教你如何写Aspack脱壳脚本

Martin 发表于 2014-10-29 23:10

本帖最后由 Martin 于 2014-10-30 09:26 编辑

教你如何写Aspack脱壳脚本本文所述的内容皆源于上一节的DLL文件的脱壳内容，本篇文章主要讲一下上篇文章的DLL(地址：http://www.52pojie.cn/thread-299459-1-1.html)使用脚本脱壳及重定位地址的查找。好吧，这里不多说了，直接上分析过程。首先已经知道了Aspack壳的动态链接库（DLL）文件的重定位地址搜索以下代码就可迅速找到重定位地址：    好的，这个重定位地址也就是sub ecx，0x8；shrecx，1这里就是关键点，这两个前面的机器码和在一起就是83E908D1E9，那么就可以在脚本编辑器中进行写这段脚本了。var Relocation //存放重定位地址
Var aa       //声明变量
FINDeip,#83E908D1E9#    //搜索上面那段代码
MOVaa,$RESULT //将搜索的eip地址给aa，也就是图上的771f9处
MSGaa //弹出aa 好的这段脚本已经完工了，那么还说了我们要将断点设置在771C4处的je跳转出，那么已经获取了771F9处的地址，要找到771C4很容易就找到了，因为两者相差35，我们只需要将771F9-35=771C4了，好的这里已经知道了思路。开始写下一段设断点脚本SUBaa,35             //771C4的地址处
BP aa             //在771C4处下断点
RUN                      //让程序跑一下，就会段在771C4处    这样程序就段在了771C4位置处，从771C4到771DC的magic jmp处只需要单步走4次就好了，单步到了magic jmp后不能让这个跳转跳，这时候我们可以改变ZF标志位为0，这样跳转就不会跳了    脚本实现单步走：STO
STO
STO
STO
MOV    ！ZF，0    //改变ZF标志位为0    通过上图可以看到，magic jmp没有跳过之后再进行单步4下就可以到达存放重定位地址的地方，这时候我们只需要取出里面的值就好，因为里面存放的就是重定位地址。STO             //单步走四次
STO
STO
STO
MOV Relocation,ebp //将ebp地址给了Relocation变量
ADD Relocation,539//将Relocation+539
MOV Relocation,    //这是取出来的就是ebp+539的值，程序中是70000
MSG Relocation    //弹出这个70000
BC             //清楚断点好的，已经找到了重定位的地址之后，就可以向下发现规律，我们发现程序到达OEP之前的时候有一个popad，如下图所示：那么就可以用这个当做关键点，查找popad：FINDOP eip,#61#    //从当前位置opcode的61指令
MOV bb,$RESULT
MSG bb
BP bb                   //下断点下好了断点之后将程序运行起来，段在上面的断点处只需要单步走4次就到了程序的OEP，然后退出脚本就可以了。RUN                            //运行程序
STO                            //单步走
STO
STO
STO
BC                            //清楚断点
RET                            //返回完整的脚本如下所示：VAR Relocation
VAR aa
VAR bb
FIND eip,#83E908D1E9#
MOV aa,$RESULT
MSG aa
SUB aa,35
BP aa
RUN
STO
STO
STO
STO
MOV !ZF,0
STO
STO
STO
STO
MOV Relocation,ebp
ADD Relocation,539
MOV Relocation,
MSG Relocation
BC
FINDOP eip,#61#
MOV bb,$RESULT
MSG bb
BP bb
RUN
STO
STO
STO
STO
MSG "欢迎来到OEP，By：BattleHeart"
BC
RET
程序运行结果：这是第一个Msg弹出来的是查找的sub ecx，0x8；shrecx，1后的eip的位置：第二个msg是重定位地址第三个msg就是弹出的popad的地址处：这样点击确认后就到了程序的OEP处；

梵天帝君 发表于 2014-10-29 23:35

沙发另求上一课

布拉修之吻 发表于 2014-10-29 23:47

好东西，支持了，

旧时光的小夏天 发表于 2014-10-30 01:46

前排膜拜大牛

呀呀发表于 2014-10-30 06:15

……膜拜楼主

Martin 发表于 2014-10-30 09:26

梵天帝君发表于 2014-10-29 23:35
沙发另求上一课

连接已补上！

firefly 发表于 2014-10-30 11:52

这是要出系列的节奏吗？{:1_918:}

dreamnyj 发表于 2014-11-3 15:37

这教程写的太好了。学习并收藏了。小丁，我最近碰到了个问题，关于网页调DLL的调试问题，能不能过来帮我参谋参谋。
http://www.52pojie.cn/forum.php?mod=viewthread&tid=300518&page=1#pid6907950

jayfox 发表于 2014-11-4 11:10

这个不错，学习了

bdboy 发表于 2014-11-4 13:45

楼主辛苦了。。。。学习学习收了

页: [1]

吾爱破解 - 52pojie.cn's Archiver

教你如何写Aspack脱壳脚本