The Art of Reversing by Ap0x - Tutoriali.org

Passwords – Olly & VB
Visual Basic kao uvek je prica za sebe pa ce i uklanjanje zvezdica sa
password polja u VB programima biti prica za sebe. Meta za ovaj deo knjige
se nalazi u folderu Cas8 a zove se pwdMe2.exe. Otvorite ovu metu pomocu
Ollyja. Sada pocinju muke, treba pronaci kako se zove forma u kojoj se
nalazi, nepoznati textbox sa passwordom i kako se konacno sklanjaju
zvezdice. Otici cemo u string reference i tamo cemo pronaci sto vise
informacija o samoj meti. Videcemo koji se to objekti pojavljuju u exe fajlu.
To su:
004013F8 DD pwdMe2.00401410
ASCII "Form1"
00401814 DD pwdMe2.00401474 ASCII "Form"
0040183C DD pwdMe2.00401500
ASCII "Command1"
00401864 DD pwdMe2.0040151C ASCII "Text2"
0040188C DD pwdMe2.00401524
ASCII "Text1"
Znaci imamo samo jednu formu sa dva Textboxa i jednim dugmetom. Posto
se objektima dodeljuju vrednosti na samom pocetku fajla kliknucemo na
sadrzaj jednog od textboxova iz istog forma. Kliknucemo 2x na ovo:
Text strings referenced in pwdMe2:.text, item 7
Address=00401297
Disassembly=ASCII "CrackeR",0
jer ne znamo sta je sadrzaj password polja a ono se nalazi dovoljno blizu.
Ovo iznad nam izgleda mnogo sumljivo:
00401260 > \1D 010B0B00 SBB EAX,0B0B01
00401265 . 70 77 JO SHORT pwdMe2.004012DE
00401267 . 64:55 PUSH EBP ; Superfluous prefix
00401269 . 6E OUTS DX,BYTE PTR ES:[EDI] ; I/O command
0040126A . 48
DEC EAX
0040126B . 696465 4D 650>
IMUL ESP,DWORD PTR SS:[EBP+4D],1120065
00401273 . 0022 ADD BYTE PTR DS:[EDX],AH
00401275 . 0100 ADD DWORD PTR DS:[EAX],EAX
00401277 . 2A00 SUB AL,BYTE PTR DS:[EAX]
00401279 . 2803 SUB BYTE PTR DS:[EBX],AL
0040127B . FF03
INC DWORD PTR DS:[EBX]
0040127D . 26:0000
ADD BYTE PTR ES:[EAX],AL
00401280 . 0001 ADD BYTE PTR DS:[ECX],AL
00401282 . 05 00546578 ADD EAX,78655400
00401287 . 74 31 JE SHORT pwdMe2.004012BA
00401289 . 0002 ADD BYTE PTR DS:[EDX],AL
0040128B . 04 78
ADD AL,78
0040128D . 00F0
ADD AL,DH
0040128F . 0007
ADD BYTE PTR DS:[EDI],AL
Da li je ovo podatak koji nam treba Ako pretrazimo ovaj kod naci cemo
tacno jedan 2A bajt. Ovo bi u ASCIIju znacilo *, tako da to moze biti bas ono
sto trazimo. Selektovacemo adresu 401277 i kliknucemo na desno dugme ->
Binary -> Edit. I izmenicemo ovaj bajt 2A u 00 vodeci se onim sto smo
naucili od Delphija. Startovacemo program sa F9 i videcemo da u password
polju sada pise: pwdUnHideMe. Dakle uspeli smo provaliti smo u VB
passworde. Naravno postoji laksi nacin da nadjemo ovaj bajt pomocu nekog
Hex editora cemo samo potraziti 2A bajtove i pogledacemo gde se oni nalaze.
Ako se nalazi blizu nekog textboxa moguce je da je on bas taj bajt koji
trazimo. Ako postoji vise ovakvih polja moracete malo da pogadjate na koji
se textbox odnosi 2A bajt i da li on uopste pripada nekom textboxu.
The Art of Reversing by Ap0x Page 150 of 293