The Art of Reversing by Ap0x - Tutoriali.org

Posto znamo da se prilikom enkripcije koriste XOR komande ovaj deo koda
mora biti vazan za ceo proces enkripcije. Primeticemo da su sadrzaji adresa
EDI, EDI+4, EDI+8, EDI+C, EDI + 10, ESI Hex vrednosti ASCII kodova slova
iz passworda kojim enkriptujemo fajl. Iz ovoga zakljucujemo da je:
EAX = Pass[1] xor Pass[2] xor Pass[3] xor Pass[4] xor Pass[5] xor Pass[6]
gde su Pass[1..6] ASCII vrednosti 1..6 slova iz passworda. Posle ovog
xorovanja vrednost iz EAX se prebacuje u ESI. Ispod ovoga sledi petlja iz
koje zakljucujemo sledece:
00453C01 |. 33C0
00453C03 |. 8A45 FF
00453C06 |. 33C6
00453C08 |. 33449F FC
00453C0C |. 43
00453C0D |. 83FB 06
00453C10 |. /7E 05
00453C12 |. |BB 01000000
|XOR EAX,EAX
|MOV AL,BYTE PTR SS:[EBP-1]
|XOR EAX,ESI
|XOR EAX,DWORD PTR DS:[EDI+EBX*4-4]
|INC EBX
|CMP EBX,6
|JLE SHORT encryptF.00453C17
|MOV EBX,1
- Na adresi 00453C03 se u AL smesta jedan po jedan karakter iz fajla
original.exe (MZ....)
- Na sledecoj adresi se EAX xoruje sa vrednoscu iz ESIja
- Ispod ovoga se EAX xoruje sa ASCII vrednoscu slova prolaza. Primera
radi ako je ovo prvi prolaz od sest mogucih (jer toliko ima slova u
passwordu) EAX ce biti xorovan sa ASCII vrednoscu prvog slova iz
passworda.
- EBX se povecava za jedan i on predstavlja brojac prolaza
- Ako je prolaz veci od 6 prolaz (EBX) ce biti resetovan na 1
- Posle se EAX pretvara u ASCII slovo koje se zapisuje u novi fajl
Ovaj loop ce se ponavljati 4096 puta jer toliko bajtova ima originalni fajl. Kao
sto se vidi enkripcija se vrsi na svakih 6 bajtova a onda se postupak
ponavlja. To jest prvi bajt se xoruje sa ESIjem i sa ASCII vrednoscu prvog
slova, drugi bajt sa drugim, a kada brojac slova predje sest, to jest dodje do
sedam onda se on resetuje i krece ponovo od jedan. Tako ce sedmi bajt biti
xorovan sa ESIjem i sa ASCII vrednosu prvog karaktera. Na osnovu detalja
koje smo saznali mozemo napraviti deo algoritma za bruteforceing. Pre
pisanja algoritma moramo da znamo unapred kako cemo ga napisati.
Najjednostavniji nacin je da dekriptujemo samo 6 prvih bajtova iz originalnog
fajla i da ih uporedimo sa bajtovima iz neenkriptovanog fajla. Zasto uzimamo
prvih sest bajtova Prosto posto se enkripcija ponavlja svakih sest bajtova,
prvi i sedmi bajt ce biti enkriptovani na isti nacin.
Kada konstruisemo algoritam prvo moramo da definisemo tablicu slova
koja ce biti koriscena da se od njih napravi password. Ova tablica je velika 26
karaktera i sadrzi sva velika slova od A-Z. Posto imamo sest karaktera koji
cine password moramo imati i sest petlji od 1 do 26 koje se ponavljaju jedna
unutar druge. Zasto ovo radimo Jer se kombinacije koje prave password
krecu od AAAAAA pa do ZZZZZZ menjajuci pri tome zadnje slovo 26 puta, a
kada zadnje slovo dodje do 27tog onda se krece iz pocetka i umesto 27og
slova koristi se prvo slovo, slovo A, dok se drugo A od kraja povecava za
jedan i postaje B. Tada ce kombinacija izgledati ovako AAAABA.
Ono sto mi moramo da proverimo je da li je xorovana vrednost svih
slova iz passworda (ESI) xorovana slovom passworda (Pass[i]) koje se
The Art of Reversing by Ap0x Page 175 of 293