The Art of Reversing by Ap0x - Tutoriali.org

Sada cemo traziti kroz kod sve dok ne dodjemo do nekog sledeceg CALLa ka
nekoj API funkciji. To ce se desiti ovde:
00401635 . 6A 40 PUSH 40
00401637 . 68 00304000 PUSH decryptm.00403000
0040163C . 68 36324000 PUSH decryptm.00403236
00401641 . 6A 00 PUSH 0
00401643 . E8 0E000000 CALL decryptm.00401656
Ovde cemo ponovo biti prinudjeni da udjemo u taj CALL sa F7 i doci cemo
ovde:
00401656 $- FF25 0C204000 JMP NEAR DWORD PTR DS:[40200C]
Klikom na F7 i analizom koda zakljucujemo da je ovo skok ka APIu:
0085001A - FF20
JMP NEAR DWORD PTR DS:[EAX];user32.MessageBoxA
Posle izvrsenja ovog CALLa ka MessageBoxA API i naravno posle njegovog
zatvaranja i vracanja iz kernel32.dll fajla naci cemo se ovde:
00401648 . 6A 00 PUSH 0
0040164A . E8 0D000000 CALL decryptm.0040165C
Naravno i ovo je poziv ka nekom APIju. Na isti nacin kao i do sada
dolazimo do zakljucka da se radi o:
0040165C $- FF25 04204000 JMP NEAR DWORD PTR DS:[402004]
...
009E0037 - FF20
JMP NEAR DWORD PTR DS:[EAX];kernel32.ExitProcess
kernel32.ExitProcess APIu.
Sada imamo sve podatke koji su nam potrebni za rekreiranje IAT.txt fajla.
Njegova struktura je jedinstvena i potrebna je potpuna modifikacija do sada
snimljenog fajla u sledecu strukturu:
Target: decryptme1.tElock0.96.exe
OEP: 00001000 IATRVA: 00002000 IATSize: 00000014
FThunk: 00002000 NbFunc: 00000002
1 00002000 kernel32.dll 0000 lstrlenA
1 00002004 kernel32.dll 0000 ExitProcess
FThunk: 0000200C NbFunc: 00000002
1 0000200C user32.dll 0000 MessageBoxA
1 00002010 user32.dll 0000 wsprintfA
Da pojasnim. Prvi red se ispunjava tako sto za FThunk vrednost stavlja poziv
ka prvom APIju iz nekog .dll fajla. Posto smo mi odlucili da to bude
00002000 (RVA 00402000) onda taj API mora odgovarati APIju koji se dobija
skokom sa JMP NEAR DWORD PTR DS:[402000], to jest mora
odgovarati lstrlenA APIju u kernel32.dll fajlu. Ali ovo je vec sadrzaj drugog
reda u kojem postoje dve konstante. Jedan na pocetku reda i 0000 koje se
odnose na ordinalni broj importa, ali ovaj broj cemo podesiti pomocu
ImpReca. Ovo treba ponoviti za sve .dll fajlove koje nasa meta ponavlja.
Vec uradjena IAT struktura se nalazi u istoj arhivi kao i nasa meta. Kada
konacno konacno snimite ovaj fajl otvorite ga pomocu Load Tree opcije u
ImpRecu i duplim klikom na svaki od ovih importa cete konacno popraviti
sve ordinale. Kada konacno i ovo zavrsite moci cete da uradite Fix dump i da
vidite da je i tELock 0.98 uspesno otpakovan.
The Art of Reversing by Ap0x Page 216 of 293