The art of cracking - Tutoriali

UPX Protector 1.0xJos jedna u seriji modifikacija UPX kompresora. Meta koju cemoodpakivati je NFO builder a nalazi se ovde ...\Cas10\NFO-Builder.2000.rar kaosto vidite ovo je izuzetno koristan NFO editor stoga spajamo lepo i korisno.Mislim da mi momci iz FMWa nece zameriti sto se sluzim njihovomaplikacijom da objasnim odpakivanje UPX Protectora.Otvorite metu pomocu Ollya i pogledajte sta se nalazi na OEPu. Kaosto primecujute OEP je malo neobican:0044E91E . FF00INC DWORD PTR DS:[EAX]0044E920 > 60PUSHAD0044E921 . BE 00204300 MOV ESI,NFO_Buil.004320000044E926 . 8DBE 00F0FCFF LEA EDI,DWORD PTR DS:[ESI+FFFCF000]0044E92C . 57PUSH EDI0044E92D . 83CD FF OR EBP,FFFFFFFF0044E930 . EB 10 JMP SHORT NFO_Buil.0044E9420044E932 > $^ EB EC JMP SHORT NFO_Buil.0044E920ali bez obzira na sve i ovaj UPX “Protector” se odpakuje na isti nacin kako iklasicna UPX i kao UPX Scrambler. Mislim da je ovaj protector napisan samozato da se aplikacije pakovane UPXom ne bi odpakivale preko -d opcije uUPXu. Za one koji to ne znaju UPXovana aplikacija se moze odpakovati prekosamog pakera koji se moze preuzeti sa http://upx.sourceforge.net. Sve stotreba da uradite je da startujete upx.exe sa parametrom upx -d imefajla.exei on ce se odpakovati za nekoliko sekundi. Naravno UPX nemoze da odpakujeprograme “zasticene” UPX Protectorom i UPX Scramblerom. Ovo moramo dauradimo rucno.Jednostavno cemo odskrolovati na sam kraj algoritma za odpakivanje ividecemo sledece:0044EA71 > \61POPAD0044EA72 . C3RET0044EA73 > 61POPAD0044EA74 . EB 06 JMP SHORT NFO_Buil.0044EA7C0044EA76 AD DB AD0044EA77 FA DB FA0044EA78 EA DB EA0044EA79 00 DB 000044EA7A . 00EAADD DL,CH0044EA7C >- E9 2B52FCFF JMP NFO_Buil.00413CACVidecemo da se ispod prve POPAD komande nalazi RET, sto nam je totalnonebitno, a ispod druge skok koji vodi na drugi skok 0044EA7C, koji dalje vodina sam OEP. Vidimo da cak iako je ovaj algoritam malo promenjen osnoveodpakivanja ostaju iste. Dakle sve sto treba da uradimo je da postavimobreak-point na zadnju jump komandu, da pritisnemo F9 da bi smo dosli dosamog break-pointa i da pritisnemo F8 1x kako bi smo se nasli na OEPu. Ievo kako to OEP izgleda:00413CAC 5500413CAD 8BECPUSH EBPMOV EBP,ESP00413CAF 6A FF PUSH -100413CB1 68 D8694100 PUSH NFO_Buil.004169D8Posle ovoga ostaje samo da uradimo memory dump i popravku importa naisti nacin kao da ja upitanju obican UPX.The Art of Cracking by Ap0x Page 118 of 165