The Art of Reversing by Ap0x - Tutoriali.org

dekripcija i provera checksuma (registar EDX i CMP komanda na adresi
00410549). Ako se ovaj checksum slaze onda ce se skociti na adresu
00410429, na kojoj se nalazi sledece:
00410429 > /55 PUSH EBP
0041042A |8BEC
MOV EBP,ESP
0041042C |83C4 F0
ADD ESP,-10
0041042F |B8 9C7F4000 MOV EAX,NAG-Cryp.00407F9C
00410434 |E8 4B40FFFF CALL NAG-Cryp.00404484
00410439 .^|EB C6 JMP SHORT NAG-Cryp.00410401
0041043B |0000
ADD BYTE PTR DS:[EAX],AL
Ovo predstavlja samo jedan deo standardnog Delphi OEPa stoga cemo izvrsiti
sav ovaj kod sa F8. Posle izvrsenja JMP komande naci cemo se ovde:
00410401 > /B8 FD7F4000 MOV EAX,NAG-Cryp.00407FFD
00410406 . |B9 1B000000 MOV ECX,1B
0041040B > |83C0 01 ADD EAX,1
0041040E . |8030 33
XOR BYTE PTR DS:[EAX],33
00410411 . |8030 44 XOR BYTE PTR DS:[EAX],44
00410414 .^|E2 F5 LOOPD SHORT NAG-Cryp.0041040B
00410416 . |A1 10A74000 MOV EAX,DWORD PTR DS:[40A710]
0041041B . |A3 4CA84000 MOV DWORD PTR DS:[40A84C],EAX
00410420 . |EB 1F JMP SHORT NAG-Cryp.00410441
00410422 |90 NOP
I ovo je vec vise puta vidjeni kod u ovoj meti. Upotreba mu je ista kao i u
prethodna dva slucaja, samo sto su ovaj put na meti sledece adrese
00407FFD i 1B sledecih. Posle izvrsenja skoka na adresi 00410439 doci
cemo:
00410441 > \B8 407F4000 MOV EAX,NAG-Cryp.00407F40 /* Prva dekripcija
00410446 . B9 04000000 MOV ECX,4
0041044B > 8030 44
XOR BYTE PTR DS:[EAX],44
0041044E . 83C0 01
ADD EAX,1
00410451 .^ E2 F8 LOOPD SHORT NAG-Cryp.0041044B */
00410453 . B8 487F4000 MOV EAX,NAG-Cryp.00407F48 /* Druga dekripcija
00410458 . B9 2B000000 MOV ECX,2B
0041045D > 8030 44
XOR BYTE PTR DS:[EAX],44
00410460 . 83C0 01 ADD EAX,1
00410463 .^ E2 F8 LOOPD SHORT NAG-Cryp.0041045D */
00410465 . B8 107F4000 MOV EAX,NAG-Cryp.00407F10 /* Treca dekripcija
0041046A . B9 12000000 MOV ECX,12
0041046F > 8030 44
XOR BYTE PTR DS:[EAX],44
00410472 . 83C0 01 ADD EAX,1
00410475 .^ E2 F8 LOOPD SHORT NAG-Cryp.0041046F */
00410477 . B8 107F4000 MOV EAX,NAG-Cryp.00407F10 /* Cetvrta dekripcija
0041047C . B9 12000000 MOV ECX,12
00410481 . BA 00000000 MOV EDX,0
00410486 > 0310 ADD EDX,DWORD PTR DS:[EAX]
00410488 . 83C0 01 ADD EAX,1
0041048B .^ E2 F9 LOOPD SHORT NAG-Cryp.00410486 */
0041048D . 81FA 45CE9313 CMP EDX,1393CE45 /* checksum provera
00410493 . 74 0F JE SHORT NAG-Cryp.004104A4 */
Analizirao sam ovaj deo koda i ovde je sve jasno, stoga posle izvrsavanja JE
skoka na adresi 00410493 zavrsicemo ovde:
004104A4 > \8B15 94044100 MOV EDX,DWORD PTR DS:[410494] /* Provera 410494
004104AA . 81EA 00909090 SUB EDX,90909000
004104B0 . 83C2 1A
ADD EDX,1A
004104B3 . 83FA 29
CMP EDX,29
004104B6 .^ 75 E1 JNZ SHORT NAG-Cryp.00410499 */ ExitProcess
004104B8 . B8 807D4000 MOV EAX,NAG-Cryp.00407D80 /* Dekripcija jedan
004104BD . B9 19000000 MOV ECX,19
004104C2 > 8030 29
XOR BYTE PTR DS:[EAX],29
004104C5 . 83C0 01
ADD EAX,1
004104C8 .^ E2 F8 LOOPD SHORT NAG-Cryp.004104C2 */
004104CA . 8B15 807D4000 MOV EDX,DWORD PTR DS:[407D80] /* Provera 407D80
The Art of Reversing by Ap0x Page 282 of 293