The art of cracking - Tutoriali

More documents

Recommendations

Info

a p 0 x C r y p t 0 . 0 1 - a CPosto predpostavljam da ste naucili kako se odpakuje vecinaprednodnih pakera, sada cemo preci na odpakivanje mog licnog kriptera. Ovavarijacija istog kriptera je samo ogoljena verzija onoga sto vas ceka nanightmare levelu ove knjige. Stoga bi odpakivanje aC bar na ovom nivoutrebalo da bude setnja u parku :) Prvo cemo skenirati metuunpackme#1.aC.exe sa PeIDom da vidimo sta on ima da kaze o njoj. Postomog kriptera nema u PeIDeovoj biblioteci on ce cutati po pitanjuidentifikacije ovoga kriptera. Nema veze neka nas to ne obeshrabriprobacemo sa odpakivanje aC-a pomocu PeID generickog unpackera. Davidimo, detect OEP - OK :), unpack OK, rebuild IAT ne zato sto IAT nijekriptovan i kada startujemo “raspakovani” fajl, crash. Naime ovo se desilozato sto PeID nije detektovao tacan OEP. Izgleda da cemo morati ovaj kripterda odpakujemo rucno, otvorite Olly i pogledajte kako izgleda “OEP”:00401000 >/$ 60 PUSHAD00401001 |. E8 E3000000 CALL unpackme.004010E900401006 \. C3 RETNista specijalno, pa cemo pritiskom 2x na F7 uci u prvi CALL da vidimo sta setu desava. Kada to uradimo nacemo se ovde:004010E9 /$ B8 F5104000004010EE |. 50004010EF |. E8 A7FFFFFF004010F4 \. C3MOV EAX,unpackme.004010F5PUSH EAXCALL unpackme.0040109BRETAko pogledamo sada prvu liniju videcemo da se u nju smesta adresa004010F5 ili adresa za koju je PeID mislio da je OEP. Ovo je izgleda ispalamoja licna anti-generic zastita. Posto i ovo nije nista specijalno ucicemo usledeci CALL sa F7. To ce nas dovesti ovde:0040109B /$ 50 PUSH EAX ; unpackme.004010F50040109C |. 8BD8MOV EBX,EAX0040109E |. B9 54010000 MOV ECX,154004010A3 |> 8033 44/XOR BYTE PTR DS:[EBX],44004010A6 |. 83E9 01|SUB ECX,1004010A9 |. 43|INC EBX004010AA |. 83F9 00|CMP ECX,0004010AD |.^ 75 F4\JNZ SHORT unpackme.004010A3004010AF |. 50PUSH EAX004010B0 |. E8 08000000 CALL unpackme.004010BD004010B5 |. 50PUSH EAX004010B6 |. E8 7EFFFFFFCALL unpackme.00401039004010BB |. 58POP EAX004010BC \. C3RETOvo izgleda malo ozbiljnije, ali opet nista komplikovano. Jednostavnocrackme uzima adresu 004010F5 kao pocetnu i xoruje sledecih 154h bajtovasa vrednoscu 44h. Posle ovog loopa se poziva jos jedan CALL sa istimparametrom EAX. Da nebi smo izvrsavali loop 154h puta postavicemo breakpointna adresu 00401AF odnosno na PUSH EAX komandu. Kada ovo uradimopritisnucemo F9 da bi smo dosli do naseg break-pointa. Sada cemo sa F7 uciu sledeci CALL i nacemo se ovde:004010BD /$ 50 PUSH EAX ; unpackme.004010F5004010BE |. BB 07104000 MOV EBX,unpackme.00401007004010C3 |. B9 7F000000MOV ECX,7F004010C8 |> 8033 07/XOR BYTE PTR DS:[EBX],7004010CB |. 83E9 01|SUB ECX,1004010CE |. 43|INC EBXThe Art of Cracking by Ap0x Page 146 of 165
004010CF |. 83F9 00004010D2 |.^ 75 F4004010D4 |. 8BD8004010D6 |. B9 54010000004010DB |> 8033 11004010DE |. 83E9 01004010E1 |. 43004010E2 |. 83F9 00004010E5 |.^ 75 F4004010E7 |. 58004010E8 \. C3|CMP ECX,0\JNZ SHORT unpackme.004010C8MOV EBX,EAXMOV ECX,154XOR BYTE PTR DS:[EBX],11SUB ECX,1INC EBXCMP ECX,0JNZ SHORT unpackme.004010DBPOP EAXRETKao sto vidimo u EBX se smesta adresa 00401007 i 7F bajtova od te adresese xoruje sa 7h, posle cega se ponovo xoruje 154h bajtova od adrese004010F5 sa 11h. Posto nema potrebe da prolazimo kroz sve ove loopovepritisnucemo CTRL + F9 sto ce izvrsiti ovaj CALL i vratice nas na sledecuadresu posle izvrsenja RET komande:004010B5 |. 50 PUSH EAX ; unpackme.004010F5004010B6 |. E8 7EFFFFFFCALL unpackme.00401039004010BB |. 58POP EAX004010BC \. C3RETKao sto vidimo ovo nas je odvelo do druge CALL komande u gornjem CALLu.Sada cemo sa F7 uci i u ovaj drugi CALL:00401007 . /EB 27 JMP SHORT unpackme.0040103000401009 . |43 72 43 20 6> ASCII "CrC of this file"00401019 . |20 68 61 73 2> ASCII " has been modifi"00401029 . |65 64 20 21 2> ASCII "ed !!!",000401030 > \EB 07 JMP SHORT unpackme.0040103900401032 . 45 72 72 6F 7> ASCII "Error:",000401039 $ 50 PUSH EAX ; unpackme.004010F50040103A . 8BD8MOV EBX,EAX0040103C . B9 54010000MOV ECX,15400401041 . BA 00000000 MOV EDX,000401046 > 0313 ADD EDX,DWORD PTR DS:[EBX]00401048 . 83E9 01 SUB ECX,10040104B . 43INC EBX0040104C . 83F9 00CMP ECX,00040104F .^ 75 F5JNZ SHORT unpackme.0040104600401051 . B8 4A124000 MOV EAX,unpackme.0040124A00401056 . BE 80124000 MOV ESI,unpackme.004012800040105B . 50PUSH EAX0040105C . 56PUSH ESI0040105D . E8 28000000CALL unpackme.0040108A00401062 . 81FA B08DEB31 CMP EDX,31EB8DB000401068 . 74 19 JE SHORT unpackme.004010830040106A . 6A 30 PUSH 300040106C . 68 32104000PUSH 00401032 "Error:"00401071 . 68 09104000 PUSH 00401009 "CrC of this file has been modified !!!"00401076 . 6A 00 PUSH 000401078 . E8 E5010000 CALL unpackme.004012620040107D . 50PUSH EAX0040107E . E8 F1010000CALL unpackme.0040127400401083 > E9 96010000 JMP unpackme.0040121E00401088 . 58 POP EAX00401089 . C3 RETOvo je malo duzi CALL ali sam ga ja podelio na celine kako bi ste vi lakseshvatili sta se ovde desava. Analizu cemo raditi po obelezenim bojama.Zeleni deo predstavlja samo poruke koje ce se prikazati ako smo modifikovaliovaj fajl, a posto ovo nismo uradili o ovome necemo brinuti.Narandzasti deo predstavlja kod za racunanje “CRCa” dela koda koji pocinjena adresi 004010F5 a dugacak je 154h i predstavlja glavni deo koda. Ni ovonam nije bitno posto nismo modifikovali ovaj deo koda nego se bavimo samoThe Art of Cracking by Ap0x Page 147 of 165
Page 5 and 6:
01 Intro to crackingKao prvo poglav
Page 8:
ASMbasics[ Registri ]Registri su os
Page 12 and 13:
Reading time table :Chapter Require
Page 14 and 15:
N u m e g a S m a r t C h e c k v .
Page 16 and 17:
mozemo da predpostavimo sta se ovde
Page 18 and 19:
izvrsavanje tkz. OEP (original ente
Page 20 and 21:
M y s e c o n d C r a c kPosto smo
Page 22 and 23:
Posto nam ovaj prvobitan prikaz nij
Page 24 and 25:
02 NAG ScreensU prvom poglavlju smo
Page 26 and 27:
sto znaci da se CALL funkciji koja
Page 28 and 29:
Ako prebrojimo parametre koji predh
Page 30 and 31:
The Serials - JumpsPored NAG ekrana
Page 32 and 33:
The Serials - FishingPrvi deo ovog
Page 34 and 35:
Stigli smo do adrese 00407DD8 i u r
Page 36 and 37:
The Serials - Computer IDDo sada sm
Page 38 and 39:
The Serials - API FishingOvo je dru
Page 40 and 41:
T h e Serials - PatchingPonekad je
Page 42 and 43:
The Serials - KeyFileCesto sretani
Page 44 and 45:
0042664F . 39D1CMP ECX,EDXVrednosti
Page 46 and 47:
KeyGen - RippingPoglavlje o pravlje
Page 48 and 49:
00407D93 Ovde EAX dobija sledecu vr
Page 50 and 51:
Analizirajmo ono sto vidimo. Nas la
Page 52 and 53:
CD Checking - ExamplesPrvo cu vas u
Page 54 and 55:
CD Checking - CrackMePosle teorije
Page 56 and 57:
pokusava da otvori taj fajl. Ako fa
Page 58 and 59:
Delphi a nd A S MKao veoma obican i
Page 60 and 61:
Adding functions #1Ovo poglavlje ce
Page 62 and 63:
NACIN 1:Prvi nacin je izuzetno lak
Page 64 and 65:
Ovo radimo jer cemo cemo umesto pri
Page 66 and 67:
PUSH 443600Kod za otvaravnje web-st
Page 68 and 69:
07 Getting caughtOvo poglavlje sadr
Page 70 and 71:
ako SICE nije detektovan. Reversing
Page 72 and 73:
Memory modification checkOvo je jed
Page 74 and 75:
Reversing CRC32 checksJedna od veom
Page 76 and 77:
Prvo sto treba da uradimo je da da
Page 78 and 79:
“Not Getting Caught :)” - Exere
Page 80 and 81:
08 C r a c k i n g i t . . .Ovo pog
Page 82 and 83:
ReEnable b u t t o n s - APIOvaj de
Page 84 and 85:
kojeg se program “obraca” ovoj
Page 86 and 87:
R e E n a b l e b u t t o n s -ResH
Page 88 and 89:
Ako pogledate malo iznad selektovan
Page 90 and 91:
ReEnable buttons - DeDe & DelphiVec
Page 92 and 93:
Passwords - Olly & VBVisual Basic k
Page 94 and 95:
Time - TrialPostoji veliki broj pro
Page 96 and 97: 004010E9 |. 3C 00004010EB |. /74 59
Page 98 and 99: Simple EncryptionAko ste citali deo
Page 100 and 101: B r uteforcePre nego sto sam napisa
Page 102 and 103: 3) Da se proizvod mnozenja deli sa
Page 104 and 105: Posto znamo da se prilikom enkripci
Page 106 and 107: potraje ali bruteforceovanje je bas
Page 108 and 109: Bruteforce with dictionaryOvo nije
Page 110 and 111: ste sigurno zaboravili na registar
Page 112 and 113: Unpacking anything...Sta su to pake
Page 114 and 115: skrolovanje nanize dok ne dodjete d
Page 116 and 117: prozora ce se pojaviti svi .dll faj
Page 118 and 119: UPX Protector 1.0xJos jedna u serij
Page 120 and 121: skok. I opet zavrsavamo na delu kod
Page 122 and 123: 0044B1DF /> /55 PUSH EBP MOV EAX,D
Page 124 and 125: CTRL + 12 ili na Debug -> Trace ove
Page 126 and 127: 0040100C . 85C0TEST EAX,EAX0040100E
Page 128 and 129: t E l o c k 0 . 8 0Moram da priznam
Page 130 and 131: 00408F01 E8 2A3E3E3ECALL 3E7ECD30i
Page 132 and 133: PeCompact 1.40Sada sam 100% siguran
Page 134 and 135: P E P a c k 1 . 0Prelistavajuci nek
Page 136 and 137: modifikujemo i / ili obrisemo neisp
Page 138 and 139: 77F79B52 |. 8D09 LEA ECX,DWORD PTR
Page 140 and 141: Neolite 2.0Evo kako se odpakuje jed
Page 142 and 143: Virogen Crypt 0.75Na PELocku sam va
Page 144 and 145: MEW v.1.1 SEOvo je jos jedan lak pa
Page 148 and 149: odpakivanjem. Roze deo koda predsta
Page 150 and 151: + “Hard” patcher sFizicki patch
Page 152 and 153: M a k i n g a l o a d e rKao sto je
Page 154 and 155: Keygening Scarabee #4Zadatak:Relati
Page 156 and 157: samom algoritmu. Evo kako izgleda d
Page 158 and 159: 004010DB |> /8033 11004010DE |. |83
Page 160 and 161: 13 Tricks of TradeOvo je poslednje
Page 162 and 163: CrackingTricksShvatite ovaj deo pog
Page 164 and 165: F . A . Q .Ovo su odgovori na cesto
show all

The art of cracking - Tutoriali

Create successful ePaper yourself

Delete template?

Save as template?