The Art of Reversing by Ap0x - Tutoriali.org

0040151C |. 50 PUSH EAX ; Pretvaranje SecData1 u Hex [EAX]
0040151D |. E8 FA020000 CALL Crackme3.0040181C
00401522 |. 33C9 XOR ECX,ECX
00401524 |> F6C1 01 /TEST CL,1
00401527 |. 74 04 |JE SHORT Crackme3.0040152D
00401529 |. 34 74 |XOR AL,74
0040152B |. EB 02
|JMP SHORT Crackme3.0040152F
0040152D |> 34 79
|XOR AL,79
0040152F |> FEC1
|INC CL
00401531 |. 80F9 04 |CMP CL,4
00401534 |. 74 04 |JE SHORT Crackme3.0040153A
00401536 |. D1C0 |ROL EAX,1
00401538 |.^ EB EA \JMP SHORT Crackme3.00401524
0040153A |> 8985 5CFFFFFF MOV DWORD PTR SS:[EBP-A4],EAX
00401540 |. 8B1D 4D324000 MOV EBX,DWORD PTR DS:[40324D]
00401546 |. 339D 5CFFFFFF XOR EBX,DWORD PTR SS:[EBP-A4]
0040154C |. 68 C4314000 PUSH Crackme3.004031C4 ; ASCII "88A7B7A8"
00401551 |. E8 C6020000 CALL Crackme3.0040181C
00401556 |. 3BC3 CMP EAX,EBX
00401558 |. 0F85 EB000000 JNZ Crackme3.00401649
Loop koji sam izdvojio sluzi za proracunavanje vrednosti na osnovu unetog
podatka u .ini fajl. Na osnovu ovoga se racuna broj koji se dodatno menja
XORovanjem sa konstantom koja se nalazi na adresi 004324D. Dakle ova
jednacina izgleda ovako SecData1 ^ algoritam XOR const = Computer IDu.
Sada jos samo treba da reversujemo ovaj algoritam. Ako tracujemo kroz
njega primeticemo da ce se on bez obzira na SecData1 sadrzaj uvek ponasati
isto, dakle imacemo:
XOR AL,79
ROL EAX,1
XOR AL,74
ROL EAX,1
XOR AL,79
ROL EAX,1
XOR AL,74
ROL EAX,1
XOR EAX, 78307061
Dakle da bismo izracunali vrednost SecData1 moramo da reversujemo ovaj
algoritam krecuci od kraja, od Computer IDa. Dakle kada izracunamo
88A7B7A8 xor 78307061 (const) krecemo sa reversingom algoritma, odnosno
propustamo vrednost F097C7C9 kroz reversovan algoritam:
ROR EAX,1
XOR AL,74
ROR EAX,1
XOR AL,79
ROR EAX,1
XOR AL,74
ROR EAX,1
XOR AL,79
i kao rezultat toga dobijamo vrednost koju bi SecData1 trebalo da ima. Da
ovo ne bismo racunali rucno napisao sam program koji radi bas ovo. Dakle
samo treba da unesemo F097C7C9 u ReCrackme3.exe i da dobijeni rezultat
unesemo u .ini fajl. Kada ovo uradimo i unesemo vrednost DE12F88F u nas
.ini fajl videcemo da je rezultat algoritma SecData1 ^ algoritam XOR const
jednak 88A7B681 a ne 88A7B7A8. Odakle ova greska Iz razloga sto kod
ROL/ROR komande moze da dodje do gubitka podataka mora se uraditi
ponovno racunanje pocetne SecData1 vrednosti na osnovu prethodnog
rezultata. Dakle XORovacemo 88A7B681 sa 78307061 i dobijenu vrednost
cemo uneti u moj program. Rezultat ovoga ce ovaj put biti FE12F8AA. I sada
The Art of Reversing by Ap0x Page 89 of 293