الفريق العربي للهندسة العكسية

رابط التحدي:

#10 تحدي إنشاء باتش Search & Replace

جزء من الإجرائية التي عدل عليها TeRcO
الصورة من النسخة v2019


أكبر خطأ يقع فيه الكراكر أنه يعتمد على سحب البصمة آليا من الباتشر 

أفضل و أقوى طريقة أن تسحب البصمة يدويا من المنقح

الجزء الذي إعتمدت عليه: 

0090CCAA  /$  B8 A5657C00   MOV EAX,007C65A5
0090CCAF  |.  E8 780BE8FF   CALL 0078D82C
0090CCB4  |.  83EC 20       SUB ESP,20
0090CCB7  |.  56            PUSH ESI
0090CCB8  |.  8B75 08       MOV ESI,DWORD PTR SS:[EBP+8]
0090CCBB  |.  8B06          MOV EAX,DWORD PTR DS:[ESI]
0090CCBD  |.  57            PUSH EDI
0090CCBE  |.  68 8E4AAB00   PUSH 0AB4A8E

 
لاحظ التعليمة الأولى و الثانية و الأخيرة من هذا الجزء
كل تعليمة تحتوي على عنوان و العناوين تتغير بمجرد تحديث البرنامج
عند إستعمال خاصية سحب البصمة آليا من الباتشر لن يعطيك قيم ثابتة لأنه برنامج و هو لا يفرق بين عنوان و تعليمة ثابتة

بما أن العناوين تتغير نستبدل أماكانها بـ علامة الإستفهام
صورة توضيحية: 

0090CCAA  /$  B8 ????????   MOV EAX,????????
0090CCAF  |.  E8 ????????   CALL ????????
0090CCB4  |.  83EC 20       SUB ESP,20
0090CCB7  |.  56            PUSH ESI
0090CCB8  |.  8B75 08       MOV ESI,DWORD PTR SS:[EBP+8]
0090CCBB  |.  8B06          MOV EAX,DWORD PTR DS:[ESI]
0090CCBD  |.  57            PUSH EDI
0090CCBE  |.  68 ????????   PUSH ????????

تلك هي الطريقة الصحيحة لإستخراج بصمة ثابتة يدويًا

قد يتساؤل البعض لماذا لم أتوقف عند PUSH ESI او PUSH EDI لسحب البصمة

لماذا توقفت عند PUSH 0AB4A8E

باختصار البصمة متكررة في أكثر من موضع و لكن إلى غاية آخر تعليمة فهي تعتبر بصمة UNIQUE

يمكنكم التأكد في النسخة V2015 و ليس V2018
 

https://www85.zippyshare.com/v/D34TrqZB/file.html

بدءًا من أول تعليمة في الكود Search for > Binary String أو CTRL+B

ضع البصمة في مكانها المناسب ثم OK

ثم Search for > Next أو CTRL+L

أتمنى تكون الفكرة وصلت 

إضافة:
تجدون بالمرفقات الكود المصدري بـ #C للأخ EarthMan123 جزاه الله خيرًا
كلمة فك الضغط www.at4re.net

منكم و إليكم و السلام عليكم