The art of cracking - Tutoriali

PUSH 443600Kod za otvaravnje web-stranePUSH 443616PUSH 1CALL 00408388 }JMP 00408625Prvo cemo uporediti ESI sa 0BBD, to jest sa dugmetom Visit Web site. Ako jepritisnuto ovo dugme onda cemo ga posetiti pomocu ShellExecuteA funkcije.Napominjem da adresu na kojoj se nalazi ova funkcija u fajlu morate naci uView Names opciji u modulima. I poslednje, ali i najvaznije je da sepostaramo da se novi dialog i pojavi na ekranu. Selektovacemo adresu00443673 i unecemo sledece:CMP ESI,0BBAJNZ 00408625PUSH 0 {PUSH 4085C8PUSH 0PUSH 3E7Kod za prikazivanje dialogaPUSH DWORD PTR DS:[40A84C]CALL 00404BFC }JMP 00408625Ovde smo prvo uporedili ESI sa 0BBA, odnosno sa starim dugmetom ?, ovonas je podsetilo da ovakav CMP nismo NOPovali gore pa cemo se posle vratitina to. Ako je pritisnuto staro dugme ? onda cemo prikazati dialog na ekran.Ovo je samo copy / paste backupovanog koda sa 00408722 koji sluzi zaprikazivanje prvog dialoga na ekran. Posle ovoga se jednostavno vracamo ugornji loop za proveru WM poruka sa obicnom JMP komandom. Sada cemosnimiti nase promene, selektovacemo kod od 00443600 do 0044369D (jersmo taj deo koda dodali) i pritisnucemo desno dugme -> Copy to executable -> Section i snimicemo ovaj fajl kao Addon2.exe, pa cemo otovriti ovaj novifajl pomocu Ollya.Sada cemo se vratiti da povezemo stari loop sa novim loopom poruka.NOPovacemo sve od 00408611 pa do 00408624 jer nam taj dao koda netreba. Na njegovo mesto cemo ubaciti pojavljivanje novog dialoga i obraduporuka. Selektovacemo adresu 00408611 i na to mesto cemo ubaciti sledecikod:JMP 00443620Posle ovoga nam ostaje samo da ubijemo staru proveru za dugme ?, BBA.Zato cemo NOPovati adrese:00408609 |> \81FE BA0B0000 CMP ESI,0BBA0040860F |. 75 14JNZ SHORT AddOn2.00408625Sada kada smo sve zavrsili mozemo da snimimo promene pritiskom na desnoduge -> Copy to executable -> All modifications -> Copy All -> desno ->Save file... i mozemo probati fajl. Ako ste nesto propustili ili niste dobrouradili program ce vam se srusiti, dobro uradjen primer imate u istom folderupod imenom AddOn3.exe, pa mozete videti kako to treba da izgleda.NAPOMENA: Ovo je izuzetno teska tehnika i zahteva zaista dosta prakse. Zbogovoga ne ocajavajte ako ne racumete sve sada ili nemozete da naterateprogram da se startuje. Posle kad sakupite dosta reverserskog iskustvavratite se na ovo poglavlje.The Art of Cracking by Ap0x Page 66 of 165