也来谈谈POLYBOX的简单脱壳法

kissy · 发表于 2008-7-23 10:11

之前论坛的ximo写过一篇脱文这里我补充个简单的完美脱壳法
其实类似POLYBOX这种壳并不算真正意义上的壳看雪有人称之为"伪壳" 我喜欢把它称作"捆绑壳" 因为他的原理像极了捆绑机加壳完成后我们看到的是他的STUB 被加壳程序则一般用各种方式保存在资源里比如POLYBOX的以前一个版本将被加壳程序用随机的密钥加密储存在资源里运行的时候从内存解密出来所以没有改变源程序的任何代码
这是这类伪壳的特点所以我们也因此有了通用的完美脱壳法
这里我用POLYBOX对一个DELPHI程序加壳 PEID查壳FSG 2.0 -> bart/xt [Overlay] 我们会对这个附加数据产生好奇将其保存起来用WINHEX看

可以依稀看出来是个PE文件但是显然是被处理过了的是不是我们的源文件呢？这里我们会很自然的猜想：按照这类伪壳的思路很可能这里的附加数据就是被加密处理过的源程序我们查壳查到的FSG 则可能是加了壳后的STUB

OD载入

明显是FSG的入口特征脱法 ximo介绍过了我不多说了来到伪OEP 也就是STUB的入口

跟进第二个CALL 发现经过00402D8C处时信息窗口中出现了如图所示信息

看来是将源程序写入了临时空间继续经过00402D9D的时候发现程序运行了证实了我们的这一猜想
重新来过跟入00402D9D 单步跟踪可以看到在将解密后的源程序写入内存空间写入前创建了一个进程并挂起完全写入后恢复此线程

至此这种伪装壳的原理我们已经摸清楚了现在开始简单脱壳的过程
OD载入 bp CreateProcessA 执行到返回

单步到

从信息窗口中看到写入的内存地址为008F0000
bp ResumeThread 执行到返回程序运行了关闭程序(方便后面DUMP)
LOADPE选取目标进程将008F0000 大小为0005C000的段转存为dumped.exe

PEID查壳

用FFI删除附加数据得到与加壳前一模一样的源程序

至此脱壳完成
DUMP过程可以参见此动画 http://www.52pojie.cn/read.php?tid-6563.html

小黑冰 · 发表于 2008-7-23 10:26

[s:43][s:43][s:43] 　东西学走　亲切的问候楼主　辛苦了｀｀｀｀ [s:43][s:43]

搞到这了　　

从信息窗口中看到写入的内存地址为008F0000
bp ResumeThread 执行到返回程序运行了关闭程序(方便后面DUMP)
LOADPE选取目标进程将008F0000 大小为0005C000的段转存为dumped.exe

这里能写详细些吗？？？

jesy · 发表于 2008-7-23 10:29

好教程啊来学习下啊。。。

石头学破解 · 发表于 2008-7-23 13:25

kissy讲得真好啊，还有视频教程太好了，这就学习。

mojingtai · 发表于 2008-7-23 22:33

难得的详细教材。谢谢。

q911 · 发表于 2008-7-24 15:21

看过学习了啊 ~~~~~~~~~~~~~

Tale · 发表于 2008-7-25 10:28

好好学习学习 [s:40]

lelegu · 发表于 2008-7-27 08:20

kissy讲得真好啊，还有视频教程太好了，这就学习

珈蓝弑神 · 发表于 2008-7-29 18:36

[s:43][s:43][s:43][s:43][s:43][s:43][s:43][s:43]

shaomifeng · 发表于 2008-7-31 09:33

[s:39][s:39] 谢谢分享咯

帐号		自动登录	找回密码
密码			注册[Register]

[原创] 也来谈谈POLYBOX的简单脱壳法