The Art of Reversing by Ap0x - Tutoriali.org

“Not Getting Caught :)” - Exerecise
Ako niste primetili pored primera …\Casovi\Cas7\Debugger check.exe
postoji i primer …\Casovi\Cas7\Debugger Check2.exe. Ovaj drugi je napravljen
da bude vezba za izbegavanje detekcije debuggera. Ako ste pazljivo citali
prvi i drugi deo ovog poglavlja bez problema cete zaobici sve ove zastite i
resicete uspesno i ovu vezbu. Pokusajte sami da resite ovaj problem a ako ne
budete mogli vratite se ovde da utvrdite gradivo.
Resenje:
Ako citate ovaj deo pretpostavljam da niste sami mogli da se
oslobodite provere debuggera u primeru. Pretpostavljam da ste krenuli
logickim redosledom tako sto ste zapamtili poruku o detektovanom
debuggeru i probali ste da je potrazite u fajlu. Ali, desilo se nesto jako cudno,
nema takve niti bilo kakve slicne poruke u fajlu :) Ono sto sam namerno
uradio za ovu vezbu je enkripcija stringova unutar samog fajla. To znaci da
su stringovi i dalje tu samo nisu isti u fajlu i u memoriji. Ovo znaci da se
stringovi pre upotrebe dekriptuju u svoj pravi oblik. Naravno vi ne znate
kakav sam ja algoritam koristio za enkripciju stringova tako da nikako ne
mozete znati kako koja poruka izgleda enkriptovana. Ono sto cemo mi uraditi
je veoma jednostavno, koristicemo drugi metod za pronalazak mesta gde se
proverava da li je program otvoren uz pomoc debuggera. Trazicemo ova
mesta pomocu API poziva. Otvoricemo ovaj program uz pomoc Ollyja i
postavicemo break-point na MessageBoxA API posto se pomocu njega
prikazuje poruka o aktivnom debuggeru. Ovo se radi u Executable modulima
(ALT + E), pod opcijom View Names (CTRL + N); Toggle break-point on
import, ako ste zaboravili. Sada pokrenimo ovaj primer i sacekajmo da
program dodje do break-pointa. Uklonimo ovaj break-point pritiskom na F2.
Posto se nalazimo u dll fajlu sa F8 cemo izvrsavati kod polako dok ne
dodjemo do RET komande i dok se i ona ne izvrsi. Sada, kada smo se vratili
iz funkcije, nalazimo se na adresi 00450D7F. Ovo izgleda kao funkcija koja
prikazuje poruku o prisustvu debuggera. Ovo cemo ukloniti jednostavnim
postavljanjem obicne RET komande na adresi 00450D44. Resetujmo program
sa CTRL + F2 i izmenimo adresu 00450D44 u RET (C3). Startujmo program i
videcemo da se poruka opet pojavila. Hmmm. Resetujmo program opet,
izmenimo adresu 00450D44 i postavimo opet break-point na MessageBoxA.
Program je opet stao u nekom dll-u i posle izvrsavanja RET komande
vraticemo se u deo koda koji poziva MessageBoxA API. Sada se nalazimo na
adresi 00450847. Hmmm ovaj CALL izgleda isto kao onaj koji pocinje na
adresi 00450D44. Da li postoje dve vrste provere Zapamtimo dve adrese
00450D44 i 0045080C posto su one pocetne adrese ovih CALLova.
Resetujmo program sa CTRL + F2 i pomocu Go To adress opcije (prvo dugme
na levo pored dugmeta L u toolbaru) otici cemo na obe ove adrese. Kada odemo
na prvu i selektujemo je videcemo detalje o njoj:
Local call from 00450DED
The Art of Reversing by Ap0x Page 136 of 293