Kalo kita biasanya meng-unpack dengan metode ESP change, untuk beberapa packer diantarnya UPX, Aspack2.12. tapi untuk packer yang satu ini kita sudah tidak bisa lai menggunakan metode ESP change.

Kali ini kita akan mencoba meng-unpack PEID.exe yang di unpack menggunakan PECompact 2.x




dari gambar bisa kita lihat bahwa PeiD.exe di pack menggunakan PECompact 2.x..

Sebelum kita mulai meng-unpack, tools yang kita butuhkan adalah Ollydbg.exe (kalo yang ini hukumnya wajib), Command Line (plugins Ollydbg), OllyDump (plugins Ollydbg), Imprec (bisa juga pake LordPE). OK gak perlu banyak bosak-baseh kita mulai aja aksinya..






Kira-kira akan muncul seperti diatas, dan akan keluar peringatan.. kita pilih No aja...
Kalo udah kita langsung menuju ke menu plugins pilih Command Line



atau bisa juga dengan kita menekan Alt+F1. Maka sekarang akan muncul kotak dialog baru. Kita akan mengisikan BP VirtualFree kemudian kita enter saja. Hal ini akan melakukan break secara otomatis, ketika program me-load VirtualFree. untuk lebih jelasnya lihat gambar dibawah ini.




kalo sudah sampai disini kita close aja form dialog Command line. Kemudian kita tekan F9(Run Program ).. lho.. lho.. gimana sich koq malah di Run.. tenang-tenang ikutin aja dulu deh ntar kan juga ngerti OK..

Setelah kita tekan F9, maka secara otomatis akan terjadi break.



kira kira seperti gambar diatas. Kemudian kita ke menu debug kita pilih Execute till return atau bisa juga kita menekan Ctrl+F9. ini akan menjalakan program sampai di akhir sebuah procedure



setelah itu kita tekan F8 (Step over).. kalo anda benar makan sepertinaya kita malah kembali ke kondisi pertama kali ketika kita membuka program tadi.. tenang-tenang memang seperti itu adanya (walah-walah..). OK berarti kita kembali menjalankan langkah-langkah tadi..

OK kita kembali akan menekan F9(Run), kemudian akan terjadi break.. lalu kita tekan Ctrl+F9(Execute till return) kemudian kita tekan F8(Step over). Ini sebenarnya sama dengan langkah pertama kita tadi.. lho mengapa demikian?? Ya Emang procedure nya demikian. OK..

Setelah itu kita akan terus menekan F8(Step over), sampai menemukan JMP EAX



itu berarti kita akan segera masuk ke kode asli program, OK kita tekan F8(Step over)

OK selamat, sampai disini sebenarnya kita telah berhasil meng-unpack program tersebut. Kalo langkah anda benar kurang lebih hasilnya akan seperti ini...



Gimana jelaskan sampai disini?? Langkah kita selanjutnya adalah me- ngedump file ini.. mungkin ada yang mau ngambil kopi atau cemilan dulu?? Hehehhe.. teknik ini emang sedikit lebih rumit dari pada teknik ESP change yang telah kita pelajari didepan tadi..

OK kita akan segera lanjuat aja.. langsung aja kita akan me- ngedump sekarang.. kia menuju ke munu pilih Pugins kemudian pilih OllyDump lalu pilih dump debugger process



cara ini sebenernya sama seperti cara kita me-ngedump pada teknik ESP Change. Tapi biar lebih jelas kita lanjuat aja dulu. Setelah kita lakukan langkah diatas, maka muncul kotak dialog baru.



kita hilangkan tanda centang pada Rebuild Import, kemudian sebelum kita klik dump, kita hafalkan isi dari TextBox Modify dalam hal ini yaitu 5A8CC.. Setelah itu baru kita klik dump. Jika benar kita akan diminta untuk menyimpan file hasil dump kita tersebut. OK anda simpan dengan nama sesuka anda, dalam hal ini saya menyimpan dengan nama PeiD_dump.exe ..

Setelah itu kita buka Imprec, untuk memperbaiki file yang telah kita dump tadi..



kemudian pada Attach to an Active Process kita pilih process dati PEID.exe. biar lebih jelas lihat gambar diatas..



OK,setelah itu kita ganti OEP dengan yang telah kita hafalkan tadi yaitu 5A8CC, kemudian kita klik IAT AutoSearch maka muncul dialog seperti ini



ini artinya alamat OEP kita sudah benar. Jika tidak keluar dialog seperti diatas saya sarankan jangan diteruskan lagi process dump kita. Lanjut bro, kita tekan OK aja.. kalo udah kita klik Get Imports, sesaat setelah kita klik Get Imports, pada imported Functions Found akan terlihat dll yang di imports oleh program itu.



kurang lebih seperti gambar diatas..

OK, langkah terakhir adalah kita klik Fix Dump, kemudian pilih file yang telah kita dump tadi, dalam hal ini PeiD_dump.exe.

Lihat pada Log,




jika muncul PeiD_dump_.exe saved successfully maka berarti process dump kita berhasil..



kalo kita mencermati maka Imprec akan menambahkan ( _ ) pada file yang kita dump.. nah file itu lah yang sekarang berjalan secara normal.




Sekarang keliatan jelas perbedaan antara PEiD.exe dan PEiD-dump_.exe. Tapi coba jalankan kedua program tersebut maka tidak akan ada bedanya sama sekali.. Dari gambar tersebut bisa kita ambil kesimpulan ternyata PeiD dibuat menggunakan bahasa Microsoft Visual C++ 7.0


Thanks to :
1. Pemberi nafas hidupku
2. Aat, gw kangen.. hohooo..
3. Saber, selamat udah jadi antek2
4. Temen2 yang udah baca
5. Visit us http://jan.web.id