The Art of Reversing by Ap0x - Tutoriali.org

0044FAB3 |. 0F85 AE000000
0044FAB9 |. 8B45 F8
0044FABC |. 8078 0F 5C
0044FAC0 |. 0F85 A1000000
JNZ crackme#.0044FB67
MOV EAX,DWORD PTR SS:[EBP-8]
CMP BYTE PTR DS:[EAX+F],5C
JNZ crackme#.0044FB67
Sledece dve provere na adresama 0044FABC i 0044FAAF su nam jako bitne.
Primetite da se odredjena slova iz imena porede sa vrednoscu 5C odnosno sa
karakterom ‘\’. Ovi bajtovi se nalaze na adresama 008A3701 i 008A3707.
Ovo ujedno znaci da 9. i 15. slovo iz putanje do fajla moraju biti ‘\’ a ovo
znaci da se fajl nalazi u dodatnim poddirektorijumima zbog cega cemo ovaj
exe prebaciti u sledeci folder C:\aaaaaa\bbbba\ccccc i primeticemo da se
sada nijedan JNZ skoka ne izvrsava i da cemo nastaviti sa analizom koda od
adrese 0044FAC6. Dok polako izvrsavate kod videcete u donjem desnom delu
CPU prozora Ollyja sledece:
0012F3EC 008A2078
0012F3F0 008A2064
0012F3F4 008A2050
0012F3F8 008A36F8
ASCII "aaaaaabbbba"
ASCII "bbbba"
ASCII "aaaaaa"
ASCII "C:\aaaaaa\bbbba\ccccc"
Ono sto vidimo je da se putanja rastavlja na poddirektorijume i da se imena
prvog i drugog poddirektorijuma slepljuju u jedan string. Doci cemo do
sledeceg loopa koji se koristi za izracunavanje serijskog broja.
0044FB13 |> /8B45 EC
0044FB16 |. |0FB64408 FF
0044FB1B |. |0FAF45 DC
0044FB1F |. |0145 E0
0044FB22 |. |41
0044FB23 |. |4A
0044FB24 |.^\75 ED
/MOV EAX,DWORD PTR SS:[EBP-14]
|MOVZX EAX,BYTE PTR DS:[EAX+ECX-1]
|IMUL EAX,DWORD PTR SS:[EBP-24]
|ADD DWORD PTR SS:[EBP-20],EAX
|INC ECX
|DEC EDX
\JNZ SHORT crackme#.0044FB13
Posle izvrsenja ovog loopa i par komandi ispod njega u donjem desnom delu
CPU prozora cemo videti:
0012F3E8 008A2090 ASCII "71757"
tacan serijski broj za ovu putanju. Ispod ovoga sledi poredjenje dve
vrednosti
0044FB47 |. 8B45 E4
0044FB4A |. 8B55 E8
0044FB4D |. E8 2A4BFBFF
MOV EAX,DWORD PTR SS:[EBP-1C]
MOV EDX,DWORD PTR SS:[EBP-18]
CALL crackme#.0040467C
preostalog dela putanje “ccccc” i “71757”. Ovo znaci da krajnji folder koji
smo mi nazvali “ccccc” treba da se zove “71757”. Zatvoricemo Olly i
reimenovacemo ovaj direktorijum u “71757” posle cega cemo videti sledece:
Ovo znaci da smo uspeli, uspesno smo pronasli resenje ovog crackmea.
Interesantan je, zar ne Sada nam samo preostaje da napravimo
keygenerator za ovaj crackme.
Keygen:
Vec smo pronasli gde se to racuna serijski broj a sada samo treba da
razumemo taj isti algoritam i da ga prepisemo u nekom drugom
programskom jeziku. Za ovaj primer ja cu koristiti samo Delphi. Pre nego sto
pocnemo da se bavimo pravljenjem keygeneratora moracemo prvo da se
The Art of Reversing by Ap0x Page 270 of 293