The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
nanize dok ne dodjete do zadnje komande iz koje se nalaze samo<br />
neiskorisceni 0x00 bajtovi. Tih par poslednjih redova izgledaju ovako:<br />
004082A8 > \FF96 54850000 CALL DWORD PTR DS:[ESI+8554]<br />
004082AE > 61<br />
POPAD<br />
004082AF .- E9 0C90FFFF JMP crackme_.004012C0<br />
Ako ste u nekim drugim tutorijalima citali kako treba traziti sledecu POPAD<br />
komandu i to je tacno isto jer posle POPAD komande nalazi se samo jos<br />
jedna komanda koja kada se izvrsi vodi nas pravo na OEP. Posto je u pitanju<br />
bezuslovni skok (JMP) sama adresa ka kojoj on vodi je adresa samog OEPa.<br />
Ovo znaci da se OEP nalazi na adresi 004012C0. Ako odete na adresu<br />
004012C0 videcete da se tamo ne nalazi nista, to jest nalazi se samo gomila<br />
praznih 0x00 bajtova. Ovo se desava zato sto algoritam za otpakivanje nije<br />
izvrsio otpakivanje zapakovanog dela fajla u memoriju i stoga originalni OEP<br />
jos ne postoji. Ono sto moramo da uradimo je da nateramo algoritam za<br />
otpakivanje da se izvrsi u potpunosti da bismo onda mogli da uradimo dump<br />
memorije. Da bismo ovo uradili postavicemo breakpoint na adresu na kojoj<br />
se nalazi jump koji vodi direktno do OEPa, to jest na adresu 004082AF. Sa F9<br />
cemo startovati program i Olly ce zastati na adresi na kojoj smo postavili<br />
breakpoint. Potrebno je jos samo izvrsiti ovaj skok da bismo se nasli na<br />
OEPu. Pritisnucemo F8 i naci cemo se na OEPu.<br />
004012C0 55 PUSH EBP<br />
004012C1 8BEC MOV EBP,ESP<br />
004012C3 6A FF PUSH -1<br />
004012C5 68 F8404000 PUSH crackme_.004040F8<br />
004012CA 68 F41D4000 PUSH crackme_.00401DF4<br />
004012CF 64:A1 00000000 MOV EAX,DWORD PTR FS:[0]<br />
004012D5 50 PUSH EAX<br />
Sada kada se nalazimo na OEPu treba da uradimo memory dump kako bismo<br />
sacuvali memorijsku sliku otpakovanog fajla na hard disk. Za ovo ce nam<br />
trebati LordPE. Startujte ga i iz liste procesa selektujte crackme.upx.exe fajl.<br />
Klikom na desno dugme na selektovani fajl izabracemo opciju dump full kao<br />
na slici.<br />
Kada smo snimili memorijsku sliku nase mete bilo gde na disk mozemo da<br />
zatvorimo LordPE posto nam on nece vise trebati. Pitate zasto nisam koristio<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 196 <strong>of</strong> 293
Change language