The art of cracking - Tutoriali

MEW v.1.1 SEOvo je jos jedan lak paker za odpakivanje. Otvorite primer zapakovansa ovim pakerom koji se zove unpackme18.MEW11SE.exe pomocu Ollya. Prvalinija pakera ce izgledati ovako:0040732B >- E9 248EFFFFJMP unpackme.0040015400407330 0C 60 OR AL,60Izvrsite ovaj skok sa F8 i zavrsicete ovde:00400154 BE 1C604000 MOV ESI,unpackme.0040601C00400159 8BDE MOV EBX,ESI0040015B ADLODS DWORD PTR DS:[ESI]0040015C ADLODS DWORD PTR DS:[ESI]Iako ovaj kod izgleda malo komplikovano odpakuje se za samo nekolikosekundi. Odskrolujte do samog kraja ovog CALL, to jest do prve RETkomande. Ona se nalazi ovde:004001F0 FF53 F4004001F3 AB004001F4 85C0004001F6 ^ 75 E5004001F8 C3CALL DWORD PTR DS:[EBX-C]STOS DWORD PTR ES:[EDI]TEST EAX,EAXJNZ SHORT unpackme.004001DDRETSecate se sta smo rekli ??? Do OEPa se moze doci pomocu JMP, CALL, RETkomandi. Probacemo ovu teoriju u praksi i postavicemo jedan break-point naadresu 004001F8, to jest na RET komandu. Posle toga cemo izvrsiti sav kodkoji je potreban da se stigne do nje sa F9. Kada konacno stanemo kod njeizvrsicemo i nju sa F8 i to ce nas odvesti ovde:00401000 6A DB 6A ; CHAR 'j'00401001 00 DB 0000401002 E8 DB E800401003 0D DB 0D00401004 01 DB 0100401005 00 DB 00Da li je ovo mesto koje smo trazili ??? Da li je ovo OEP ??? Znam da vam ovoizgleda kao neke kuke i kvake ali ako analiziramo ovaj kod pritiskom na CTRL+ A videcemo sta se to zaista nalazi na adresi 00401000. Videcemo ovo:00401000 . 6A 00 PUSH 000401002 . E8 0D010000 CALL unpackme.0040111400401007 . A3 00304000 MOV DWORD PTR DS:[403000],EAXE ovo vec izgleda kao pravi OEP pa stoga ovde mozemo uraditi memorydump pomocu alata koji vi izaberete. Posto MEW nema nikakave apiredirekcije ili kriptovanje API poziva dump i popravku APIa mozemo dauradimo preko standardnog OllyDMP plugina i sve ce biti ok.The Art of Cracking by Ap0x Page 144 of 165