The art of cracking - Tutoriali

UPXShit 0.06I poslednji paker u seriji UPX modifikacija za ovu knjigu (obecavam :))je UPXShit autora snaker-a. Meta koja je pakovana ovom vrstom packera jesam PeID pa cemo odpakivati njega. Verzija PeIDa koju cu ja odpakivati jeverzija 0.92. Ucitacemo metu u Olly i prve linije koda ce izgledati ovako:0045E3E2 > $ B8 CCE34500 MOV EAX,PEiD.0045E3CC 803408 7F XOR BYTE PTR DS:[EAX+ECX],7F0045E3F0 .^ E2 FA LOOPD SHORT PEiD.0045E3EC0045E3F2 .^ E9 D6FFFFFF JMP PEiD.0045E3CDMozete probati da izvrsite sve ove linije koda sa F8, sto vam ja nepreporucujem jer LOOPD komanda oznacava loop koji ce se odigrati mnogoputa. Kao sto vidimo ovaj loop sluzi za xorovanje memorije bajtom 7F. Da nebi smo izvrsavali LOOPD komandu postavicemo break-point na adresu0045E3F2 i pritisnucemo F9 da dodjemo do njega. Sa F8 cemo izvrsiti tajskok i zavrsicemo ovde:0045E3CD > /B8 B7E34500MOV EAX,PEiD.0045E3B70045E3D2 |B9 DB B90045E3D3 |15 DB 150045E3D4 |00 DB 000045E3D5 |00 DB 000045E3D6 |00 DB 000045E3D7 |80 DB 800045E3D8 . |34 08 7F ASCII "4.."Kao sto vidimo Olly nije stigao da analizira ovaj deo koda pa cemo ganaterati da to uradi pritiskom na CTRL+A. Posle analize taj deo koda sadaizgleda ovako:0045E3CD > /B8 B7E34500 MOV EAX,PEiD.0045E3B70045E3D2 . |B9 15000000 MOV ECX,150045E3D7 > |803408 7F XOR BYTE PTR DS:[EAX+ECX],7F0045E3DB .^|E2 FA LOOPD SHORT PEiD.0045E3D70045E3DD .^|E9 D6FFFFFF JMP PEiD.0045E3B8Ponovicemo isti postupak od malopre i postavicemo break-point na0045E3DD, pa cemo pritisnuti F9 da dodjemo do bp-a a onda F8 da izvrsimoskok. I opet zavrsavamo na delu koda koji nije analiziran od strane Ollya.Posle pritiska na CTRL+A pojavljuje se ovo:0045E3B8 > /B8 A2E34500 MOV EAX,PEiD.0045E3A20045E3BD . |B9 15000000 MOV ECX,150045E3C2 > |803408 7F XOR BYTE PTR DS:[EAX+ECX],7F0045E3C6 .^|E2 FA LOOPD SHORT PEiD.0045E3C20045E3C8 .^|E9 D6FFFFFF JMP PEiD.0045E3A3Ponovicemo isti postupak od malopre i postavicemo break-point na0045E3C8, pa cemo pritisnuti F9 da dodjemo do bp-a a onda F8 da izvrsimoskok. I opet zavrsavamo na delu koda koji nije analiziran od strane Ollya.Posle pritiska na CTRL+A pojavljuje se ovo:0045E3A3 ? B8 8DE34500 MOV EAX,PEiD.0045E38D0045E3A8 . B9 15000000 MOV ECX,150045E3AD > 803408 7F XOR BYTE PTR DS:[EAX+ECX],7F0045E3B1 .^ E2 FA LOOPD SHORT PEiD.0045E3AD0045E3B3 .^ E9 D6FFFFFF JMP PEiD.0045E38EPonovicemo isti postupak od malopre i postavicemo break-point na0045E3B3, pa cemo pritisnuti F9 da dodjemo do bp-a a onda F8 da izvrsimoThe Art of Cracking by Ap0x Page 119 of 165