The Art of Reversing by Ap0x - Tutoriali.org

I kao sto smo i mislili 004012C0 je OEP i ovde mozemo uraditi
memory dump pomocu LordPEa, posle cega nam ostaje samo da popravimo
importe pomocu ImpReca da bismo uspesno otpakovali ovaj protektor.
Ali kao sto smo vec navikli kada su u pitanju komercijalni protektori i
ovaj ima API redirekciju zbog cega se IAT mora popravljati rucno. Da bismo
ovo uradili selektovacemo bilo koji invalidan import iz liste i izabracemo
opciju Disassemble / Hex View posle cega ce se prikazati sledeci prozor:
U njemu sam vec oznacio sve sto se odnosi na selektovani import i kao sto
se i vidi sa slike radi se o izuzetno jednostavnoj redirekciji koja se zasniva na
PUSHovanju konstante na STACK i na njenom XORovanju slucajnom
vredoscu kako bi se dobila adresa na kojoj se nalazi import. Ako izracunamo
2C59F302 XOR 5BBE5E84 dobicemo 77E7AD86, sto sigurno lici na adresu na
kojoj se nalazi import. Stoga cemo otici na doticnu adresu u Olly i videcemo
koji se tamo import nalazi:
77E7AD86 > 837C24 04 00
CMP DWORD PTR SS:[ESP+4],0
77E7AD8B 0F84 37010000 JE kernel32.77E7AEC8
…
77E7AD9E FF70 04 PUSH DWORD PTR DS:[EAX+4]
77E7ADA1 E8 27060000 CALL kernel32.GetModuleHandleW
77E7ADA6 C2 0400 RET 4
Naravno mislim da svi vide da je ovo poziv ka GetModuleHandleW APIju
stoga mozemo izabrati njega duplim klikom na invalidan import u glavnom
prozoru ImpReca. Naravno ovaj postupak treba ponoviti za sve invalidne API
pozive stoga predlazem da umesto rucnog popravljanja importa izaberete
ImpRec plugin pod imenom acpr koji ce za vas popraviti sve importe osim
jednog koji se nalazi na adresi 00407273. Ako pogledate njega na gore
opisan nacin videcete da on pokazuje na 00415E4B, odnosno nazad na
ACProtect kod zbog cega se ovaj import moze obrisati komandom Cut trunks.
The Art of Reversing by Ap0x Page 232 of 293