The Art of Reversing by Ap0x - Tutoriali.org

Iz tog razloga moramo da uradimo proveru da li je adresa prosla MOVS
komandu. Ovo je malo komplikovaniji deo ali je takodje izvodljivo.
Komplikovanije je u smislu da treba da odredimo koja je to bezbedna
vrednost na kojoj nece doci do ponovnog koriscenja vec zapisanih bajtova.
Recimo da je ta vrednost 0x400. Ovo znaci da cemo moci da ubacimo nas
patch u memoriju na trenutno otpakovanu lokaciju tek kada program
otpakuje sledecih 0x400 bajtova. Zbog ovoga ce nas patch biti program u
programu u kojem cemo prvo morati da uradimo redirekciju ka nasem patch
kodu koji cemo smestiti na adresu 00400333:
004072C9 95 XCHG EAX,EBP
004072CA 8BC5 MOV EAX,EBP
004072CC - E9 6290FFFF JMP patch.00400333
004072D1 F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
Originalni kod koji se nalazi na ovoj adresi je:
004072C9 95 XCHG EAX,EBP
004072CA 8BC5 MOV EAX,EBP
004072CC 56 PUSH ESI
004072CD 8BF7 MOV ESI,EDI
004072CF 2BF0 SUB ESI,EAX
004072D1 F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
Dakle zamenili smo komande PUSH ESI; MOV ESI,EDI; SUB ESI,EAX skokom
ka nasem buducem patchu koji ce se nalaziti na adresi 00400333. Ovaj patch
ce biti pravi mali program i tu cemo morati da uradimo sledece:
- vratimo ukradeni kod
- proverimo da li je trenutno otpakovana adresa veca za 0x400 od prve
otpakovane adrese na dinamicki alociranoj sekciji memorije
- da ubacimo redirekciju OEPa ka nasem patch kodu
- da patchujemo nasu metu
Ali pre nego sto uradimo bilo sta od ovoga potrebno je da saznamo kako to
PeX skace na OEP. To jest moramo da znamo gde treba da ubacimo
redirekciju PeXovog koda ka nasem patch kodu. Ovo cemo uraditi tako sto
cemo prvo restartovati nasu metu u Ollyju i onda cemo postaviti memorijski
break-point on write na glavnu .code sekciju. Nakon prelaska preko
exceptiona doci cemo do dela koda koji smo vec upoznali i koji se nalazi na
virtualno alociranom mestu. Sada treba ukloniti prethodno postavljen breakpoint
i postaviti novi, isti, ali ovaj put na poslednju sekciju koja sadrzi SFX
kod i importe. Posle ponovnog pritiska na F9 doci cemo do REP komande koja
vrsi pisanje u PeX unpacker sekciju. Ponovo cemo ukloniti nas memorijski
break-point i posle 2x klika na F8 naci cemo se na adresi 00407001. Ovo je
prva adresa u PeXovoj sekciji i ona se razlikuje od pocetne, od one koju
mozete videti kada prvobitno otvorite PeXovan fajl sa Ollyjem i ne izvrsite ni
jednu komandu, jer je PeX ovde izvrsio pisanje novog sadrzaja prilikom
izvrsavanja poslednje REP komande. Iz ovog razloga cemo traceovati kroz
ovaj kod sa F7 sve dok ne dodjemo do:
00407032 68 BF124000 PUSH crackme_.004012BF
00407037 EB 01 JMP SHORT crackme_.0040703A
00407039 C7 ; Unknown command
0040703A 58 POP EAX
0040703B 40 INC EAX ; crackme_.004012BF
0040703C 50 PUSH EAX