Cracker Handbook 1.0 part 382 potx

Rồi các bạn nhìn xuống một chút, chúng ta sẽ thấy 00416245 JMP EDI, Hãy đến 00416245, àh các bạn nên đặt Hardware breakpoints executation đừng nên đặt F2 tại địa chỉ trên, và nhớ xóa các

Rồi các bạn nhìn xuống một chút, chúng ta sẽ thấy 00416245 JMP EDI, Hãy đến

00416245, àh các bạn nên đặt Hardware breakpoints executation (đừng nên đặt F2 tại địa chỉ trên), và nhớ xóa các breakpoints khi mà trace xong, ta sẽ đến đoạn mã sau:

Các bác nên F8 từng cái thì mới có được hình dạng như trên Ta ngưng ở

00378353:

JMP 0040400F - lệnh nhảy tới FALSE OEP

Ừm F7, ta tới đây:

Nếu có ai đó chưa hiện đúng như vậy thì hãy dùng chức năng plugin Analyze this! Của OLLY

OEP thì tại 00404000, những chỉ lệnh trên là những junk code, Chúng sẽ làm rối

mù chúng ta Bây giờ ta tiến hành DUMP (trong crackme này thì crackme vẫn làm việc tốt)

3 IMPORTS

Các bạn hãy tìm chuỗi nhị phân sau: FF 25, rồi chọn đại một lệnh nhảy, Enter, các bạn sẽ thây như sau:

Các lệnh nhảy lúc này sẽ nhảy đến những thủ tục của Obsidium.Ở đó, Obsidium không dùng hàm GetProcAddress mà thay vào đó, những imports được lưu trữ như:

- dll image base (handle),

- some flag (FFFFFFFF is good one),

- import code (which is 2,4,1,80, or 40),

- first character of import,

- CRC32 hash

Obsidium sẽ lấy thông tin mà chương trình cần dùng dll, sau đó nó sẽ dùng một vài

kỹ thuật kiểm tra bên trong (đây có phải là import cần hay không,…), sau đó nó sẽ tìm kiếm trong export Dll mà ký hiệu đầu tiên sẽ phù hợp với một cái gì đó trong bảng “obsidium import info", sau đó nó sẽ tìm kiếm cho cái import đó dựa vào CRC32 hash bằng với một giá trị trong bảng này

Giờ thì xem ví dụ của chúng ta:

Ta hãy xem phân tích sau:

003E00B4 60 PUSHAD

003E00B5 66:BE 25A2 MOV SI,0A225 < - Đây là 2giá trị mà chứa thông

003E00B9 B7 67 MOV BH,67 < -/ tin về Dll

003E00BB -E9 695389FF JMP 00395429

Sau đó, ta enter vào địa chỉ 003E00BB:

Xem:

00375467 CMP DWORD PTR DS[EDI+EAX+4]  kiểm tra, nếu là DLL được load, giá trị là FFFFFFFF Tôi gọi đây là [1]

00375477 MOVZX EAX,WORD PTR DS:[ESI] < - Nó sẽ lấy từ bảng

“import code” (2,4,1,80,40) [2]

003754AA CALL DWORD PTR DS:[EBX+50] < - Nếu "import code" is 2,

nó tìm kiếm import đó ở đây

TEST EAX,EAX < - [3] EAX sẽ là API value [3]

Hầu hết các import thì ở trong “code 2” loại

Tôi đã dùng script để chỉnh sửa imports Đầu tiên, ta xem xét bảng Imports trong file gốc :

Giờ thì ta tiến hành fix Imports bằng tay heng

Đặt “New Origin here” tại vị trí đầu tiên 003E0000, sau đó F7 đến

003E0007 Jmp 00375421

Rồi F7 tới 00375421, rồi đặt điểm ngắt tại 3 vị trí [1], [2],[3]:

Ta shift+F9, dừng tại 003754AD TEST EAX,EAX để xem API, rồi điền vào bảng IAT,lần lượt như sau: