The Art of Reversing by Ap0x - Tutoriali.org

EXE32Pack 1.3x
Ovo je jedan jako podmukao paker. Kazem podmukao jer on za razliku
od vecine ostalih pakera ne saopstava da je detektovao debugger nego
podmuklo unistava OEP! Bez obzira na ovaj stvarno podao trik i ova zastita
se veoma lako zaobilazi! Meta pakovana ovim pakerom se nalazi u folderu
Cas10 a zove se unpack.exe32pack.exe. Prvo cemo kao i uvek iskoristiti
OllyDBG plugin HideOlly da bismo izbegli detekciju debuggera. Kada ovo
uradimo do samog OEPa cemo doci pomocu obicnog traceovanja. Samo treba
da znamo kako i zasto da postavimo uslov za traceovanje.
Posto packer OEP izgleda ovako:
0040A00C > 3BC0
CMP EAX,EAX
0040A00E 74 02 JE SHORT unpack_e.0040A012
0040A010 8183 553BC074 0> ADD DWORD PTR DS:[EBX+74C03B55],53838102
0040A01A 3BC9 CMP ECX,ECX
0040A01C 74 01 JE SHORT unpack_e.0040A01F
0040A01E BC 563BD274 MOV ESP,74D23B56
0040A023 0281 8557E800 ADD AL,BYTE PTR DS:[ECX+E85785]
0040A029 0000 ADD BYTE PTR DS:[EAX],AL
0040A02B 003B ADD BYTE PTR DS:[EBX],BH
0040A02D DB ; Unknown command
a u 99% posto situacija OEP se nalazi na adresama izmedju 00401000 -
00402000, uslov za traceovanje treba postaviti ovako:
Naravno do ovog prozora se stize pomocu menija Debug -> Set condition ili
pritiskom na CTRL+T. Kada konacno postavimo uslov za trace ovako ostaje
nam da pritisnemo CTRL+F11 dugme ili da selektujemo Debug-Trace into
meni. I posle malo vremena cemo se naci na pravom OEPu koji se nalazi na
adresi 00401264 na kojoj mozemo da uradimo dump, posle cega kao i uvek
sledi popravka importa pomocu ImpRECa.
The Art of Reversing by Ap0x Page 244 of 293