The Art of Reversing by Ap0x - Tutoriali.org

PeX 0.99
PeX je jedan jako zanimljiv a ujedno i lak paker za reversing. Zasto
zanimljiv Iz razloga sto ima jako zanimljivu tehniku kojom detektuje
debuggere. Meta pakovana ovim pakerom se nalazi u folderu Cas10 a zove se
Phoenix2.PEX099. Naime program pakovan ovim pakerom se ne moze
startovati pomocu Ollyja jer ce biti detektovan i program se nece startovati
jer program detektuje takozvani stepping kroz kod. Ovo znaci da ce PeX
detektovati Olly samo ako debuggujemo program sa F7/F8 ali ne i sa F9!
Sada ostaje samo da se resimo par problema koji ce nas “zaustaviti” i
onemoguciti PeXu da odmah otpakuje metu. Ova dva problema su INT3 stop
i Illegal Instruction greska. Na njih smo naisli prilikom pritiska na F9 i
startovanja mete. Stoga cemo podesiti Olly ovako (Debugging options):
Posle ovoga ostaje da odemo u Memory map prozor (ALT+M) i postavimo
jedan memorijski break point (on access) na .code sekciju nase mete.
Sada cemo pokrenuti program sa F9 i sacekacemo da se on zaustavi na
OEPu. Ali na zalost nismo se zaustavili odmah na OEPu, nasli smo se ovde:
0085006B F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
Posto se REP komanda izvrsava mnogo puta vraticemo se u Memory map
prozor i skinucemo memory break point, pa cemo se vratiti u CPU prozor gde
cemo postaviti obican breakpoint na adresu 0085006D. Sada cemo pritisnuti
F9 da bismo stigli do tog breakpointa, a kada se to desi uklonicemo ga sa F2
i ponovo cemo postaviti memory breakpoint na .CODE sekciju. I posle jos
jednog pritiska na F9 doci cemo do samog OEPa nase mete. Ovde mozete
uraditi dump, dok cete prilikom popravljanja importa morati da uradite
Level1 trace da bi ste vratili sve importe.
The Art of Reversing by Ap0x Page 241 of 293