EnCryPtPE 2003.5.18主程序的脱壳
【目 标】:EnCryPtPE 2003.5.18主程序
【工 具】:Olydbg1.1(diy版)、LORDPE、ImportREC1.6F
【任 务】:脱马甲
【操作平台】:Windows Xp sp1
【作 者】:loveboom[DFCG][FCG][US]
【简要说明】：不打算发布出去，只是当做自己以后参考用而已
【详细过程】:
设置:
忽略全部异常，其它选上加上0EEDFADE和C0000008(INVALID HANDLE)两个异常地址并隐身先.
【工 具】:Olydbg1.1(diy版)、LORDPE、ImportREC1.6F
【任 务】:脱马甲
【操作平台】:Windows Xp sp1
【作 者】:loveboom[DFCG][FCG][US]
【简要说明】：不打算发布出去，只是当做自己以后参考用而已
【详细过程】:
设置:
忽略全部异常，其它选上加上0EEDFADE和C0000008(INVALID HANDLE)两个异常地址并隐身先.
第一步：找程序的
OEP
准备好后，我们先找到OEP对后面有用的.
004B7000 > 60 PUSHAD ;壳的入口
004B7001 9C PUSHFD
载入后并设置好然后按f9运行，出现那个很长时间的异常
后.取消int3异常,这里要等很久的，可以先去做一点别的事.N久之后，在INT3处异常中断了.
7119CF58 90 NOP ;第一次断在这里
7119CF59 64:8F05 0000000>POP DWORD PTR FS:[0]
下按一次shift+f9进入第二次int3异常中断:
7119CF58 90 NOP ;第二次也是断在这里
7119CF59 64:8F05 0000000>POP DWORD PTR FS:[0]
7119CF60 C3 RETN
现在打开内存页面，在程序所在段处下F2断点:
然后再按一次程序就断在程序的oep处了:
现在再找一下输入表的位置,随便选一处就行了:
00406AA0 90 NOP ;我找的是这里
00406AA1 - E9 7EB3AB00 JMP 00EC1E24
第一步也就算完成了，这一步要记下程序的OEP: 499780,和00406aa0那个地址，看一下就知道壳改了东西，让IAT跳到壳里去了,后面还有很长一段，直接修复吗?当然不是了，重来准备修复程序的代码了.
第二步
:
修复程序代码
再次载入后同样在那个很长时间的时候，在00406AA0处下内存访问中断.
711A451A 8B07 MOV EAX,DWORD PTR DS:[EDI] ;第一次断下
711A451C 8B55 F0 MOV EDX,DWORD PTR SS:[EBP-10]
711A451F 83F2 FF XOR EDX,FFFFFFFF
……
711A4569 66:8B03 MOV AX,WORD PTR DS:[EBX]
; 第二处中断处
好了，现在我们要记下711A4569这个地址，再来一次，在711a4569处下一下硬件执行断点，因程序一开始没有711a4569这个地址，所以我们要让程序运行一会儿，然后就可以下断了.
711A456C 66:3D FF25 CMP AX,25FF
711A4570 74 0B JE SHORT 711A457D
711A4572 66:3D FF15 CMP AX,15FF
711A4576 74 05 JE SHORT 711A457D
711A4578 E8 EF7BF8FF CALL 7112C16C
711A457D 8B7D FC MOV EDI,DWORD PTR SS:[EBP-4] ; EncryptP.0049D250
711A4580 8B37 MOV ESI,DWORD PTR DS:[EDI]
;这里要改我们的东西了，所以这时改成mov esi,edi
711A4582 81FE 00000080 CMP ESI,80000000
711A4588 72 05 JB SHORT 711A458F
711A458A E8 DD7BF8FF CALL 7112C16C
711A458F 66:813B FF25 CMP WORD PTR DS:[EBX],25FF
;这里判断是不是跳去api的了，如果是就改代码。
711A4594 75 07 JNZ SHORT 711A459D
;所以我们这里就要改成 jmp 711a459d
711A4596 66:C703 90E9 MOV WORD PTR DS:[EBX],0E990
;这里把正常的东西填成jmp xxxx nop的方式了
711A459B EB 05 JMP SHORT 711A45A2
711A459D 66:C703 90E8 MOV WORD PTR DS:[EBX],0E890
;这里也要改，否则变成了call xxxx,nop的方式，所以这里要nop掉
711A45A2 8B5D E8 MOV EBX,DWORD PTR SS:[EBP-18]
711A45A5 83C3 06 ADD EBX,6
711A45A8 8B45 E0 MOV EAX,DWORD PTR SS:[EBP-20]
711A45AB 03C0 ADD EAX,EAX
711A45AD 03D8 ADD EBX,EAX
711A45AF 8B45 E8 MOV EAX,DWORD PTR SS:[EBP-18]
711A45B2 8B38 MOV EDI,DWORD PTR DS:[EAX]
711A45B4 0FB703 MOVZX EAX,WORD PTR DS:[EBX]
711A45B7 2D 00300000 SUB EAX,3000
711A45BC 03F8 ADD EDI,EAX
711A45BE 037D DC ADD EDI,DWORD PTR SS:[EBP-24]
711A45C1 2BF7 SUB ESI,EDI ;********
711A45C3 83EE 04 SUB ESI,4 ;********
;这里两行又是进行破坏操作，nop掉去
711A45C6 8937 MOV DWORD PTR DS:[EDI],ESI
711A45C8 33C0 XOR EAX,EAX
改好后的图如下:
修改完成后，取消刚才的硬件断点.再和第一步一样到oep处，现在我们看看发生了什么变化:
00406AA0 - FF25 50D24900 JMP DWORD PTR DS:[49D250] ;怎么样，已经改好了代码吧
00406AA6 8BC0 MOV EAX,EAX
00406AA8 - FF25 4CD24900 JMP DWORD PTR DS:[49D24C]
现在把程序给dump下来.进入第三步.
第三步：修复程序的输入表
现在就差输入表没有处理了.现在我们再次载入程序，然后在我们前面记下的OEP的那个地址处下内存访问断点然后运行之,结果在这里断下了：
71122943 F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
71122945 89C1 MOV ECX,EAX
断下后，取消内存访问断点，下MR GetProcAddress,的内存访问断点。再次运行,断下了:
在7119D30C处断下后，按ctrl+B找334DFC89088955F8,找到这里:
711A3385 334D FC XOR ECX,DWORD PTR SS:[EBP-4]
;这里改成mov ecx,ss:[ebp-4]
711A3388 8908 MOV DWORD PTR DS:[EAX],ECX
711A338A 8955 F8 MOV DWORD PTR SS:[EBP-8],EDX
;这里又是进行破坏，NOP掉这里
711A338D 85FF TEST EDI,EDI
改好后的情况:
改好后，去掉所有的内存断点,并下断HE 711a4569,并运行之，再次中断后，我们可以得到完全的输入表了.现在看看iat的位置和大小，大小可以不算，写一个可以得到全部IAT的大概值就OK的.
我是偷懒我选择的是iat开始地址: 9d160(RVA),大小为1000,然后把无效的给cut掉J.
这好了，现在填上oep然后fixdump就行了.
现在程序就可以正常运行了.
后面的就不再写了.
改进一下我自己上次的脱壳方法，直接在EPE0段下F2断点，断下后下断mr getprocaddress,再然如果不是中断在GetProcaddress入口处的话，找:
711A3385 334D FC XOR ECX,DWORD PTR SS:[EBP-4]
;这里改成mov ecx,ss:[ebp-4]
711A3388 8908 MOV DWORD PTR DS:[EAX],ECX
711A338A 8955 F8 MOV DWORD PTR SS:[EBP-8],EDX
Greetz:
Fly.Jingulong,yock,tDasm.David.ahao.UFO(brother).alan(sister).all of my friends and you!
By loveboom[DFCG][FCG]
Email:[email protected]