The Art of Reversing by Ap0x - Tutoriali.org

00407032 + 1. Ponovo cemo restartovati Olly i ponovo cemo podesiti
memorijske break-pointe na vec objasnjen nacin. Kada dodjemo do zadnje
REP komande primeticemo da se adresa 00407033 prepisuje sa sadrzajem:
ECX=0000000C (decimal 12.)
DS:[ESI]=[009B0396]=68 ('h')
ES:[EDI]=[00407032]=C4
privremene adrese 009B0396 (ovo ce biti drugacije svaki put i za svaki
kompjuter). Problem sa ovim nasim otkricem je da znamo sa koje se adrese
upisuje PUSH OEP - 1 komanda ali ne znamo kako ce ta adresa izgledati jer
se adresa sa koje se upisuje PUSH menja svaki put. Ali posle vise startovanja
nase mete u pokusaju da pronadjemo zavisnost izmedju 009B0396 i
00407033 dolazimo do ovoga:
ECX=0000000C (decimal 12.)
DS:[ESI]=[00A10396]=68 ('h')
ES:[EDI]=[0045D032]=C4
Kao sto se vidi PUSH OEP - 1 se uvek upisuje sa VirualAlloca + 396 adrese.
Ovo nam je pomoglo i sada mozemo da ubacimo nas patch kod na adresu
00400333. Prvo cemo ubaciti kod koji smo ukrali na racun skoka ka
00400333 adresi:
00400333 56 PUSH ESI
00400334 8BF7 MOV ESI,EDI
00400336 2BF0 SUB ESI,EAX
a posle ovoga moramo da uradimo kod koji ce racunati VirtualAlloc + 396 +
0x400 (jer je ovo odredjena velicina kao safe za pisanje). Posto su EDI i ESI
registri isti iskoristicemo jedan od njih da ga privremeno zamenimo EAXom i
da na EAXu izracunamo novu adresu koja je potrebna da postoji u memoriji
da bismo mi mogli da izvrsimo pisanje redirekcije OEPa. Ovo izgleda ovako:
00400338 97 XCHG EAX,EDI
00400339 66:33C0 XOR AX,AX
0040033C 05 96080000 ADD EAX,896
00400341 3BF0 CMP ESI,EAX // Da li EAX adresa postoji
00400343 7F 0B JG SHORT patch.00400350
00400345 97 XCHG EAX,EDI // Ako ne postoji
00400346 8BFE MOV EDI,ESI // samo se vrati iz patcha
00400348 03F8 ADD EDI,EAX // vracajuci registre u
0040034A 68 D1724000 PUSH patch.004072D1 // prethodno stanje
0040034F C3 RET
00400350 C780 01FBFFFF 5> MOV DWORD PTR DS:[EAX-4FF],0040035B // Patch lokacija
0040035A ^ EB E9 JMP SHORT patch.00400345 // Vrati se iz patcha
I naravno posle ubacivanja adrese - 1 na kojoj se nalazi nas patch kod
potrebno je vratiti sve registre u prethodno stanje kako PeX ne bi pravio
nikakve greske. Posto smo vec definisali da se novi patch kod nalazi na
adresi 0040035B + 1 potrebno je samo da ga ubacimo:
0040035C
C605 35104000 F>MOV BYTE PTR DS:[401035],0FF // Patch kod
00400363 C605 8A104000 0>MOV BYTE PTR DS:[40108A],0 // Patch kod
0040036A 68 C0124000 PUSH patch.004012C0 // OEP lokacija
0040036F C3 RET // JMP to OEP
I to je to. Uspesno smo patchovali PeXovan program bez obzira na to sto se
u PeXu OEP “prepisuje” sa dinamicki alocirane adrese. Ovo jeste bilo malo
teze uraditi ali smo dosta toga naucili o inlineingu zahvaljujuci bartu iz xt-a
koji je autor PeXa i FSGa.
The Art of Reversing by Ap0x Page 264 of 293