The Art of Reversing by Ap0x - Tutoriali.org

ako SICE nije detektovan. Reversing ove funkcije mozete raditi ili na ulazu u
nju ili na izlazu iz nje, a mozete je raditi i na sredini. Bez nekog detaljisanja
(dobar deo ovoga je vec vise puta objasnjen u knjizi) preci cu na moguca resenja
ovog problema.
1) Ako zelimo mozemo da promenimo sam pocetak:
004523C4 /$ 53
004523C5 |. 33DB
004523C7 |. 5B
004523C8 |. C3
PUSH EBX
XOR EBX,EBX
POP EBX
RET
2) Mozemo da izmenimo i samo jedan skok:
0045232F |. 83F8 FF
CMP EAX,-1
00452332 |. EB 08 JMP SHORT Debugger.0045233C
00452334 |. 50 PUSH EAX ; /hObject
00452335 |. E8 CE43FBFF CALL ; \CloseHandle
0045233A |. B3 01
MOV BL,1
3) Ili mozemo da resetujemo EBX na samom kraju:
0045233C 33DB XOR EBX,EBX
0045233E |. 5B
POP EBX
0045233F \. C3
RET
Resenja je mnogo, mozete i sami smisliti neko. Moze se desiti da je string
koji trazimo (\\.\SICE) maskiran ili enkriptovan u fajlu i da ne mozemo da ga
nadjemo. U tom slucaju mozemo ovo mesto naci pomocu API funkcije
CreateFileA koja sluzi za pravljenje “fajla” \\.\SICE. API funkcije mozemo
naci tako sto cemo otvoriti Executables Module window (ALT + E) i tu u
glavnom exe fajlu pronaci nasu API funkciju pod opcijom View Names (CTRL
+ N). Ono na sta morate da pazite kada stavljate kondicionalni, importni ili
obican break-point na API funkciju je da ce program uvek zastati u dll fajlu u
kome se nalazi ta API funkcija (kernel32.dll, user32.dll itd.). Ono sto moramo
da uradimo da bismo se vratili u exe koji poziva tu API funkciju je da
izvrsimo kod do prve sledece RET funkcije, posle cega cemo se vratiti u ExE
kod odakle je pozvana ta funkcija.
Iako je ovo standardan nacin detekcije SICEa ali postoje i druge
metode koje se zasnivaju na detekciji aktivnih procesa i otvorenih prozora.
Za ovo se koriste druge API funkcije. Neke od njih mogu biti FindWindowA,
FindWindowExA, Process32First, Process32Next, MessageBoxA (prikaz poruke
o aktivnom debuggeru), itd. Ove zastite zaobilazite zavisno od slucaja do
slucaja ali najcesce se resavaju pomocu poruke o aktivnom debuggeru koju
programeri najcesce ostavljaju u programu. Ovo znaci da nam skoro u 90%
preostalih slucajeva programeri preko obicnog message boxa prikazuju
poruku da program nece biti startovan jer je neki od debuggera aktivan.
NAPOMENA: Primeticete da sam u prvom primeru reversinga SICE funkcije
izmenio 3 i 4 liniju u POP EBX i RET. Ovo RET je logicno jer ono sto se desava
je jednostavno vracanje iz CALLa a ono sto moramo uraditi pre vracanja je
da vratimo ulazne parametre funkcije pomocu komande POP (ulazni parametri
se ne moraju uvek nalaziti pre CALLa nego se mogu naci i unutar samog CALLa na
njegovom pocetku). Posto je jedini ulazni parametar EBX vracamo samo njega.
Nema preterane potrebe da ovo pamtite, ovo se moze jednostavno prepisati
sa kraja CALLa ali je bitno da imate na umu prilikom menjanja koda.
The Art of Reversing by Ap0x Page 128 of 293