The Art of Reversing by Ap0x - Tutoriali.org

WinUPack 0.2x
WinUPack je jedan odlican novi packer sa zavidnim nivoom pakovanja,
koji je jedan od trenutno najmanjih pakera koje sam do sada sreo i testirao.
Nasa meta, koju cemo otpakivati, je pre pakovanja imala 5.0 kb a posle
pakovanja ima 3.58 kb. Poredjenja radi samo MEW 1.1 je bolji sa ratiom od
3.07 kb, ali ta razlika nestaje i prelazi u koristi WinUPacka prilikom
kompresovanja vecih fajlova. Meta za ovaj deo poglavlja je WinUPack.exe a
nalazi se u folderu Cas10. Njeno otpakivanje je krajnje jednostavno jer je
WinUPack paker a ne protektor, stoga se otpakivanje svodi na pretrazivanje
koda za skokom koji vodi u glavnu .Code sekciju, sto je slicno postupku
otpakivanja FSGa. Bez nekog detaljisanja pronalazimo skok ka OEPu:
00405B87 85C0 TEST EAX,EAX
00405B89 - 0F84 C1B6FFFF JE WinUPack.00401250
00405B8F 56 PUSH ESI
na koji postavljamo obican breakpoint i pritiskamo F9. WinUPack ce doci do
ovog breakpointa vise puta pa stoga posmatramo Olly i cekamo da se skok
izvrsi. Nadgledamo deo ekrana koji se nalazi odmah ispod glavnog code
windowa, a sadrzi sledeci tekst:
Jump is NOT taken
00401250=WinUPack.00401250
Naravno sada nam ostaje da pritiskamo F9 sve dok se tekst koji posmatramo
ne promeni u sledece:
Jump is taken
00401250=WinUPack.00401250
Posle cega nam ostaje samo da pritisnemo F8 i naci cemo se na OEPu koji
trenutno izgleda ovako:
00401250 55 DB 55 ; CHAR 'U'
00401251 8B DB 8B
00401252 EC DB EC
00401253 83 DB 83
00401254 EC DB EC
00401255 44 DB 44 ; CHAR 'D'
00401256 56 DB 56 ; CHAR 'V'
Zbog cega se naravno mora uraditi analiza koda pomocu klika na CTRL+A,
posle cega kod od gore postaje:
00401250 /. 55 PUSH EBP ; USER32.77D40000
00401251 |. 8BEC MOV EBP,ESP
00401253 |. 83EC 44 SUB ESP,44
00401256 |. 56 PUSH ESI
00401257 |. FF15 0C204000 CALL NEAR DWORD PTR DS:[40200C] ; [GetCommandLineA]
0040125D |. 8BF0
MOV ESI,EAX
0040125F |. 8A06
MOV AL,BYTE PTR DS:[ESI]
00401261 |. 3C 22 CMP AL,22
00401263 |. 75 14 JNZ SHORT WinUPack.00401279
Naravno kao sto smo to radili sa svakim pakerom ovde radimo memory
dump pomocu LordPEa ili ProcDumpa i na dumpovanom fajlu radimo
popravku importa pomocu ImpReca, koji ce naravno pronaci sve importe
odmah jer se ovde radi o obicnom pakeru, pa nema redirekcije ili enkripcije
API poziva. Jos jednom ovo je odlican paker koji ce drasticno smanjiti
velicinu vasih .exe fajlova stoga predlazem da ga koristite ako radite na
fajlovima koji prelaze velicinu jednog megabajta.
The Art of Reversing by Ap0x Page 233 of 293