The Art of Reversing by Ap0x - Tutoriali.org

i zavrsicemo ovde:
00401472 $ E8 89EB8800 CALL 00C90000
Sta predstavlja ovaj CALL ka nepostojecoj adresi ASProtect je koristio API
redirekciju koja se nalazi na adresi 00C90000 pa je kao ostatak tog koda
ostala ova invalidna redirekcija ka APIju koji bi trebalo da bude pozvan.
Dakle sada treba da povezemo skokove ka API funkcijama sa samim
APIjima. To znaci da cemo morati da izmenimo sledeci kod:
00401466 .- FF25 04704200 JMP kernel32.ExitProcess;
0040146C $ E8 8FEB8800 CALL 00C90000
00401471 D8 DB D8
00401472 $ E8 89EB8800 CALL 00C90000
00401477 21 DB 21 ; CHAR '!'
00401478 $- FF25 10704200 JMP user32.EndDialog;
0040147E $ E8 7DEB8800 CALL 00C90000
00401483 9C DB 9C
00401484 $ E8 77EB8800 CALL 00C90000
00401489 D5 DB D5
0040148A $- FF25 1C704200 JMP user32. SendDlgItemMessageA;
00401490 $- FF25 20704200 JMP user32.SendMessageA;
u validne skokove ka APIjima. Postoji vec par ovakvih validnih skokova i oni
su u ovom isecku koda obelezeni zelenom bojom. Jedini problem koji
trenutno imamo je neznanje koja adresa pripada kojem skoku ka APIju.
Svaka adresa je rezervisana za samo jedan skok ka nekom APIju, zbog cega
svi CALLovi koji pozivaju jedan API pozivaju istu adresu iz opsega od
00401466 do 00401490. Mi treba da otkrijemo koji to skok ka kojem APIju
stoji na adresama na kojima se nalaze CALLovi ka ASProtect redirect kodu.
Ovo bi inace bio veoma tezak posao da nemamo alat pod imenom ImpRec.
Naime ImpRec sam radi grupisanje API poziva po .dll fajlovima u kojim se
nalaze funkcije koje fajlovi pozivaju. To znaci da ce svi pozivi ka APIjima u
ImpRecu biti poredjanji po redu, odnosno bice poredjani kao RVA lokacije
APIja u fajlu koji otpakujemo. Sada mozemo da redom pristupamo adresama
od 00401466 do 00401490 i da unosimo sledeci skok:
JMP NEAR DWORD PTR DS:[xxxxxxxx]
pri cemu cemo unositi RVA (RVA + ImageBase) lokacije koje vidimo u
ImpRecu. Posto je prvi skok ka ExitProcess APIju validan on kao ASM
funkcija izgleda ovako: JMP NEAR DWORD PTR DS:[427004]. Sledeci skok bi
bio skok ka jedinoj preostaloj funkciji u kernel32.dll fajlu GetModuleHandleA
a taj skok bi izgledao ovako JMP NEAR DWORD PTR DS:[427000]. I tako
dalje sve dok ne ispunite sve preostale API pozive, odnosno dok skokovi ka
APIjima ne izgledaju ovako:
00401466 - FF25 00704200 JMP NEAR DWORD PTR DS:
0040146C - FF25 04704200 JMP NEAR DWORD PTR DS:
00401472 - FF25 0C704200 JMP NEAR DWORD PTR DS:
00401478 - FF25 10704200 JMP NEAR DWORD PTR DS:
0040147E - FF25 14704200 JMP NEAR DWORD PTR DS: