The Art of Reversing by Ap0x - Tutoriali.org

tastaturi njegovo ime. Sada kada smo ga nasli i selektovali postavicemo
break-point na njega, pritisnite desno dugme na tom APIju i selektujete
Toggle breakpoint on import, sto znaci da ce program stati kada program
prvi put pozove ovaj API. Sada pokrenite program i pritisnite ::Run Game:: i
program je zastao ovde:
Ako pogledate ovo cudno mesto gde smo sada nista vam nece biti jasno.
Videcete samo da EAX sadrzi string A: i da ovaj deo koda najverovatnije sluzi
sa proveru uredjaja A: Ali ovde nam je nesto cudno, pogledajte te adrese sa
strane 77, kao da se nalazimo u nekom DLLu Ako pogledate ime
prozora Ollyja videcete da u njemu pise [CPU main thread, module kernel32]
sto znaci da mi i jesmo u DLLu i to u kernel32.dll Skinimo ovaj break-point sa
77E69143 (moze se razlikovati na vasem kompjuteru) i pritiskajuci F8 sve dok se
ne izvrsi i RET 4 komanda. Sada smo se iz kernel32.dll-a vratili u nasu metu.
Nalazimo se u jednoj malo duzoj petlji odmah ispod:
00408403 |. 50 |PUSH EAX ; /RootPathName
00408404 |. E8 93C7FFFF |CALL JMP.&kernel32.GetDriveTypeA ; \GetDriveTypeA
a odmah iznad
00408409 |. 83F8 05 |CMP EAX,5 \43
004084AB |. 83FB 5B
|INC EBX
|CMP EBX,5B
004084AE |.^ 0F85 08FFFFFF \JNZ cd.004083BC
Primecujemo da se ovde EBX poredi sa 5Bh ili sa 91 decimalno, ako je broj
veci ili jednak program ce nastaviti sa izvrsavanjem i izaci ce iz ove petlje.
Ovo znaci da ce se pretraziti svi uredjaji u sistemu od A: do Z: (90 je ASCII
kod za Z) u potrazi za CD-ROMom. Ok sada smo saznali dosta o ovoj zastiti
postavimo break-point na 00408409 da saznamo sta se dalje desava posle
provere CMP EAX,5. Ako pritisnemo F8 program ce izvrsiti ovu komandu i
preci ce na izvrsavanje sledece. Ono sto ne zelimo da se desi je da se izvrsi
skok na kraj petlje pa cemo NOPovati adresu 0040840C. Izvrsavamo kod sa
F8 sve dok ne stignemo do adrese 0040842B kada nam sadrzaj EAXa izgleda
jako zanimljivo. EAX je sada jednak “A:\main.xxx”. Sta ovo znaci Ovo znaci
da program ili proverava postojanje fajla “A:\main.xxx” na “CDu” ili
The Art of Reversing by Ap0x Page 112 of 293