The Art of Reversing by Ap0x - Tutoriali.org

Posto ce se ovaj breakpoint pojavljivati vise puta najbolje je da uklonimo
memorijski breakpoint on access i postavimo obican breakpoint na adresu:
00A8B6E1 C2 1400 RET 14
Posto smo uklonili memorijski breakpoint pritisnucemo F9 da dodjemo do
breakpointa na adresi 00A8B6E1. Kada se ovo desi mozemo da uklonimo
breakpoint sa RET 14 komande i da vratimo memorijski breakpoint na .CODE
sekciju, sa tom razlikom sto cemo postaviti ovaj put write breakpoint. Ovo
radimo iz razloga jer koliko vidimo glavna .CODE sekcija jos uvek nije u
potpunosti otpakovana. Klikom na F9 zavrsavamo ovde:
00A860DD F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
00A860DF 03CA ADD ECX,EDX
00A860E1 F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[>
00A860E3 5A POP EDX
Posto se i REP komanda izvrsava veci broj puta ponovo cemo ukloniti
memorijski breakpoint sa sekcije i pritisnucemo F8 4x da bismo izvrsili obe
REP komande. I konacno mozemo da pogledamo stanje .CODE sekcije 2x
klikom na nju u Memory window prozoru. Videcemo da je cela sekcija
uspesno otpakovana! Da ne bismo izvrsavali kod sve dok ne dodjemo do
OEPa uradicemo to pomocu jos jednog memorijskog breakpointa (access) na
glavnu sekciju. Posle klika na F9 zavrsicemo na pravom OEPu koji posle
analize izgleda ovako:
00401264 /. 55 PUSH EBP
00401265 |. 8BEC MOV EBP,ESP
Sto je ocigledno VC++ OEP. Ovde mozemo uraditi dump pomocu LordPEa. Ali
pre nego sto uradite dump u LordPEu u istom meniju kao Dump full izaberite
komandu Correct image size, pa tek onda izvrsite Dump.
Popravka importa ce biti malo teza nego obicno iz razloga sto ImpREC prvo
treba podesiti tako da on moze da pristupi standardnom “kacenju” na
debuggovani proces gde cemo uraditi popravku importa. Posto smo prvi deo
vec uradili ostaje nam da uradimo i drugi to jest da popravimo sve importe.
Naravno kao i uvek uradicemo Trace Level 1 disassemble posle cega ce ostati
samo jedan nepoznat import u kernel32.dll fajlu. To ce u tree fajlu izgledati
ovako:
0 00002008 0000 00AF33DD
1 0000200C kernel32.dll 01A6 GetStartupInfoA
Bez obzira na ovaj pokvaren mi cemo 2x kliknuti na njega i dodacemo bilo
koji import iz kernel32.dll fajla, recimo:
1 00002008 kernel32.dll 0002 AddAtomA
1 0000200C kernel32.dll 01A6 GetStartupInfoA
Kada uradimo Fix dump otvoricemo dumpovan fajl pomocu Ollyja i pocecemo
da traceujemo kroz njega sa F8 sve dok ne dodjemo do tacke rusenja:
00401368 |. FF15 0C204000 CALL NEAR DWORD PTR DS:[40200C]
Sada kada znamo gde se meta srusila jednostavno cemo otvoriti neki drugi
VC++ fajl i prepisacemo koji se to import na tom mestu poziva. Otvorite
...\Casovi\Cas03\keygenme1.exe i jednostavno uporedite VC++ import callove i
videcete da je tacan import:
1 00002008 kernel32.dll 016F GetModuleHandleA
1 0000200C kernel32.dll 01A6 GetStartupInfoA
NAPOMENA: Ovaj metod je moguce koristiti samo ako je u pitanju neki od
poziva koji se nalaze na standardnom compiler OEPu. Ako je u pitanju neki
drugi deo koda moracete da analizirate PUSH komande koje prethode samom
CALLu, medjutim SKVP nece nikad progutati vise od tri-cetiri importa.
The Art of Reversing by Ap0x Page 248 of 293