The Art of Reversing by Ap0x - Tutoriali.org

eXpressor1.2.0
Ovo je jedan prilicno obican paker ali sam odlucio da i njega stavim u
knjigu zbog par njegovih specificnosti. Naime ovaj paker ima i standardno
shareware upozorenje ali i zanimljiv nacin odlaska na OEP. Kazem zanimljiv
ali je on stvarno vise nego standardan, samo sto cu ga ovaj put detaljno
objasniti. Meta za ovaj deo poglavlja se nalazi u folderu Cas10 a zove se
crackme.eXPressor120.exe. Ovaj fajl cemo otvoriti pomocu Ollyja i na samom
OEPu cemo videti sledece:
00407638 >/$ 55 PUSH EBP
00407639 |. 8BEC MOV EBP,ESP
0040763B |. 81EC D4010000 SUB ESP,1D4
00407641 |. 53 PUSH EBX
Posto znamo da nasa meta prikazuje NAG izvrsavacemo je sa F8 sve dok ne
stignemo do sledeceg koda koji sluzi za prikazivanje NAGa:
004076D6 |. 6A 30 PUSH 30
004076D8 |. 68 C4724000 PUSH crackmee.004072C4 ; |Title = "Nfo"
004076DD |. 68 C8724000 PUSH crackmee.004072C8 "This program was packed…."
004076E2 |. 6A 00 PUSH 0
004076E4 |. FF15 D8744000 CALL NEAR DWORD PTR DS:[]
Ovaj NAG cemo ukloniti ili na standardan nacin NOPovanjem ili na laksi nacin
tako sto cemo umesto PUSH 30 komande uneti PUSH FF komandu. Naravno
ova druga izmena se radi pomocu Binary Edit prozora u Ollyju.
Sledece sto je potrebno da uradimo je da pronadjemo mesto sa kojeg se
izlazi iz eXpressor koda i posle cijeg izvrsavanja se dolazi na pravi OEP. Da
bismo ovo uradili potrebno je da postavimo memorijski breakpoint on access
na glavnu .data sekciju (ovo je .CODE sekcija samo sto se ovde zove .data) i
pritisnemo F9 posle cega smo ovde:
00407764 |. F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ESI]
00407766 |. 8BC8 MOV ECX,EAX
Posto se ovde ocigledno upisuju podaci u glavnu .code sekciju, ovaj deo
cemo preskociti i pronaci cemo deo koji izgleda kao skok ka OEPu. Dakle
skrolovacemo na dole sve dok ne budemo videli ovo:
00407D99 |. A1 B4864000 MOV EAX,DWORD PTR DS:[4086B4]