The Art of Reversing by Ap0x - Tutoriali.org

Adding functions #1
Ovo poglavlje ce vas nauciti kako da dodate najobicniji NAG ekran u
neki program i da se program posle toga moze startovati :) Pogledajte
primer CRC32.exe koji se nalazi u folderu Cas06. Primeticete da je to jedan
obican CRC32 kalkulator i da ako ga skeniramo sa PeIDom videcemo da je
pisan u Visual C++. Ova informacija je jako bitna jer se ova tehnika
dodavanja funkcija moze primeniti samo na Delphi, C++ i ASM programe.
Ono sto cemo mi u ovom poglavlju uraditi je dodavanje obicnog NAG
ekrana pre samog pocetka programa. Ovaj NAG ce biti obican Message Box
koji ce govoriti da smo mi dodali funkciju u program. Otvoricemo program
pomocu Ollyja i zapamticemo kako izgleda OEP. Trebace nam samo prvih par
linija koda pa cemo ih iskopirati u Notepad. Trebaju nam ove linije:
00401580 > $ 55 PUSH EBP
00401581 . 8BEC MOV EBP,ESP
00401583 . 6A FF PUSH -1
00401585 . 68 00404000 PUSH CRC32.00404000
0040158A . 68 88264000 PUSH CRC32.00402688
Zasto smo uzeli samo ove linije Zato sto cemo zameniti ovaj OEP sa
nekom nasom komandom ali posle izvrsavanja naseg koda ovaj OEP moramo
i da vratimo nazad pa smo ga backupovali.
Prvo trebamo naci mesto gde cemo ubaciti nas NAG ekran. To mesto uvek
trazimo tamo gde ima puno praznih, neiskoriscenih 00 ili 90 bajtova. Posto
ce nam za ubacivanje NAGa i vracanje OEPa trebati oko 50 bajtova onda
cemo mesto za ubacivanje koda traziti na kraju fajla gde po pravilu ima
mnogo slobodnih 00 bajtova. Kao sto vidimo od adrese 00403356 pa do
00403FFF ima vise nego dovoljno mesta za ovo:
00403356 00 DB 00
...
00403FFF 00 DB 00
Tacnije ovde ima 3241 bajt slobodnog prostora. Pre ubacivanja samog
MessageBoxA moramo da znamo da li se u fajlu nalazi API poziv ka
MessageBoxA apiju i ako se nalazi koji su mu parametri. Mozete slobodno da
odete u module i proverite da se API MessageBoxA stvarno nalazi u fajlu i da
se API moze koristiti. Sama API funkcija ima sledece parametre:
MessageBoxA(hwnd, Text, Naslov, MB_TIPMESSAGEBOXA);
gde su:
- hwd; vlasnik messageboxa, moze biti nula
- Text; Tekst koji ce pisati unutar messageboxa
- Naslov; Naslov prozora messageboxa
- Tip; Da li je messagebox informacija ili upozorenje ili....
A ovo bi u ASMu izgledalo ovako:
PUSH Tip
PUSH Naslov
PUSH Text
PUSH 0
CALL MessageBoxA
Pre nego sto unesemo ovaj CALL negde u slobodnom prostoru prvo moramo
da unesemo sve tekstove koji se pojavljuju u messageboxu. Ovo radimo zato
sto se u PUSH komandama za naslov i text ne nalaze ASCII vrednosti nego
The Art of Reversing by Ap0x Page 118 of 293