The art of cracking - Tutoriali

More documents

Recommendations

Info

004010DB |> /8033 11004010DE |. |83E9 01004010E1 |. |43004010E2 |. |83F9 00004010E5 |.^\75 F4XOR BYTE PTR DS:[EBX],11SUB ECX,1INC EBXCMP ECX,0JNZ SHORT unpackme.004010DBSada imamo dovoljno informacija da bi smo mogli da napravimo patch. Izova dva loopa smo saznali da se adrese od 004010F5 xoruju prvo sa 44h aonda sa 11h. Posto posle dekripcije bajtovi od 004011B4 do 004011C7moraju da budu 90 uradicemo reversni xor 90h xor 11h xor 44h = C5h a kaorezultat cemo dobiti bajt koji treba da se nalazi na svim adresama izmedju004011B4 i 004011C7. Ove izmene mozemo da uradimo pomocu Ollya i da ihsnimimo. Kada ovo uradimo startovacemo novo-snimljeni fajl i videcemo dasmo zaboravili na cinjenicu da ovaj kripterima mogucnost provere modifikacije kodaispod adrese 004010F5. Ali ono sto ovajkripter nema je mogucnost provere CRCaiznad adrese 004010F5 a bas ovde senalazi kod za proveru modifikacije sekcijekoda. Posto bi bilo previse lako samomodifikovati skok JE u JNE ja sam kaouslov zadatka postavio da se ovaj skok ne sme modifikovati. Iako ovo zvucikomplikovano uopste nije. Otvoricemo patchovani program pomocu Ollya idocemo do CMP komande koja se nalazi odmah iznad ovog skoka. Ovde smo:00401062 . 81FA B08DEB31 CMP EDX,31EB8DB0Primeticemo da se sadrzaj EAXa (F9B35572) poredi sa 31EB8DB0. Stogacemo samo logicno promeniti CMP komandu u00401062 81FA 7255B3F9 CMP EDX,F9B35572Pre nego sto ovo uradimo moramo da nadjemo kako se adresa na kojoj senalazi CMP komanda dekriptuje. Odgovor lezi ovde:004010BE |. BB 07104000004010C3 |. B9 7F000000004010C8 |> 8033 07004010CB |. 83E9 01004010CE |. 43004010CF |. 83F9 00004010D2 |.^ 75 F4Odnosno dekriptcija bajtova izgleda ovako:86 xor 7 = 81 81 xor 7 = 86FD xor 7 = FAFA xor 7 = FDB7 xor 7 = B0 72 xor 7 = 758A xor 7 = 8D 55 xor 7 = 52EC xor 7 = EBB3 xor 7 = B4MOV EBX,unpackme.00401007MOV ECX,7F/XOR BYTE PTR DS:[EBX],7|SUB ECX,1|INC EBX|CMP ECX,0\JNZ SHORT unpackme.004010C836 xor 7 = 31 F9 xor 7 = FEgde je prva kolona orginalna dekripcija a druga patchovana enkripcija. Uprevodu treba samo patchovati bajtove na adresi 00401062 u86FD7552B4FE da bi smo prilikom dekripcije na istoj adresi dobili:00401062 81FA 7255B3F9 CMP EDX,F9B35572Posle ovog patchovanja mozemo pokrenuti patchovani fajl i videti da se naekranu sada ne pojavljuje NAG. Dakle, uspeli smo !!!The Art of Cracking by Ap0x Page 158 of 165
Unpacking Obsidium 1.2Iako je u knjizi objasnjeno kako se odpakuje dosta velik broj pakera uovom nightmare delu knjige cete morati da odpakujete paker koji do sadaniste imali prilike da sretnete u ovoj knjizi.Zadatak:Odpakovati fajl ...\Cas12\crackme.Obsidium12.exe tako da se u fajl PE (PEid islicnima) identifikatorima prikaze pravo stanje a ne identifikacija pakera. Fajlposle odpakivanja ne sme prikazivati Obsidium NAG poruku i mora raditi bezizvrsavanja koda pakera Obsidium.Resenje:Iako sam ovom pakeru dao visu ocenu,tacnije dao sam mu level 4, paker jelak za odpakivanje kada se Olly lepopodesi. Podesite Olly kao na slici. I prvocete se sresti sa NAGom Obsidiuma aposle toga cete zavrsiti na OEPu. Kaosto se vidi u samom Olly Obsidium je“progutao” par bajtova sa OEPa to jestoni su izvrseni negde drugde. Naszadatak je da iskoristimo ovaj OEP sto bolje znamo i umemo:004012C0 /. 55PUSH EBP004012C1 |. 8BECMOV EBP,ESP004012C3 |. 6A FF PUSH -1004012C5 |. 68 F8404000 PUSH crackme_.004040F8004012CA |. 68 F41D4000 PUSH crackme_.00401DF4 ; SE handler installation004012CF |. 64:A1 0000000> MOV EAX,DWORD PTR FS:[0] ; Real entry point of SFXIako ste sigurno pomislili da je Olly prilikom traceovanja progutao ovebajtove i da se zbog toga nalazimo na 004012CF umesto na 004012C0. E paOlly nije nista progutao jer Obsidium bas ovako radi kradju bajtova: Negdese izvrsi sve sa adrese 004012C0 do 004012CF a to se ne radi ovde. Namasamo predstavlja problem to sto ako sada uradimo dump imacemo iskvareneadrese jer se deo koda vec izvrsio a dump moramo da radimo kada se nijedna komanda pravog nepakovanog ExE fajla neizvrsi. Ali mozda mozemoda uradimo dump ovde ? Pogledajmo malo bolje adrese od 004012C0 do004012CF da vidimo sta se tu desava. Nista specijalno nema nikakvihCALLova ili operacija sa registrima, imamo samo par PUSH komandi, dakletipican VC++ OEP :) Ono sto sigurno niste znali je da ako se izvrse PUSHkomande njihovo stanje se snima u memoriji a to znaci da nema veze da licemo uraditi dump ovde ili na 004012C0. Dakle uradicemo dump ovde ipokusacemo da popravimo importe sa ImpRecom. Kao sto cete sigurnoprimetiti ImpRec je nasao OEP i importe ali ne moze da ih identifikuje.Mozete probati i sa obsidiumIAT pluginom ali nista necete postici. DakleImporte moramo popraviti rucno. Ovo necu ovde objasniti jer zahtevapodpuno znanje API referenci i potrajalo bi dosta dugo, stoga cu vam samodati fajl iat.txt koji sadrzi ceo IAT nepakovanog fajla. Vi samo treba da gaucitate u ImpRec pomocu opcije Load Tree i uradite Fix dump. E zato je ovolevel 4...The Art of Cracking by Ap0x Page 159 of 165
Page 5 and 6:
01 Intro to crackingKao prvo poglav
Page 8:
ASMbasics[ Registri ]Registri su os
Page 12 and 13:
Reading time table :Chapter Require
Page 14 and 15:
N u m e g a S m a r t C h e c k v .
Page 16 and 17:
mozemo da predpostavimo sta se ovde
Page 18 and 19:
izvrsavanje tkz. OEP (original ente
Page 20 and 21:
M y s e c o n d C r a c kPosto smo
Page 22 and 23:
Posto nam ovaj prvobitan prikaz nij
Page 24 and 25:
02 NAG ScreensU prvom poglavlju smo
Page 26 and 27:
sto znaci da se CALL funkciji koja
Page 28 and 29:
Ako prebrojimo parametre koji predh
Page 30 and 31:
The Serials - JumpsPored NAG ekrana
Page 32 and 33:
The Serials - FishingPrvi deo ovog
Page 34 and 35:
Stigli smo do adrese 00407DD8 i u r
Page 36 and 37:
The Serials - Computer IDDo sada sm
Page 38 and 39:
The Serials - API FishingOvo je dru
Page 40 and 41:
T h e Serials - PatchingPonekad je
Page 42 and 43:
The Serials - KeyFileCesto sretani
Page 44 and 45:
0042664F . 39D1CMP ECX,EDXVrednosti
Page 46 and 47:
KeyGen - RippingPoglavlje o pravlje
Page 48 and 49:
00407D93 Ovde EAX dobija sledecu vr
Page 50 and 51:
Analizirajmo ono sto vidimo. Nas la
Page 52 and 53:
CD Checking - ExamplesPrvo cu vas u
Page 54 and 55:
CD Checking - CrackMePosle teorije
Page 56 and 57:
pokusava da otvori taj fajl. Ako fa
Page 58 and 59:
Delphi a nd A S MKao veoma obican i
Page 60 and 61:
Adding functions #1Ovo poglavlje ce
Page 62 and 63:
NACIN 1:Prvi nacin je izuzetno lak
Page 64 and 65:
Ovo radimo jer cemo cemo umesto pri
Page 66 and 67:
PUSH 443600Kod za otvaravnje web-st
Page 68 and 69:
07 Getting caughtOvo poglavlje sadr
Page 70 and 71:
ako SICE nije detektovan. Reversing
Page 72 and 73:
Memory modification checkOvo je jed
Page 74 and 75:
Reversing CRC32 checksJedna od veom
Page 76 and 77:
Prvo sto treba da uradimo je da da
Page 78 and 79:
“Not Getting Caught :)” - Exere
Page 80 and 81:
08 C r a c k i n g i t . . .Ovo pog
Page 82 and 83:
ReEnable b u t t o n s - APIOvaj de
Page 84 and 85:
kojeg se program “obraca” ovoj
Page 86 and 87:
R e E n a b l e b u t t o n s -ResH
Page 88 and 89:
Ako pogledate malo iznad selektovan
Page 90 and 91:
ReEnable buttons - DeDe & DelphiVec
Page 92 and 93:
Passwords - Olly & VBVisual Basic k
Page 94 and 95:
Time - TrialPostoji veliki broj pro
Page 96 and 97:
004010E9 |. 3C 00004010EB |. /74 59
Page 98 and 99:
Simple EncryptionAko ste citali deo
Page 100 and 101:
B r uteforcePre nego sto sam napisa
Page 102 and 103:
3) Da se proizvod mnozenja deli sa
Page 104 and 105:
Posto znamo da se prilikom enkripci
Page 106 and 107:
potraje ali bruteforceovanje je bas
Page 108 and 109: Bruteforce with dictionaryOvo nije
Page 110 and 111: ste sigurno zaboravili na registar
Page 112 and 113: Unpacking anything...Sta su to pake
Page 114 and 115: skrolovanje nanize dok ne dodjete d
Page 116 and 117: prozora ce se pojaviti svi .dll faj
Page 118 and 119: UPX Protector 1.0xJos jedna u serij
Page 120 and 121: skok. I opet zavrsavamo na delu kod
Page 122 and 123: 0044B1DF /> /55 PUSH EBP MOV EAX,D
Page 124 and 125: CTRL + 12 ili na Debug -> Trace ove
Page 126 and 127: 0040100C . 85C0TEST EAX,EAX0040100E
Page 128 and 129: t E l o c k 0 . 8 0Moram da priznam
Page 130 and 131: 00408F01 E8 2A3E3E3ECALL 3E7ECD30i
Page 132 and 133: PeCompact 1.40Sada sam 100% siguran
Page 134 and 135: P E P a c k 1 . 0Prelistavajuci nek
Page 136 and 137: modifikujemo i / ili obrisemo neisp
Page 138 and 139: 77F79B52 |. 8D09 LEA ECX,DWORD PTR
Page 140 and 141: Neolite 2.0Evo kako se odpakuje jed
Page 142 and 143: Virogen Crypt 0.75Na PELocku sam va
Page 144 and 145: MEW v.1.1 SEOvo je jos jedan lak pa
Page 146 and 147: a p 0 x C r y p t 0 . 0 1 - a CPost
Page 148 and 149: odpakivanjem. Roze deo koda predsta
Page 150 and 151: + “Hard” patcher sFizicki patch
Page 152 and 153: M a k i n g a l o a d e rKao sto je
Page 154 and 155: Keygening Scarabee #4Zadatak:Relati
Page 156 and 157: samom algoritmu. Evo kako izgleda d
Page 160 and 161: 13 Tricks of TradeOvo je poslednje
Page 162 and 163: CrackingTricksShvatite ovaj deo pog
Page 164 and 165: F . A . Q .Ovo su odgovori na cesto
show all

The art of cracking - Tutoriali

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?