The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
The Art of Reversing by Ap0x - Tutoriali.org
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
PEBundle 2.0x - 2.4x<br />
Sa pakerom Jeremy Collaka smo se vec sreli kada smo otpakivali<br />
PECompact. Sada je na redu jos jedan njegov paker PEBundle. Otvorite<br />
primer zapakovan ovim pakerom koji se zove unpackme21.PEBundle2x.exe<br />
pomocu Ollyja. Prva linija pakera ce izgledati ovako:<br />
00442000 > 9C PUSHFD<br />
00442001 60 PUSHAD<br />
00442002 E8 02000000 CALL unpackme.00442009<br />
Pritisnucemo F7 3x da bismo usli u prvi CALL. To ce nas odvesti ovde:<br />
00442009 8BC4 MOV EAX,ESP<br />
0044200B 83C0 04 ADD EAX,4<br />
sada cemo samo odskrolovati do samog kraja ovog CALLa, to jest do prve<br />
RET komande. Ovo radimo zato sto smo usli u CALL, a jedini nacin da se<br />
vratimo iz CALLa je pomocu RET komande. Prvu RET komandu cemo naci tek<br />
ovde:<br />
00442466 61 POPAD<br />
00442467 9D POPFD<br />
00442468 68 00B04200 PUSH unpackme.0042B000<br />
0044246D C3 RET<br />
Postavicemo jedan breakpoint na adresu 0044246D, to jest na samu RET<br />
komandu. Pritisnucemo F9 da bismo dosli do te RET komande, a sa F8 cemo<br />
izvrsiti i tu RET komandu posle cega cemo se naci ovde:<br />
0042B000 9C PUSHFD<br />
0042B001 60 PUSHAD<br />
0042B002 E8 02000000 CALL unpackme.0042B009<br />
Pritisnucemo F7 3x da bismo usli i u ovaj CALL i ponovo cemo potraziti<br />
najblizu RET komandu. Ona se nalazi ovde:<br />
0042B466 61 POPAD<br />
0042B467 9D POPFD<br />
0042B468 68 EC154000 PUSH unpackme.004015EC<br />
0042B46D C3 RET<br />
Posle ovoga cemo postaviti breakpoint na RET komandu sa F9 cemo doci do<br />
nje i sa F8 cemo je izvrsiti, posle cega cemo zavrsiti ovde:<br />
004015EC 68 DB 68 ; CHAR 'h'<br />
004015ED 8C264000 DD unpackme.0040268C ; ASCII "VB5!6&*"<br />
004015F1 E8 DB E8<br />
004015F2 EE DB EE<br />
Kao sto vidimo nalazimo se na OEPu koji i bez i sa analizom izgleda ovako<br />
kako izgleda jer je u pitanju Visual Basic aplikacija. Ovo je adresa na kojoj<br />
mozemo da uradimo dump pomocu LordPEa ili OllyDMPa. Posto PEBundle ne<br />
enkriptuje IAT mozemo da uradimo dump pomocu OllyDMPa koji ce za nas<br />
popraviti i importe.<br />
<strong>The</strong> <strong>Art</strong> <strong>of</strong> <strong>Reversing</strong> <strong>by</strong> <strong>Ap0x</strong> Page 239 <strong>of</strong> 293
Change language