The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
004012C0 55 DB 55 ; CHAR 'U'<br />
004012C1 8B DB 8B<br />
004012C2 EC DB EC<br />
004012C3 6A DB 6A ; CHAR 'j'<br />
004012C4 FF DB FF<br />
004012C5 68 DB 68 ; CHAR 'h'<br />
Verovali ili ne ovo je nas pravi OEP. Pritisnite CTRL+A da bi Olly analizirao<br />
ovaj deo koda i pojavice se sledece:<br />
004012C0 /. 55<br />
004012C1 |. 8BEC<br />
PUSH EBP<br />
MOV EBP,ESP<br />
004012C3 |. 6A FF PUSH -1<br />
004012C5 |. 68 F8404000 PUSH crackme_.004040F8<br />
Nasli smo mesto na kome cemo uraditi dump pomocu LordPEa. Zapamtite<br />
samo adresu na kojoj se nalazi OEP posto ce nam trebati, ta adresa je<br />
004012C0 ili samo 000012C0 ako oduzmemo image base PE sekcije. Sada<br />
nam ostaje samo da pronadjemo sve importe i da ih zalepimo za dumpovan<br />
fajl. Da bismo ovo uradili ucitacemo ovaj proces u ImpRec. Promenicemo<br />
OEP na kome ce ImpRec traziti importe na 000012C0 i pritisnucemo IAT<br />
AutoSearch pa Get Imports. Sta je ovo Nemamo ni jedan validan API poziv,<br />
pa cak ni jedan validan dll. Ne nismo mi nista uradili pogresno nego samo<br />
treba da potrazimo importe. Kliknimo na dugme Show Invalid, pa cemo<br />
kliknuti desnim dugmetom na nepoznate importe i selektovacemo Trace<br />
Level1 sto ce nam vratiti neke API pozive, ali ne i sve. Ponovo cemo kliknuti<br />
na dugme Show invalid pa cemo i taj poslednji API poziv naci na sledeci<br />
nacin. Kliknucemo desnim dugmetom na njega i izabradjemo Plugin Tracers -<br />
> ASProtect 1.22 i tako cemo pronaci i taj zadnji API poziv. Sada mozemo da<br />
pritisnemo dugme Fix dump i da popravimo dumpovan fajl. To je sve sto<br />
treba da uradimo kako bismo uspesno otpakovali ASProtect 1.2x.<br />
Opisani nacin nije jedini na koji se moze otpakovati ASProtectom zasticena<br />
aplikacija. Ova verzija ASProtecta se takodje moze otpakovati i pomocu<br />
PeIDa, i to mnogo brze nego rucno. Otvorite PeID i skenirajte nasu metu<br />
pomocu njega, zatim selektujte dugme -> koje se nalazi u donjem desnom<br />
cosku i izaberite Plugins -> PeID Generic Unpacker. Pojavice se sledece:<br />
Kada se pojavi ovaj prozor pritisnite dugme -> da detektujete OEP i pritisnite<br />
Unpack. Kada se zavrsi sa dumpovanje PeID ce vas pitati da li da popravi<br />
importe, a vi odgovorite sa Yes. Posle nekoliko sekundi imacete otpakovani<br />
program u istom direktorijumu kao i originalni fajl. Brzo i lako, ali lame :)<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 225 <strong>of</strong> 293
Change language