The Art of Reversing by Ap0x - Tutoriali.org

Inline patching: ASPack 1.x - 2.x
Posto je pored UPXa veoma cesto koriscen packer je i ASPack. Stoga
je izuzetno bitno naci nacin kako patchovati ovaj paker tako da se velicina
patchovanog fajla ne poveca ni za jedan bajt. Ovo moze izgledati
komplikovano ali ako se drzimo osnovnih principa patchovanja zapakovanih
executable fajlova uspecemo, dakle:
• Pronaci komandu koja se poslednja izvrsava a pripada samom
packeru. Ova komanda se izvrsava odmah pre skoka na otpakovan
OEP stoga nju treba izmeniti tako da ona pokazuje ka nasem
patchovanom kodu.
• Ako ovo prvo ne uspe treba pronaci mesto u kodu posle koga je ceo
kod glavne .code sekcije otpakovan u memoriju i tu treba ubaciti
pointer ka patch kodu.
• Osloboditi mesto za ubaceni kod
• Ubaciti kod za patchovanje
• U slucaju ‘ostecenja’ packerovog koda izvrsiti popravku
• Vratiti kontrolu ili pravom OEPu ili nastaviti sa otpakivanjem koda
Posto znamo da otpakujemo ASPack onda znamo i kako izgledaju poslednje
komande pre prelaska na pravi OEP:
004073B0 /75 08
004073B2 |B8 01000000
004073B7 |C2 0C00
004073BA \68 C0124000
JNZ SHORT crackme_.004073BA
MOV EAX,1
RET 0C
PUSH crackme_.004012C0
004073BF C3 RET
Ovo znaci da bismo trebali da izmenimo poslednju RET komandu u neki skok
ka patch kodu, ali da li je to bas tako Restartujte metu sa CTRL+F2 i
pogledajte sta se to nalazi na adresi:
004073B0 /75 08
004073B2 |B8 01000000
004073B7 |C2 0C00
JNZ SHORT crackme_.004073BA
MOV EAX,1
RET 0C
004073BA \68 00000000 PUSH 0
004073BF C3 RET
Kao sto vidimo kod je veoma slican ali nema onog PUSH 004012C0. Ovo
znaci da se OEP prosledjuje na ovu adresu, a ovo znaci da se ovaj deo koda
ne moze patchovati! Dakle potrebno je pronaci neki drugi deo koda koji se
nece menjati i kojem ce se pristupiti odmah nakon otpakivanja glavne
sekcije. Da biste ovo mesto nasli mozete traziti modifikaciju bajtova pomocu
Memory Access opcije u Ollyju, ali posto bi ovo objasnjenje bilo presiroko
preci cemo odmah na patchovanje. Dakle pronadjite ovo u kodu fajla
crackme.aspacked.original.exe
00407180 F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
00407182 8BC8 MOV ECX,EAX
00407184 83E1 03 AND ECX,3
00407187 F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[>
Izmenite ga u sledeci kod:
00407180 F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
00407182 - E9 AC91FFFF JMP inline_a.00400333
Sta smo ovde uradili Jednostavno smo zamenili komande MOV ECX,EAX i
AND ECX,3 komandom koja ce izvrsiti patch naseg koda. Ali zasto bas adresa
00400333 Zato sto se ova adresa nalazi u PE headeru fajla gde ima vise
The Art of Reversing by Ap0x Page 259 of 293