The Art of Reversing by Ap0x - Tutoriali.org

Ono sto nam je bitno je da pronadjemo skokove sa kojih se dolazi do
bad boy poruke. Ovo je jako bitno jer se ova vrsta uslovnih skokova izvrsava
samo posle nekog poredjenja, a to poredjenje je najcesce poredjenje
serijskih brojeva, t.j. poredjenje unetog serijskog broja i tacnog serijskog
broja. Iz ovog razloga, da bi program imao sta da poredi, unose se lazni,
netacni serijski brojevi u cilju pronalaska tacnih serijskih brojeva.
Ovo je jedna cinjenica koju morate da znate, a druga takodje jako
bitna je da se veoma cesto poredjenje serijskih brojeva i poruke o
tacnosti, t.j. netacnosti unetog serijskog broja nalaze u istom CALLu. Ova
cinjenica ce nam pomoci da pronadjemo gde i kako se to racuna serijski broj.
Za sada je potrebno da izolujemo celinu u kojoj se racuna serijski broj, to
jest da sagledamo ceo ovaj CALL. Ovo cemo uraditi jednostavnim scrollom
na pocetak ove celine, to jest CALLa, koji pocinje bas ovde:
0040141C /$ 51
PUSH ECX
0040141D |. 52
PUSH EDX
0040141E |. 6A 28 PUSH 28 ; /Count = 28
00401420 |. 68 70324000 PUSH dumped_.00403270 ; |Buffer = 00403270
00401425 |. FF35 1A324000 PUSH DWORD PTR DS:[40321A] ; |hWnd
0040142B |. E8 E4010000 CALL ; \GetWTextA
00401430 |. A3 FE314000 MOV DWORD PTR DS:[4031FE],EAX
00401435 |. 833D FE314000> CMP DWORD PTR DS:[4031FE],20
0040143C |. 0F85 8F010000 JNZ dumped_.004015D1
Kao sto se vidi sa pocetka ovog CALLa program ce uzeti podatke iz
polja za unos pomocu API funkcije GetWindowTextA. Ovo je jako bitno
da zapazite, to jest bitnije je da vidite na kojoj ce se adresi snimiti
procitani tekst iz polja za unos. Ovaj podatak koji se prosledjuje
GetWindowTextA APIju je oznacen kao buffer i sadrzi adresu 00403270 na
kojoj ce biti snimljen sadrzaj polja za unos.
Na ovoj adresi ce se nalaziti tekst, kome ce meta dalje pristupati
pomocu reference ka njemu, to jest preko njegove adrese. Isto kao sto ceo
tekst ima adresu na kojoj se nalazi, tako i svako slovo unetog teksta ima
svoju adresu. U stvari adresa celog teksta predstavlja adresu ka prvom
slovu unetog teksta. Stoga cemo potraziti operacije koje se odnose na
adresu 00403270. Takve operacije cemo naci ovde:
00401442 |. BB 70324000 MOV EBX,dumped_.00403270
00401447 |. 0FBE03 MOVSX EAX,BYTE PTR DS:[EBX]
0040144A |. 83F8 34
CMP EAX,34
0040144D |. 0F85 7E010000 JNZ dumped_.004015D1
00401453 |. 43 INC EBX
00401454 |. 0FBE03 MOVSX EAX,BYTE PTR DS:[EBX]
00401457 |. 83F8 44 CMP EAX,44
0040145A |. 0F85 71010000 JNZ dumped_.004015D1
00401460 |. 43 INC EBX
Kao sto vidimo prvo se sadrzaj adrese 00403270 smesta u registar EBX.
Ali pazite ne smesta se u EBX sadrzaj adrese 00403270, nego se smesta
referenca ka adresi, a sam EBX se koristi kao pointer ka tekstu. U
slucaju kada je EBX jednak 00403270 on vodi do prvog slova unetog teksta,
sto ce biti iskorisceno vec na sledecoj adresi, na kojoj ce se u EAX
The Art of Reversing by Ap0x Page 64 of 293