1101. +HCU Maillist          Issue: 198             04/20/1998 
  1102. --------------------------------------------------------
  1103. Send Articles To:......................... *************
  1104. Info, Help, Unsubscription, etc:....... ****************
  1105. Web Repository.........................hcuml.home.ml.org
  1106. ========================================================
  1107.  
  1108. CONTENTS:
  1109.  
  1110. #1  Subject: Again on my satellite program
  1111.  
  1112. ARTICLES:
  1113.  
  1114. -----#1-------------------------------------------------
  1115. Subject: Again on my satellite program
  1116.  
  1117. Hello all,
  1118.  
  1119. this is what I received from Pepper of PC, who is quite good at 
  1120. cracking:
  1121. >>>>>>>>>>>>>>
  1122. That prog is a beast - no idea at all. I only can break into with BPX
  1123. ShowWindow but that helps nothing. I only saw progs like that once or
  1124. twice - seems to be seldom used compiler or whatever... Also: VB4
  1125. progs mostly I end up. You see - one cannot crack everything. I have 2
  1126. or 3 progs I work since months without success... Pepper
  1127. >>>>>>>>>>>>>>
  1128. anyone else wants to try my program? In summary, it's 500KB long, and 
  1129. it's used by satellite access card dealers to program the cards. 
  1130. While I'm not in Europe, and therefore unable to use the program for 
  1131. anything, I think it's quite a good cracking challenge. So far, about 
  1132. three people on this mailing list have asked for the program. If 
  1133. anyone else wants it, please e-mail me at **************
  1134.  
  1135. Thanks,
  1136. WAFNA
  1137.  
  1138. =====End of Issue 198===================================
  1139.  
  1140.  
  1141.  
  1142.  
  1143. ========================================================
  1144. +HCU Maillist          Issue: 199             04/21/1998 
  1145. --------------------------------------------------------
  1146. Send Articles To:......................... *************
  1147. Info, Help, Unsubscription, etc:....... ****************
  1148. Web Repository.........................hcuml.home.ml.org
  1149. ========================================================
  1150.  
  1151. CONTENTS:
  1152.  
  1153. #1  Subject: Dongle
  1154.  
  1155. ARTICLES:
  1156.  
  1157. -----#1-------------------------------------------------
  1158. Subject: Dongle
  1159.  
  1160. Hello I search informations on dongle named ACTIVATOR by Software 
  1161. Secutity Inc.
  1162.  
  1163. Thanks for your help.
  1164.  
  1165. =====End of Issue 199===================================
  1166.  
  1167.  
  1168.  
  1169.  
  1170. ========================================================
  1171. +HCU Maillist          Issue: 200             04/22/1998 
  1172. --------------------------------------------------------
  1173. Send Articles To:......................... *************
  1174. Info, Help, Unsubscription, etc:....... ****************
  1175. Web Repository.........................hcuml.home.ml.org
  1176. ========================================================
  1177.  
  1178. CONTENTS:
  1179.  
  1180. #1  Subject: Dongles !
  1181.  
  1182. ARTICLES:
  1183.  
  1184. -----#1-------------------------------------------------
  1185. Subject: Dongles !
  1186.  
  1187. Since we talkin bout dongles: I'm trying to crack a progiie (dongle
  1188. protected) that does'n break on bpio. I don't have the time to make that
  1189. dongle procedure detector pluged ino the lpt port and it starts to get
  1190. me nervous. Has anyone of You seen a proggie that woldNOT brake on bpio
  1191. ??? It is HASP protected proggie called Norma and I don't know if You
  1192. can dl the demo but if U are interested i can try to send the minimized
  1193. version. By the way, could polish readers contact me ?? I don't know
  1194. anyone on polish cracking scene, but i've seen some polich adds.
  1195.  
  1196.     Kubak **********************
  1197.  
  1198. =====End of Issue 200===================================
  1199.  
  1200.