The art of cracking - Tutoriali

Passwords – Olly & VBVisual Basic kao uvek je prica za sebe pa ce i uklanjanje zvezdica sapassword polja u VB programima biti prica za sebe. Meta za ovaj deo knjigese nalazi u folderu Cas8 a zove se pwdMe2.exe. Otvorite ovu metu pomocuOllya. Sada pocinju muke, treba pronaci kako se zove forma u kojoj senalazi, nepoznati textbox sa passwordom i kako se konacno sklanjajuzvezdice. Oticicemo u string reference i tamo cemo pronaci sto viseinformacija o samoj meti. Videcemo koji se to objekti pojavljuju u exe fajlu.To su:004013F8 DD pwdMe2.00401410ASCII "Form1"00401814 DD pwdMe2.00401474 ASCII "Form"0040183C DD pwdMe2.00401500ASCII "Command1"00401864 DD pwdMe2.0040151C ASCII "Text2"0040188C DD pwdMe2.00401524ASCII "Text1"Znaci imamo samo jednu formu sa dva Text boxa i jednim dugmetom. Postose objektima dodeljuju vrednosti na samom pocetku fajla kliknucemo nasadrzaj jednog od textboxova iz istog forma. Kliknucemo 2x na ovo:Text strings referenced in pwdMe2:.text, item 7Address=00401297Disassembly=ASCII "CrackeR",0jer ne znamo sta je sadrzaj password polja a ono se nalazi dovoljno blizu.Ovo iznad nam izgleda mnogo sumljivo:00401260 > \1D 010B0B00 SBB EAX,0B0B0100401265 . 70 77 JO SHORT pwdMe2.004012DE00401267 . 64:55 PUSH EBP ; Superfluous prefix00401269 . 6E OUTS DX,BYTE PTR ES:[EDI] ; I/O command0040126A . 48DEC EAX0040126B . 696465 4D 650> IMUL ESP,DWORD PTR SS:[EBP+4D],112006500401273 . 0022 ADD BYTE PTR DS:[EDX],AH00401275 . 0100 ADD DWORD PTR DS:[EAX],EAX00401277 . 2A00 SUB AL,BYTE PTR DS:[EAX]00401279 . 2803 SUB BYTE PTR DS:[EBX],AL0040127B . FF03INC DWORD PTR DS:[EBX]0040127D . 26:0000ADD BYTE PTR ES:[EAX],AL00401280 . 0001 ADD BYTE PTR DS:[ECX],AL00401282 . 05 00546578 ADD EAX,7865540000401287 . 74 31 JE SHORT pwdMe2.004012BA00401289 . 0002 ADD BYTE PTR DS:[EDX],AL0040128B . 04 78ADD AL,780040128D . 00F0ADD AL,DH0040128F . 0007ADD BYTE PTR DS:[EDI],ALDa li je ovo podatak koji nam treba ??? Ako pretrazimo ovaj kod nacicemotacno jedan 2A bajt. Ovo bi u ASCIIu znacilo *, tako da to moze biti bas onosto trazimo. Selektovacemo adresu 401277 i klikucemo na desno dugme ->Binary -> Edit. I izmenicemo ovaj bajt 2A u 00 vodeci se onim sto smonaucili od Delphia. Startocacemo program sa F9 i videcemo da u passwordpolju sada pise: pwdUnHideMe. Dakle uspeli smo provalili smo u VBpassworde. Naravno postoji laksi nacin da nadjemo ovaj bajt pomocu nekogHex editora cemo samo potraziti 2A bajtove i pogledacemo gde se on nalazi.Ako se nalazi blizu nekog textboxa moguce je da je on bas taj bajt kojitrazimo. Ako postoji vise ovakvih polja moracete malo da pogadjate na kojise textbox odnosi 2A bajt i da li on uopste pripada nekom textboxu.The Art of Cracking by Ap0x Page 92 of 165