The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
Neolite 2.0<br />
Evo kako se otpakuje jedan od najlaksih pakera koje sam ikada video.<br />
Meta se nalazi u folderu Cas10 a zove se <strong>Art</strong>emis.Neolite20.exe. Sam OEP<br />
izgleda ovako:<br />
00411110 > $ /E9 A6000000 JMP <strong>Art</strong>emis_.004111BB<br />
...<br />
004111BB > \8B4424 04 MOV EAX,DWORD PTR SS:[ESP+4]<br />
004111BF . 2305 21114100 AND EAX,DWORD PTR DS:[411121]<br />
004111C5 . E8 ED040000 CALL <strong>Art</strong>emis_.004116B7<br />
004111CA . FE05 BA114100 INC BYTE PTR DS:[4111BA]<br />
004111D0 . FFE0<br />
JMP EAX<br />
004111D2 . 803D BA114100> CMP BYTE PTR DS:[4111BA],0<br />
004111D9 . 75 13<br />
JNZ SHORT <strong>Art</strong>emis_.004111EE<br />
004111DB . 90<br />
NOP<br />
004111DC . 90<br />
NOP<br />
004111DD . 90<br />
NOP<br />
004111DE . 90<br />
NOP<br />
004111DF . 50<br />
PUSH EAX<br />
004111E0 . 2BC0<br />
SUB EAX,EAX<br />
004111E2 . E8 D0040000 CALL <strong>Art</strong>emis_.004116B7<br />
004111E7 . 58<br />
POP EAX<br />
004111E8 . FE05 BA114100 INC BYTE PTR DS:[4111BA]<br />
004111EE > C3<br />
RET<br />
Da biste uspesno otpakovali ovaj paker samo treba da pritiskate F8 polako<br />
izvrsavajuci jedan po jedan red sve dok ne izvrsite i JMP EAX komandu, posle<br />
cega cete se naci ovde:<br />
00401000 6A 00 PUSH 0<br />
00401002 E8 2A060000 CALL <strong>Art</strong>emis_.00401631<br />
00401007 A3 36214000 MOV DWORD PTR DS:[402136],EAX<br />
0040100C C705 7B214000 0> MOV DWORD PTR DS:[40217B],0B<br />
00401016 C705 7F214000 E> MOV DWORD PTR DS:[40217F],<strong>Art</strong>emis_.00401><br />
00401020 C705 83214000 0> MOV DWORD PTR DS:[402183],0<br />
a ovo je ujedno i pravi OEP. Ovde samo treba da uradimo full memory dump<br />
i da popravimo importe. Ako necete Neolite 2.0 da otpakujete rucno mozete<br />
to da uradite i pomocu PeIDovog generickog unpackera. Lako zar ne<br />
NAPOMENA: Ako ovaj packer odpakujete rucno moracete da podesite<br />
karakteristike sekcije CODE na E0000020. Ovo se moze uraditi pomocu PE<br />
editora koji se nalazi u LordPEu. Kada otvorite fajl u LordPEu onda izaberite<br />
dugme Sections pa na CODE, desnim dugmetom izaberite Edit Section<br />
Header i u polje Flags unesite E0000020. Ovo radimo zato sto sekcija CODE<br />
mora da ima takve atribute tako da se moze citati, izvrsavati ali i da se po<br />
noj moze pisati. Mada moze i bez ovoga ali je ovako svakako sigurnije.<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 234 <strong>of</strong> 293
Change language