The art of cracking - Tutoriali

UPX- Scrambler RC1.xVec je objasnjeno kako se odpakuje UPX. UPX-Scrambler predstavljasamo malu modifikaciju pakerskog koda kako se on nebi lako prepoznao i joslakse odpakovao. Ako izuzmemo ovu cinjenicu videcemo da se i ovajskremblovani UPX veoma lako odpakuje. Meta se nalazi u folderu Cas10 azove se crc32.upx-scrambler.exe. Zeleo bih da napomenem da sam ovuaplikaciju stavio kao primer samo zato sto nisam imao UPX-Scrambler dazapakujem neki fajl, nadam se da se Ghosthunter nece ljutiti. Inaceaplikacija je jako korisna ako zelite da proverite da li se CRC32 nekog fajlapromenio.Otvorite ovu metu pomocu Ollya i videcete sledece na OEPu:0041544F > $ 90NOP00415450 > 61 POPAD00415451 . BE 00E04000 MOV ESI,crc32_up.0040E00000415456 . 8DBE 0030FFFF LEA EDI,DWORD PTR DS:[ESI+FFFF3000]0041545C . 57PUSH EDI0041545D . 83CD FFOR EBP,FFFFFFFF00415460 . EB 10 JMP SHORT crc32_up.0041547200415462 . EB 00 JMP SHORT crc32_up.0041546400415464 >^ EB EA JMP SHORT crc32_up.0041545000415466 .^ EB E8 JMP SHORT crc32_up.0041545000415468 > 8A06 MOV AL,BYTE PTR DS:[ESI]0041546A . 46INC ESI0041546B . 8807MOV BYTE PTR DS:[EDI],ALOvo ni malo ne podseca na UPX, ali slicnost postoji. Ako pogledate dole nasam kraj algoritma za odpakivanje videcete da se nalazi par komandi slicnihUPXu. Ti zadnji redovi izgledaju ovako:0041559E > \600041559F .- E9 1C69FFFFPUSHADJMP crc32_up.0040BEC0004155A4 BC554100 DD crc32_up.004155BC004155A8 C4554100 DD crc32_up.004155C4004155AC CC INT3004155AD D4 DB D4004155AE 40 DB 40 ; CHAR '@'004155AF 00 DB 00Primeticemo slicnost sa UPXom samo sto se u UPX pre zadnjeg skoka nalaziPOPAD a ovde se nalazi PUSHAD komanda. Postavite break-point na JMP tojest na adresu 0041559F, pritisnite F9 da startujete program i program cezastati na adresi 0041559F. Sada ostaje samo da pritisnemo F8 i da izvrsimoi ovaj skok kako bi smo se nasli na OEPu. Posle izvrsenja ovog skokanalazimo se ovde:0040BEC0 55 PUSH EBP ; USER32.77D400000040BEC1 8BECMOV EBP,ESP0040BEC3 83C4 F4ADD ESP,-0C0040BEC6 B8 38BE4000 MOV EAX,crc32_up.0040BE38Ovo je pravi OEP i tu treba da uradimo memory dump. Posle dumpa treba dauradimo jos popravljanje importa sa ImpRecom i uspesno smo zavrsili saodpakivanjem UPX-Scramblera.The Art of Cracking by Ap0x Page 117 of 165