The Art of Reversing by Ap0x - Tutoriali.org

MEW v.1.1 SE
Ovo je jos jedan lak paker za otpakivanje. Otvorite primer zapakovan
ovim pakerom koji se zove unpackme18.MEW11SE.exe pomocu Ollyja. Prva
linija pakera ce izgledati ovako:
0040732B >- E9 248EFFFF
JMP unpackme.00400154
00407330 0C 60 OR AL,60
Izvrsite ovaj skok sa F8 i zavrsicete ovde:
00400154 BE 1C604000 MOV ESI,unpackme.0040601C
00400159 8BDE MOV EBX,ESI
0040015B AD LODS DWORD PTR DS:[ESI]
0040015C AD LODS DWORD PTR DS:[ESI]
Iako ovaj kod izgleda malo komplikovano otpakuje se za samo nekoliko
sekundi. Odskrolujte do samog kraja ovog CALLa, to jest do prve RET
komande. Ona se nalazi ovde:
004001F0 FF53 F4 CALL DWORD PTR DS:[EBX-C]
004001F3 AB STOS DWORD PTR ES:[EDI]
004001F4 85C0 TEST EAX,EAX
004001F6 ^ 75 E5
JNZ SHORT unpackme.004001DD
004001F8 C3 RET
Secate se sta smo rekli Do OEPa se moze doci pomocu JMP, CALL, RET
komandi. Probacemo ovu teoriju u praksi i postavicemo jedan breakpoint na
adresu 004001F8, to jest na RET komandu. Posle toga cemo izvrsiti sav kod
koji je potreban da se stigne do nje sa F9. Kada konacno stanemo kod nje
izvrsicemo i nju sa F8 i to ce nas odvesti ovde:
00401000 6A DB 6A ; CHAR 'j'
00401001 00 DB 00
00401002 E8 DB E8
00401003 0D DB 0D
00401004 01 DB 01
00401005 00 DB 00
Da li je ovo mesto koje smo trazili Da li je ovo OEP Znam da vam ovo
izgleda kao neke kuke i kvake ali ako analiziramo ovaj kod pritiskom na CTRL
+ A videcemo sta se to zaista nalazi na adresi 00401000. Videcemo ovo:
00401000 . 6A 00 PUSH 0
00401002 . E8 0D010000 CALL unpackme.00401114
00401007 . A3 00304000 MOV DWORD PTR DS:[403000],EAX
E ovo vec izgleda kao pravi OEP pa stoga ovde mozemo uraditi memory
dump pomocu alata koji vi izaberete. Posto MEW nema nikakve API
redirekcije ili kriptovanje API poziva dump i popravku APIa mozemo da
uradimo preko standardnog OllyDMP plugina i sve ce biti OK.
The Art of Reversing by Ap0x Page 238 of 293