The Art of Reversing by Ap0x - Tutoriali.org

PUSH 443600
Kod za otvaranje web-strane
PUSH 443616
PUSH 1
CALL 00408388 }
JMP 00408625
Prvo cemo uporediti ESI sa 0BBD, to jest sa dugmetom Visit Web site. Ako je
pritisnuto ovo dugme onda cemo ga posetiti pomocu ShellExecuteA funkcije.
Napominjem da adresu na kojoj se nalazi ova funkcija u fajlu morate naci u
View Names opciji u modulima. I poslednje, ali i najvaznije je da se
postaramo da se novi dijalog i pojavi na ekranu. Selektovacemo adresu
00443673 i unecemo sledece:
CMP ESI,0BBA
JNZ 00408625
PUSH 0 {
PUSH 4085C8
PUSH 0
PUSH 3E7
Kod za prikazivanje dijaloga
PUSH DWORD PTR DS:[40A84C]
CALL 00404BFC }
JMP 00408625
Ovde smo prvo uporedili ESI sa 0BBA, odnosno sa starim dugmetom , ovo
nas je podsetilo da ovakav CMP nismo NOPovali gore pa cemo se posle vratiti
na to. Ako je pritisnuto staro dugme onda cemo prikazati dijalog na ekran.
Ovo je samo copy / paste backupovanog koda sa 00408722 koji sluzi za
prikazivanje prvog dijaloga na ekran. Posle ovoga se jednostavno vracamo u
gornji loop za proveru WM poruka sa obicnom JMP komandom. Sada cemo
snimiti nase promene, selektovacemo kod od 00443600 do 0044369D (jer
smo taj deo koda dodali) i pritisnucemo desno dugme -> Copy to executable -
> Section i snimicemo ovaj fajl kao Addon2.exe, pa cemo otvoriti ovaj novi
fajl pomocu Ollyja.
Sada cemo se vratiti da povezemo stari loop sa novim loopom poruka.
NOPovacemo sve od 00408611 pa do 00408624 jer nam taj dao koda ne
treba. Na njegovo mesto cemo ubaciti pojavljivanje novog dijaloga i obradu
poruka. Selektovacemo adresu 00408611 i na to mesto cemo ubaciti sledeci
kod:
JMP 00443620
Posle ovoga nam ostaje samo da ubijemo staru proveru za dugme , BBA.
Zato cemo NOPovati adrese:
00408609 |> \81FE BA0B0000 CMP ESI,0BBA
0040860F |. 75 14
JNZ SHORT AddOn2.00408625
Sada kada smo sve zavrsili mozemo da snimimo promene pritiskom na desno
dugme -> Copy to executable -> All modifications -> Copy All -> desno ->
Save file... i mozemo probati fajl. Ako ste nesto propustili ili niste dobro
uradili program ce vam se srusiti, dobro uradjen primer imate u istom folderu
pod imenom AddOn3.exe, pa mozete videti kako to treba da izgleda.
NAPOMENA: Ovo je izuzetno teska tehnika i zahteva zaista dosta prakse. Zbog
ovoga ne ocajavajte ako ne razumete sve sada ili ne mozete da naterate
program da se startuje. Posle kad sakupite dosta reverserskog iskustva
vratite se na ovo poglavlje.
The Art of Reversing by Ap0x Page 124 of 293