日常造轮子学习之加壳器

自己的小白 · 发表于 2020-6-28 14:43

本帖最后由自己的小白于 2020-6-28 14:46 编辑

README

前言

加壳器，练手之作，以此记录，如有错误，还望不吝赐教

界面

功能介绍

反调试

使用PEB.BeginDebug与PEB.NtGlobalFlag检测是否被调试

                bool BeginDebugged = false;
                __asm
                {
                        //获取PEB地址
                        mov eax, dword ptr fs : [0x30]
                        //获取PEB.BeginDebugged
                        mov al, byte ptr ds : [eax + 0x02]
                        mov BeginDebugged, al
                }

                //2.NtGlobalFlag在调试状态时值为0x70,正常下为0
                int NtGlobalFlag = 0;
                __asm
                {
                        //获取PEB地址
                        mov eax, dword ptr fs : [0x30]
                        //获取PEB.NtGlobalFlag
                        mov eax, dword ptr ds : [eax + 0x68]
                        mov NtGlobalFlag, eax
                }
                NtGlobalFlag == 0x70 ? NtGlobalFlag = 1 : NtGlobalFlag = 0;

反虚拟机

通过查询注册表键查看是否在虚拟机中运行、

        bool CheckWMWare()
        {
                if (pRegOpenKeyA(HKEY_CLASSES_ROOT, "\\Applications\\VMwareHostOpen.exe", &hkey) == ERROR_SUCCESS)
                {
                        return true;
                }
                else
                {
                        return false;
                }
        }

支持随机基址

先修复壳代码的重定位表，给原程序添加个区段并将修复好的壳代码的重定位表拷贝到新区段，将原程序的重定位表指向我们新增的区段，这样程序就会自动帮我们重定位壳代码中的数据。在壳代码中，修复原程序的重定位。

如果程序有tls表，会关闭随机基址。

密码弹窗

弹窗密码会使用base64加密

代码段加密/压缩

使用AES_128对代码段进行加密(密钥为随机生成)，使用LZ4算法对代码段进行压缩

IAT加密

修复IAT时将函数地址换成一段shellcode实现对IAT的加密，该shellcode包含多个花指令，shellcode执行完之后调用原本函数

使用说明

win10 64 VS2017
MyShell X86 Release生成运行库为多线程MT 禁用优化
AddShellTool X86 Debug生成

AddShellTool.rar (182.39 KB, 下载次数: 178)

andydyc · 发表于 2020-6-28 15:05

谢谢，学习一下，已下载~~

绝无神 · 发表于 2020-6-28 15:15

大佬厉害了，加油

ciker_li · 发表于 2020-6-28 15:21

学习学习，大佬厉害

565836916d · 发表于 2020-6-28 15:30

谢谢，学习一下，已下载~~

sw0rdman · 发表于 2020-7-1 16:24

有编译好的成品吗

自己的小白 · 发表于 2020-7-1 17:15

sw0rdman 发表于 2020-7-1 16:24
有编译好的成品吗

不发成品，只学习交流

yzl302 · 发表于 2021-5-3 09:54