The Art of Reversing by Ap0x - Tutoriali.org

PEtite 2.2
Do sada smo rucno trazili OEPe, ali cemo za otpakivanje PEtitea
koristiti Ollyjev plugin OllyScript kako bismo brze i lakse nasli sam OEP. Meta
koju cemo koristiti se nalazi u folderu Cas10 a zove se crackme.petite.exe a
olly skripta koja ce nam trebati se nalazi u fajlu ...\Cas10\OllyDBG scripts.rar a
zove se petite2.2.txt.
Kada imamo sve sto nam treba mozemo da pocnemo sa otpakivanjem mete.
Ucitajte metu u Olly. Ako Olly bude izbacivao neke poruke, pritisnite Yes.
Sada samo treba da izvrsimo petite2.2.txt pomocu Plugins -> OllyScript ->
Run Script... Pritisnemo OK tri puta i nalazimo se na OEPu. Brzo zar ne Ono
sto vidimo je ovo:
004012C0 55 DB 55 ; This is the entry point
004012C1 8B DB 8B
Naravno ovo je sigurno OEP samo treba da ga analiziramo pomocu Ollyja.
Pritiskom na CTRL + A vidimo ovo:
004012C0 /. 55 PUSH EBP ; This is the entry point
004012C1 |. 8BEC
MOV EBP,ESP
Sada treba da uradimo standardan memory dump i da popravimo importe.
Dump cemo uraditi preko LordPEa, uradicemo full dump. Sve do sada je bilo
lako, i ostatak je lak samo morate da naucite par novih trikova. Otvoricemo
ImpRec i ucitacemo crackme.petite.exe u njega. Moramo da promenimo OEP
podesavanja kako bismo dobili tabelu importa za korektan OEP.
Promenicemo OEP na adresu 000012C0, pritisnucemo IATAutoSearch, pa
GetImports. Kao sto vidimo nisu svi importi tacni, za oba .dll fajla nam fali po
nekoliko importa. Kliknucemo na dugme Show Invalid, pa cemo onda pronaci
sve netacne importe desnim klikom na selektovane importe i selekcijom
Trace Level1 dobicemo sve importe koji nam fale. Ostaje samo da popravimo
dumpovan fajl klikom na Fix Dump i to je to, uspesno smo otpakovali PETite.
The Art of Reversing by Ap0x Page 209 of 293