The Art of Reversing by Ap0x - Tutoriali.org

00401392 55 DB 55 ; CHAR 'U'
00401393 8B DB 8B
00401394 EC DB EC
00401395 83 DB 83
00401396 EC DB EC
00401397 44 DB 44 ; CHAR 'D'
00401398 56 DB 56 ; CHAR 'V'
00401399 FF DB FF
0040139A 15 DB 15
0040139B 14 DB 14
Ovo sigurno ne izgleda kao OEP programa. Gde li smo to pogresili
Odgovor je: Nigde. Ovo je verovali ili ne pravi OEP bas na adresi 00401392.
Ovaj deo koda Olly nije stigao da analizira pa izgleda ovako kako izgleda.
Pritisnite CTRL + A da biste analizirali kod i umesto gornjeg junka pojavice se
pravi OEP.
00401392 /. 55 PUSH EBP ; USER32.77D40000
00401393 |. 8BEC MOV EBP,ESP
00401395 |. 83EC 44 SUB ESP,44
00401398 |. 56 PUSH ESI
Ostaje nam samo da uradimo dump na adresi 00401392 i da popravimo
importe ImpRecom kao sto je objasnjeno za UPX. Ono sto sam primetio
prilikom otpakivanja FSGa je da on ne deklarise imena za svoje sekcije. Ovo i
nije bitno jer PE fajl moze da radi sasvim OK i bez imena sekcija. Ovo se vidi
u svim section viewerima. Jedan takav imamo u PeIDu a do njega se dolazi
klikom na dugme > pored prve EP Sekcije. U slucaju FSGa vidimo ovo:
FSG 2.0
FSG 2.0 ne donosi mnogo novina u odnosu na FSG 1.33 koji smo vec
uspesno otpakovali. Jedina stvarna razlika je u nacinu na koji FSG skace na
pravi OEP otpakovane mete. Ovo se jasno vidi na sledecem isecku koda:
004001CD ^\78 F3
JS SHORT unpackme.004001C2
004001CF 75 03 JNZ SHORT unpackme.004001D4
004001D1 FF63 0C JMP NEAR DWORD PTR DS:[EBX+C]