The Art of Reversing by Ap0x - Tutoriali.org

Kao sto vidimo neke vrednosti se racunaju i porede. Ako bilo koji od ovih
uslova nije ispunjen skocice se ovde:
00401146 |> \6A 30 PUSH 30
00401148 |. 68 97304000 PUSH timetria.00403097; |Title = "Too Bad ;)"
0040114D |. 68 76304000
PUSH timetria.00403076 ;|Text = "Sorry, this crackme”
00401152 |. 6A 00 PUSH 0 ; |hOwner = NULL
00401154 |. E8 A1000000 CALL ; \MessageBoxA
Naravno moguce je promeniti skokove tako da se ovo nikada ne izvrsi ali
posto postoje programi koji proveravaju da li su im modifikovani odredjeni
skokovi mi cemo naterati ovaj program da snimi .DET fajl tako da program
nikada ne istekne. Prvo imamo ovu proveru:
004010A8 |> \8B0D AB304000
004010AE |. 81F1 69696969
004010B4 |. A1 E4304000
004010B9 |. 3BC1
004010BB |. 0F85 85000000
MOV ECX,DWORD PTR DS:[4030AB]
XOR ECX,69696969
MOV EAX,DWORD PTR DS:[4030E4]
CMP EAX,ECX
JNZ timetria.00401146
Posto se porede EAX i ECX u ECX cemo staviti vrednost iz EAXa jer ce tako
ova dva broja uvek biti jednaka. Promenicemo gornji kod u ovo:
004010A8 |> \8B0D E4304000
004010AE |. 90
004010AF |. 90
004010B0 |. 90
004010B1 |. 90
004010B2 |. 90
004010B3 |. 90
004010B4 |. A1 E4304000
004010B9 |. 3BC1
004010BB |. 0F85 85000000
MOV ECX,DWORD PTR DS:[4030E4]
NOP
NOP
NOP
NOP
NOP
NOP
MOV EAX,DWORD PTR DS:[4030E4]
CMP EAX,ECX
JNZ timetria.00401146
Primetite da sam program modifikovao tako da ce se u EAX i ECX smestati
vrednosti sa iste adrese 004030E4. Primeticete i da sam obrisao (NOPovao)
onu XOR ECX komandu, jer bi ona poremetila vrednost ECXa. Idemo na
sledeci niz provera:
004010C1 |. 66:8B0D B1304>
004010C8 |. 66:81F1 6969
004010CD |. 66:A1 EA30400>
004010D3 |. 66:2BC1
004010D6 |. 66:83F8 03
004010DA |. 77 6A
MOV CX,WORD PTR DS:[4030B1]
XOR CX,6969
MOV AX,WORD PTR DS:[4030EA]
SUB AX,CX
CMP AX,3
JA SHORT timetria.00401146
Ovde je ocigledno da se nesto racuna pa se AX poredi sa 3... Hmmm sa
brojem dana koji nam je dozvoljen da koristimo program. Ovo cemo izmeniti
u ovo:
004010C1 |. 66:8B0D EA304>
004010C8 |. 90
004010C9 |. 90
004010CA |. 90
004010CB |. 90
004010CC |. 90
004010CD |. 66:A1 EA30400>
004010D3 |. 66:2BC1
004010D6 |. 66:83F8 03
004010DA |. 77 6A
MOV CX,WORD PTR DS:[4030EA]
NOP
NOP
NOP
NOP
NOP
MOV AX,WORD PTR DS:[4030EA]
SUB AX,CX
CMP AX,3
JA SHORT timetria.00401146
Primeticete da smo kao i gore CXu i AXu dodelili iste vrednosti, da smo
izbrisali XOR. Ovo je zgodno jer ako pogledate skok ispod videcete da ce se
on izvrsiti samo ako je AX vece od 3. Posto AX i CX imaju iste vrednosti posle
oduzimanja SUB AX,CX vrednost koja ce se nalaziti u AX je 0, pa stoga
nikada nece biti veca od 3. Idemo dalje i stizemo do poslednje provere:
004010DC |. 2805 00304000
004010E2 |> A0 B5304000
004010E7 |. 34 69
SUB BYTE PTR DS:[403000],AL
MOV AL,BYTE PTR DS:[4030B5]
XOR AL,69
The Art of Reversing by Ap0x Page 153 of 293