The Art of Reversing by Ap0x - Tutoriali.org

ReCrypt 0.80
Najnovija verzija ReCrypta je donela jos par veoma zanimljivih novina
koje su dizajnirane da nas sprece da otpakujemo ovu metu. Bilo kako bilo
zahvaljujuci Cruddu koji mi je poslao najnoviju verziju ovog kriptera
naucicemo nesto novo. Meta za ovaj deo poglavlja je Genesis.ReCrypt80.exe i
nalazi se u folderu Cas10. Kada otvorimo ovu metu pomocu Ollyja videcemo
da format .exe fajla ne zadovoljava PE standard zbog cega cemo se naci
ovde:
77F767CE C3 RET
Posto zbog ove cinjenice necemo biti u mogucnosti da pristupamo sekcijama
moracemo da otvorimo fajl pomocu LordPEa da bismo videli u kojoj sekciji se
nalazi OEP i na kojoj je on adresi. Dakle adresa OEPa je 00405000 a on se
nalazi u poslednjoj sekciji RE-Crypt. Zbog ovoga cemo pritisnuti CTRL+G u
Ollyju i otici cemo na adresu 00405000, na kojoj cemo postaviti obican
breakpoint. Klikom na F9 stizemo do naseg breakpointa, odnosno nalazimo
na packer OEPu:
00405000 60 PUSHAD
00405001 E8 00000000 CALL Genesis_.00405006
00405006 5D POP EBP
00405007 81ED F31D4000 SUB EBP,Genesis_.00401DF3
Sada bismo trebali da postavimo memorijski breakpoint na glavnu sekciju, ali
posto nismo u mogucnosti to da uradimo (Olly ne vidi ni jednu sekciju)
iskoristicemo nas STACK trik. Dok se nalazimo na PUSHAD komandi
pritisnucemo F8 posle cega ce ESP registar dobiti novu vrednost. Ispraticemo
tu vrednost u dumpu posle cega cemo selektovati prva cetiri bajta u hex
dump prozoru:
0012FFA4 FF FF FF FF 6A 16 F5 77 ....j..w
0012FFAC F0 FF 12 00 C4 FF 12 00 ........
na ova cetiri cemo postaviti Hardware breakpoint -> On access -> dword…
Kada sada pokusamo da startujemo metu klikom na F9 doci cemo do sledece
lokacije:
0040501B 60 PUSHAD
0040501C E8 00000000 CALL Genesis_.00405021
Nismo bas daleko otisli, ali ako kliknemo na F9 jos jedan put naci cemo se
ovde:
004053F6 50 PUSH EAX ; Genesis_.00401000
004053F7 33C5 XOR EAX,EBP
004053F9 E8 1D000000 CALL Genesis_.0040541B
Naravno vidimo da EAX sadrzi vrednost koja moze biti ili vrednost prve
adrese u prvoj sekciji ili adresa OEPa. Iz ovog razloga cemo traceovati kroz
kod sa F7, traceujuci kroz CALL na adresi 004053F9, stizuci do sledeceg
koda:
0040541B 58 POP EAX ; Genesis_.004053FE
0040541C C3 RET
Sada je vec ocigledno da je 00401000 pravi OEP iz razloga sto ce se posle
izvrsavanja komande PUSH EAX, adresa 00401000 naci na STACKu, a posle
izvrsavanja RET komande i sam program ce skociti na adresu 00401000, na
kojoj se bez sumnlje nalazi pravi OEP:
00401000 6A 00 PUSH 0
00401002 E8 D9000000 CALL Genesis_.004010E0 ; JMP to kernel32.GetModuleHandleA
00401007 A3 40304000 MOV DWORD PTR DS:[403040],EAX
The Art of Reversing by Ap0x Page 230 of 293