The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
dobili tacnu virtualnu adresu na broj 00001580 moramo dodati ImageBase<br />
posle cega cemo dobiti tacnu adresu naseg OEPa, to jest 00401580.<br />
Dalje je jako bitno da razumete zasto, i kako se adrese povecavaju.<br />
Primeticete da se OEP nalazi na adresi 00401580 a da se sledeca komanda<br />
nalazi na adresi 00401581. Iz ovoga zakljucujemo da se adrese povecavaju<br />
za jedan po redu. Ali da li je ovo bas tako Ako pogledamo sledecu komandu<br />
videcemo da sledeca adresa nije 00401582 kao sto smo ocekivali nego je<br />
00401583. Zasto je ovo bas ovako Posto prva kolona oznacava adrese na<br />
kojima se nalaze komande, a druga kolona same komande u hex obliku<br />
odgovor je jednostavan.Posto dvocifreni heksadecimalni brojevi predstavljaju<br />
po jednu komandu ovo znaci da se na jednoj adresi nalazi samo jedna<br />
komanda. Primera radi, na adresi 00401580 se nalazi samo komanda 55, na<br />
sledecoj 00401581 se nalazi 8B, na adresi 00401582 se nalazi EC a na<br />
00401583 komanda 6A. Kao sto se vidi svaka komanda ima jedinstvenu<br />
adresu. Prva kolona u gornjem prikazu samo oznacava prvu adresu iz niza<br />
bajtova koji cine jednu komandu. Ovo znaci da jednu komandu moze ciniti<br />
vise dvocifrenih heksadecimalnih brojeva. Na primer: 68 00404000 oznacava<br />
jednu ASM komandu, a ona je PUSH 00404000.<br />
Sada shvatate da se javljaju problemi prilikom modifikovanja PE fajlova sa<br />
hex editorima. Naime da bismo patchovali stvarnu fizicku lokaciju u fajlu<br />
potrebno je pretvoriti virtualnu adresu koju zelimo da izmenimo u stvarnu<br />
fizicku adresu i tek onda treba izvrsiti modifikaciju. Za ovo sluzi FLC opcija u<br />
LordPEu.<br />
Kao sto se vidi sa slike moguca je konverzija u sva tri pravca. Moguce je<br />
uneti virtualnu adresu, relativnu virtualnu adresu (adresa bez image base) i<br />
konacno file <strong>of</strong>fset koji predstavlja stvarnu lokaciju bajta u fajlu. Da bismo<br />
izvrsili pretvaranje ovih velicina potrebno je da izaberemo metod<br />
pretvaranja, unesemo adresu i pritisnemo dugme DO. Posle ovoga imacemo<br />
sve potrebne podatke o lokaciji bajta u fajlu.<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 190 <strong>of</strong> 293
Change language