The Art of Reversing by Ap0x - Tutoriali.org

ASProtect 1.2 / 1.2c
Dugo vremena sam bio plasen od strane drugih (doduse manje
iskusnih) crackera kako je najvece zlo koje stoji odmah uz Armadillo,
protektor pod imenom ASProtect. Danas ja pokusavam da dokazem
suprotno. Iako je verzija koju cemo mi reversovati pomalo zastarela, jer je u
opticaju verzija 1.3x, i dalje je dobar primer kako se to reversuje ASProtect.
Ne shvatite ovaj deo knjige olako, jer i dalje postoji mnogo komercijalnih
programa pakovanih bas ovom verzijom programa. Postoje neke prednosti
kod reversinga ove verzije ASProtecta, a to su: nema previse teskih importa,
nema “ukradenih bajtova” i sto je najlepse od svega ima exceptiona koji nam
pomazu da pronadjemo pravi OEP. Meta se zove crackme.asprotect.exe a
nalazi se u folderu Cas10. Ucitacemo je u Olly i na pakerovom OEPu cemo
imati sledece:
00401000 >/$ 68 01704000 PUSH crackme_.00407001
00401005 \. C3 RET
Zanimljivo ili ne, ali mi se necemo baktati sa ovim. Kao sto sam rekao Olly ce
nam pomoci preko exceptiona da nadjemo OEP. Pritisnite F9 i naci cete se
ovde:
0087009D 3100 XOR DWORD PTR DS:[EAX],EAX
0087009F EB 01 JMP SHORT 008700A2
008700A1 68 648F0500 PUSH 58F64
008700A6 0000 ADD BYTE PTR DS:[EAX],AL
Sada cemo pritiskati CTRL+F9 da bismo presli preko ovih exceptiona. Ovo
cemo uraditi onoliko puta koliko je potrebno da se sama zapakovana meta ne
startuje. To jest doci cemo do dela koda gde kada bi pritisnuli CTRL+F9 jos
jednom NAG ekran iz crackmea bi se pojavio. Neki to rade brojanjem ali ovde
nema potrebe za brojanjem jer je to mesto isto za sve programe i izgleda
ovako:
00882FCC FE02 INC BYTE PTR DS:[EDX]
00882FCE ^ EB E8
JMP SHORT 00882FB8
00882FD0 E8 0A000000 CALL 00882FDF
Znaci pritiskacemo CTRL+F9 sve dok ne dodjemo do ovog mesta u kodu.
Sada cemo umesto CTRL+F9 pritisnuti CTRL+F8 da bismo presli preko ovog
exceptiona za jednu liniju koda i kao poruceno zavrsavamo ovde:
77FB4DB3 |. 8B1C24
77FB4DB6 |. 51
77FB4DB7 |. 53
77FB4DB8 |. E8 ACBDFAFF
77FB4DBD |. 0AC0
MOV EBX,DWORD PTR SS:[ESP]
PUSH ECX
PUSH EBX
CALL ntdll.77F60B69
OR AL,AL
Da, da zahvaljujuci Windowsu XP zavrsavamo u ntdll.dll-u. Ovo je dobra
stvar jer cemo odatle izaci tacno ispod exceptiona. Pritiskajte F8 sve dok ne
dodjete do prvog CALLa, a onda pritisnite F7 da udjete u njega. I dalje smo u
istom dll-u pa cemo se kretati sa F8 sve dok ne dodjemo do ovog CALLa:
77F60BEA . FF75 0C
PUSH DWORD PTR SS:[EBP+C]
77F60BED . 53
PUSH EBX
77F60BEE . 56
PUSH ESI
77F60BEF . E8 528F0100 CALL ntdll.77F79B46 TEST BYTE PTR DS:[77FC324A],80
77F60BFB . 8BF8
MOV EDI,EAX
77F60BFD . 0F85 896F0200 JNZ ntdll.77F87B8C
u koji cemo uci sa F7. A to nas vodi dublje u sam dll fajl. Sada smo ovde:
77F79B46 $ BA B89BF777
77F79B4B . EB 07
MOV EDX,ntdll.77F79BB8
JMP SHORT ntdll.77F79B54
The Art of Reversing by Ap0x Page 223 of 293