The Art of Reversing by Ap0x - Tutoriali.org

PeCompact 1.40
Sada sam 100% siguran da se pitate: “Zasto je napisao prvo kako se
otpakuje PeCompact 2.22 a tek onda kako PeCompact 1.40” Naravno imam
ja svoje razloge zasto je to ovako uradjeno. Jedan od glavnih razloga je taj
sto je mnogo lakse otpakovati novu 2.22 verziju nego staru 1.40. Ne
verujete mi Videcemo :) Meta koja je pakovana sa 1.40 verzijom
PeCompacta se zove Notepad.pecompact140.exe. Pre nego sto otvorimo
metu pomocu Ollyja prvo cu vam pokazati jedan jako interesantan trik sa
PeIDom. Naime PeID ima jedan veoma interesantan plugin koji nam
omogucava da unapred odredimo OEP mete. Dakle otvoricemo metu pomocu
PeIDa koji ce nam prvo reci da je meta pakovana sa: PECompact 1.40 - 1.45
-> Jeremy Collake a ako kliknemo na dugme -> koje se nalazi u donjem
desnom uglu i izaberemo Plugins -> Generic OEP finder, posle cega ce PeID
prikazati poruku da se OEP nalazi na adresi 004010CC. Posle ovoga mozemo
da zatvorimo PeID i da ucitamo metu u OllyDBG.
Pakerov OEP izgleda ovako:
0040AC5E > /EB 06
0040AC60 |68 CC100000
0040AC65 |C3
0040AC66 \9C
JMP SHORT Notepad_.0040AC66
PUSH 10CC
RET
PUSHFD
Sada vidite razliku izmedju verzija. Btw da li ste primetili parametar koji ima
PUSH komanda Da, da znam PUSH 10CC, to je PUSH OEP. Bez obzira na
ovo, pritiskacemo F8 sve dok ne dodjemo do CALLa na adresi 0040AC68 u
koji moramo da udjemo. Taj CALL izgleda bas ovako:
0040AC68 E8 02000000 CALL Notepad_.0040AC6F
stoga cemo pritisnuti F7 da udjemo u ovaj CALL kada dodjemo do njega, to
nas vodi ovde:
0040AC6F 8BC4 MOV EAX,ESP
0040AC71 83C0 04 ADD EAX,4
0040AC74 93 XCHG EAX,EBX
0040AC75 8BE3 MOV ESP,EBX
Posto se dole nalazi jedna RET komanda a izmedju nema nikakvih skokova
izvrsicemo sve komande sa F8, ukljucujuci i RET komandu, posle cega smo
ovde:
0040D1C3 BD 53310000 MOV EBP,3153
0040D1C8 57 PUSH EDI
0040D1C9 5E POP ESI
0040D1CA 83C6 42 ADD ESI,42
0040D1CD 81C7 53110000 ADD EDI,1153
0040D1D3 56 PUSH ESI
dalje i nema neke velike mudrosti jednostavno drzimo F8 sve dok ne
dodjemo do adrese:
0040D350 57 PUSH EDI
0040D351 8BBD D7A44000 MOV EDI,DWORD PTR SS:[EBP+40A4D7]
0040D357 03BD A6A04000 ADD EDI,DWORD PTR SS:[EBP+40A0A6]
0040D35D 8B8D DBA44000 MOV ECX,DWORD PTR SS:[EBP+40A4DB]
malo ispod toga imamo dosta loopova koji se izvrsavaju dosta puta, ti
loopovi izgledaju ovako:
0040D36E /74 72
0040D370 |78 70
0040D372 |66:8B07
0040D375 |2C E8
0040D377 |3C 01
JE SHORT Notepad_.0040D3E2
JS SHORT Notepad_.0040D3E2
MOV AX,WORD PTR DS:[EDI]
SUB AL,0E8
CMP AL,1
The Art of Reversing by Ap0x Page 218 of 293