The art of cracking - Tutoriali

Virogen Crypt 0.75Na PELocku sam vam vec pokazao kako se konfigurise Olly da bi sampronasao pravi OEP. Ovaj primer ce vam pokazati kako iskoristite ovu opcijukada vas Olly dovede samo na pola puta do OEPa. Meta na kojoj cu vam ovopokazati se zove crackme #1.VirogenCrypt075.exe, kada je ucitamo u Olly once za nas naci “pravi” OEP. On izgleda ovako:0040100E > \66:B8 0000 MOV AX,0 ; Real entry point of SFX code00401012 . EB 00 JMP SHORT crackme_.0040101400401014 > 40 INC EAX00401015 . 83F8 64 CMP EAX,6400401018 .^ 72 FA JB SHORT crackme_.004010140040101A . BB 64000000 MOV EBX,640040101F . 3BC3CMP EAX,EBX00401021 . 8D3D F7104000 LEA EDI,DWORD PTR DS:[4010F7]00401027 . 2BFB SUB EDI,EBX00401029 . FFE7 JMP EDINaravno ovo sigurno nije pravi OEP. Ako pocnemo da izvrsavamo ovajdugacak loop:00401018 .^\72 FA JB SHORT crackme_.00401014to ce potrajati, pa cemo postaviti jedan break-point odmah ispod ovog skoka.Postavicemo break-point na 0040101A i pritisnucemo F9. Kada se ovaj loopzavrsi mi cemo se naci na nasem break-pointu. Sada cemo izvrsiti sve doskoka JMP EDI sa F8 i kada izvrsimo i taj skok nacemo se ovde:00401093 . 6A 00 PUSH 000401095 . 8D05 52304000 LEA EAX,DWORD PTR DS:[403052]0040109B . 50PUSH EAX0040109C . 8D1D 00304000 LEA EBX,DWORD PTR DS:[403000]004010A2 . 53PUSH EBXOvo lici na sam OEP, a da li je ??? Naravno mozete probati i da izvrsite kodna dole i videcete da je ovo ustvari pravi OEP. Znaci adresa na kojoj mozemoizvrsiti dump je 00401093. Posle ovoga nam ostaje samo da popravimoimporte.NAPOMENA:Kako znamo da je ovo pravi OEP ???Pa i ne znamo ustvari mozemo samo da nagadjamo. Ali ako se dugovremena bavite reversingom videcete da se sami OEPi razlikuju samo akoreversujete exe koji su kompajlovani sa drugim kompajlerima. Tako ce VBuvek imati isti OEP, Delphi isto, i svi ostali programski jezici ne racunajuciTASM / MASM jer kod njih OEP moze da izgleda proizvoljno i zavisi od samogkodera sto nije slucaj sa VB,Delphijem,...The Art of Cracking by Ap0x Page 142 of 165