The Art of Reversing by Ap0x - Tutoriali.org

Ova RVA adresa je 00443600 a ovo predstavlja prvu RVA adresu od 1000
novih dodatih bajtova. Ovde cemo dodavati nas kod. Sada pocinje prava
zabava :)
Prvo cemo dodati sve ASCII vrednosti koje su nam potrebne. Selektovacemo
adresu 00443600 i pritisnucemo desno dugme i izabracemo Binary -> Edit...
U novootvorenom prozoru cemo u ASCII polje uneti http://www.google.com
a primeticete da Keep size checkbox ne sme da bude otkacen.
Drugi string cemo ubaciti na adresi 00443616, tako da cemo selektovati
00443615 i izmeniti drugi bajt i tri iza njega u string “open” - bez navodnika.
Zasto ovako razmacinjemo dva stringa Zato sto se svaki string mora
zavrsavati sa po jednim 0x00 bajtom.
Dalje cemo presresti loop koji je zaduzen za prevodjenje poruka i njihovu
interpretaciju. Ovaj loop se najlakse nalazi tako sto cemo naci mesto gde se
nalaze WM_nesto komande. Taj CALL pocinje ovde 004085C8, a vec je
definisan kada se pojavio default dijalog na ekranu. Pogledajte ovu adresu:
00408724 . 68 C8854000 PUSH original.004085C8 ; |DlgProc = original.004085C8
NOPovacemo sve od 00408611 pa do 00408624 jer nam taj dao koda ne
treba. Na mesto prikazivanja poruke kada se pritisne dugme cemo ubaciti
pojavljivanje novog dijaloga i obradu poruka. Selektovacemo adresu
00408611 i na to mesto cemo ubaciti sledeci kod:
JMP 00443620
a ovo ce nas odvesti do novog koda koji cemo dodati na toj adresi.Na adresi
00443620 dodajte kod:
CMP ESI,0BBF
JNZ 00443643
PUSH 40 {
MOV EAX,DWORD PTR DS:[409290]
PUSH EAX
MOV EAX,DWORD PTR DS:[409294]
Kod za prikazivanje MsgBoxA
PUSH EAX
PUSH EBX
CALL 00404C2C }
JMP 00408625
NOP
NOP
Sta se ovde desava Prvo se ESI (sadrzace ID objekta koji je pritisnut)
uporedjuje sa 0BBF, to jest proveravamo da li je pritisnuto drugo (novo)
dugme , a ako jeste onda cemo prikazati backupovani messagebox sa
starog (00408611) Posle ovoga se proverava ako ovo nije tacno program ce
skociti na neku dalju adresu, a ako je ESI 0BBF onda ce se prikazati
MessageBox na ekranu. Ako se pokaze MessageBox na ekranu onda cemo se
posle prikazivanja MessageBoxa vratiti u loop za proveru poruka pomocu
JMPa. Dalje cemo selektovati adresu 00443643 i unecemo sledece:
CMP ESI,0BBE
JE 00408374
Ovde poredimo ESI sa dugmetom za gasenje programa, EXIT. Ako je
pritisnuto ovo dugme program ce otici na mesto iznad message loopa koje je
zaduzeno za gasenje programa. Ovo smo ranije odredili da se nalazi na
adresi 00408374. Dalje cemo selektovati adresu 00443655 i unecemo:
CMP ESI,0BBD
JNZ 00443673
PUSH 1 {
PUSH 0
PUSH 0
The Art of Reversing by Ap0x Page 123 of 293