某某云网络验证脱壳

YouSuohai

#0x00 狭路相逢
"偶然"碰到了一个网络验证，广告语写着"全新的虚拟机架构，虚拟机超强变异，让您的软件难以分析", 看上去好像很好玩, 于是我(emmm)就弄了几个极速模式的样本分析看看, 见识一下这个全新的虚拟机架构, 至于是啥网络验证，这次我就不点名了, 本文也不提供样本。

**以下讨论的是该网络验证基于极速模式加密的样本**

#0x01 猫捉老鼠
根据描述，还可以加密64位文件，但是加密后的文件打开运行却是32位程序，猜测有把原程序写到硬盘的操作。由于其严酷的拉黑机制(反调试 - -!)(你干点啥它都拉黑你, 这就是所谓的超强的反调试, 但其实根本没啥用)，考虑先不用调试器，绕路走，用某剑监视其程序操作，部分关键操作如下。

写出Registration.tmp 猜测跟解密相关


写出exe，猜测是登录后释放的原exe


转到目录下查看，发现一个43k大小的exe，不符合加密前exe大小。


但是，在...目录下发现了一个很可疑的exe


复制出来运行提示未经授权运行，估计它就是我们要找的原程序了。



#0x02 林中小屋


监控发现原程序读取了Registration.tmp


用x32dbg看一下，发现这入口一股浓浓的ThemIDA味(这网络验证是Themida的作者写的？)


运行起来CE搜一遍字符串，这确实是WinLicense没错,


把Registration.tmp和原程序复制出来，回滚虚拟机快照后，再把Registration.tmp放回去，发现可以直接运行原程序。（但是无法再次运行，会提示未经授权运行。并且更换机器做同样的操作也无法运行。）



根据以上行为特征，可以大致猜出该网络验证的流程：
**发送卡号并上传机器码 -> 验证通过 -> 下发锁定机器码以及运行次数为1的key ->释放原程序(WL授权加密) -> 运行原程序**
虽然下发的key回滚快照可以一直使用，用监控程序监视它读写了哪些注册表和文件，再统统删掉也可以无限使用，但是它锁定了机器码，总归是不方便。为了速战速决, 考虑脱壳。

#0x03 旧事重提


到达OEP以后修一下IAT，处理下虚拟机内部的pause就能脱下来了。这里不提供脚本，只讲下到达OEP和修IAT的思路。
OEP的话，用祖传VirtualProtect大法。VirtualProtect下断，运行，看到代码段(401000)出现两次后，执行到返回，取消断点。




对代码段下内存执行断点。


再运行一次就到OEP了。


OEP虽然被虚拟化了，但是可以不修。
WL没有抹掉原来的IAT表，而是随机将部分IAT填充到自己的壳代码了，图中下划线为白色的就是被壳抽取的IAT。


这里使用的是x32dbg，撸脚本也方便。修复脚本基本思路为：
逐个获取IAT表里的pointer，用mod.isexport判断是否为1，不为1说明被抽取或者为该pointer为0，如果是被抽取，记录当前cip和csp，将cip设置为取得的pointer，并且对csp-4设置硬件写断点，run 3-5次并判断mod.isexport，为1则将[csp-4]写到IAT表对应的位置，并将cip和csp设置回去。
需要注意，ExitProcess貌似被WL特殊照顾，无法用这种办法取得，没想到修复办法，就只能手动填充了。暂时没发现其他的IAT有这种问题，图中47C294处就是脚本无法修复的ExitProcess。


修复完IAT，记得扫描一遍内存，处理掉所有的pause，jmp或者全部nop都可以，特征如图


全部处理完，就能运行了。



**以下讨论的是该网络验证基于极限模式加密的样本**

#0x04 黑洞的极限运动

上面说的是极速模式下的样本，那极限模式的样本呢？尝试按照以上方法脱下来以后，跨平台运行会崩溃。
推测极限模式是WinLicense的全保护，不过问题不大。多分析分析也能脱下来。
该极限模式样本有两种防dump（不知道有没有更多防dump，只加了两个虚拟化水印）

一种是在到达OEP前加密存储kernel32.dll的基址，然后虚拟化水印会读取基址+随机偏移，因为不同机子以及重启后系统dll基址会改变的关系，程序会崩溃。OEP虚拟化也会用这种防dump。


另外一种是运行到该处水印代码后，虚拟机将代码解密写回原来的位置。


虚拟机运行完毕后。


过kernel32基址的防dump，可以分配一块跟当时一样地址的内存，WL只读取，并没有对里面的值做校验，如果有其他dll占用了也可以直接过。
另一种防dump，可以把存放在WL区段的VirtualProtect 地址，修改到自己代码的FF25 ，如果不巧，程序IAT没有VirtualProtect，就得自己加上了。


#0x05 梦一场

！！！！所以这里根本没有什么所谓的超强虚拟机, 全新的虚拟机架构？搞半天就是用WinLicense做了个授权, 我好像是来找自写虚拟壳来着，怎么最后在脱WinLicense了。

后续将会提供脱壳脚本以及特征，方便大家研究学习。

Sound

这个用的wl跟upx一样看起来像是2.x
具体 看不出来是哪个版本的
另外wl的netlicense在官网有说明文档
新人第一帖加精鼓励下
Ps:自写虚拟机 可以搞搞Sprotect。

董督秀

这个帖子关键在于分析提取授权文件和源程序，脱壳是其次……wl脚本论坛都有的。另外，一般情况下，论坛的那个脚本通杀1.8-2.4的wl壳。
顺带一提……如果是wl3.0的壳，就不好说了……原作者不确定是否更新脱wl3.0的脚本。

MZA1220

我学不会  大姑

禁止套娃

lz分析的是卓越云？？？这会是谁的小号呢

liujieboss

学习学习

phenix21

研究学习一下

sujiufz

大佬何必用小号来怼呢。。不方便吗？

吃半个馒头

楼主分析的很到位，学习一下。

寒韵冰晶

前来学习了

yAYa

我知道你是谁了，师傅。

crack1

tql ....又一位大佬啊。。