The Art of Reversing by Ap0x - Tutoriali.org

Unpacking anything...
Sta su to pakeri Pakeri su specificni programi koji se koriste u cilju
zastite ili smanjenja velicine originalnih exe i dll fajlova. Ovakvi fajlovi se ne
mogu direktno debugovati i / ili modifikovati. Ono sto se mora prvo uraditi da
bi se moglo pristupiti klasicnom reversingu je otpakivanje. Postoji veliki broj
komercijalnih, ali i besplatnih zastita i pakera tako da se nas posao dodatno
komplikuje jer je potrebno znati otpakovati sve ove vrste zastita. Naravno to
nije moguce uciniti jer se otpakivanje programa zasticenih ovom vrstom
packera razlikuje od verzije do verzije pakera pa ce u ovoj knjizi biti opisani
samo nacini otpakivanja najpopularnijih zastita koje se mogu naci na
internetu.
Otpakivanje svih vrsta zastita i pakera je u osnovi veoma lako i svodi
se na samo tri bitna koraka:
1) Ubijanje Anti-Debugging algoritama
2) Pronalazenje OEPa i dumpovanje
3) Popravka importa i optimizacija fajla
Analiziracemo svaki od ova tri koraka:
1) Prvi korak je vec detaljno objasnjen u poglavlju “Getting caught” i
nema nikakve potrebe za dodatnim objasnjenjima u vezi detektovanja
aktivnog debbugera.
2) Sta je to OEP OEP je cesto koriscena skracenica za Original Entry
Point sto je u prevodu prva linija koda koja ce se izvrsiti nakon
ucitavanja fajla u memoriju. Sada shvatate zasto nam je ovo bitno.
Ako je program pakovan i / ili zasticen nekom tehnikom onda ce se
sve sem koda packera nalaziti kompresovano i / ili enkriptovano u
fajlu. Nas cilj je da pustimo sam algoritam da se otpakuje u memoriju
tako da ne krene sa izvrsavanjem zapakovanog programa, to jest da
se linija koda koja se nalazi na OEPu ne izvrsi. Ovaj podatak nam je
bitan jer mi pokusavamo da vratimo fajl u ono stanje kakvo je bilo pre
pakovanja nekim packerom.
3) Sta su to importi Importi su tablice sa tacnim adresama do svih dll
fajlova koje koristi neki program. Pri mapiranju ovih dll fajlova takodje
se mapiraju i sve API funkcije i ostale export funkcije koje se nalaze u
njima i koje program moze da poziva prilikom svog izvrsavanja.
Sada kada znamo sta su nam prioriteti prilikom svakog otpakivanja
zasticenog fajla mozemo se posvetiti pojedinacnim packerima.
Za identifikovanje verzije i vrste pakera koristicemo program pod imenom
PeID sa kojim ste se do sada, ako ste pazljivo citali ovu knjigu, sigurno
morali sresti i upoznati.
Pre nego sto pocnemo sa otpakivanjem fajlova upoznacemo se sa strukturom
i osnovim pojmovima PE fajlova.
The Art of Reversing by Ap0x Page 183 of 293