Empecemos pues...
Carguemos a nuestro amigo en el SoftICE y enseñémosle
quien es el que manda!!!
Bien, nos encontramos al principio del programa:
014F:004F1000 PUSH DWORD PTR
[ESP+0C]
014F:004F1004 PUSH DWORD PTR [ESP+0C]
014F:004F1008 PUSH DWORD PTR [ESP+0C]
014F:004F100C PUSH FCF52370
014F:004F1011 PUSH FCB06073
014F:004F1016 PUSH FCF520AC
014F:004F101B PUSH FCF52056
014F:004F1020 CALL [00454178] <--
Descomprime parte del programa.
014F:004F1026 PUSH FFFFFFFF
014F:004F102B CALL EAX <-- Continua
con lo suyo. :))
014F:004F102D RET 000C
En la línea 014F:004F1020
se ejecuta CALL [00454178], que es una llamada a una función
del compresor VBOX que descomprime parte del programa y
devuelve en EAX la dirección de memoria donde el programa
debe continuar. Así que inspeccionemos que se hace
ahí, pulsemos F8 en el CALL EAX.
Nos encontramos con lo siguiente:
014F:004F1000 PUSH DWORD PTR
[ESP+0C]
014F:004F1004 PUSH DWORD PTR [ESP+0C]
014F:004F1008 PUSH DWORD PTR [ESP+0C]
014F:004F100C PUSH 27292979
014F:004F1011 PUSH 510C3BF6
014F:004F1016 PUSH 9655349C
014F:004F101B PUSH E79A2ACE
014F:004F1020 CALL [0045315C] <--
Función Importante.
014F:004F1026 PUSH FFFFFFFF
014F:004F102B CALL EAX <-- Salta al
programa original. :))
014F:004F102D RET 000C
El código es muy
parecido. En la línea 014F:004F1020 hace una llamada
a la librería VBOX, la cual comprueba si ya han pasado
los 15 días y si no han pasado, termina de descomprimir
el programa original. Luego muestra una Nag muy fea...
Como antes, tambien se devuelve en EAX donde debe continuar
el programa: devolverá la dirección del programa original
si no han pasado los 15 dias y una dirección para salir
del programa si ya han pasado...
Asi que ejecutemos paso a paso el programa hasta la linea
014F:004F102B, en la cual vamos a cambiar unas lineas, para
eso introducimos el comando a,
para ensamblar y escribimos jmp eip.
Esto provocara que el programa quede en un bucle infinito
(Acuerdate antes de apuntarte el valor del registro EAX,
puesto que lo necesitaremos mas tarde).
Ahora le toca el turno al ProcDump. Cargamos el ProcDump
y elegimos la opción de Dump (FULL).
Guardamos el fichero con el nombre que queramos (este fichero
contiene el codigo original, ya descomprimido). Por lo que
solo nos queda modificar la cabecera para que lo que se
ejecute sea el codigo original y no el del descompresor.
Para eso elegimos la opción de PE
Editor y cargamos nuestro fichero. Debemos de cambiar
el "Entry Point" para que apunte al codigo original, de
tal forma que Base Image + Entry Point = El valor del registro
EAX (te lo habias apuntado, no?). Sustituyelo y pulsa OK!!
Ahora ejecuta el fichero y ya tienes Ulead Button.Applet
1.0 para rato... :))
|
