The Art of Reversing by Ap0x - Tutoriali.org

Making a loader
Kao sto je vec objasnjeno loaderi se koriste kada zelimo da napravimo
patch za pakovane ili kriptovane, ali mi cemo napraviti loader za obican
crackme.
Kao sto vidimo primer koji se nalazi u folderu Cas11 a zove se LOADME.exe
prikazuje poruku da nije crackovan. Ovo znaci da se negde u programu
nalazi poruka o tacno crackovanom programu. Ta poruka se nalazi ovde:
00401052 . 47 6F 6F 64 2> ASCII "Good Cracker !!!"
00401062 . 00 ASCII 0
A da se ona prikazuje ovde:
004010BF . BB 01000000
MOV EBX,1
004010C4 . 83FB 01
CMP EBX,1
004010C7 . 75 11
JNZ SHORT LOADME.004010DA
004010C9 . 68 40104000 PUSH LOADME.00401040 ; /Text = "Bad Cracker !!!"
004010CE . 6A 64 PUSH 64
004010D0 . FF75 08
PUSH DWORD PTR SS:[EBP+8]
004010D3 . E8 96000000
CALL
004010D8 . EB 15
JMP SHORT LOADME.004010EF
004010DA > 837D 10 02
CMP DWORD PTR SS:[EBP+10],2
004010DE . 75 0F
JNZ SHORT LOADME.004010EF
004010E0 . 68 52104000 PUSH LOADME.00401052 ; /Text = "Good Cracker !!!"
004010E5 . 6A 64 PUSH 64
004010E7 . FF75 08
PUSH DWORD PTR SS:[EBP+8]
004010EA . E8 7F000000
CALL
Patchovacemo skok na adresi 004010C7 JNZ u JMP, to jest sa 75 11 u EB 11
i drugi skok na adresi 004010DE sa 75 0F u 90 90. Ovde necemo uraditi
fizicki nego memorijski patch. Za ovo cemo iskoristiti R!SC Process Patcher
koji se nalazi zipovan u folderu Cas11 kao fajl rpp.zip. Da biste napravili
loader morate prvo napraviti jedan .rpp fajl. Njegov sadrzaj ce izgledati
ovako:
F=LOADME.exe:
O=loader.exe:
P=4010C7/75,11/EB,11:
P=4010DE/75,0F/90,90:
; PROCESS TO PATCH
; LOADER TO CREATE
; JNZ 2 JMP
; JNZ 2 NOP
$
Posle ovoga mozete startovati Rpp.exe i pomocu njega kompajlovati ovaj
.rpp skript. Kao rezultat dobicete fajl loader.exe koji ce uspesno patchovati
memoriju LOADME.exe fajla. Sama struktura .rpp fajla je jednostavna pa je
necu objasnjavati, a ako vam na prvi pogled nije jasno uporedite adrese i
bajtove u redovima koji pocinju sa P=.
The Art of Reversing by Ap0x Page 265 of 293