NSIS decompiler

, Wie Sie auf die NSIS-Installer-Skript?

Okay, ist das große Thema für diesen post.

http://netcologne.dl.sourceforge.net/project/nsis/NSIS%202/2.09/nsis-2.09-src.tar.bz2

NSI-2.09-src\Source\exehead\fileform.c

NSI-2.09-src\Source\exehead\fileform.h

#define FH_SIG 0xDEADBEEF

//neato surprise signature that goes in firstheader. :)
#define FH_INT1 0x6C6C754E  //'Null'
#define FH_INT2 0x74666F73  //'soft'
#define FH_INT3 0x74736E49  //'Inst'

typedef struct
{
  int flags; //FH_FLAGS_*
  int siginfo;  //FH_SIG

  int nsinst[3]; //FH_INT1,FH_INT2,FH_INT3

  //these point to the header+sections+entries+stringtable in the datablock
  int length_of_header;

  //this specifies the length of all the data (including the firstheader and CRC)
  int length_of_all_following_data;
} firstheader;

Daten Beispiel:

$ ==>  00000000  ....
$+4    DEADBEEF  
$+8    6C6C754E  Null
$+C    74666F73  soft
$+10   74736E49  Inst 
$+14   000268E2            157 922  length_of_header (inside <<Compressed Data>>)
$+18   011947CB         18 433 995  length_of_all_following_data
       <<Compressed Data>>

$+011947CB CRC32

Bekommen <<Komprimierte Daten>> Unkomprimierte

Sowie diese Daten geschrieben nach %temp%
allerdings mit ShareMode=None und Attribute = DELETE_ON_CLOSE so können Sie nicht darauf zugreifen.

Fix:
    Inside 'NSIS Setup.exe'
Replace 
    68 00 01 00 04 with
    68 00 00 00 00
    To avoid that this tempfile get's create with DELETE_ON_CLOSE

Background:

    00402E56  |.  68 00010004   PUSH    4000100                          ; |Attributes = TEMPORARY|DELETE_ON_CLOSE
                  ^^^^^^^^^^^-Patch Target
    00402E5B  |.  6A 02         PUSH    2                                ; |Mode = CREATE_ALWAYS
    00402E5D  |.  53            PUSH    EBX                              ; |pSecurity
    00402E5E  |.  53            PUSH    EBX                              ; |ShareMode
    00402E65  |.  68 000000C0   PUSH    C0000000                         ; |Access = GENERIC_READ|GENERIC_WRITE
    00402E6A  |.  50            PUSH    EAX                              ; |FileName
    00402E6B  |.  FF15 90704000 CALL    [<&KERNEL32.CreateFileA>]        ; \CreateFileA

Okay, dass big <> Uncompressed temporäre Datei beginnt so:

00000000   E2 68 02 00 A0 00 00 00  2C 01 00 00 08 00 00 00  2C   âh      ,       ,

E2 68 02 00 -> 000268E2 157 922 length_of_header (innen, <>)

Nur schneiden Sie diesen Datenblock und auch das NSIS-Skript als unkomprimierte Raw -

Den rest der Daten sind Daten, Dateien, 7z extrahieren für Sie.

Update: Holen Sie Sich Universal Extractor

Es nutzt

cmdTotal 1.02 (c) 2006/2007 KaKeeware, http://www.kakeeware.com

mit plugin: InstExpl.wcx

mehr oder weniger erfolgreich extrahieren Nullsoft Setup.exe.
Seien Sie vorsichtig, nicht zu viel Vertrauen auf die extrahierten Dateien - gibt es irgendwas beschädigt.
(Lieber 7zip dafür.)
Aber die Hauptsache dieses Verfahrens ist die
Skript.bin
Das war auf die 3-4 Beispiel habe ich die test in guter Form. 🙂

Okay ein update:
Hier ist eine wirklich frühe version von meinem
NullsoftDecompiler 1.2 alpha

Im moment ist es noch stark in Entwicklung, aber hier ist die erste, die rohen unbearbeiteten version.

UPDATE(Über ein Jahr später):
NullsoftDecompiler 3

Schließlich habe ich noch Hinzugefügt Dekompression unterstützen.

Davon gehe ich aus Ihrer Frage, dass Sie möchten, um reverse Engineering einen NSIS installer mit Windows Installer-Datenbank. Es gibt kommerzielle Programme, genannt "Repackagers", die im Grunde erfassen den Status der änderungen durch einen bestimmten Prozess oder Installateur und verwandeln Sie sich in ein MSI-Projekt. Beachten Sie, dass diese Programme erfassen nur 1 Instanz der business Regeln von der NSIS-Paket. Manchmal ist es notwendig, um die Ausführung des Prozesses mehr als einmal, anaylize die Unterschiede im Verhalten und Autor manuell in Ihr installieren.

Schrieb ich einen blog über diese fast sechs Jahren:

http://blog.deploymentengineering.com/2004/12/chriss-rant-about-repackaging.html