The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
NACIN 1:<br />
Prvi nacin je izuzetno lak i ne zahteva nikakve dodatne alate sem Ollyja.<br />
Posto smo backupovali OEP u Notepad znamo tacno kako on izgleda i<br />
mozemo ga izmeniti i posle vratiti. Dakle u Notepadu imamo ovo:<br />
00401580 > $ 55 PUSH EBP<br />
00401581 . 8BEC MOV EBP,ESP<br />
00401583 . 6A FF PUSH -1<br />
00401585 . 68 00404000 PUSH CRC32.00404000<br />
0040158A . 68 88264000 PUSH CRC32.00402688<br />
Otici cemo na adresu 00401580 i izmeniti je tako da ona vodi direktno do<br />
adrese 00403384 gde pocinje prikazivanje NAGa. Izmenicemo adresu<br />
00401580 u jedan obican skok:<br />
00401580 > /E9 FF1D0000 JMP CRC32.00403384<br />
00401585 . |68 00404000 PUSH CRC32.00404000<br />
0040158A . |68 88264000 PUSH CRC32.00402688<br />
Dakle uneli smo jmp 00403384 ali smo na racun toga izgubili par redova<br />
OEPa koje moramo negde nadoknaditi. Izgubljeni redovi su:<br />
00401580 > $ 55 PUSH EBP<br />
00401581 . 8BEC MOV EBP,ESP<br />
00401583 . 6A FF PUSH -1<br />
Pa cemo njih uneti odmah ispod NAGa koji pocinje na adresi 00403384. Otici<br />
cemo dole i na adresi 00403398 cemo uneti delove koji nedostaju.<br />
00403398 . 55 PUSH EBP<br />
00403399 . 8BEC MOV EBP,ESP<br />
0040339B . 6A FF PUSH -1<br />
i dodacemo jedan skok koji ce vratiti program na prvu neizmenjenu adresu<br />
odozgo, na 00401585.<br />
0040339D .^\E9 E3E1FFFF<br />
JMP CRC32.00401585<br />
I time smo zavrsili sa dodavanjem obicnog NAG ekrana u program. Sada<br />
ostaje samo da snimimo promene i pokrenemo snimljeni fajl. Fajl<br />
crc32_added.exe pokazuje kako dodati NAG treba da izgleda.<br />
NACIN 2:<br />
Prvi nacin je izuzetno lak ali drugi nacin moze biti jos laksi ali zahteva<br />
upotrebu dva alata: Ollyja i LordPe-a. Kada smo uneli NAG treba odmah<br />
ispod NAGa da dodamo skok koji ce nas vratiti na OEP posto se posle<br />
izvrsavanja NAGa program vraca na pocetak. Dodajte red:<br />
00403398 .^\E9 E3E1FFFF JMP CRC32.00401580<br />
Ovo radimo zato sto cemo promeniti OEP programa sa 00401580 na<br />
00403384 tako da ce se prvo izvrsiti NAG pa tek onda sve ostalo. Kada smo<br />
dodali i ovaj red snimimo promene. Da bismo promenili OEP fajla otvoricemo<br />
novosnimljeni fajl pomocu LordPe-a. Kliknite na PE-Editor dugme i izaberite<br />
novosnimljeni fajl i u njemu cemo izmeniti OEP u novu adresu 00403384 –<br />
ImageBase 00400000 = 00003384. Ovo treba da<br />
izgleda kao na slici. Posle promena mozemo da<br />
pritisnemo Save, da zatvorimo LordPE i da<br />
startujemo fajl sa izmenjenim OEPom. Videcemo<br />
da smo uspeli i da program radi bez ikakvih<br />
problema.<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 120 <strong>of</strong> 293
Change language