The art of cracking - Tutoriali

PeCompact 1.40Sada sam 100% siguran da se pitate: “Zasto je napisao prvo kako seodpakuje PeCompact 2.22 a tek onda kako PeCompact 1.40”? Naravno imamja svoje razloge zasto je to ovako uradjeno. Jedan od glavnih razloga je tajsto je mnogo lakse odpakovati novu 2.22 verziju nego staru 1.40. Neverujete mi??? Videcemo :) Meta koja je pakovana sa 1.40 verzijomPeCompacta se zove Notepad.pecompact140.exe. Pre nego sto otvorimometu pomocu Ollya prvo cu vam pokazati jedan jako interesantan trik saPeIDom. Naime PeID ima jedan veoma interesantan plugin koji namomogucava da unapred odredimo OEP mete. Dakle otvoricemo metu pomocuPeIDa koji ce nam prvo reci da je meta pakovana sa: PECompact 1.40 - 1.45-> Jeremy Collake a ako kliknemo na dugme -> koje se nalazi u donjemdesnom uglu i izaberemo Plugins -> Generic OEP finder, posle cega ce PeIDprikazati poruku da se OEP nalazi na adresi 004010CC. Posle ovoga mozemoda zatvorimo PeID i da ucitamo metu u OllyDBG.Pakerov OEP izgleda ovako:0040AC5E > /EB 060040AC60 |68 CC1000000040AC65 |C30040AC66 \9CJMP SHORT Notepad_.0040AC66PUSH 10CCRETPUSHFDSada vidite razliku izmedju verzija. Btw da li ste primetili parametar koji imaPUSH komanda. Da, da znam PUSH 10CC, to je PUSH OEP ;) Bez obzira naovo, pritiskacemo F8 sve dok ne dodjemo do CALL na adresi 0040AC68 u kojimoramo da udjemo. Taj CALL izgleda bas ovako:0040AC68 E8 02000000 CALL Notepad_.0040AC6Fstoga cemo pritisnuti F7 da udjemo u ovaj CALL kada dodjemo do njega, tonas vodi ovde:0040AC6F 8BC40040AC71 83C0 04MOV EAX,ESPADD EAX,40040AC74 93 XCHG EAX,EBX0040AC75 8BE3MOV ESP,EBXPosto se dole nalazi jedna RET komanda a izmedju nema nikakvih skokovaizvrsicemo sve komande sa F8, ukljucujuci i RET komandu, posle cega smoovde:0040D1C3 BD 533100000040D1C8 570040D1C9 5E0040D1CA 83C6 420040D1CD 81C7 531100000040D1D3 56MOV EBP,3153PUSH EDIPOP ESIADD ESI,42ADD EDI,1153PUSH ESIdalje i nema neke velike mudrosti jednostavno drzimo F8 sve dok nedodjemo do adrese:0040D350 57PUSH EDI0040D351 8BBD D7A44000 MOV EDI,DWORD PTR SS:[EBP+40A4D7]0040D357 03BD A6A04000 ADD EDI,DWORD PTR SS:[EBP+40A0A6]0040D35D 8B8D DBA44000 MOV ECX,DWORD PTR SS:[EBP+40A4DB]malo ispod toga imamo dosta loopova koji se izvrsavaju dosta puta, tiloopovi izgledaju ovako:0040D36E /74 720040D370 |78 700040D372 |66:8B070040D375 |2C E80040D377 |3C 01JE SHORT Notepad_.0040D3E2JS SHORT Notepad_.0040D3E2MOV AX,WORD PTR DS:[EDI]SUB AL,0E8CMP AL,1The Art of Cracking by Ap0x Page 132 of 165