You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
odpakivanjem. Roze deo koda predstavlja novi CALL sa parametrima0040124A i 00401280 a izgleda ovako:...00401090 |> 8033 17 /XOR BYTE PTR DS:[EBX],1700401093 |. 43 |INC EBX00401094 |. 3BD9 |CMP EBX,ECX00401096 |.^ 75 F8 \JNZ SHORT unpackme.00401090...Ako analiziramo malo ovaj kod videcemo da se adrese od 0040124A do00401280 xoruju sa 17h i da taj deo koda predstavljaju redirekcije ka APIfunkcijama.Svetlo plavi deo koda poredi EDX sa vrednoscu tacnog CRCa sekcije od004010F5 i dugacke 154h bajtova. Ako su CRC vrednosti iste onda se skacena tamno plavi deo koda koji vodi ovde:0040121E > $ 6A 00 PUSH 0...0040123E . E8 0D000000CALL Odnosno na pravi OEP. Vidimo da se ovde poziva API funkcija za prikazivanjedialoga - DialogBoxParamA, zbog cega cemo ovde uraditi dump pomocuOllyDMG plugina. Podesite ovaj plugin ovako:zato sto IAT tabela nije kriptovana nego je kriptovan samo deo fajla.Neophodno je da razumete kako smo dosli do OEPa ovog kriptera kako bi stebili u stanju da nadjete OEP bilo kojeg kriptera ili pakera, a ovo ce namtrebati kasnije u dvanaestom poglavlju zato predlazem da pazljivo procitateovaj postupak.<strong>The</strong> Art <strong>of</strong> Cracking by Ap0x Page 148 <strong>of</strong> 165
Change language