No entiendo la analogía de los STOLEN BYTE de PESPIN

[.:UND3R:.]

Bueno en el tutorial ricardo narvaja explica algo más o menos así:

Vemos alli que antes de correr el programa, el stack esta en mi maquina en 12ffc4, quiere decir que
si cuando llega al verdadero OEP el stack esta en la misma posicion o sea en 12FFc4, la primera
sentencia que podria ser PUSH EBP se escribira en 12ffc0 justo arriba de esta, asi que busquemos
12FFc0 en el dump y pongamosle un HARDWARE BPX ON WRITE a ver si nos da resultado,
puede que si puede que no, pero el razonamiento es logico.

Por que se escribe justo arriba de la misma? si se supone que el primer comando sería PUSH EBP y en la dirección 12FFc4 si alguien lo explica bien se los agradecería saludos

[apuromafo CLS]

push ebp, escribe en stack..que direccion? mira el stack , en la maquina de ricardo deberia ser  12FFc4

cuando se detiene en el oep, y no esta en la misma direccion donde ejecutan todos los programas, hay estolen, es para eso..y si coloca el bp en access en la direccion, significa que posiblemente encontrara la primera escritura en ese lugar..

es eso

verifica como se llaman las ventanas en:
http://foro.elhacker.net/ingenieria_inversa/taller_de_cracking_desde_cero_actualizado_27julio2008-t180886.0.html

[.:UND3R:.]

Sigo sin entender osea ricardo cuando llega al falso oep (stolen byte) le marca que está en 12FFc4 (posición de la pila normal) pero si se ve detenidamente se nota que hay stolen byte eso lo entiendo claramente pero mi pregunta es por que busca en 12FFc0 deciendo que ahí se debería ejecutar un push ebp

Gracias por la paciencia

[_Enko]

dejame adivinar... mh...

despues de que dice que el stolen byte es "push ebp"...

la siguiente instruccion cual es? "mov ebp, esp"?

[.:UND3R:.]

Así es efectivamente pero no logro entender lo que comenté anteriormente

[.:UND3R:.]

No entiendo lo de la pila osea si parte en 12FFc4 y cuando encuentro el falso oep está en 12FFc4 quiere decir que anteriormente ya realizó operaciones, eso me queda claro pero el problema surge ahora que por qué empieza a buscar en 12FFc0 siendo que son muchos stolen bytes no entiendo el por qué de buscar ahí

[_Enko]

porque es la entrada normal a un procedimiento

push ebp
mov ebp, esp

Los enpaquetadores convierten la ejecutable en una rutina para poder ejecutarla.
La entrada a cualquier procedimiento comienza normalmente con

Código [Seleccionar] Expandir


push ebp
mov ebp, esp
sub esp, SIZEOF(LOCAL VAR)

por eso se puede adivinar cual es la intruccion original en este caso y supongo en muchos otros.


Porque busca alli? Ni idea, en el caso. Pero la idea de conseguir saber cuales son los stolen bytes pasa por encontrar la entrada original de la ejecutable.
Segun el compilador, suelen hacerlo siempre de la misma manera.

Por ejemplo, en este caso, calculo que el programa esta hecho con c++.

[.:UND3R:.]

Entiendo lo que comentaste pero lo que no entiendo es por que se intenta buscar en 12FFC0 y no más atrás de la pila y no entiendo eso por que los stolen byte son más que uno si fuera uno entendería pero son muchos, Gracias por la paciencia

[_Enko]

no me he puesto a desempaquetar programas,  asi que ni idea.

lo unico que se me ocurre es que push ebp, restaria 4 al stack, por eso el stack original comienzaria en -4 despues del push (en esa direccion se encuentra el ret al kernel)

[.:UND3R:.]

Pero no se supone que el inicio está justo antes de ejecutar el push ebp y no después que se ejecutó?

osea el programa parte así según mi entender



Push ebp
mov ebp, esp


                                                                                   12FFC4