The art of cracking - Tutoriali

PEBundle 2.0x - 2.4xSa pakerom Jeremy Collaka smo se vec sreli kada smo odpakivaliPECompact. Sada je na redu jos jedan njegov paker PEBundle. Otvoriteprimer zapakovan sa ovim pakerom koji se zove unpackme21.PEBundle2x.exepomocu Ollya. Prva linija pakera ce izgledati ovako:00442000 > 9C PUSHFD00442001 60 PUSHAD00442002 E8 02000000 CALL unpackme.00442009Pritisnucemo F7 3x da bi smo usli prvi CALL. To ce nas odvesti ovde:00442009 8BC4 MOV EAX,ESP0044200B 83C0 04ADD EAX,4sada cemo samo odskrolovati do samog kraja ovog CALLa, to jest do prveRET komande. Ovo radimo zato sto smo usli u CALL, a jedini nacin da sevratimo iz CALLa je pomocu RET komande. Prvu RET komandu cemo naci tekovde:00442466 61 POPAD00442467 9D POPFD00442468 68 00B04200 PUSH unpackme.0042B0000044246D C3RETPostavicemo jedan break-point na adresu 0044246D, to jest na samu RETkomandu. Pritisnucemo F9 da bi smo dosli do te RET komande, a sa F8 cemoizvrsiti i tu RET komandu posle cega cemo se naci ovde:0042B000 9C0042B001 600042B002 E8 02000000PUSHFDPUSHADCALL unpackme.0042B009Pritisnucemo F7 3x da bi smo usli i u ovaj CALL i ponovo cemo potrazitinajblizu RET komandu. Ona se nalazi ovde:0042B466 610042B467 9D0042B468 68 EC1540000042B46D C3POPADPOPFDPUSH unpackme.004015ECRETPosle ovoga cemo postaviti break-point na RET komandu sa F9 cemo doci donje i sa F8 cemo je izvrsiti, posle cega cemo zavrsiti ovde:004015EC 68 DB 68 ; CHAR 'h'004015ED 8C264000 DD unpackme.0040268C ; ASCII "VB5!6&*"004015F1 E8 DB E8004015F2 EE DB EEKao sto vidimo nalazimo se na OEPu koji i bez i sa analizom izgleda ovakokako izgleda jer je u pitanju Visual Basic aplikacija. Ovo je adresa na kojojmozemo da uradimo dump pomocu LordPEa ili OllyDMPa. Posto PEBundle neenkriptuje IAT mozemo da uradimo dump pomocu OllyDMPa koji ce za naspopraviti i importe.The Art of Cracking by Ap0x Page 145 of 165