自问脱壳实在菜
.
今天碰到
[MoleBox V2.X -> MoleStudio.com]
在网上找了大把资料才终于搞定
,
现在来做下笔记
..
方便以后用到
…
OD
载入
,
忽略所有异常
.
入口代码如下
0057BBD3 > E8 00000000 CALL FEI.0057BBD8 //
是一个进
Call,F7
跟进
.
0057BBD8 60 PUSHAD //
此时
ESP
亮起
,
那就
ESP
吧
0057BBD9 E8 4F000000 CALL FEI.0057BC2D
0057BBDE CA 3990 RETF 9039
0057BBE1 D2D4 RCL AH,CL
0057BBE3 81F8 19F592D7 CMP EAX,D792F519
0057BBE9 0D C1805FA8 OR EAX,A85F80C1
0057BBEE 90 NOP
F9
运行后断在
0057B7B1 58 POP EAX
0057B7B2 58 POP EAX
0057B7B3 FFD0 CALL EAX //
其实这里跟进就是
OEP
了
0057B7B5 E8 05CB0000 CALL FEI.005882BF
0057B7BA CC INT3
0057B7BB CC INT3
0057B7BC CC INT3
好了来到
OEP.
004EDAAC 55 PUSH EBP //OEP
004EDAAD 8BEC MOV EBP,ESP
004EDAAF 83C4 F0 ADD ESP,-10
004EDAB2 53 PUSH EBX
004EDAB3 B8 48C74E00 MOV EAX,FEI.004EC748
004EDAB8 E8 6792F1FF CALL FEI.00406D24
直接
LordPE
脱之
,
然后用
ImportREC
填上
OEP
自动搜索找到指针获取了下成功获取到了
,
可是好多无效呀
..
用
ImportREC
修复后还省
3
个错误的
.
于是重载
OD
在第一处错误的地方下硬件写入断点
.F9
几次后发现数据窗口出现了解密的
IAT
但是就这里是错误的
.
004F9F7C 7C802530 kernel32.WaitForSingleObject
004F9F80 7C80BA71 kernel32.VirtualQuery
004F9F84 7C809B84 kernel32.VirtualFree
004F9F88 7C809AF1 kernel32.VirtualAlloc
004F9F8C 0058975E FEI.0058975E //
下断处
004F9F90 000FB922
004F9F94 000FB936
004F9F98 000FB94E
想想处理加密的关键应该就在上面点吧
..
然后在上面点下了断去跟
,
断下后经过
N
次
F9
之后发现之前会跳的
je
不跳了
.
同时
IAT
就出错
,
猜想可能是
Magic Jump
于是改成了在此处下断重载运行改成
Jmp,
之后删除断点冲向
OEP.(OEP
之前
ESP
下过断还没删现在派上用场了
.)
00583556 8B0D D4405900 MOV ECX,DWORD PTR DS:[5940D4]
0058355C E8 13650000 CALL FEI.00589A74
00583561 8945 F8 MOV DWORD PTR SS:[EBP-8],EAX
00583564 837D F8 00 CMP DWORD PTR SS:[EBP-8],0
00583568 74 45 JE SHORT FEI.005835AF //Magic Jump
0058356A 8D55 F0 LEA EDX,DWORD PTR SS:[EBP-10]
0058356D 52 PUSH EDX
0058356E 6A 04 PUSH 4
00583570 6A 04 PUSH 4
00583572 8B45 08 MOV EAX,DWORD PTR SS:[EBP+8]
00583575 50 PUSH EAX
00583576 FF15 ACF75800 CALL DWORD PTR DS:[58F7AC] //VirtualProtect
0058357C 85C0 TEST EAX,EAX
0058357E 75 0A JNZ SHORT FEI.0058358A
继续
ImportREC
修复与天上
OEP
地址自动获取
IAT
发现全部有效高兴啊
.
抓去修复试运行哦耶
.
成功了
…
学习就要摸索.. 感谢百度.^o^