The Art of Reversing by Ap0x - Tutoriali.org

Ovde tri tackice naravno znace neodredjeni i proizvoljni broj linija koda. Prve
dve komande MOV nisu ni bitne, tu su samo da predoce neki kod. Ono sto je
bitno je neka TEST provera, recimo postojanje odredjenog fajla na CDu. Ako
fajl postoji onda ce se JE skok izvrsiti i EAX ce sadrzati broj 1, a ono JE
no_cd_inserted se nece izvrsiti. A ako taj fajl ne postoji onda ce se izvrsiti
XOR EAX,EAX sto je jednako komandi MOV EAX,0 i onda ce se onaj skok JE
no_cd_inserted izvrsiti i prikazace se poruka o pogresnom CDu.
Najcesce se u CALLu koji sluzi za proveru CDa mogu naci i funkcije to
jest CALLovi koji sluze za proveru tipa drajva. To jest da li je drajv koji se
posmatra CD-ROM, FLOPPY, HARD-DISC, DVD,... Za ovo se koristi
windowsova api funkcija GetDriveTypeA. Ona glasi ovako:
GetDriveType Lib "kernel32" Alias "GetDriveTypeA" (ByVal nDrive As String) As Long
U ASMu bi ovo izgledalo otpilike ovako:
check_for_cd:
...
MOV ECX,03 {neke ASM funkcije, koje su nama nebitne}
MOV EBX,401234{neke ASM funkcije, koje su nama nebitne}
...
...
PUSH drive_letter
CALL GetDriveTypeA
CMP EAX,00000005
JNE not_CD_drive
...
not_CD_drive:
XOR EAX,EAX
RET
Ovde se desava sledece. Prosledjuju se potrebni parametri funkciji
GetDriveTypeA, ona se poziva i vraca rezultat u EAX. Ako u EAXu nije broj 5
onda skoci na deo koji brise EAX (EAX = 0) i vrati se iz ovog CALLa.
Primecujete da je identifikacioni broj CD uredjaja 5. Ovo JNE se takodje
moze srediti jednim NOPom. Ova funkcija nam moze mnogo pomoci pri
trazenju mesta gde se proverava tip uredjaja a samim tim i da li je pravi CD
ubacen. Kao sto vidite postoji vise nacina na koje mozemo srediti CD
proveru, ali najjednostavniji je sredjivanje skoka odmah posle CALL
check_for_cd funkije. Ovo su samo neki teorijski primeri iz moje glave. CD
provera uopste ne mora a u vecini slucajeva i ne izgleda ovako, ali najcesce
postoji veoma mnogo slicnosti izmedju ovoga sto sam napisao i situacija u
“stvarnom svetu”.
The Art of Reversing by Ap0x Page 110 of 293