The Art of Reversing by Ap0x - Tutoriali.org

ARM Protector 0.1
Jos jedan jako zanimljiv paker koji se moze raspakovati bez
stepovanja kroz kod, a u stvari i potrebno je da se to ovako uradi, jer
program detektuje stepping kroz kod. Ali i ovo moze da se resi sa relativno
malo koraka. Meta pakovana ovim pakerom se nalazi u folderu Cas10 a zove
se unpackme3.ARMProtector.exe. Prvi bi bio da sakrijemo Olly od ARMa pomocu
HideOlly plugina. Drugi bi bio podesavanje Ollyja na ovaj nacin:
Posto packer OEP izgleda ovako:
00406000 >/$ E8 04000000 CALL unpackme.00406009
00406005 |. 8360 EB 0C AND DWORD PTR DS:[EAX-15],0C
00406009 |$ 5D POP EBP
0040600A |. EB 05
JMP SHORT unpackme.00406011
ostaje nam da pritisnemo F9 i da dodjemo do sledeceg Exceptiona koji
izgleda ovako:
00407249 8B DB 8B
0040724A 00 DB 00
0040724B EB DB EB
Posto treba da predjemo preko ovog exceptiona pritisnucemo SHIFT+F8, a
onda F8 sve dok se ne izvrsi sledeca linija ASM koda u ntdll.dll fajlu
77FB4DC6 E8 480BFCFF CALL ntdll.ZwContinue
Posle cega cemo se naci na OEPu gde mozemo da uradimo dump i popravku
importa. Sam OEP izgleda ovako:
00401000 . 6A 00 PUSH 0 ; /pModule = NULL
00401002 . E8 0D010000 CALL unpackme.00401114 ; \GetModuleHandleA
The Art of Reversing by Ap0x Page 243 of 293