The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
0040D379 |76 38<br />
0040D37B |66:3D 1725<br />
0040D37F |74 51<br />
0040D381 |3C 27<br />
0040D383 |75 0A<br />
0040D385 |80FC 80<br />
0040D388 |72 05<br />
0040D38A |80FC 8F<br />
0040D38D |76 05<br />
0040D38F |47<br />
0040D390 |43<br />
0040D391 ^|EB DA<br />
JBE SHORT Notepad_.0040D3B3<br />
CMP AX,2517<br />
JE SHORT Notepad_.0040D3D2<br />
CMP AL,27<br />
JNZ SHORT Notepad_.0040D38F<br />
CMP AH,80<br />
JB SHORT Notepad_.0040D38F<br />
CMP AH,8F<br />
JBE SHORT Notepad_.0040D394<br />
INC EDI<br />
INC EBX<br />
JMP SHORT Notepad_.0040D36D<br />
Da bismo presli sva ova ponavljanja pronaci cemo negde dole zadnji skok<br />
koji ce nas vratiti negde gore u kod. Taj skok se nalazi ovde:<br />
0040D3E0 ^\EB 87<br />
JMP SHORT Notepad_.0040D369<br />
Posto zelimo da preskocimo sve ove loopove jednostavno cemo postaviti<br />
breakpoint na adresu odmah ispod ovog skoka, postavicemo ga na adresu<br />
0040D3E2 i pritisnucemo F9 da dodjemo do njega. Dalje cemo nastaviti sa<br />
izvrsavanjem koda sa F8 sve dok ne stignemo do adrese 0040D48F.<br />
0040D488 9D POPFD<br />
0040D489 50 PUSH EAX<br />
0040D48A 68 CC104000 PUSH Notepad_.004010CC<br />
0040D48F C2 0400 RET 4<br />
Kada se izvrsi i ova RET 4 komanda mi cemo se naci ovde:<br />
004010CC 55 DB 55 ; CHAR 'U'<br />
004010CD 8B DB 8B<br />
004010CE EC DB EC<br />
Kao sto nam je PeID rekao na adresi 004010CC se nalazi pravi OEP. Posle<br />
analize ovog koda sa CTRL+A cemo videti da je ovo zaista pravi OEP,<br />
004010CC /. 55<br />
004010CD |. 8BEC<br />
004010CF |. 83EC 44<br />
004010D2 |. 56<br />
PUSH EBP<br />
MOV EBP,ESP<br />
SUB ESP,44<br />
PUSH ESI<br />
i da ovde mozemo da uradimo dump pomocu LordPEa. Posle dumpa nam<br />
ostaje samo da popravimo importe pomocu ImpReca na standardan nacin.<br />
Videli smo da PeID bez greske moze da nadje OEP u PeCompactovanim<br />
fajlovima i da se bez brige mozemo pouzdati u njegovu procenu OEPa. Ova<br />
informacija nam moze posluziti da napravimo neku skriptu koja bi za nas<br />
otpakovala program pakovan PeCompactom ili je mozemo koristiti da se<br />
proverima da li smo mi na pravom mestu i da li je to pravi OEP. Kao sto<br />
vidite mnogo je lakse otpakovati noviju nego stariju verziju PeCompacta,<br />
mislim lako je otpakovati i jednu i drugu verziju samo nam za ovu novu<br />
verziju treba manje posla.<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 219 <strong>of</strong> 293
Change language