The Art of Reversing by Ap0x - Tutoriali.org

004265B2 . 837D FC 00
...
004265B8 . BA 64674200
...
004265CD > \817D FC 00000>
CMP DWORD PTR SS:[EBP-4],0
MOV EDX,CrackMe.00426764
CMP DWORD PTR SS:[EBP-4],10000
Kao sto vidimo u fajlu mora biti nesto zabelezeno a to nesto mora biti krace
od 0x10000h karaktera. Prvi put se u registrima pojavljuje adresa koja sadrzi
nas uneti string na adresi 00426600.
00426600 . 8DB5 FCFFFEFF LEA ESI,DWORD PTR SS:[EBP+FFFEFFFC]
Izvrsavajuci kod red po red dolazimo do sledece petlje:
00426616 > /8A1C16 MOV BL,BYTE PTR DS:[ESI+EDX]
00426619 . |84DB TEST BL,BL
0042661B . |74 29
JE SHORT CrackMe.00426646
0042661D . |E8 16000000
CALL CrackMe.00426638
00426622 . |52 PUSH EDX
00426623 . |F7E3 MUL EBX
00426625 . |5A POP EDX
00426626 . |35 326D5463 XOR EAX,63546D32
0042662B . |FEC2
INC DL
0042662D . |39CA
CMP EDX,ECX
0042662F . |74 42
JE SHORT CrackMe.00426673
00426631 . |80FA FF CMP DL,0FF
00426634 . |74 3D JE SHORT CrackMe.00426673
00426636 .^\EB DE JMP SHORT CrackMe.00426616
Analizom dolazimo do zakljucka da se na prvoj adresi ove petlje 00426616 u
registar BL smesta hex vrednost svakog slova iz unetog stringa. Ovaj registar
se koristi da bi se u EAX smestio neki broj. Mozda cak i pravi serijski broj!
Primeticete da se u ovom loopu nalazi jedan CALL. Uci cemo u njega da
vidimo sta se tu desava:
00426638 /$ 57 PUSH EDI
00426639 |. 8DBD F4FFFEFF LEA EDI,DWORD PTR SS:[EBP+FFFEFFF4]
0042663F |. 8B3F
MOV EDI,DWORD PTR DS:[EDI]
00426641 |. 881C17 MOV BYTE PTR DS:[EDI+EDX],BL
00426644 |. 5F POP EDI
00426645 \. C3 RET
Kao sto vidimo nista specijalno samo se slova iz stringa smestaju na neki
duzi string. Posto skok:
0042661B . /74 29
JE SHORT CrackMe.00426646
vodi van gornjeg loopa, postavicemo jedan break-point na adresu na koju on
vodi. Postoji jos par skokova koji vode van tog loopa ali kako vidite ovde:
00426619 . 84DB TEST BL,BL
taj skok ce se izvrsiti kada se iskoriste sva slova iz unetog stringa. Takodje
cemo postaviti break-point na adresu na koju vode ostala dva skoka:
00426634 . /74 3D JE SHORT CrackMe.00426673
Prodjimo vise puta kroz ovaj loop i videcemo da se skok ispod TEST BL,BL
nikada nece izvrsiti. Hmmm... ovde nesto ne valja, jer ako se ne izvrsi ovaj
skok mi cemo zavrsiti na delu koji samo prikazuje poruku o pogresnom
serijskom broju na ekran. Sledi pitanje: Kako da BL bude nula
Odgovor je jednostavan: U BL se smestaju hex vrednosti slova iz unetog
stringa, jedan po jedan. JE skok ce se izvrsiti samo ako je BL jednak 0x00
stoga cemo pomocu Hex editora na kraj naseg stringa dodati 0x00 bajt.
Posle ovoga cemo pritisnuti F9 kako bi smo nastavili sa izvrsavanje programa
i ponovo cemo pritisnuti Try again u crackmeu. Kada zastanemo na PUSH 0
break-pointu pritisnucemo F9 2x kako bismo dosli do ovde:
00426646 > \E8 EDFFFFFF CALL CrackMe.00426638
Pritisnucemo F8 4x dok ne dodjemo dovde:
The Art of Reversing by Ap0x Page 82 of 293