The Art of Reversing by Ap0x - Tutoriali.org

Time-Trial
Postoji veliki broj programa pisan u svim programskim jezicima cije je
koriscenje ograniceno na jedan, a najcesce veoma kratak, vremenski period.
Jedna takva aplikacija se nalazi u folderu
Cas08 a zove se timetrial.exe.
Primeticete da se aplikacija moze koristiti
samo tri dana ili se moze startovati samo
nekoliko puta. Ovo cemo resiti tako da
aplikacija nikada ne istekne. Upalite Olly i
ucitajte ovu aplikaciju. Videcete niz API
poziva: CreateFileA, MessageBoxA,
ReadFileA, GetSystemTime.... Bez
nekakve velike mudrosti vidi se da
program otvara fajl DATA.DET, a ako on ne postoji prikazuje poruku o tome
na ekran. Ako fajl postoji iz njega se cita 50 bajtova, posle cega se poziva
API GetSystemTime koji vraca vreme na vasem kompjuteru. Proci cemo kroz
sve ove API pozive sa F8 sve dok se ne nadjemo ovde:
00401081 |. 803B 00 CMP BYTE PTR DS:[EBX],0
Primeticemo da se JNZ skok nece izvrsiti pa cemo sigurno doci u sledeci loop:
0040108B |> /66:8B81 E4304> /MOV AX,WORD PTR DS:[ECX+4030E4]
00401092 |. |66:35 6969 |XOR AX,6969
00401096 |. |66:8981 AB304> |MOV WORD PTR DS:[ECX+4030AB],AX
0040109D |. |83C1 02
|ADD ECX,2
004010A0 |> |83F9 08
|CMP ECX,8
004010A3 |.^\76 E6
\JBE SHORT timetria.0040108B
Posto ja nemam zelju da prolazim kroz njega postavicu break-point na prvu
adresu ispod loopa (004010A5) i pritisnucu F9. Ali objasnicu vam sta se ovde
desava: Program jednostavno proverava kada je fajl snimljen, ako je to
2001. prva godina onda ce samo skinuti jedno otvaranje programa i
updateovace datum koji se nalazi na .DET fajlu. Naravno sve ovo ce biti
snimljeno negde dole, ovde gore u loopu se samo proverava datum. Zbog
ovoga ce se samo prvi put ici u ovaj loop, a svaki sledeci put ne. Posto nas
ovaj prvi put i ne zanima onda cemo pritisnuti F9 da bismo startovali
program i updateovali datum .DET fajla. Primeticemo da nam je program
smanjio broj startovanja programa za jedan. Restartovacemo Olly i ici cemo
sa F8 kroz kod sve dok ne dodjemo do:
00401084 |. /75 22 JNZ SHORT timetria.004010A8
primetite da se sada ovaj skok izvrsava i da cemo se naci ovde:
004010A8 |> \8B0D AB304000
004010AE |. 81F1 69696969
004010B4 |. A1 E4304000
004010B9 |. 3BC1
004010BB |. 0F85 85000000
004010C1 |. 66:8B0D B1304>
004010C8 |. 66:81F1 6969
004010CD |. 66:A1 EA30400>
004010D3 |. 66:2BC1
004010D6 |. 66:83F8 03
004010DA |. 77 6A
004010DC |. 2805 00304000
004010E2 |> A0 B5304000
004010E7 |. 34 69
004010E9 |. 3C 00
MOV ECX,DWORD PTR DS:[4030AB]
XOR ECX,69696969
MOV EAX,DWORD PTR DS:[4030E4]
CMP EAX,ECX
JNZ timetria.00401146
MOV CX,WORD PTR DS:[4030B1]
XOR CX,6969
MOV AX,WORD PTR DS:[4030EA]
SUB AX,CX
CMP AX,3
JA SHORT timetria.00401146
SUB BYTE PTR DS:[403000],AL
MOV AL,BYTE PTR DS:[4030B5]
XOR AL,69
CMP AL,0
The Art of Reversing by Ap0x Page 152 of 293