The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
EZIP 1.0<br />
Ovo je jos jedan lak paker za otpakivanje. Otvorite primer zapakovan<br />
ovim pakerom koji se zove Unpackme12.EZIP1.exe pomocu Ollyja. Prva linija<br />
pakera ce izgledati ovako:<br />
004060BE > $ /E9 19320000<br />
JMP Unpackme.004092DC<br />
Izvrsite ovaj skok sa F8 i zavrsicete ovde:<br />
004092DC /> \55<br />
004092DD |. 8BEC<br />
004092DF |. 81EC 28040000<br />
004092E5 |. 53<br />
PUSH EBP<br />
MOV EBP,ESP<br />
SUB ESP,428<br />
PUSH EBX<br />
Mozete da traceujete kroz ovaj kod ali nema potrebe :) samo odskrolujte do<br />
samog kraja ovog CALLa i videcete sledece:<br />
00409688 |. FFE0 JMP EAX 5F<br />
POP EDI<br />
0040968B |. 5E<br />
POP ESI<br />
0040968C |. 5B<br />
POP EBX<br />
0040968D |. C9<br />
LEAVE<br />
0040968E \. C3<br />
RET<br />
Sada samo treba da postavite jedan obican breakpoint na JMP EAX komandu,<br />
pritisnete F9 da biste dosli do te komande i izvrsite je sa F8. Posle ovoga cete<br />
se naci na nasem pravom OEPu, to jest ovde:<br />
00401000 6A 00 PUSH 0<br />
00401002 E8 0D010000 CALL Unpackme.00401114<br />
Sada mozete da uradite dump pomocu OllyDMP plugina. Default podesavanja<br />
su OK. Posle ovoga cete dobiti uspesno otpakovan EZIPovan fajl.<br />
SPEC b3<br />
Kao sto smo videli kod EZIPa, JMP EAX komanda nas kod nekih pakera<br />
moze odvesti do samog OEPa. Ovo cemo iskoristiti za otpakivanje SPEC b3a.<br />
Primer se nalazi u folderu Cas10, a zove se Notepad.SPEC3.exe. Ucitajte ga u<br />
Olly i samo odskrolujte dole dok ne naidjete na:<br />
0040D14F FFE0 JMP EAX<br />
Postavite breakpoint na JMP EAX, pritisnite F9 da biste dosli do tog<br />
breakpointa i sa F8 izvrsite skok i zavrsicete na OEPu. Posle ovoga samo<br />
uradite dump pomocu OllyDMP plugina i otpakivanje je gotovo :)<br />
CExe 1.0a - 1.0b<br />
Ovo je klasican primer kako ne treba pisati zastitu za vase aplikacije.<br />
Naime iako se fajl nalazi enkriptovan unutar samog .exe fajla on se prilikom<br />
dekripcije kompletno otpakuje na disk. Primer ove veoma lose zastite se<br />
nalazi u folderu Cas10 a zove se unpackme9.CExe.exe. Kako cete otpakovati<br />
program “zasticen” ovim pakerom Jednostavno startujte zapakovani fajl i<br />
sacekajte da se on pokrene, kada se pokrene primeticete da se u istom<br />
direktorijumu nalazi jedan .tmp fajl. Vi samo treba da iskopirate taj tmp fajl<br />
gde zelite i preimenujete ga u .exe fajl. Dekriptovanje je gotovo, a nismo cak<br />
ni upalili Olly :)<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 237 <strong>of</strong> 293
Change language