The Art of Reversing by Ap0x - Tutoriali.org

Kao i drugi deo treci se svodi na ovo:
e[7] = d[7] xor ESI xor t[3]
e[8] = d[8] xor ESI xor t[3]
e[9] = d[9] xor ESI xor t[3]
Sledeca dva poddela se malo razlikuju u odnosu na dosadasnja tri.
00407EC7 |. 8858 08 MOV BYTE PTR DS:[EAX+8],BL /*Sub 4-1
00407ECA |. 8B45 FC
MOV EAX,DWORD PTR SS:[EBP-4]
00407ECD |. 33DB
XOR EBX,EBX
00407ECF |. 8A58 09
MOV BL,BYTE PTR DS:[EAX+9]
00407ED2 |. 33DE
XOR EBX,ESI
00407ED4 |. 335D F4
XOR EBX,DWORD PTR SS:[EBP-C]
00407ED7 |. 8D45 FC
LEA EAX,DWORD PTR SS:[EBP-4]
00407EDA |. E8 D9BAFFFF CALL NAG-RAR.004039B8
00407EDF |. 8858 09 MOV BYTE PTR DS:[EAX+9],BL */
00407EE2 |. 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4] /* Sub 4-2
00407EE5 |. 33DB
XOR EBX,EBX
00407EE7 |. 8A58 0A
MOV BL,BYTE PTR DS:[EAX+A]
00407EEA |. 33DE
XOR EBX,ESI
00407EEC |. 335D EC
XOR EBX,DWORD PTR SS:[EBP-14]
00407EEF |. 8D45 FC
LEA EAX,DWORD PTR SS:[EBP-4]
00407EF2 |. E8 C1BAFFFF CALL NAG-RAR.004039B8
00407EF7 |. 8858 0A MOV BYTE PTR DS:[EAX+A],BL */
00407EFA |. 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4] /* Sub 4-3
00407EFD |. 33DB
XOR EBX,EBX
00407EFF |. 8A58 0B
MOV BL,BYTE PTR DS:[EAX+B]
00407F02 |. 33DE
XOR EBX,ESI
00407F04 |. 335D F0
XOR EBX,DWORD PTR SS:[EBP-10]
00407F07 |. 8D45 FC
LEA EAX,DWORD PTR SS:[EBP-4]
00407F0A |. E8 A9BAFFFF CALL NAG-RAR.004039B8
00407F0F |. 8858 0B MOV BYTE PTR DS:[EAX+B],BL */
Vidimo da je princip isti samo se malo razlikuju koraci 2 i 3 u odnosu na
prethodne pododeljke. Za sledeca dva puta vaze sledece formule:
e[10] = d[10] xor ESI xor t[1]
e[11] = d[11] xor ESI xor t[2]
e[12] = d[12] xor ESI xor t[3]
e[13] = d[13] xor ESI xor t[1]
e[14] = d[14] xor ESI xor t[2]
e[15] = d[15] xor ESI xor t[3]
I konacno imamo formulu po kojoj se dekriptuje enkriptovani d[x] string.
Sledi deo koji se odnosi na proveru a nalazi se ovde:
00407F5A |. 33D2 XOR EDX,EDX /* Check
00407F5C |. B8 01000000 MOV EAX,1
00407F61 |> 8B4D FC /MOV ECX,DWORD PTR SS:[EBP-4]
00407F64 |. 0FB64C01 FF |MOVZX ECX,BYTE PTR DS:[ECX+EAX-1]
00407F69 |. 03D1
|ADD EDX,ECX
00407F6B |. 40
|INC EAX
00407F6C |. 83F8 0A
|CMP EAX,0A
00407F6F |.^ 75 F0
\JNZ SHORT NAG-RAR.00407F61
00407F71 |. 81FA 24030000 CMP EDX,324
00407F77 |. 75 2B JNZ SHORT NAG-RAR.00407FA4 */
Kao sto se vidi ovaj loop se ponavlja 9 puta i unutar tog loopa se sabiraju sva
slova iz “dekriptovanog” stringa i njihov zbir se poredi sa 0x324. Ovde se
namece jedan problem... Naime sabiraju se samo 9 slova iz imena a string je
dugacak 15 karaktera. Ovo znaci da ce postojati veliki broj tacnih serijskih
brojeva ali da ce samo jedan dekriptovati string na bas pravi nacin. Ovo
takodje znaci da ce program za neke serijske govoriti da su tacni iako to
The Art of Reversing by Ap0x Page 278 of 293