The art of cracking - Tutoriali

Ollyev dump plugin ??? Odgovor je jednostavan: Sve vezije koje sam ikadatestirao su imale neku gresku i 50% fajlova koje sam dumpovao imali suneku gresku, sto vise volim dobri stari full dump iz LordPEa pa preporucujemi vama da ga koristite.Ako ste pomislili da je gotovo sa odpakivanjem prevarili ste se. Ostaje namjos dosta posla kako bi smo naterali metu da se startuje. Zapamtili smoadresu na kojoj se nalazi pravi OEP: 004012C0, ona ce nam trebati kako bismo ispravili OEP na pravu vrednost. Ali pre nego sto ispravimo OEPmoracemo da popravimo importe posto je UPX ostavio samo par importa kojisu njemu potrebni kako bi odpakovao zapakovani kod u memoriju. Da bi smopopravili import treba nam jedan drugi alat, treba na ImportReconstructer.Ne gaseci Olly i ne pomerajuci se linije OEPa startujete ImportREconstructerili ImpRec. Pre upotrebe ImpReca moramo ga prvo pravilno konfigurisati.Podesite vase opcije da odgovaraju slici:Kao sto primecujete podesio sam ImpRec tako da on sam prilikompopravljanja importa popravi i OEP sto ce nam samo sacuvati vreme odlaskau neki PE editor kako bi smo popravili OEP. Kada smo konfigurisali ImpRecselektovacemo iz liste aktivnih procesa nas crackme.upx.exe fajl isacekacemo da se proces ucita. Kada se ovo desi videcemo da je vrednostOEPa ona stara 00008160 pa cemo je promeniti na novu kako bi ImpRecpronasao sve importe. Umesto stare vrednosti OEPa unecemo novu,unecemo 004012C0 - ImageBase (00400000) = 000012C0. Obratite paznjuna ovo, a to je da se image base mora oduzeti od RVA vrednosti originalnogOEPa kako bi ImpRec trazio importe na pravom mestu. Kada ovo uradimopritisnucemo dugme IATAutoSearch pa dugme GetImports. U gornjem deluThe Art of Cracking by Ap0x Page 115 of 165