The Art of Reversing by Ap0x - Tutoriali.org

ACProtect 1.4x
ACProtect je komercijalan protektor cija je najnovija verzija datirana
na 2004 godinu. U originalu ime protektora je AntiCrack protector ili kako ga
PeID identifikuje UltraProtect. I jedan i drugi naziv zvuce veoma privlacno i
prosto traze detaljnu analizu. Naravno ovo je izazov koji nikako ne smemo
propustiti i stigo cemo otvoriti metu crackme.ACProtect.exe pomocu Ollyja. Na
samom OEPu ACProtectora cemo videti sledece:
00407000 > $ 60 PUSHAD
00407001 . E8 01000000 CALL crackme_.00407007
00407006 E9 DB E9
00407007 /$ 830424 06 ADD DWORD PTR SS:[ESP],6
0040700B \. C3
RET
Ovo je kod koji neodoljivo podseca na ASProtect, ali za razliku od ASProtecta
mi cemo ovde iskoristiti stack trik kako bismo veoma brzo dosli do pravog
OEPa. Dakle, kao i kod ASPacka, pritisnucemo F8 i videcemo da se ESP
registar promenio zbog cega cemo ga izabrati (a i zbog cinjenice ga on pokazuje
na STACK) i selektovacemo opciju Follow in Dump posle cega cemo videti
sledece u Hex View prozoru:
0012FFA4 FF FF FF FF 6A 16 F5 77 ....j..w
0012FFAC F0 FF 12 00 C4 FF 12 00 ........
Kao i kod ASPacka selektovacemo prva cetiri bajta na 0012FFA4 adresi (moze
se razlikovati na vasem Windowsu) i desnim klikom cemo izabrati Breakpoint,
pa Hardware on Access, pa DWORD. Sada nam ostaje da pritiskamo F9 dok
se ne nadjemo u blizini OEPa. Posle prvog klika na F9 naci cemo se ovde:
004070A3 . 51
004070A4 . 8F05 B1784000
004070AA . 60
PUSH ECX
POP DWORD PTR DS:[4078B1]
PUSHAD
Ne ovo nije OEP, pritisnucemo 2x F9 (CTRL + A) i ovde smo:
004071A3 . 51
004071A4 . 8F05 E9784000
004071AA . 60
PUSH ECX
POP DWORD PTR DS:[4078E9]
PUSHAD
I dalje nismo na OEPu pa cemo pritisnuti F9 jos 2x i naci cemo se ovde:
0040728D . 56 PUSH ESI ; ntdll.77F5166A
0040728E . 8F05 7D794000 POP DWORD PTR DS:[40797D]
00407294 . 60 PUSHAD
Pritiskamo F9 sve dok ne dodjemo dovde:
0041D6A8 EB DB EB
0041D6A9 01 DB 01
0041D6AA 7F DB 7F
a kada i ovde pritisnemo F9 pojavljuje se ACProtect NAG. Ovo znaci da smo
blizu OEPa, pa cemo posle klika OK na NAGu analizirati mesto gde se
nalazimo, klikom na CTRL+A dobijamo:
0041E106 . /EB 01
JMP SHORT crackme_.0041E109
0041E108 |E8 DB E8
0041E109 >-\FF25 4BE14100 JMP NEAR DWORD PTR DS:[41E14B]
0041E10F . 60
PUSHAD
; crackme_.004012C0
Izvrsicemo JMP skok na kojem se nalazimo sa F8 jer nam sledeci skok koji
vodi na 004012C0 izgleda sumnljivo (a i otpakivali smo ovaj crackme toliko puta
da vec znamo da je OEP 004012C0). Posle izvrsavanja i ovog sumnljivog skoka
na 004012C0 dolazimo ovde:
004012C0 /. 55
PUSH EBP
004012C1 |. 8BEC
MOV EBP,ESP
004012C3 |. 6A FF PUSH -1
The Art of Reversing by Ap0x Page 231 of 293