The Art of Reversing by Ap0x - Tutoriali.org

nego dovoljno mesta da mi ubacimo nas kod za patchovanje. Na toj adresi
cemo postaviti sledece:
00400333 C605 35104000 F> MOV BYTE PTR DS:[401035],0FF
0040033A C605 8A104000 0> MOV BYTE PTR DS:[40108A],0
00400341 8BC8 MOV ECX,EAX
00400343 83E1 03 AND ECX,3
00400346 - E9 3C6E0000 JMP inline_a.00407187
Sta smo ovde uradili Jednostavno smo patchovali kod pomocu MOV BYTE
PTR komande (necu objasnjavati zasto bas ove adrese) posle cega smo morali
da vratimo komande koje smo slucajno izbrisali. Dakle da bi ovaj kod radio
potrebno je da vratimo izbrisane komande MOV ECX,EAX i AND ECX,3. Kada i
ovo zavrsimo potrebno je da se vratimo na neizmenjeni deo koda iz ASPack
sekcije. Dakle JMP 00407187 nas vraca na:
00407187 F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
I program ce nastaviti sa izvrsavanjem sve dok ne dodje do OEPa, a nas kod
ce biti patchovan bas kako treba. Stoga posle izvrsavanja ovog patcha nasa
meta nece prikazivati ni NAG a i Secret meni ce biti ukljucen.
Inline patching: EZIP 1.0
Buduci da je ASPack bio malo tezi primer sada cu objasniti veoma lako
ubacivanje koda u EZip. Otvorite metu crackme.eziped.original.exe pomocu
Ollyja i pogledajte kako izgleda OEP:
004070BE > $ /E9 19320000 JMP crackme_.0040A2DC
Posto je ovo neka vrsta redirekcije ka kodu pakera ispraticemo ovaj JMP sa
F8 posle cega cemo se naci ovde:
0040A2DC /> \55
PUSH EBP
0040A2DD |. 8BEC
MOV EBP,ESP
0040A2DF |. 81EC 28040000 SUB ESP,428
0040A2E5 |. 53
PUSH EBX
0040A2E6 |. 56
PUSH ESI
Posto smo vec otpakivali EZip znamo da se posle izvrsavanja JMP EAX
komande program prebacuje i sa izvrsavanja pakerovog koda prelazi na
izvrsavanje otpakovanog koda. To se desava ovde:
0040A687 |. 5D
0040A688 |. FFE0
POP EBP
JMP NEAR EAX
Posto smo vec rekli da skokove koji vode do prvog OEPa mozemo izmeniti
tako da umesto ka OEPu vode ka nasem patch kodu, ovde necemo uraditi
nista novo. Samo cemo skok JMP EAX izmeniti u patch kod a sav kod koji ce
pri tome biti izgubljen cemo nadoknaditi na racun CC bajtova iza RET
komande. Kako znamo da ovo smemo da uradimo Pa jednostavno samo
jedna INT3 komanda ima smisla ali vise njih sluze samo za ispunjenje nekog
prostora! Dakle posle patcha nas kod ce izgledati ovako:
0040A687 . 5D
POP EBP
0040A688 . 90
NOP
0040A689 . 90
NOP
0040A68A > C605 35104000 MOV BYTE PTR DS:[401035],0FF
0040A691 . C605 8A104000 MOV BYTE PTR DS:[40108A],0
0040A698 . FFE0
JMP NEAR EAX
Napominjem da u fajlu inline.eziped.exe postoji dodatni kod ispod JMP EAX
komande koji je isti kao i onaj koji se nalazi u originalnom fajlu. Ovo je
takozvano vracanje ukradenog koda. Ovde smo to uradili na racun CC
bajtova jer je to u ovom slucaju, kod ovog pakera, moguce.
The Art of Reversing by Ap0x Page 260 of 293