Можно ли обратить?

Можно ли обратить?

Код (Text):

1. format PE GUI 4.0
2. entry start
3.  
4. include '%fasminc%\win32a.inc'
5.  
6.  
7. section '.code' code readable executable
8.  
9. align 4
10. start:
11.     mov esi, szExitProcess
12.     cld
13.     xor ecx, ecx
14.     dec ecx
15.     mov edx, ecx
16. @L1:
17.     xor eax, eax
18.     xor ebx, ebx
19.     lodsb
20.     or al, al
21.     jz @L4
22.     xor al, cl
23.     mov cl, ch
24.     mov ch, dl
25.     mov dl, dh
26.     mov dh, 8
27. @L2:
28.     shr bx, 1
29.     rcr ax, 1
30.     jnb @L3
31.     xor ax, 08320h
32.     xor bx, 0EDB8h
33. @L3:
34.     dec dh
35.     jnz @L2
36.     xor ecx, eax
37.     xor edx, ebx
38.     jmp @L1
39. @L4:
40.     not edx
41.     not ecx
42.     mov eax, edx
43.     rol eax, 10h
44.     mov ax, cx
45.     cinvoke wsprintf, szBuff, format_string, eax
46.     xor ecx, ecx
47.     invoke MessageBox, ecx, szBuff, ecx, ecx
48.  
49. invoke ExitProcess, 0
50.  
51.  
52. section '.data' data readable writeable
53.  
54. szExitProcess  db  "ExitProcess",0
55. format_string  db  "Hash: %08lX",0
56. szBuff         rb  64
57.  
58.  
59.  
60. section '.idata' import data readable
61.  
62. library kernel32,'KERNEL32.DLL',\
63.           user32,'USER32.DLL'
64.  
65. include '%fasminc%\APIA\KERNEL32.INC'
66. include '%fasminc%\APIA\USER32.INC'
67.  

 

на что-то очень похоже... crc в свкп ?

просто считай хеши всех имён апи из библы и сравнивай с теми которые лежат в IT.

 

Mario555

Это запасной вариант, хотя возможно он единственно возможный %)

 

ExitProcess - 11 байт

в каждом байте этой строчки (грубо говоря) 6 значащих бит

итого 11*6=66 бит

результат имеет 8*4=32 бита

~50% информации теряется.

так что полностью восстановить имя из хэша нельзя, проще так и делать, как говорит Mario555