The Art of Reversing by Ap0x - Tutoriali.org

yoda Crypter 1.3 - yC
yC je jedan od kriptera/protektora koji je napisao y0da, takodje
zasluzan za alat, koji ste do sada koristili na stotine puta, LordPe. U folderu
Cas10 se nalazi meta unpackme40.yC13.exe zasticena ovim kripterom. Otvorite
metu pomocu Ollyja i pre nego sto pocnete otpakivanje sakrijte Olly pomocu
HideOlly plugina. Kada ste ovo uradili mozete da pokusate da pokrenete
program klikom na F9. Zavrsicete ovde:
00405982 0000 ADD BYTE PTR DS:[EAX],AL
Posto je ovo Access violation otkacicemo odgovarajuci checkbox u dijalogu
Debugging options (ALT+O) i restartovacemo Olly i postavicemo Memory
breakpoint na glavnu .CODE sekciju. Ne zaboravite da ponovo ukljucite
HideOlly plugin! Ponovnim klikom na F9 zavrsavamo ovde:
00405456 AC LODS BYTE PTR DS:[ESI]
Posto je ovo komanda za ucitavanje bajta iz .CODE sekcije kliknucemo
ponovo na Run i zavrsicemo ovde:
00405487 AA STOS BYTE PTR ES:[EDI]
00405488 ^ E2 CC LOOPD SHORT unpackme.00405456
0040548A C3 RET
Posto se nalazimo u LOOPu koji otpakuje .CODE sekciju postavicemo
breakpoint na RET komandu, uklonicemo memorijski braekpoint i
pritisnucemo F9 da bismo stigli do naseg obicnog breakpointa. Kada
stignemo do RET komande uklonicemo breakpoint klikom na F2. Posto je
ocigledno da se pakerski kod nalazi na adresama od 00405000 postavicemo
uslov za trazenje (condition is true) EIP < 00405000 u prozoru Condition to
pause Run trace (CTRL+T). Kada ovo uradimo pokrenucemo trace klikom na
CTRL+F11 kako bismo stigli do OEPa. I posle malo cekanja dosli smo do:
00401135 E8 DB E8
Ovaj kod nije potrebno analizirati jer on stvarno predstavlja OEP standardnog
VB 6.0 programa. Sada cemo izvrsiti dump i popravku importa pomocu Olly
Dump plugina.
Ovde samo
treba da
primetite da
smo morali da
izmenimo OEP
na njegovu
pravu vrednost
jer je yC
progutao prvih
par bajtova.
Kako znamo da
je ovo pravi
OEP
Jednostavno
cemo pogledati
neki obican VB
fajl i videcemo
njegov OEP.
The Art of Reversing by Ap0x Page 246 of 293