The Art of Reversing by Ap0x - Tutoriali.org

Killing NAGs – MsgBoxes & Olly
Posto smo vec pokazali skoro sve sto je vazno da se pokaze vezano za
W32Dasm, sada cemo nauciti kako se traze NAGovi pomocu Ollya i kako se
to sve NAG moze ukloniti. Meta koju cemo reversovati se nalazi u folderu
Cas1 a zove se vct_crackme1.exe a na njenom OEPu nalazi se sledeci kod.
00401000 . 6A 00 PUSH 0 ; /hTemplateFile = NULL
00401002 . 6A 03 PUSH 3 ; |Attributes = READONLY
00401004 . 6A 00 PUSH 0 ; |Mode = 0
00401006 . 6A 00 PUSH 0 ; |pSecurity = NULL
00401008 . 6A 00 PUSH 0 ; |ShareMode = 0
0040100A . 6A 00 PUSH 0 ; |Access = 0
0040100C . 68 9C314000 PUSH 0040319C ; |FileName = "\\.\SICE"
00401011 . E8 24020000 CALL 0040123A ; \CreateFileA
00401016 . 83F8 FF CMP EAX,-1
00401019 . 74 06 JE SHORT dmp.00401021
0040101B . 50 PUSH EAX ; /ExitCode
0040101C . E8 1F020000 CALL ; \ExitProcess
Ovaj kod ne predstavlja nista specijalno, ovo je samo standardan
nacin za detekciju SoftICE debuggera pomocu CreateFileA komande.
Pored vxd reference ka SotfICEu \\.\SICE takodje se pojavljuje i
referenca \\.\NTICE ako se radi o NT sistemima. Da bismo ovu detekciju
zaobisli, naravno ako koristite SoftICE, dovoljno je da patchujete JE skok
sa adrese 00401019 u JMP. A ako pogledate malo ispod ovih par
komandi primeticete da se tu nalazi prvi NAG. Taj deo koda izgleda ovako:
00401021 > \6A 00 PUSH 0 ; /Style = MB_OK
00401023 . 68 20304000 PUSH 00403020 ; |Title = "... nag ..."
00401028 . 68 00304000 PUSH 00403000 ; |Text = "..."
0040102D . 6A 00 PUSH 0 ; |hOwner = NULL
0040102F . E8 E2010000 CALL ; \MessageBoxA
Naravno ubijanje NAG ekrana se radi veoma lako, naime potrebno je
samo NOPovati sve PUSH komande koje prethode CALLu koji se koristi
za prikazivanje NAGa a na kraju i sam CALL. Operacija NOPovanja se
radi duplim klikom na selektovanu komandu i unosenjem reci NOP u
novo-otvoreni prozor. Posle klika na OK ili Olly ce selektovanu
komandu promeniti u NOP, posle cega se ona nece vise izvrsavati. Dakle
posle NOPovanja svih ovih komandi imacemo sledece stanje:
00401021 90 NOP
00401022 90 NOP
...
0040102F 90 NOP
00401030 90 NOP
00401031 90 NOP
00401032 90 NOP
00401033 90 NOP
Posto postoji jos jedan NAG u programu potrazicemo ga traceovanjem
kroz kod, to jest pritiskanjem na F8 sve dok ne dodjemo do sledeceg CALLa:
The Art of Reversing by Ap0x Page 53 of 293