手脱The Enigma Protector1.55默认保护

小生我怕怕 · 发表于 2008-12-2 15:23

【文章标题】: 手脱The Enigma Protector1.55默认保护
【文章作者】: 小生我怕怕
【作者主页】: [url]http://www.52pojie.cn[/url]
【软件名称】: 自己加的
【软件大小】: 304 K
【下载地址】: 自己搜索下载
【保护方式】: 默认保护
【编写语言】: VC+++
【使用工具】: OD自我修改版
【操作平台】: windows XP2
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
00401DBA >  55              push ebp                   //OD载入程序
00401DBB    8BEC            mov ebp,esp                //我们下bp VirtualProtectEx
00401DBD    83C4 F0         add esp,-10                //下好断点我们shift+f9运行程序
00401DC0    B8 00104000     mov eax,notepad_.00401000
00401DC5    E8 01000000     call notepad_.00401DCB
00401DCA    9A 83C4108B E55>call far 5DE5:8B10C483
00401DD1  - E9 66890400     jmp notepad_.0044A73C
00401DD6    0000            add byte ptr ds:[eax],al
━━━━━━━数据窗口━━━━━━━━━━━
00402000  004C1F78  notepad_.004C1F78                  //此时可明显感觉出IAT已经被加密处理
00402004  00B8B540                                     //不管他我们取消断点后ait+f9返回程序
00402008  00000000
0040200C  73D98D67  mfc42.#4486_CWinApp::OnDDECommand
00402010  73D35EF1  mfc42.#2554_CWinApp::DoWaitCursor
00402014  73D497A0  mfc42.#2512_CWinApp::DoMessageBox
00402018  73D4224E  mfc42.#5731_CWinApp::SaveAllModified
━━━━━━━━━━━━━━━━━━━━━━━━━━
00B7302C    5D              pop ebp                   //我们开始F8单步跟上吧
00B7302D    C2 1000         retn 10
00B73030    57              push edi
00B73031    5F              pop edi
00B73032    55              push ebp
00B73033    8D6C24 00       lea ebp,dword ptr ss:[esp]
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C25BE    5A              pop edx
004C25BF    5E              pop esi
004C25C0    5B              pop ebx
004C25C1    C3              retn                       //这里retn返回到下一段代码
004C25C2    8BC0            mov eax,eax
004C25C4    55              push ebp
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C9FD3    C643 28 01      mov byte ptr ds:[ebx+28],1    //继续F8单步跟上
004C9FD7    E8 D484FFFF     call notepad_.004C24B0        //记住打断向上跳转，执行向下跳转
004C9FDC    C643 29 01      mov byte ptr ds:[ebx+29],1
004C9FE0    C643 2A 01      mov byte ptr ds:[ebx+2A],1
004C9FE4    E8 CBF2FFFF     call notepad_.004C92B4
004C9FE9    E8 CAB7FAFF     call notepad_.004757B8
━━━━━━━━━━━━━━━━━━━━━━━━━━
004CA1BB    50              push eax                       //单步跟到这里时需要小心一些啦
004CA1BC    8B45 18         mov eax,dword ptr ss:[ebp+18]
004CA1BF    50              push eax
004CA1C0    E8 FF1CFFFF     call notepad_.004BBEC4         //这个call我们需要F7跟进，他是一个远CALL
004CA1C5    E8 7E84FFFF     call notepad_.004C2648
━━━━━━━call内代码━━━━━━━━━━━
004BBEC4    55              push ebp                       //我们可以单步F8向下冲啦
004BBEC5    8BEC            mov ebp,esp                    //同样注意我们需要打断向上跳转执行向下跳转
004BBEC7    83C4 F4         add esp,-0C
004BBECA    53              push ebx
004BBECB    56              push esi
004BBECC    57              push edi
━━━━━━━━━━━━━━━━━━━━━━━━━━
004BC5A4    2B16            sub edx,dword ptr ds:[esi]      //经过一路慢长的F8我们来到了这里
004BC5A6    8BC6            mov eax,esi                     //此时单步脚步放慢一些吧，因为跳过去后代码会比较花
004BC5A8    E8 F38EFAFF     call notepad_.004654A0          
004BC5AD    8B45 FC         mov eax,dword ptr ss:[ebp-4]
004BC5B0    FFE0            jmp eax                         //这里跳向下一断代码，我们单步走吧
004BC5B2    5F              pop edi
━━━━━━━━━━━━━━━━━━━━━━━━━━
00B6E030    E8 67CC94FF     call notepad_.004BAC9C          //代码开始混乱起来
00B6E035    E9 04000000     jmp 00B6E03E                    //并且大家也可发现我们的地址已经被重定位啦
00B6E03A    D366 C5         shl dword ptr ds:[esi-3B],cl    //即我们的地址被加密处理
00B6E03D    3E:8905 90B74E0>mov dword ptr ds:[4EB790],eax   //F8单步小心的走
00B6E044    E9 04000000     jmp 00B6E04D
━━━━━━━━━━━━━━━━━━━━━━━━━━
00B6E128   /E9 04000000     jmp 00B6E131
00B6E12D   |D274B7 F4       sal byte ptr ds:[edi+esi*4-C],cl
00B6E131  ^\0F85 D8FFFFFF   jnz 00B6E10F                    //注意这个JNZ是向上跳转的
00B6E137    E9 04000000     jmp 00B6E140                    //我们在这行打断向上跳转的JNZ
00B6E13C    1F              pop ds                          //继续F8单步向前走
00B6E13D    14 6A           adc al,6A
━━━━━━━━━━━━━━━━━━━━━━━━━━
00B6E17F    FFE0            jmp eax                         //这里跳向我们Stolen code的开始
00B6E181    E9 04000000     jmp 00B6E18A                    //单步F8一步步入
00B6E186    61              popad  
00B6E187    E0 56           loopdne short 00B6E1DF
00B6E189    B8 E9040000     mov eax,4E9
00B6E18E    00EA            add dl,ch
━━━━━━━━━━━━━━━━━━━━━━━━━━
00B6DBD4    55              push ebp                        //呵呵，被抽了不少代码，直接大末尾全部是
00B6DBD5    8BEC            mov ebp,esp                     //但是这个壳有一点好，那就是会把所有抽取的存在某个地方
00B6DBD7    6A FF           push -1                         //我们在补OEP时需要注意把他的跳转改回来，跳向我们对应的地址
00B6DBD9    68 00254000     push 402500
00B6DBDE    68 86184000     push 401886                              ; jmp to msvcrt._except_handler3
00B6DBE3    64:8B05 0000000>mov eax,dword ptr fs:[0]
00B6DBEA    50              push eax
00B6DBEB    64:8925 0000000>mov dword ptr fs:[0],esp
00B6DBF2    83EC 68         sub esp,68
00B6DBF5    53              push ebx
00B6DBF6    56              push esi
00B6DBF7    57              push edi
00B6DBF8    89A5 E8FFFFFF   mov dword ptr ss:[ebp-18],esp
00B6DBFE    33DB            xor ebx,ebx
00B6DC00    899D FCFFFFFF   mov dword ptr ss:[ebp-4],ebx
00B6DC06    6A 02           push 2
00B6DC08    FF15 90214000   call dword ptr ds:[402190]               ; msvcrt.__set_app_type
00B6DC0E    59              pop ecx
00B6DC0F    810D 2C314000 F>or dword ptr ds:[40312C],FFFFFFFF
00B6DC19    810D 30314000 F>or dword ptr ds:[403130],FFFFFFFF
00B6DC23    FF15 8C214000   call dword ptr ds:[40218C]               ; msvcrt.__p__fmode
00B6DC29    8B0D 20314000   mov ecx,dword ptr ds:[403120]
00B6DC2F    8908            mov dword ptr ds:[eax],ecx
00B6DC31    FF15 88214000   call dword ptr ds:[402188]               ; msvcrt.__p__commode
00B6DC37    8B0D 1C314000   mov ecx,dword ptr ds:[40311C]
00B6DC3D    8908            mov dword ptr ds:[eax],ecx
00B6DC3F    8B05 84214000   mov eax,dword ptr ds:[402184]            ; msvcrt._adjust_fdiv
00B6DC45    8B40 00         mov eax,dword ptr ds:[eax]
00B6DC48    8905 28314000   mov dword ptr ds:[403128],eax
00B6DC4E    E8 323C89FF     call notepad_.00401885
00B6DC53    391D 40304000   cmp dword ptr ds:[403040],ebx
00B6DC59    0F85 0C000000   jnz 00B6DC6B                              //这里跳转变形，我们做个记号
00B6DC5F    68 82184000     push 401882
00B6DC64    FF15 80214000   call dword ptr ds:[402180]               ; msvcrt.__setusermatherr
00B6DC6A    59              pop ecx
00B6DC6B    E8 003C89FF     call notepad_.00401870                    //上面的JNZ跳到这里
00B6DC70    68 14304000     push 403014                               //我们补好OEP后，也需要把他修改成跳转到对应的地址
00B6DC75    68 10304000     push 403010                               //列如在OEP跳转是跳3行，那么我们就象下数三行和这样的对应就可以啦
00B6DC7A    E8 EB3B89FF     call notepad_.0040186A                   ; jmp to msvcrt._initterm
00B6DC7F    8B05 18314000   mov eax,dword ptr ds:[403118]
00B6DC85    8985 94FFFFFF   mov dword ptr ss:[ebp-6C],eax
00B6DC8B    8D45 94         lea eax,dword ptr ss:[ebp-6C]
00B6DC8E    50              push eax
00B6DC8F    FF35 14314000   push dword ptr ds:[403114]
00B6DC95    8D45 9C         lea eax,dword ptr ss:[ebp-64]
00B6DC98    50              push eax
00B6DC99    8D45 90         lea eax,dword ptr ss:[ebp-70]
00B6DC9C    50              push eax
00B6DC9D    8D45 A0         lea eax,dword ptr ss:[ebp-60]
00B6DCA0    50              push eax
00B6DCA1    FF15 78214000   call dword ptr ds:[402178]               ; msvcrt.__getmainargs
00B6DCA7    68 0C304000     push 40300C
00B6DCAC    68 00304000     push 403000
00B6DCB1    E8 B43B89FF     call notepad_.0040186A                   ; jmp to msvcrt._initterm
00B6DCB6    83C4 24         add esp,24
00B6DCB9    8B05 74214000   mov eax,dword ptr ds:[402174]            ; msvcrt._acmdln
00B6DCBF    8B70 00         mov esi,dword ptr ds:[eax]
00B6DCC2    89B5 8CFFFFFF   mov dword ptr ss:[ebp-74],esi
00B6DCC8    80BE 00000000 2>cmp byte ptr ds:[esi],22
00B6DCCF    0F85 6A000000   jnz 00B6DD3F                               //这个跳转也变形啦
00B6DCD5    46              inc esi
00B6DCD6    89B5 8CFFFFFF   mov dword ptr ss:[ebp-74],esi
00B6DCDC    8A06            mov al,byte ptr ds:[esi]
00B6DCDE    3AC3            cmp al,bl
00B6DCE0    0F84 09000000   je 00B6DCEF                                //这个JE也变形啦
00B6DCE6    80F8 22         cmp al,22
00B6DCE9  ^ 0F85 E6FFFFFF   jnz 00B6DCD5                               //这个JNZ也变形啦
00B6DCEF    80BE 00000000 2>cmp byte ptr ds:[esi],22
00B6DCF6    0F85 07000000   jnz 00B6DD03                               //这个JNZ也变形啦
00B6DCFC    46              inc esi
00B6DCFD    89B5 8CFFFFFF   mov dword ptr ss:[ebp-74],esi
00B6DD03    8A06            mov al,byte ptr ds:[esi]
00B6DD05    3AC3            cmp al,bl
00B6DD07    0F84 09000000   je 00B6DD16                                //这个JE也变形啦
00B6DD0D    80F8 20         cmp al,20
00B6DD10  ^ 0F86 E6FFFFFF   jbe 00B6DCFC
00B6DD16    899D D0FFFFFF   mov dword ptr ss:[ebp-30],ebx
00B6DD1C    8D45 A4         lea eax,dword ptr ss:[ebp-5C]
00B6DD1F    50              push eax
00B6DD20    FF15 04204000   call dword ptr ds:[402004]
00B6DD26    F685 D0FFFFFF 0>test byte ptr ss:[ebp-30],1
00B6DD2D    0F84 25000000   je 00B6DD58                               //还有这个JE也变形啦
00B6DD33    0FB785 D4FFFFFF movzx eax,word ptr ss:[ebp-2C]
00B6DD3A    E9 1C000000     jmp 00B6DD5B                              //这个JMP也变形啦
00B6DD3F    80BE 00000000 2>cmp byte ptr ds:[esi],20                 
00B6DD46  ^ 0F86 B7FFFFFF   jbe 00B6DD03                              //这个JBE也变形啦
00B6DD4C    46              inc esi
00B6DD4D    89B5 8CFFFFFF   mov dword ptr ss:[ebp-74],esi
00B6DD53  ^ E9 E7FFFFFF     jmp 00B6DD3F                              //这个JMP也变形啦
00B6DD58    6A 0A           push 0A
00B6DD5A    58              pop eax
00B6DD5B    50              push eax
00B6DD5C    56              push esi
00B6DD5D    53              push ebx
00B6DD5E    53              push ebx
00B6DD5F    FF15 00204000   call dword ptr ds:[402000]               ; notepad_.004C1F78
00B6DD65    50              push eax
00B6DD66    E8 273B89FF     call notepad_.00401892
00B6DD6B    8985 98FFFFFF   mov dword ptr ss:[ebp-68],eax
00B6DD71    50              push eax
00B6DD72    FF15 70214000   call dword ptr ds:[402170]               ; msvcrt.exit
00B6DD78    8B45 EC         mov eax,dword ptr ss:[ebp-14]
00B6DD7B    8B48 00         mov ecx,dword ptr ds:[eax]
00B6DD7E    8B49 00         mov ecx,dword ptr ds:[ecx]
00B6DD81    898D 88FFFFFF   mov dword ptr ss:[ebp-78],ecx
00B6DD87    50              push eax
00B6DD88    51              push ecx
00B6DD89    E8 D63A89FF     call notepad_.00401864                   ; jmp to msvcrt._XcptFilter
00B6DD8E    59              pop ecx
00B6DD8F    59              pop ecx
00B6DD90    C3              retn                                     //这里是Stolen code的结束
00B6DD91  - E9 BC3A89FF     jmp notepad_.00401852                    //这里跳向我们的伪OEP
00B6DD96    A5              movs dword ptr es:[edi],dword ptr ds:[es>  //我们在上面的JMP右键新建EIP，千万不能单步下来会出错的
00B6DD97    3307            xor eax,dword ptr ds:[edi]                 //我们直接右键在上面一句JMP新建EIP
00B6DD99    A0 4822CBD5     mov al,byte ptr ds:[D5CB2248]              //好啦，我们在2进制复制一份被抽取的OEP，如果体力好的话也可逐行填加
00B6DD9E    07              pop es                                     //新建好EIP后我们单步一步F8
00B6DD9F    B8 73A1357F     mov eax,7F35A173                           //为了不增加脱文字数，我这里就不复制2进制代码啦
━━━━━━━━━━━━━━━━━━━━━━━━━━
00401852    8B65 E8         mov esp,dword ptr ss:[ebp-18]            ; notepad_.004EFC38               //来到了这里，这里就是我们的伪OEP
00401855    FF75 88         push dword ptr ss:[ebp-78]                                                 //向上拖动滚动条找段首
00401858    FF15 AC214000   call dword ptr ds:[4021AC]               ; msvcrt._exit
0040185E  - FF25 A0214000   jmp dword ptr ds:[4021A0]                ; msvcrt.__dllonexit
00401864  - FF25 6C214000   jmp dword ptr ds:[40216C]                ; msvcrt._XcptFilter
0040186A  - FF25 7C214000   jmp dword ptr ds:[40217C]                ; msvcrt._initterm
━━━━━━━━━━━━━━━━━━━━━━━━━━
004016F5    C3              retn
004016F6  - FF25 A4214000   jmp dword ptr ds:[4021A4]                ; msvcrt.__CxxFrameHandler         //这里就是我们的段首
004016FC    CC              int3                                    //而这四句int3是不用nop掉的，因为他是MFC写的
004016FD    CC              int3                                    //要是不熟悉的话可以去找几个对比下
004016FE    CC              int3                                    //那我们的OEP就是00401700
004016FF    CC              int3                                    //大家应该比对98记事本还熟悉，这个是我们52脱壳练习的程序
00401700    D887 B3BDE865   fadd dword ptr ds:[edi+65E8BDB3]        //从这里开始向下拉，拉到我们的伪OEP处的上一句，全部NOP掉
00401706    1213            adc dl,byte ptr ds:[ebx]
00401708    EC              in al,dx
00401709    A2 C9F50C07     mov byte ptr ds:[70CF5C9],al
━━━━━━━━━━━━━━━━━━━━━━━━━━
00401700    D887 B3BDE865   fadd dword ptr ds:[edi+65E8BDB3]         //由于代码过多，我就不全部复制啦，中间部分省略过
00401706    1213            adc dl,byte ptr ds:[ebx]                 //从00401700-----0040184D的代码全部NOP掉
00401708    EC              in al,dx                                 //切记不要NOP多啦，不然程序会出错的
00401709    A2 C9F50C07     mov byte ptr ds:[70CF5C9],al
0040170E    91              xchg eax,ecx
0040170F    8691 B220D6DF   xchg byte ptr ds:[ecx+DFD620B2],dl
00401715    9C              pushfd
................................................
00401846    4A              dec edx
00401847    DA12            ficom dword ptr ds:[edx]
00401849    06              push es
0040184A    6E              outs dx,byte ptr es:[edi]
0040184B    1C 94           sbb al,94
0040184D    15 8FD31B5A     adc eax,5A1BD38F                         //NOP到这一句就可以啦
━━━━━━━━━━━━━━━━━━━━━━━━━━
00B6DBD4    55              push ebp                        //这个补跳转时其实也很容易的，大家只要留心就好
00B6DBD5    8BEC            mov ebp,esp                     //这里补跳转我们可以把我们复制的代码进行比对跳了几行就把对应跳转跳向几行
00B6DBD7    6A FF           push -1                         //补跳转时一定要注意，千万别补错，不然程序会报错或者直接运行不起来
00B6DBD9    68 00254000     push 402500
00B6DBDE    68 86184000     push 401886                              ; jmp to msvcrt._except_handler3
00B6DBE3    64:8B05 0000000>mov eax,dword ptr fs:[0]
00B6DBEA    50              push eax
00B6DBEB    64:8925 0000000>mov dword ptr fs:[0],esp
00B6DBF2    83EC 68         sub esp,68
00B6DBF5    53              push ebx
00B6DBF6    56              push esi
00B6DBF7    57              push edi
00B6DBF8    89A5 E8FFFFFF   mov dword ptr ss:[ebp-18],esp
00B6DBFE    33DB            xor ebx,ebx
00B6DC00    899D FCFFFFFF   mov dword ptr ss:[ebp-4],ebx
00B6DC06    6A 02           push 2
00B6DC08    FF15 90214000   call dword ptr ds:[402190]               ; msvcrt.__set_app_type
00B6DC0E    59              pop ecx
00B6DC0F    810D 2C314000 F>or dword ptr ds:[40312C],FFFFFFFF
00B6DC19    810D 30314000 F>or dword ptr ds:[403130],FFFFFFFF
00B6DC23    FF15 8C214000   call dword ptr ds:[40218C]               ; msvcrt.__p__fmode
00B6DC29    8B0D 20314000   mov ecx,dword ptr ds:[403120]
00B6DC2F    8908            mov dword ptr ds:[eax],ecx
00B6DC31    FF15 88214000   call dword ptr ds:[402188]               ; msvcrt.__p__commode
00B6DC37    8B0D 1C314000   mov ecx,dword ptr ds:[40311C]
00B6DC3D    8908            mov dword ptr ds:[eax],ecx
00B6DC3F    8B05 84214000   mov eax,dword ptr ds:[402184]            ; msvcrt._adjust_fdiv
00B6DC45    8B40 00         mov eax,dword ptr ds:[eax]
00B6DC48    8905 28314000   mov dword ptr ds:[403128],eax
00B6DC4E    E8 323C89FF     call notepad_.00401885
00B6DC53    391D 40304000   cmp dword ptr ds:[403040],ebx
00B6DC59    0F85 0C000000   jnz 00B6DC6B                              //这个JNZ对应00401783
00B6DC5F    68 82184000     push 401882
00B6DC64    FF15 80214000   call dword ptr ds:[402180]               ; msvcrt.__setusermatherr
00B6DC6A    59              pop ecx
00B6DC6B    E8 003C89FF     call notepad_.00401870                     
00B6DC70    68 14304000     push 403014                                
00B6DC75    68 10304000     push 403010                                
00B6DC7A    E8 EB3B89FF     call notepad_.0040186A                   ; jmp to msvcrt._initterm
00B6DC7F    8B05 18314000   mov eax,dword ptr ds:[403118]
00B6DC85    8985 94FFFFFF   mov dword ptr ss:[ebp-6C],eax
00B6DC8B    8D45 94         lea eax,dword ptr ss:[ebp-6C]
00B6DC8E    50              push eax
00B6DC8F    FF35 14314000   push dword ptr ds:[403114]
00B6DC95    8D45 9C         lea eax,dword ptr ss:[ebp-64]
00B6DC98    50              push eax
00B6DC99    8D45 90         lea eax,dword ptr ss:[ebp-70]
00B6DC9C    50              push eax
00B6DC9D    8D45 A0         lea eax,dword ptr ss:[ebp-60]
00B6DCA0    50              push eax
00B6DCA1    FF15 78214000   call dword ptr ds:[402178]               ; msvcrt.__getmainargs
00B6DCA7    68 0C304000     push 40300C
00B6DCAC    68 00304000     push 403000
00B6DCB1    E8 B43B89FF     call notepad_.0040186A                   ; jmp to msvcrt._initterm
00B6DCB6    83C4 24         add esp,24
00B6DCB9    8B05 74214000   mov eax,dword ptr ds:[402174]            ; msvcrt._acmdln
00B6DCBF    8B70 00         mov esi,dword ptr ds:[eax]
00B6DCC2    89B5 8CFFFFFF   mov dword ptr ss:[ebp-74],esi
00B6DCC8    80BE 00000000 2>cmp byte ptr ds:[esi],22
00B6DCCF    0F85 6A000000   jnz 00B6DD3F                               //这个对应 00401816
00B6DCD5    46              inc esi
00B6DCD6    89B5 8CFFFFFF   mov dword ptr ss:[ebp-74],esi
00B6DCDC    8A06            mov al,byte ptr ds:[esi]
00B6DCDE    3AC3            cmp al,bl
00B6DCE0    0F84 09000000   je 00B6DCEF                                //这个JE对应004017EA
00B6DCE6    80F8 22         cmp al,22
00B6DCE9  ^ 0F85 E6FFFFFF   jnz 00B6DCD5                               //这个JNZ对应004017DC
00B6DCEF    80BE 00000000 2>cmp byte ptr ds:[esi],22
00B6DCF6    0F85 07000000   jnz 00B6DD03                               //这个JNZ对应004017F3
00B6DCFC    46              inc esi
00B6DCFD    89B5 8CFFFFFF   mov dword ptr ss:[ebp-74],esi
00B6DD03    8A06            mov al,byte ptr ds:[esi]
00B6DD05    3AC3            cmp al,bl
00B6DD07    0F84 09000000   je 00B6DD16                                //这个JE对应004017FD
00B6DD0D    80F8 20         cmp al,20
00B6DD10  ^ 0F86 E6FFFFFF   jbe 00B6DCFC                               //这个JBE对应004017EF
00B6DD16    899D D0FFFFFF   mov dword ptr ss:[ebp-30],ebx
00B6DD1C    8D45 A4         lea eax,dword ptr ss:[ebp-5C]
00B6DD1F    50              push eax
00B6DD20    FF15 04204000   call dword ptr ds:[402004]
00B6DD26    F685 D0FFFFFF 0>test byte ptr ss:[ebp-30],1
00B6DD2D    0F84 25000000   je 00B6DD58                               //这个JE对应00401821
00B6DD33    0FB785 D4FFFFFF movzx eax,word ptr ss:[ebp-2C]
00B6DD3A    E9 1C000000     jmp 00B6DD5B                              //这个JMP对应00401824
00B6DD3F    80BE 00000000 2>cmp byte ptr ds:[esi],20                 
00B6DD46  ^ 0F86 B7FFFFFF   jbe 00B6DD03                              //这个JBE对应004017F3
00B6DD4C    46              inc esi
00B6DD4D    89B5 8CFFFFFF   mov dword ptr ss:[ebp-74],esi
00B6DD53  ^ E9 E7FFFFFF     jmp 00B6DD3F                              //这个JMP对应0040181F
00B6DD58    6A 0A           push 0A
00B6DD5A    58              pop eax
00B6DD5B    50              push eax
00B6DD5C    56              push esi
00B6DD5D    53              push ebx
00B6DD5E    53              push ebx
00B6DD5F    FF15 00204000   call dword ptr ds:[402000]               ; notepad_.004C1F78
00B6DD65    50              push eax
00B6DD66    E8 273B89FF     call notepad_.00401892
00B6DD6B    8985 98FFFFFF   mov dword ptr ss:[ebp-68],eax
00B6DD71    50              push eax
00B6DD72    FF15 70214000   call dword ptr ds:[402170]               ; msvcrt.exit
00B6DD78    8B45 EC         mov eax,dword ptr ss:[ebp-14]
00B6DD7B    8B48 00         mov ecx,dword ptr ds:[eax]
00B6DD7E    8B49 00         mov ecx,dword ptr ds:[ecx]
00B6DD81    898D 88FFFFFF   mov dword ptr ss:[ebp-78],ecx
00B6DD87    50              push eax
00B6DD88    51              push ecx
00B6DD89    E8 D63A89FF     call notepad_.00401864                   ; jmp to msvcrt._XcptFilter
00B6DD8E    59              pop ecx
00B6DD8F    59              pop ecx
00B6DD90    C3              retn            
━━━━━━━━━━━━━━━━━━━━━━━━━━
00401700    55              push ebp                                 //修补好后我们在00401700处右键新建EIP
00401701    8BEC            mov ebp,esp                              //然后运行我们的LORDPE把程序DUMP
00401703    6A FF           push -1                                  //运行我们的importRCE一看有很多无效，好接下来就是我们的IAT处理啦
00401705    68 00254000     push notepad_.00402500                   //记录一下我们的第一个IAT无效指针是 00002000+我们的基址00400000=00402000
0040170A    68 86184000     push notepad_.00401886                   ; jmp to msvcrt._except_handler3
0040170F    64:A1 00000000  mov eax,dword ptr fs:[0]                 //重载程序吧
00401715    50              push eax 
00401716    64:8925 0000000>mov dword ptr fs:[0],esp
0040171D    83EC 68         sub esp,68
━━━━━━━━━━━━━━━━━━━━━━━━━━
00401DBA >  55              push ebp                                //OD重载程序
00401DBB    8BEC            mov ebp,esp                             //这个壳对断点的检测还是满严格的，我们设置调试选项卡，忽略除内存访问外的所有异常
00401DBD    83C4 F0         add esp,-10                             //然后在命令行输入D 00402000(就是跟踪的意思)
00401DC0    B8 00104000     mov eax,notepad_.00401000               
00401DC5    E8 01000000     call notepad_.00401DCB
00401DCA    9A 83C4108B E55>call far 5DE5:8B10C483
00401DD1  - E9 66890400     jmp notepad_.0044A73C
━━━━━━━数据窗口━━━━━━━━━━━
00402000  71B58CB4                                                //在此右键断点--内存访问
00402004  30FAAA1A                                                //好我们shift+f9运行程序
00402008  64CB9DB7
0040200C  7FEB7CBC
00402010  530B2B31
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C04CC    8910            mov dword ptr ds:[eax],edx ; notepad_.004C1F78     //25次之后我们来到这里
004C04CE    46              inc esi                                 //大家可以根据数据窗口中的变化来进行判断
004C04CF    4F              dec edi
004C04D0  ^ 75 98           jnz short notepad_.004C046A
004C04D2    43              inc ebx
004C04D3    FF0C24          dec dword ptr ss:[esp]
004C04D6  ^ 0F85 75FFFFFF   jnz notepad_.004C0451
━━━━━━━━数据窗口━━━━━━━━━━
00402000  00000000                                               //25次之时我们的IAT出现啦，但是我们的00402000却没有出现
00402004  00000000                                               //其实这个壳也可以勉强算是IAT分块处理的
00402008  00000000                                               //好我们开始单步F8跟一下吧
0040200C  73D98D67  mfc42.#4486_CWinApp::OnDDECommand
00402010  73D35EF1  mfc42.#2554_CWinApp::DoWaitCursor
00402014  73D497A0  mfc42.#2512_CWinApp::DoMessageBox
00402018  73D4224E  mfc42.#5731_CWinApp::SaveAllModified
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C04CC    8910            mov dword ptr ds:[eax],edx          //开始单步F8走吧
004C04CE    46              inc esi                             //这里是加一指令
004C04CF    4F              dec edi                             //这里是减一指令
004C04D0  ^ 75 98           jnz short notepad_.004C046A         //这里应该是判断是否需要继续处理
004C04D2    43              inc ebx                             //这里同样加一
004C04D3    FF0C24          dec dword ptr ss:[esp]              
004C04D6  ^ 0F85 75FFFFFF   jnz notepad_.004C0451               //这个JNZ判断是否处理完
004C04DC    5A              pop edx                             //处理好则跳下来继续执行
004C04DD    5D              pop ebp
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C0451    8D045B          lea eax,dword ptr ds:[ebx+ebx*2]       //这里取当前程序IAT起始的地址
004C0454    8B55 00         mov edx,dword ptr ss:[ebp]             //而这一句应该是取当前IAT的地址，但是已经被加密啦
004C0457    8B4482 08       mov eax,dword ptr ds:[edx+eax*4+8]     //这里取13B进行下一句IAT地址的计算
004C045B    E8 702AF9FF     call notepad_.00452ED0 
004C0460    8BF8            mov edi,eax                            //把EAX里的值0传送EDI
004C0462    4F              dec edi                                //为EDI减1
004C0463    85FF            test edi,edi                           //比较相等则下面的跳转不实现
004C0465    72 6B           jb short notepad_.004C04D2             //这里不跳
004C0467    47              inc edi                                //在次为EDI加一处理
004C0468    33F6            xor esi,esi                            //清空ESI里的数据
004C046A    8D045B          lea eax,dword ptr ds:[ebx+ebx*2]       //将有效加密计算后的指令传送EAX
004C046D    8B55 00         mov edx,dword ptr ss:[ebp]             //将EBP里的地址传送EDX
004C0470    8B5482 08       mov edx,dword ptr ds:[edx+eax*4+8]     //以下略过........
004C0474    F604F2 01       test byte ptr ds:[edx+esi*8],1         //我们直接去看赋值的代码
━━━━━━━信息窗口━━━━━━━━━━━
ss:[004EB8D4]=00B76C04                                            //这里都是几句被传送计算中的加密指令
edx=004C1F78 (notepad_.004C1F78)
ss:[004EB8D4]=00B76C04
edx=00B76C04
ds:[00B770F8]=00B749F0
edx=00B76C04
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C04B1    FF7482 04       push dword ptr ds:[edx+eax*4+4]        //这里是计算出的加密IAT地址压栈
004C04B5    8D045B          lea eax,dword ptr ds:[ebx+ebx*2]       //有效指令13B计算出我们当前需要被加密的IAT地址
004C04B8    8B55 00         mov edx,dword ptr ss:[ebp]             //将EBP里的指传送入EDX加密
004C04BB    8B4482 08       mov eax,dword ptr ds:[edx+eax*4+8]     //辅助计算下面一句IAT地址的数值
004C04BF    8B44F0 04       mov eax,dword ptr ds:[eax+esi*8+4]     //取下一句IAT地址的数值
004C04C3    8B15 30224D00   mov edx,dword ptr ds:[4D2230]          //取当前程序的基址
004C04C9    0302            add eax,dword ptr ds:[edx]             //把程序的基址和IAT地址的数值相加
004C04CB    5A              pop edx                                //弹出被加密的IAT指针
004C04CC    8910            mov dword ptr ds:[eax],edx             //讲EDX里的垃圾IAT指针传送给IAT地址
━━━━━━━━寄存器窗口━━━━━━━━━━━━
EAX 00402004 notepad_.00402004                     //这里是停在赋值时的情况
ECX 00B76C04                                       //EAX里为需要被加密的IAT地址
EDX 00B94000                                       //EDX里为已经被加密了的IAT的垃圾指针
EBX 00000069                                       //从而很明显判断出我们怎么改都是多余的，因为指针是早在我们计算IAT之间已经加密
ESP 0012FE30                                       //接下来我们去看看IAT怎么加密的吧
EBP 004EB8D4 notepad_.004EB8D4                     //重载程序
ESI 00000000
EDI 00000001
EIP 004C04CC notepad_.004C04CC
━━━━━━━━━━━━━━━━━━━━━━━━━━
首先我们随意找一个API函数，刚我们跟踪IAT时发现IAT被变形处理的这里我也就大体说一下，列如我们准备好一个API函数如：CloseHandle
好我们重载程序ctrl+G搜索CloseHandle
00401DBA >  55              push ebp                                //从新载入OD的程序，我们把异常选项卡设置忽略全部异常
00401DBB    8BEC            mov ebp,esp                             //ctrl+G搜索一下我们的CloseHandle这个API看一下IAT是如何加密的
00401DBD    83C4 F0         add esp,-10                             //这里的API函数大家任选，只要可以停下就好
00401DC0    B8 00104000     mov eax,notepad_.00401000
00401DC5    E8 01000000     call notepad_.00401DCB
00401DCA    9A 83C4108B E55>call far 5DE5:8B10C483
00401DD1  - E9 66890400     jmp notepad_.0044A73C
━━━━━━━━━━━━━━━━━━━━━━━━━━
7C809BD7 >  8BFF            mov edi,edi                             //查找到了这里，我们右键断点---内存访问
7C809BD9    55              push ebp                                //我们shift+f9运行程序，但是会有一些卡，这壳会检测的
7C809BDA    8BEC            mov ebp,esp
7C809BDC    64:A1 18000000  mov eax,dword ptr fs:[18]
7C809BE2    8B48 30         mov ecx,dword ptr ds:[eax+30]
7C809BE5    8B45 08         mov eax,dword ptr ss:[ebp+8]
━━━━━━━━━━━━━━━━━━━━━━━━━━
00479984    8A06            mov al,byte ptr ds:[esi]               //我们停下来啦，停下的地址和刚不一样啦
00479986    3D FF000000     cmp eax,0FF                            //不管他，我们F8开始跟吧，在跟的时候注意其他窗口的变化
0047998B    0F87 BC3E0000   ja notepad_.0047D84D                   //一路执行向下跳转，打断向上跳转
00479991    8A80 9E994700   mov al,byte ptr ds:[eax+47999E] 
00479997    FF2485 9E9A4700 jmp dword ptr ds:[eax*4+479A9E]
0047999E    0001            add byte ptr ds:[ecx],al
004799A0    0203            add al,byte ptr ds:[ebx]
━━━━━━━━━━━━━━━━━━━━━━━━━━
0047D850    5E              pop esi
0047D851    5B              pop ebx
0047D852    5D              pop ebp                               //F8继续走，下面的retn返回到下一段代码
0047D853    C2 0C00         retn 0C                               //这里返回到下一段代码，我们走吧
0047D856    8BC0            mov eax,eax
0047D858    55              push ebp
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C0B2D    C645 F7 00      mov byte ptr ss:[ebp-9],0             //一路漫长我们来到了这里
004C0B31    03F3            add esi,ebx
004C0B33  ^ E9 ADFBFFFF     jmp notepad_.004C06E5                 //这个跳转向上跳，我们向下打断他
004C0B38    807D F6 00      cmp byte ptr ss:[ebp-A],0             //继续F8小心些走啦
004C0B3C    75 55           jnz short notepad_.004C0B93
004C0B3E    B8 02000000     mov eax,2
004C0B43    E8 5400F9FF     call notepad_.00450B9C
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C0B93    8D047F          lea eax,dword ptr ds:[edi+edi*2]       //走到这里时放慢我们的脚步
004C0B96    8B55 FC         mov edx,dword ptr ss:[ebp-4]
004C0B99    8B4D F0         mov ecx,dword ptr ss:[ebp-10]
004C0B9C    894C82 04       mov dword ptr ds:[edx+eax*4+4],ecx     //当我们路过这一句时，发现我们的IAT指针出现，并未加密
004C0BA0    47              inc edi                                //如下
004C0BA1    FF4D D0         dec dword ptr ss:[ebp-30]
━━━━━━━━信息窗口━━━━━━━━━━━━
ecx=00B781A2                                                      //这里是我们停在mov dword ptr ds:[edx+eax*4+4],ecx的情况
ds:[00B6F5F0]=7C809BD7 (kernel32.CloseHandle)                     //IAT保持完整并未加密
━━━━━━━━━━━━━━━━━━━━━━━━━━
004C0B99    8B4D F0         mov ecx,dword ptr ss:[ebp-10]
004C0B9C    894C82 04       mov dword ptr ds:[edx+eax*4+4],ecx     //当我们从这里走下来的时候会发现寄存器里的值发生变化啦
004C0BA0    47              inc edi                                //IAT指针已经不见啦，那么就证明上面一句就是我们的加密指令
004C0BA1    FF4D D0         dec dword ptr ss:[ebp-30]
004C0BA4  ^ 0F85 CAFAFFFF   jnz notepad_.004C0674                  //这里跳上去循环加密
━━━━━━━━━━━━━━━━━━━━━━━━━━
经过多次跟踪之后发现他会调用mov dword ptr ds:[edx+eax*4+4],ecx这句三次，从而判断出我们的IAT指针是由
这一句执行了加密处理，我们从载程序
━━━━━━━━━━━━━━━━━━━━━━━━━━
00401DBA >  55              push ebp                               //我们先设置异常选项卡为忽略除内存访问外的所有异常
00401DBB    8BEC            mov ebp,esp                            //然后输入我们的第一个加密指针地址00402000
00401DBD    83C4 F0         add esp,-10                            //命令提示行输入d 00402000(即跟踪的意思)
00401DC0    B8 00104000     mov eax,notepad_.00401000
━━━━━━━━数据窗口━━━━━━━━━━━
00402000  71B58CB4                    //我们在这句右键---断点---内存访问
00402004  30FAAA1A                    //下好断点后我们shift+f9运行程序
00402008  64CB9DB7
0040200C  7FEB7CBC
00402010  530B2B31
00402014  69E061B0
━━━━━━━━━━━━━━━━━━━━━━━
004C9E2C    3100            xor dword ptr ds:[eax],eax       //我们到这里时就最佳的时机，因为在走一步IAT就会开始初始
004C9E2E  ^ E9 1588FFFF     jmp notepad_.004C2648            //所以我们要在他初始化之前把他的加密地址全部解决掉
004C9E33    8B4424 0C       mov eax,dword ptr ss:[esp+C]     //我们右键---搜索---全部命令mov dword ptr ds:[edx+eax*4+4],ecx
004C9E37    8B4C24 04       mov ecx,dword ptr ss:[esp+4]
004C9E3B    C740 04 0000000>mov dword ptr ds:[eax+4],0
004C9E42    C740 08 0000000>mov dword ptr ds:[eax+8],0
004C9E49    C740 0C 0000000>mov dword ptr ds:[eax+C],0
004C9E50    C740 10 0000000>mov dword ptr ds:[eax+10],0
004C9E57    8160 14 F00FFFF>and dword ptr ds:[eax+14],FFFF0FF0
004C9E5E    8160 18 00DC000>and dword ptr ds:[eax+18],0DC00
004C9E65    C780 B8000000 7>mov dword ptr ds:[eax+B8],notepad_.004C9>
━━━━━━━━━━━━━━━━━━━━━━━━━━
004BFEC3    894C82 04       mov dword ptr ds:[edx+eax*4+4],ecx        //这里是第一句
004BFFC1    894C82 04       mov dword ptr ds:[edx+eax*4+4],ecx        //这里是第二句
004C0B9C    894C82 04       mov dword ptr ds:[edx+eax*4+4],ecx        //这里是第三句
把他全部NOP掉，处理好之后我们继续shift+f9运行程序
━━━━━━━数据窗口━━━━━━━━━━━━━━
00402000  00000000                         //IAT开始初始化
00402004  00000000                         //即将填充我们的IAT指针
00402008  00000000                         //shift+f9运行程序吧
0040200C  00000000
00402010  00000000
00402014  00000000
━━━━━━━数据窗口━━━━━━━━━━━━━━━
00402000  7C80B731  kernel32.GetModuleHandleA           //IAT全部回来啦
00402004  7C801EF2  kernel32.GetStartupInfoA            //反汇编窗口一片空白
00402008  00000000                                      //不管他直接运行我们的importRCE修复吧
0040200C  73D98D67  mfc42.#4486_CWinApp::OnDDECommand   //直接输入我们的OEP 1700，然后点自动查找IAT指针
00402010  73D35EF1  mfc42.#2554_CWinApp::DoWaitCursor   //修复后发现正常运行，解决啦
00402014  73D497A0  mfc42.#2512_CWinApp::DoMessageBox   //到此我们脱壳结束
00402018  73D4224E  mfc42.#5731_CWinApp::SaveAllModified
--------------------------------------------------------------------------------
【经验总结】
这个壳是最新版的，方法只是取巧的方法，针对更好的保护暂未尝试，写得不好高手别笑
只是一种思路，欢迎大家指正
  
--------------------------------------------------------------------------------
【版权声明】: 本文原创于小生我怕怕, 转载请注明作者并保持文章的完整, 谢谢!

                                                       2008年12月02日 15:17:49

zx278212442 · 发表于 2008-12-2 16:06

。。。
咱躺下水道算了!
hoho~~

zeger · 发表于 2008-12-2 16:01

抢先一步，看看~

qifeon · 发表于 2008-12-2 15:55

我做沙发下面了算了。

Squn · 发表于 2008-12-2 15:33

NND 我的沙发·~~~~~~

鬼手 · 发表于 2008-12-2 16:38

又一篇脱文,又一次完全看不懂,哈哈.永远支持小生

evilangel · 发表于 2008-12-2 17:38

又见大牛分享了谢谢啊

jesy · 发表于 2008-12-2 18:28

好文章啊，来学习下啊。。。。。

wajwh33 · 发表于 2008-12-2 20:49

完全看不懂```

dlzc · 发表于 2008-12-2 22:09

这个壳有点厉害嘛...楼主发个视频上来吧....看文字有点难了.....:Q

帐号		自动登录	找回密码
密码			注册[Register]

[原创] 手脱The Enigma Protector1.55默认保护

免费评分