The Art of Reversing by Ap0x - Tutoriali.org

Ovo znaci da se ovaj CALL poziva samo sa adrese 00450DED. A kada odemo
na adresu 0045080C videcemo sledece:
Local calls from 004509BA, 00450A13, 00450A45, 00450A67, 00450A89, 00450AAB,
00450ACD, 00450AEF, 00450B11
to jest da se on poziva sa vise adresa. Na svaku od ovih adresa mozemo da
odemo pritiskom da desno dugme na ovoj liniji i selekcijom na koju to adresu
zelimo da odemo. Ako odemo samo na neke od tih adresa bice nam jasno sta
se tu desava. Otici cemo samo na adrese 00450DED i na adresu 00450B11.
Na adresi 00450DED imamo:
00450DC3 . 27 20 37 25 2 ASCII "' 7%%'"
00450DC9 . 30 62 24 2D 3 ASCII "0b$-7,&nb#22.+!#"
00450DD9 . 36 2B 2D 2C 6 ASCII "6+-,b5+..b',&l",0
00450DE8 . E8 87F9FFFF CALL IsDebuggerPresent ; [IsDebuggerPresent]
00450DED . E8 52FFFFFF CALL Debugger.00450D44
00450DF2 . C3
RET
Ovaj prvi kod prikazuje poziv poruci o detektovanom debuggeru odmah posle
CALLa IsDebuggerPresent APIja. Ok sada znamo da program prisustvo
debuggera proverava uz pomoc API funkcije. Ovo je prvi deo provere. Drugi
deo provere se nalazi na adresi 00450B11. Na toj adresi imamo ovo:
00450B09 |. 50 PUSH EAX ; /Title
00450B0A |. 6A 00 PUSH 0 ; |Class = 0
00450B0C |. E8 0F62FBFF CALL FindWindowA ; \FindWindowA
00450B11 |. E8 F6FCFFFF CALL Debugger.0045080C
00450B16 |. 33C0
XOR EAX,EAX
odakle zakljucujemo da je druga provera FindWindowA. Resenje obe ove
provere je izuzetno lako. Mozemo jednostavno staviti RET komande na
adresama 00450D44, 0045080C i problem je resen. Ako zelimo da vidimo
koje to prozore ovaj program trazi mozemo jednostavno postaviti breakpointe
na sve CALLove ka FindWindowA APIju. Imajte na umu da se breakpointi
ne postavljaju na sam CALL FindWindowA nego na PUSH EAX pre toga
posto ce se tada u EAXu nalaziti naslov (title) prozora koji se trazi.
The Art of Reversing by Ap0x Page 137 of 293