The Art of Reversing by Ap0x - Tutoriali.org

povecavaju za odredjeni broj. Ovaj broj ne mora biti uvek jedan, veoma
cesto i nije jedan. Taj broj direktno zavisi od sadrzaja koji se nalazi uokviren
plavo na slici. Ovi hex brojevi predstavljaju komande koje su u fajlu zapisane
u HEX obliku. Tako je HEXa decimalno 55 ekvivalentno ASM komandi PUSH
EBP. Primeticete da se ovi HEX brojevi pisu iskljucivo u paru po dva. Samo
dvocifreni HEX brojevi predstavljaju komande koje su ekvivalentne onima
koje su na slici uokvirene zelenom bojom. Nama je za ovaj primer bitno da
se ASM komanda NOP u HEX obliku pise kao 90. Ovo znaci da je jedno 90
ekvivalentno jednoj komandi NOP. Da bismo NOPovali jedan red moramo da
zamenimo sve dvocifrene HEX brojeve iz tog reda sa 90. Na primer ako
brisemo red koji se nalazi na adresi 004012E0 moracemo da zamenimo
sadrzaj ove adrese (83EC0C) sa tri NOP komande (909090) jer postoje tri
para dvocifrenih brojeva u toj liniji. Primetite kako se to adrese povecavaju,
videcete da se recimo iza adrese 004012C0 nalazi 004012C3. Logicno je za
ocekivati da se iza 004012C0 nalazi 004012C1, ali ovde se nalazi 004012C3.
Ovo se desava zato sto se u ASMu svakom dvocifrenom broju dodeljuje samo
jedna adresa. Dakle ako je adresa 004012C0 onda se na toj adresi nalazi
samo jedan dvocifreni broj i to 83, na adresi 004012C1 se nalazi E4, a na
adresi 004012C2 F0. Jedini razlog zasto su ove tri adrese spojene u jedan
red je zato sto te tri adrese predstavljaju samo jednu ASM komandu, pa zbog
toga je prva sledeca adresa, na kojoj se nalazi sledeca ASM komanda,
004012C3. Adrese redova odgovaraju adresi prvog dvocifrenog hex broja
(bajta) koji se nalazi u toj “liniji” koda.
Posto smo naucili kako da patchujemo (modifikujemo) program
predjimo na samu modifikaciju. Program mozete editovati u Hiewu ali i u bilo
kom drugom hex editoru. Posto je Hiew najbolji za pocetnike sva objasnjenja
u prvom poglavlju bice vezana za njega. Dakle startujete Hiew u otvorite
myCrack.exe pomocu njega. Prvobitan prikaz u Hiewu nam je nerazumljiv pa
cemo ovaj prikaz pretvoriti u prikaz koji je istovetan prikazu iz W32Dasma.
Ovo radimo pritiskom na F4 i selekcijom Decode moda. Sada vec vidimo ASM
komande. Ako niste zapamtili pogledajte gornju sliku ponovo i prepisite
adrese koje treba da NOPujemo, te adrese su: 004012DB, 004012E3 i
004012E8 i 004012ED. Ako zelimo da odemo na te adrese u Hiewu treba da
pritisnemo dugme F5 i ukucamo prvo tacku pa adresu na koju zelimo da
odemo. Kada odemo na prvu adresu videcemo istu onu PUSH komandu iz
W32Dasma. Posto smo naucili da treba da NOPujemo sve dvocifrene brojeve
iz tog reda, zapamticemo dva zadnja bajta. Dakle zadnja dva bajta koja
cemo NOPovati su 42 i 00. Sada pritisnite F3 da udjete u Edit mod i kucajte
nove bajtove kojima zelite da zamenite stare, ti bajtovi su 90. Moracemo da
unesemo 5x 90 da bismo NOPovali ceo red. Postavite kursor na sledecu
adresu koju treba da NOPujete, to jest na sledecu PUSH komandu i sa njom
uradite isto. Isti postupak ponovite i sa zadnjom PUSH komandom i sa
CALLom. Kada zavrsite rezultat bi trebalo da izgleda kao na sledecoj slici:
The Art of Reversing by Ap0x Page 37 of 293