Май - Xakep Online

взлом
Типичный AsPack! Цикл, убиваемый после распаковки
убедиться в том, что мы все делаем верно, воспользуемся
утилитой PEid — хорошей помощницей
в определении типа пакера (протектора/
компилятора)(http://peid.has.it), которую можно
скачать на любом крякерском сайте. Запускай
утилиту и скармливай ей freshui.exe. Она моментально
выдаст нам результат: «ASPack 2.12
Alexey Solodovnikov». Значит, мы с тобой сильно
ошибались, ведь AsPack действует немного
иначе, чем совсем уж тривиальные пакеры. Он
использует для перехода на OEP не JMP N, а
конструкцию вида:
POPAD; восстановление регистров
JNZ adress
MOV EAX,1
RETN 0C
PUSH 0; OEP кладется в стек
RETN ; переход на OEP
Нас интересуют только первая и две последние
инструкции. Комментарии дают ясное представление
о работе этого куска кода. Стоит только
упомянуть, что команда PUSH 0, после того как
мы прервемся на ret, положит в стек совсем не 0,
а значение OEP. Итак, ищем POPAD с хвостом в
виде вышеуказанного кода. Такой набор располагается
по адресу 005653AF:
005653AF POPAD
005653B0 JNZ SHORT
freshui.005653BA
005653B2 MOV EAX,1
005653B7 RETN 0C
005653BA PUSH 0
005653BF RETN
OEP найдена!
По адресу 005653BF ставь точку останова, для
этого выдели строку и нажми . Все готово,
запускай программу на исполнение ().
Выполнение ее тут же и прервется, причем на
вершине стека будет лежать адрес OEP, равный
00507340 (заметил, как изменилась команда
PUSH 0?), его мы запишем. Теперь переходим
на начало кода программы, сделав один шаг
(). Мы попадем в место, очень похожее
на кучу хлама в виде данных, неправильно
интерпретированных в качестве инструкций, но
это далеко не так. На самом деле, этот «массив»
— ни что иное, как начальный код, стартующий
с OEP! Если не веришь, нажми .
После анализа ты увидишь характерное начало
программы.
На время сверни OllyDbg. Теперь, как и обещал,
я скажу, зачем мы остановили программу на OEP.
Для того чтобы получить более или менее работоспособную
программу со снятым упаковщиком,
нужно сделать дамп, он же моментальный снимок
области памяти, где размещена наша программа,
причем не когда-нибудь, а именно сразу после
распаковки, когда программа прервется на OEP.
Для этой цели подойдет инструмент LordPE за
авторством Yoda (респект!). Запускай эту утилиту,
выбирай в окне процессов нашу программу,
висящую под отладчиком, и, нажав по ней правой
кнопкой мыши, выбирай в меню «Dump full». Сохрани
файл под именем dump.exe. Полученный
дамп будет неработоспособен, так как таблица
импорта не восстановлена. Привести dump.exe
в чувство поможет утилита Import Reconstructor.
Запусти ее. Выбери в списке Attach to an active
Process процесс freshui.exe и введи OEP в
соответствующее поле программы. Причем OEP в
этом случае будет равняться 00507340‐ImageBase
=00507340-00400000=00107340 (ImageBase — это
адрес, с которого в памяти идет код программы,
его нам указал отладчик). Теперь жми на кнопку
«Get Import». При этом не обращай внимания
на издержки — мусор в виде нераспознанных
функций, который будет отображен среди верно
отысканных данных в виде двух последних
ветвей: »?FThunk:0010F8E0 NbFunc:3 valid:no»
и »?FThunk:0010F8F0 NbFunc:3 valid:no». Ты
можешь убедиться в ненужности этих «элементов
таблицы импорта», если перейдешь по
смещениям 0050F8E0 и 0050F8F0 и взглянешь на
содержимое памяти. Первый фантомный Fthunk
— строка «kernel32.dll», то есть имя библиотеки,
импорт функций из которой распознан, а второй
«непрошеный гость» — часть имени функции,
которая размещена в Import Table первой
(DeleteCriticalSection). Мусор нужно отрезать,
Полезный
крякерский ресурс
Все инструменты, упомянутые в статье, можно
найти на лучшем крякерском ресурсе
www.cracklab.ru. Помимо этого, сайт располагает
внушительной коллекцией статей по крякингу и
набором различных полезных ссылок. Конечно
же, нельзя не упомянуть о форуме. Он является
главной достопримечательностью ресурса, и следует
признать, что все имеющееся на сайте — это
лишь приятное дополнение к наиполезнейшему
форуму, где можно повстречать незаурядно талантливых
людей, относящихся к элите крякинга.
Среди них — [HEX], MozgC, dragon (c) и другие. Я
выражаю им почтение. Спасибо, Bad_guy!
xàêåð 05 /101/ 07
/
091