The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
glavnu .code sekciju. Posle pritiska na SHIFT + F9 (da bismo presli preko LEA<br />
EAX,EAX) komande naci cemo se ovde:<br />
0040104C 68 DB 68 ; CHAR 'h'<br />
0040104D 481F4000 DD CrackMe1.00401F48<br />
00401051 E8 DB E8<br />
00401052 EE DB EE<br />
00401053 FF DB FF<br />
00401054 FF DB FF<br />
00401055 FF DB FF<br />
00401056 00 DB 00<br />
00401057 00 DB 00<br />
00401058 00 DB 00<br />
00401059 00 DB 00<br />
0040105A 00 DB 00<br />
0040105B 00 DB 00<br />
0040105C 30 DB 30 ; CHAR '0'<br />
0040105D 00 DB 00<br />
0040105E 00004000 DD CrackMe1.00400000<br />
00401062 00 DB 00<br />
Da li je ovo pravi OEP Pritisnite CTRL + A da biste analizirali kod i videcete<br />
sledece:<br />
0040104C > /68 481F4000 PUSH CrackMe1.00401F48<br />
00401051 . |E8 EEFFFFFF CALL CrackMe1.00401044<br />
00401056 . |0000 ADD BYTE PTR DS:[EAX],AL<br />
00401058 . |0000 ADD BYTE PTR DS:[EAX],AL<br />
0040105A . |0000<br />
ADD BYTE PTR DS:[EAX],AL<br />
I kao sto je bilo i za ocekivati adresa 0040104C je pravi OEP. Ovde<br />
mozemo uraditi dump i popravku importa.<br />
Dump: Otvorite LordPE i selektujte proces koji trenutno debuggujete.<br />
Selektujte CrackMe10.exe i uradite full dump desnim dugmetom.<br />
Importi: Ostavljajuci Olly otvoren i ne pomerajuci se sa adrese 0040104C<br />
startujte ImpRec i u listi procesa ponovo selektujte CrackMe10.exe. Posle<br />
ovoga potrebno je da ispunite sledece polje. U OEP polje unesite 0040104C -<br />
00400000 = 104C i pritisnite IAT AutoSearch i Get Imports dugme. Posto su<br />
svi pronadjeni importi validni mozemo da popravimo prethodno dumpovan<br />
fajl pomocu LordPEa. Pritisnite Fix dump i selektujte snimljeni fajl posle<br />
cega ce tELock 0.98b1 biti uspesno otpakovan!<br />
tElock 0.98b1<br />
Posto smo vec konfigurisali Olly kako treba i posto smo u proslom<br />
delu ovog poglavlja vec naucili kako se dolazi do OEPa, to mozemo da<br />
iskoristimo i ovde. Otvoricemo Olly i nasu drugu metu pomocu njega. Bez<br />
neke velike mudrosti dolazimo do OEPa na adresi 00401000 i tu cemo uraditi<br />
dump. Sam OEP izgleda ovako:<br />
00401000 > /68 E5314000 PUSH decryptm.004031E5<br />
00401005 . |68 73314000 PUSH decryptm.00403173<br />
0040100A . |68 23314000 PUSH decryptm.00403123<br />
0040100F . |68 D3304000 PUSH decryptm.004030D3<br />
Mozemo da pokusamo da popravimo importe pomocu ImpReca ali cemo<br />
umesto validnih importa pronaci 5 importa koje ImpRec ne moze da<br />
prepozna. Ove importe cemo popraviti tako sto cemo snimiti ovo drvo<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 214 <strong>of</strong> 293
Change language