The Art of Reversing by Ap0x - Tutoriali.org

Inline patching: PeX 0.99
Posto su prethodni primeri bili “previse” laki vreme je da konacno
uradimo nesto ozbiljno i da inlineujemo jedan jako tezak paker. Sta je to
tako tesko kod ovog pakera Tesko je to sto se JMP koji vodi na OEP nalazi u
delu koji se modifikuje iz memorije koja se dinamicki alocira. Ovo znaci da se
deo koda koji vodi do OEPa generise uvek na istom mestu ali posto se
memorija sa koje se on generise uvek drugacije alocira, to jest uvek ima
drugu adresu, stoga patchovanje ovakve aplikacije predstavlja problem. Na
svu srecu po nas ovaj problem nije neresiv.
Prvi u nizu problema sa kojim moramo da se suocimo je problem
odredjivanja mesta na koje cemo da ubacimo redirekciju ka nasem patch
kodu. Ovo mesto cemo pronaci tako sto cemo postaviti break-point on write
na glavnu .code sekciju. Posle pritiska na F9 zavrsicemo ovde:
0012FF91 - FFE2 JMP NEAR EDX ; crackme_.00407154
Posto se ovde ne vrsi pisanje u glavnu sekciju pritisnucemo SHIFT+F9, kako
bismo presli preko ovog exceptiona, posle cega cemo zavrsiti ovde:
004071EE 0F0B
UD2
Posto je i ovo jedna od nevaznih ASM komandi, ponovo cemo pritisnuti
SHIFT+F9 posle cege cemo se naci bas tamo gde treba:
02AB006B F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
02AB006D 5F POP EDI
02AB006E 83C7 28 ADD EDI,28
Dakle to je jedna od onih adresa koje se dinamicki alociraju pomocu
VirtualAlloc APIja. Na zalost postavljanje bilo kakvog break-pointa na ovaj
API nam nece pomoci iz razloga sto se memorija alocira malo drugacije.
Ostaje nam samo da pomocu traceinga kroz kod pronadjemo komande
STOS, MOVS ili REP koje se koriste za pisanje u memoriju. Naravno
uporedjivacemo adrese na koje se pise sa 02AB0068 (ovo je vrednost za moj
kompjuter i za ovaj start programa) i naci cemo bas ono sto smo trazili na
adresi:
004072CD . 8BF7
004072CF . 2BF0
004072D1 . F3:A4
004072D3 . 5E
MOV ESI,EDI
SUB ESI,EAX
REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
POP ESI
Ovde cemo uraditi redirekciju ka patch kodu. Za uspesno preusmeravanje
potreban nam je jos sadrzaj registara kada se izvrsava REP komanda tako da
cemo ih zapisati negde kako bismo ih kasnije koristili.
EAX 00000001
ECX 00000002
EDX 00407308 crackme_.00407308
EBX 00006473
ESP 0012FF58
EBP 00000001
ESI 009B0003
EDI 009B0004
EIP 004072D1 crackme_.004072D1
Kada smo ovo zapisali naisli smo na jos jedan problem. Naime problem je sto
se adrese koje su vec zapisane u memoriji pomocu REP komande ponovo
koriste pomocu MOVS komande na adresi:
00407268 > /A4 MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
00407269 > |E8 68000000 CALL crackme_.004072D6
The Art of Reversing by Ap0x Page 262 of 293