The Art of Reversing by Ap0x - Tutoriali.org

Ovo je ocigledno poredjenje duzine unetog stringa u registryju sa nulom,
odnosno ovo je provera da li smo uneli neki string u registry. Dalje tracujemo
kroz kod i primecujemo ovo:
0040142A |. 8D35 C4314000 LEA ESI,DWORD PTR DS:[4031C4]
00401430 |. 8D3D 3D314000 LEA EDI,DWORD PTR DS:[40313D]
Odnosno u ESI se smesta adresa 004031C4 na kojoj se nalazi nas Computer
ID u string obliku, dok se u EDI smesta pointer ka vrednosti koja se nalazi u
Registryju. Posle ove dve komande sledi jedan loop koji se koristi za
poredjenje ove dve vrednosti:
00401436 |> /8A06 /MOV AL,BYTE PTR DS:[ESI]
00401438 |. |84C0 |TEST AL,AL
0040143A |. |74 0F
|JE SHORT Crackme3.0040144B
0040143C |. |8A17
|MOV DL,BYTE PTR DS:[EDI]
0040143E |. |80F2 74
|XOR DL,74
00401441 |. |38C2 |CMP DL,AL
00401443 |. |75 0B |JNZ SHORT Crackme3.00401450
00401445 |. |46 |INC ESI
00401446 |. |47 |INC EDI
00401447 |. |84C0 |TEST AL,AL
00401449 |.^\75 EB \JNZ SHORT Crackme3.00401436
Ocigledno je da se ovde porede vrednost iz registryja i Computer ID tako sto
se svako slovo/broj iz registryja XORuje sa 74h i onda poredi sa slovom
Computer IDa sa istim indexom (pozicijom u stringu). Posto imamo Computer
ID mozemo da izracunamo tacan serisjki broj, za moj kompjuter, tako sto
cemo XORovati svako slovo Computer IDa sa 74h. Kada ovo uradimo
dobijamo rezultat LL5C6C5L. Dakle vrednost koja treba da se nalazi u
registryju nije 11111 nego LL5C6C5L (ovo je vrednost za moj kompjuter).
Ako sada restartujemo metu u Ollyju, ispavimo sadrzaj registryja videcemo
da ce AL registar biti jednak jedan na sledecoj adresi i da ce se sledeci CALL
izvrsiti:
00401388 . 84C0 TEST AL,AL
0040138A . 74 3B
JE SHORT Crackme3.004013C7
0040138C . E8 1C030000 CALL Crackme3.004016AD
Iz ovog razloga cemo uci u taj CALL. U njemu cemo, tracejuci, primetiti
sledeci API poziv:
004016C3 |. FF35 B0314000 PUSH DWORD PTR DS:[4031B0] ; |hModule = 00400000
004016C9 |. E8 DA000000 CALL