> For the complete documentation index, see [llms.txt](https://backoftut.gitbook.io/intro-cracking-with-ollydbg-2/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://backoftut.gitbook.io/intro-cracking-with-ollydbg-2/ch-50.md).

# Глава 50

После рассмотрения двуличных Patrick’а и PeSpin эта глава может показаться простой, даже несмотря на то, что данный упаковщик не запускается ни в одной из версий OllyDbg, защищенных всеми плагинами, в том числе и наиболее эффективным из них — Olly Advanced [\[ссылка\]](https://github.com/yutewiyof/intro-cracking-with-ollydbg/tree/3679d233f4d394747f712e9b6b09bc9c2a3cad80/.gitbook/assets/files/50/OllyAdvanced-1.26-beta10.7z). Но запустить его в OllyDbg, на самом деле, совсем не трудно, и мы вскоре этого добьемся, чтобы у нас осталось больше времени на отдых, хе-хе. Исследовать мы будем приложенный к данному туториалу файл UnPackMe\_ReCrypt0.80.exe [\[ссылка\]](https://github.com/yutewiyof/intro-cracking-with-ollydbg/tree/3679d233f4d394747f712e9b6b09bc9c2a3cad80/.gitbook/assets/files/50/ReCrypt_0.80.7z).

Что ж, попытаемся запустить подопытного в OllyDbg; пользоваться будем версией отладчика, предназначенной для поиска OEP’ов.

![](/files/-LmvTvcEq5Aoeyv2v7og)

Можете поэкспериментировать с конфигурацией плагина. Конечно, он находится на стадии бета-тестирования и у него тоже есть ошибки, но он всё же выполняет свои задачи, хотя наш упаковщик и не запускается ни с одним из опробованных мной средств сокрытия.

Но у данного плагина есть еще и опция исправления бага секций, из-за которого при неправильнм значении заголовочного поля NumberOfRva показывается одна-единственная секция:

![](/files/-LmvTvcQLMMxkl08V20f)

Хорошо, запустив программу, мы сэкономили время; посмотрим, где произошла остановка:

![](/files/-LmvTvciL8s82ScFej0J)

![](/files/-LmvTvcv8FdodG-iC66q)

Теперь секции в карте памяти отображаются корректно, хотя без содействия плагина Olly Advanced это выглядело бы так:

![](/files/-LmvTvd4XdOu7WYVweeh)

И нам было бы сложно дойти до OEP, поскольку это первая секция. Конечно, мы могли бы открыть PE Editor, посмотреть размер первой секции и вручную установить BPM на все соответствующие байты в DUMP’е, но наш плагин всё упростил, хе-хе.

Нажмем RUN:

![](/files/-LmvTvdE2EjRL4_lE_xE)

Привет и чау! И это в сверхзамаскированном OllyDbg! Разберемся, что же произошло; посмотрим лог, ответив на сообщение и подождав немного, если это потребуется:

![](/files/-LmvTvdPlqINlZxDP1Gj)

После запуска программы вызывается API-функция OutputDebugStringA, обычно использующаяся для подвешивания OllyDbg длинной строкой типа `%$%$%$%$%$%$`. Хотя Olly Advanced и другие плагины предоставляют защиту от подобных трюков, анпэкми всё же не запускается. Вызов данной API-функции генерирует исключение и программа не может выполняться дальше. Посмотрим, что произойдет, если на OutputDebugStringA установить BP:

![](/files/-LmvTvddMwK-LEfC3bF5)

Поскольку мне не хочется каждый раз вводить вручную имена API-функций, то я пользуюсь второй версией плагина +BP-OLLY [\[ссылка\]](https://github.com/yutewiyof/intro-cracking-with-ollydbg/tree/3679d233f4d394747f712e9b6b09bc9c2a3cad80/.gitbook/assets/files/50/+BP-Olly_v2.0beta4.7z) моего друга Red’а, дающего возможность простым кликом устанавливать BP на наиболее часто используемые API-функции (в т. ч. и для VB), а также добавлять то, что нужно именно нам.

![](/files/-LmvTvdreFju-xfO2B2U)

Поскольку в этом окне нужной нам API-функции нет, то добавим ее в список собственных, нажав на кнопку P (Personalizar):

![](/files/-LmvTve-597--IcFrN3j)

Обратите внимание, что при вводе имени функции следует соблюдать регистр букв. После нажатия на кнопку G при следующем открытии этого окна в нем появится кнопка с только что введенным именем:

![](/files/-LmvTve7cvDYxujxlWOj)

Теперь соответствующий BP можно будет устанавливать простым кликом, и нам больше никогда не придется вручную вводить имя этой API-функции для установки на нее простого брейка.

Однако запуск программы приводит всё к той же серьезной ошибке, поэтому простые BP на этой API-функции в данном упаковщике не подойдут. После перезагрузки анпэкми установим в Command Bar’е соответствующий HE и посмотрим, что это даст.

![](/files/-LmvTveIz6VRPFtNxo8I)

После удаления BP нажмем RUN:

![](/files/-LmvTveUKhiA3wS6nFt7)

Брейк сработал. Дойдем до команды RET API-функции:

![](/files/-LmvTvelBxDZ62VIl9TM)

Возврат из API-функции происходит сюда:

![](/files/-LmvTvf1DRmrzuCb3ZC7)

Здесь содержимое EAX сравнивается с нулем, но в данном случае оно не нулевое. Воспользуемся трассировкой для выяснения, что происходит дальше:

![](/files/-LmvTvfItS_DTVmhqXIr)

Это такой трюк: после выполнения условного перехода содержимое регистра EAX суммируется со значением, находящимся в вершине стека:

![](/files/-LmvTvfSC4x8702-uyBh)

И стек становится таким:

![](/files/-LmvTvfdCuskJIVoVlVV)

Дальнейшая трассировка приводит к команде RET, отправляющей выполнение на адрес, который был только что сохранен в вершине стека:

![](/files/-LmvTvfquOt7biwVBLkQ)

Поскольку такого адреса не существует, возникает исключение типа "No continuable" (Продолжение невозможно). Обработчик исключений обычно исправляет такое положение дел, но в данном случае он специально не установлен, чтобы программа далее просто завершилась.

После перезагрузки анпэкми и возврата из OutputDebugStringA попробуем обнулить EAX:

![](/files/-LmvTvg0NgbeecnTsUoU)

![](/files/-LmvTvgF4VQxt8J7hbAf)

Теперь переход не срабатывает, команда INC EAX увеличивает нулевое содержимое EAX на единицу, результат операции суммируется со значением из вершины стека и выполняется RET:

![](/files/-LmvTvgPSiGd1JWv0Z8M)

Возврат произошел в существующий адрес и ошибок не возникло. Теперь установим BPM ON ACCESS в первой секции и посмотрим, дойдем ли до OEP.

![](/files/-LmvTvgbGL5KF_p6KZ_u)

Так как наш OllyDbg пропатчен для остановок на OEP, то очередная остановка происходит при выполнении:

![](/files/-LmvTvgqKZd_BmBodCcR)

Это настоящая OEP и нам остается только петь и танцевать!

Сделаем Search for –> All intermodular calls:

![](/files/-LmvTvgyCuhl8Fcw4CoR)

Как видим, API-функций мало, поэтому и IAT маленькая:

![](/files/-LmvTvhHUyw5mueKzQZo)

На скриншоте видно, что IAT заключена между адресами 402000 и 40201C, то есть RVA IAT = 2000, Size IAT = 1C и RVA OEP = 1000. Теперь сдампим программу, а затем восстановим файл в ImpRec’е [\[ссылка\]](https://github.com/yutewiyof/intro-cracking-with-ollydbg/tree/3679d233f4d394747f712e9b6b09bc9c2a3cad80/.gitbook/assets/files/34/ImportReconstructor16f.7z):

![](/files/-LmvTvhUczuED-WV5EI4)

![](/files/-LmvTvha0yV-KY1W4cOm)

При сохранении исправленного дампа к его имени добавляется, как всегда, символ подчеркивания '\_':

![](/files/-LmvTvhiyMWBfiMnlvWD)

Попробуем запустить его…

![](/files/-LmvTvhpUWZKUUgDBp7O)

Вот и решен наш простой упаковщик!

До встречи в 51-й главе!

Рикардо Нарваха,

\[C] Рикардо Нарваха, 26.07.06 пер. Рома Стремилов, 04.2010