The Art of Reversing by Ap0x - Tutoriali.org

kojeg se program “obraca” ovoj kontroli. Kada otvorimo crackme pomocu
ResHackera imacemo ovo:
900 DIALOG 0, 0, 240, 191
STYLE DS_MODALFRAME | DS_CONTEXTHELP | WS_POPUP | WS_VISIBLE | WS_CAPTION |
WS_SYSMENU
CAPTION "NAG-SCREEN"
LANGUAGE LANG_NEUTRAL, SUBLANG_NEUTRAL
FONT 8, "MS Sans Serif"
{
CONTROL "&Continue", 1, BUTTON, BS_PUSHBUTTON | BS_CENTER | WS_CHILD |
WS_VISIBLE | WS_DISABLED | WS_TABSTOP, 92, 172, 50, 14
CONTROL "NAG", 101, STATIC, SS_CENTER | WS_CHILD | WS_VISIBLE, 20, 48, 200, 10
CONTROL "This nag stays here for 10 seconds, because", 102, STATIC, SS_CENTER |
WS_CHILD | WS_VISIBLE, 20, 120, 192, 8
CONTROL "you did not pay for this program !", 103, STATIC, SS_CENTER | WS_CHILD |
WS_VISIBLE, 20, 132, 200, 9
CONTROL "NAG, NAG, NAG ;))", 104, STATIC, SS_CENTER | WS_CHILD | WS_VISIBLE, 40,
146, 148, 13
...
}
iz cega smo saznali mnogo... Saznali smo da je ID cele forme koja se
pojavljuje na ekranu 900 (decimalno) i saznali smo da je ID dugmeta
Continue jednak 1. Ovo je bitno jer kada program na ASM nivou zeli da uradi
nesto sa nekim objektom on prvo mora da zna na koji objekat se data
komanda odnosi. Dakle ono sto je sigurno je da ce se kao jedan od
parametara API funkciji koja ukljucuje dugme sigurno proslediti i ID
dugmeta. To bi moglo da izgleda bas ovako:
PUSH ukljuci_dugme
PUSH Id_controle
PUSH neki_drugi_parametri
CALL UkljuciDugmeAPI
Kao sto vidimo moraju se koristiti PUSH komande, a PUSH 1 kako bi trebalo
da izgleda prosledjivanje IDa dugmeta bi u hex obliku izgledalo ovako 6A01.
Sada samo treba da potrazimo ovaj binarni string u fajlu i videcemo odakle
se to poziva API za ukljucivanje dugmeta. Pritisnite CTRL + B u CPU prozoru
Ollyja da nadjete ovaj string. Kada unesete 6A01 prozor koji se pojavio treba
da izgleda ovako:
Pritiskom na dugme OK
program ce nas odvesti
na adresu 0040111B a
ocigledno je da je to
pogresna adresa jer
CreateFileA sluzi za nesto
drugo. Pritisnucemo onda
CTRL+L (search again) i
zavrsicemo na adresi
0040125A gde se nalazi
par zanimljivih redova:
PUSH 1 // enable = true,
red PUSH 1 // ControlID i red CALL EnableWindow pa je ocigledno da se API
EnableWindow koristi za ukljucivanje dugmeta a da su mu parametri handle
kontrole i true ili false switch.
The Art of Reversing by Ap0x Page 142 of 293