The Art of Reversing by Ap0x - Tutoriali.org

itnije je samo ime sekcije. Iako je ime sekcije proizvoljno, ako se radi o
programima koje su napravili standardni kompajleri (c++,vb,delphi,...)
imena nam mogu pruziti dosta podataka o samoj sekciji. Na primer prva
sekcija se zove .text ali ona ne sadrzi samo text nego je glavna sekcija u
fajlu i sadrzi izvrsni kod exe fajla. Ovo znaci da se OEP uvek nalazi u izvrsnoj
sekciji sto je u ovom slucaju .text. Najcesca dva imena izvrsne sekcije su
.text i .code u zavisnosti od kompajlera do kompajlera. Od ostalih sekcija
bitna nam je sekcija .data koja sadrzi dodatni izvrsni kod, sekcija .idata koja
sadrzi reference ka funkcijama koje se nalaze u .dll fajlovima i .rsrc koja
sadrzi resurse. Imena ovih preostalih sekcija su vise-manje standardna.
Primeticete da je broj sekcija jednak pet sto se slaze sa podatkom koji se
nalazio u proslom prozoru i koji je definisan poljem NumberOfSections.
Prilikom modifikovanja PE sekcija treba biti ekstremno oprezan jer ako
pogresimo u modifikaciji programa, on ce odbiti da se startuje. Prilikom
reversinga imacete priliku da veliki broj puta morate da modifikujete PE
headere tako da cete brzo nauciti kako se sta modifikuje.
Virtual Offset - Ovo je druga kolona i izuzetno je bitna za razumevanje
virtualnih adresa i njihovo pretvaranje u prave fizicke. Ova kolona sadrzi
heksadecimalne brojeve koji predstavljaju prvu adresu koja se nalazi u
sekciji. Ovo znaci da ako je u pitanju prva sekcija, izvrsna, adrese u njoj
pocinju od 00001000. Mozda ce vas ovo malo zbuniti jer kako znamo OEP je
00001580 a prva adresa u sekciji je 00001000. Ovo samo znaci da OEP moze
biti na bilo kojem mestu u sekciji, to jest da ne mora biti na samom pocetku
sekcije nego recimo moze biti na kraju. Zasto su nam potrebni virtualni
offseti Prilikom reversinga je potrebno znati u kojoj sekciji se nalazimo kako
bismo znali sta i kako da modifikujemo. Bitno je da ovi brojevi moraju
sukcesivno rasti a da ovaj porast mora biti jednak ili veci od Virtual Offset +
Virtual size vrednosti. Najcesce je ovaj broj zaokruzen kako bi se ostavila
mogucnost za ubacivanje koda u prazan prostor izmedju sekcija.
Virtual Size - Ovo je treca kolona i predstavlja velicinu sekcije. Ova velicina
mora biti priblizna ili ista kada se radi o virtualnom i raw (stvarnom) offsetu.
Ono na sta treba obratiti paznju prilikom modifikovanja velicine sekcije je to
da velicina izvrsne sekcije mora uvek biti manja, bar za jedan bajt, od
stvarne fizicke velicine sekcije. Ako je velicina sekcije veca od unetog broja u
polje Virtual size onda se program nece startovati i izbacice poruku da PE fajl
nije validan. Ako je u pitanju neki drugi tip sekcije, velicina nije toliko bitna.
Raw Offset - Ovo je cetvrta kolona i predstavlja stvarnu fizicku lokaciju
sekcije. Ova fizicka lokacija predstavlja mesto prvog bajta selektovane
sekcije u fajlu pocevsi od prvog bajta.
Raw Size - Ovo je peta kolona i predstavlja stvarnu fizicku velicinu sekcije.
Velicina izvrsne sekcije mora biti veca, bar za jedan bajt, od virtualne inace
se program nece startovati. Ako je u pitanju neki drugi tip sekcije, velicina
najcesce nije bitna.
The Art of Reversing by Ap0x Page 188 of 293