The Art of Reversing by Ap0x - Tutoriali.org

ovom slucaju) da se vratimo iz 2 CALLa to jest da izvrsimo dve RET
komande. Kako ovo znamo Ne znamo, nego se jednostavno vracamo iz
jednog po jednog CALLa sa F8 dok ne dodjemo do koda koji izgleda kao
funkcija za prikazivanje ovog stringa na ekranu. Za ovo je potrebno malo
vezbe. Kada se konacno vratimo iz drugog CALLa videcemo ovo:
0045077E /74 13 JE SHORT Memory_C.00450793
00450780 |. |8B45 FC MOV EAX,DWORD PTR SS:[EBP-4]
00450783 |. |8B80 04030000 MOV EAX,DWORD PTR DS:[EAX+304]
00450789 |. |BA E0074500 MOV EDX,Memory_C.004507E0 ; ASCII "Error -
Modified"
0045078E |. |E8 C1F1FDFF
CALL Memory_C.0042F954
00450793 |> \33C0 XOR EAX,EAX
00450795 |. 5A POP EDX
Ovo vec izgleda kao deo koda koji sluzi za prikazivanje poruke na ekranu.
Ono sto treba da uradimo da se ova poruka nikada ne prikaze na ekranu je
da skok na adresi 0045077E promenimo iz JE u JMP i to je to. Program ce
uspesno umesto poruke o modifikaciji memorije prikazivati poruku o novom
memory checksumu. Sada mozemo snimiti ove promene pritiskom na desno
dugme -> Copy to executable -> All modifications -> Save...
Napomena:
Ovaj problem moze biti resen i mnogo jednostavnije ako znate koji je
to Win32API zaduzen za citanje memorije. Taj API je ReadProcessMemory.
Vezba:
Ova nasa modifikacija ce raditi samo u slucaju da smo promenili NAG
pomocu RET komande. Probajte isto ovo samo umesto RET komande unesite
RET pa NOP. Naravno program ce se zatvoriti. Na vama je da otkrijete gde se
vrsi provera da li je neka adresa NOPovana i da je zaobidjete.
Resenje:
Promenite skok na adresi 0045070C iz JNZ (JNE) u JMP.
The Art of Reversing by Ap0x Page 131 of 293