The Art of Reversing by Ap0x - Tutoriali.org

nam biti da analiziramo ceo CALL nego da traceujemo. Analizom smo
zakljucili da nam je interesantan samo deo od 00407E77 do 00407EC4 jer se
on koristi za prikazivanje glavnog dijaloga. Ako pogledamo taj kod videcemo:
00407E77 |> \68 DC7E4000 PUSH Keygen.00407EDC
00407E7C |. A1 4C984000 MOV EAX,DWORD PTR DS:[40984C]
00407E81 |. 50
PUSH EAX
00407E82 |. E8 A5C6FFFF CALL
00407E87 |. A3 54984000 MOV DWORD PTR DS:[409854],EAX
00407E8C |. A1 54984000 MOV EAX,DWORD PTR DS:[409854]
00407E91 |. 50
PUSH EAX
00407E92 |. 6A 00 PUSH 0
00407E94 |. 68 80000000 PUSH 80
00407E99 |. 56
PUSH ESI
00407E9A |. E8 ADC6FFFF CALL
00407E9F |. A1 54984000 MOV EAX,DWORD PTR DS:[409854]
00407EA4 |. 50
PUSH EAX
00407EA5 |. 6A 01 PUSH 1
00407EA7 |. 68 80000000 PUSH 80
00407EAC |. 56
PUSH ESI
00407EAD |. E8 9AC6FFFF CALL
00407EB2 |. A1 88824000 MOV EAX,DWORD PTR DS:[408288]
00407EB7 |. 50
PUSH EAX
00407EB8 |. 56
PUSH ESI
00407EB9 |. E8 9EC6FFFF CALL
00407EBE |. 8935 50984000 MOV DWORD PTR DS:[409850],ESI
00407EC4 |. E8 C3FDFFFF CALL
I kao sto se vidi iz ove analize prvo se ucitava ikona dijaloga, pa se ta ikona
postavlja, pa se postavlja naziv samog dijaloga, dok se na samom kraju
poziva dll fajl serial.dll i u njemu funkcija ShowNag... Mislim da smo pronasli
nas NAG! Sada mozemo da uradimo patchovanje ovde pretvarajuci ovaj CALL
u NOP ili mozemo da odemo u .dll fajl i da NAG patchujemo tamo.
Deo II - Patching a NAG in .dll file
Drugi deo ovog dela poglavlja cemo posvetiti patchovanju samog .dll fajla.
Ovo se takodje moze uraditi pomocu referentnih stringova ali mi cemo to
uraditi na sasvim drugaciji nacin. Naime iskoristicemo cinjenicu da vec
znamo naziv export funkcije u .dll fajlu koja se koristi za prikazivanje NAGa.
Stoga cemo otvoriti serial.dll fajl pomocu prozora View names (CTRL+N) i
tamo cemo naci nasu export funkciju:
Names in serial, item 64
Address=1000100A
Section=.text
Type=Export
Name=ShowNag
Duplim klikom na ovaj red doci cemo do mesta na kojem se nalazi kod vezan
za samu eksport funkciju:
1000100A > /E9 51010000 JMP serial.10001160
Posto je u pitanju JMP skok praticemo ga do pocetka koda koji se koristi za
prikazivanje NAGa:
1000117A 6A 40 PUSH 40
1000117C 68 44900210 PUSH serial.10029044 ; ASCII "NAG :OP"
10001181 68 1C900210 PUSH serial.1002901C ; ASCII "This is a NAG screen, kill it!!!"
10001186 6A 00 PUSH 0
10001188 FF15 74030310 CALL
I konacno ovde mozemo da uradimo standardan postupak za uklanjanje
MessageBoxA NAGova. Kada zavrsimo sa patchovanjem program cemo
snimiti klikom na desno dugme -> Copy to executable -> Save all -> Save...
The Art of Reversing by Ap0x Page 156 of 293