-
-
[原创]SoftSnoop2009应用一：如何跟踪加壳程序
-
2009-11-19 13:31
-
最新版本SoftSnoop2009V0.3已提供下载。
简单的举例说明下：SoftSnoop2009如何跟踪加壳程序
被跟踪的程序： cyclone.rar（也是在看雪中下的）
使用SoftSnoop跟踪程序有四种方式：
1、“文件”--“打开”
2、“附着到进程”
3、拖放程序到SoftSnoop窗口
4、“选项”--“常规”-- “注册Shell扩展” 选中，exe类型右键中会有“debug with SoftSnoop”
我们先使用第四种方式，跟踪程序直接报错：
说明直接跟踪失败。使用OD运行可以过（海风月影的StrongOD真的强大，膜拜一下）。
下面请使用OD来附助SoftSnoop跟踪此程序：
第一步：使用OD打开cyclone.exe
第二步：打开SoftSnoop，使用第二种跟踪方式“附着到进程”（晕，“附加到进程”好听点吧），把cyclone.exe附加到SoftSnoop
第三步：在OD里运行程序，可以运行，没有报错。可惜什么都没有跟踪到。
没有跟踪到，有两种可能：
第一种：程序后面的运行也不在主程序范围内
第二种：SoftSnoop有问题
查看列举的模块，发现了“ZShell32.dll”，这是什么动态连接库。用百度查找，只找到“Zprotect，与你同行”，竟然还是看雪里的。不用看了，这肯定是壳生成的东西。
在“设置”---“DLL调用”---“报告这些模块内的API”选中，加入ZShell32.dll
重新操作前三步：用OD打开，附加，运行。跟踪列表出来了：（列表比较长就不全列了）
返回地址: 010643A7 函数名称: OL_n10024(ZShell32.dll)
OL_n10024返回值: 0x00000001
返回地址: 010643BE 函数名称: MessageBoxA(USER32.dll)
MessageBoxA: 信息对话框
hWnd=0x001D02D4
lpText="无效的序列号！"
lpCaption="错误"
uType=0x00000010 (MB_OK|MB_ICONERROR|MB_APPLMODAL)
MessageBoxA返回值: 0x00000001 (IDOK)
总结：
如果一个进程SoftSnoop不能直接跟踪，请使用OD附助操作。
简单的举例说明下：SoftSnoop2009如何跟踪加壳程序
被跟踪的程序： cyclone.rar（也是在看雪中下的）
使用SoftSnoop跟踪程序有四种方式：
1、“文件”--“打开”
2、“附着到进程”
3、拖放程序到SoftSnoop窗口
4、“选项”--“常规”-- “注册Shell扩展” 选中，exe类型右键中会有“debug with SoftSnoop”
我们先使用第四种方式，跟踪程序直接报错：
说明直接跟踪失败。使用OD运行可以过（海风月影的StrongOD真的强大，膜拜一下）。
下面请使用OD来附助SoftSnoop跟踪此程序：
第一步：使用OD打开cyclone.exe
第二步：打开SoftSnoop，使用第二种跟踪方式“附着到进程”（晕，“附加到进程”好听点吧），把cyclone.exe附加到SoftSnoop
第三步：在OD里运行程序，可以运行，没有报错。可惜什么都没有跟踪到。
没有跟踪到，有两种可能：
第一种：程序后面的运行也不在主程序范围内
第二种：SoftSnoop有问题
查看列举的模块，发现了“ZShell32.dll”，这是什么动态连接库。用百度查找，只找到“Zprotect，与你同行”，竟然还是看雪里的。不用看了，这肯定是壳生成的东西。
在“设置”---“DLL调用”---“报告这些模块内的API”选中，加入ZShell32.dll
重新操作前三步：用OD打开，附加，运行。跟踪列表出来了：（列表比较长就不全列了）
返回地址: 010643A7 函数名称: OL_n10024(ZShell32.dll)
OL_n10024返回值: 0x00000001
返回地址: 010643BE 函数名称: MessageBoxA(USER32.dll)
MessageBoxA: 信息对话框
hWnd=0x001D02D4
lpText="无效的序列号！"
lpCaption="错误"
uType=0x00000010 (MB_OK|MB_ICONERROR|MB_APPLMODAL)
MessageBoxA返回值: 0x00000001 (IDOK)
总结：
如果一个进程SoftSnoop不能直接跟踪，请使用OD附助操作。
[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
没有SoftSnoop附加时，你要先保证OD能过。
OD过时，我把下面的异常忽略了  OD成过后，用OD重新打开，再用SoftSnoop附加运行就可以了 (部分列表如下) 返回地址: 00426361 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150A8D0 (对象名称:Edit1) szNewString=0x00000000 lpstrBuffer=0x0012E798 存入缓冲区中的数据: "ccbszhxd" Dephi_Set/GetText返回值: 0x00000008 返回地址: 004430D0 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150B3E4 (对象名称:Memo1) szNewString=0x00441A68 lpstrBuffer=0x0012E794 存入缓冲区中的数据: "797979797979" Dephi_Set/GetText返回值: 0x0000000C 返回地址: 0046BF31 函数名称: GetClassInfoA(USER32.dll) GetClassInfoA: 取得WNDCLASS结构（或WNDCLASSEX结构）的一个副本 hInstance=0x00400000 lpClassName="TMessageForm" lpWndClass=0x0012DA30 GetClassInfoA返回值: 0x00000000(NULL表示失败) 返回地址: 0046BF6F 函数名称: RegisterClassA(USER32.dll) RegisterClassA: 注册窗口类 lpWndClass=0x0012DA7C(类名称:"TMessageForm";类窗口处理函数:"0x465CD4") RegisterClassA返回值: 0x0015C17A 返回地址: 0046C038 函数名称: CreateWindowExA(USER32.dll) CreateWindowExA: 创建窗口 dwExStyle=0x00000101 lpClassName="TMessageForm" lpWindowName=NULL dwStyle=0x86C80000 (|WS_POPUP|WS_CLIPSIBLINGS|WS_CLIPCHILDREN|WS_CAPTION|WS_BORDER|WS_DLGFRAME|WS_SYSMENU) x=0x0000 y=0x0000 nWidth=0x0140 nHeight=0x00F0 hWndParent=0x000B01B6 hMenu=0x00000000 hInstance=0x00400000 lpParam=0x00000000 CreateWindowExA返回值: 0x0014029A 返回地址: 00486852 函数名称: InitializeFlatSB(COMCTL32.dll) InitializeFlatSB返回值: 0x00000001 返回地址: 0045E8A4 函数名称: GetWindowTextA(USER32.dll) GetWindowTextA: 取得一个窗体的标题文字,或者一个控件的内容 hWnd=0x000B01B6 lpBuffer=0x0012DAA8 nBufferSize=0x00000100 存入缓冲区中的数据: "Play" GetWindowTextA返回值: 0x00000004(文本的长度) 返回地址: 004689F2 函数名称: TControl::SetName(Project1.exe) TControl::SetName: 设置对象名称 lpDelphiClass=0x0150B67C szName="Message" TControl::SetName返回值: 0x00000000 返回地址: 00468BF3 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150B67C (对象名称:Message) szNewString=0x0012DB88 lpstrBuffer=0x0012DB80 Dephi_Set/GetText返回值: 0x0012DB80 返回地址: 00441F27 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150B67C (对象名称:Message) szNewString=0x0043F6F0 lpstrBuffer=0x0012DAFC 存入缓冲区中的数据: "Message" Dephi_Set/GetText返回值: 0x00000007 返回地址: 00441F27 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150B67C (对象名称:Message) szNewString=0x0043F6F0 lpstrBuffer=0x0012DA84 存入缓冲区中的数据: "Message" Dephi_Set/GetText返回值: 0x00000007 返回地址: 00441F27 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150B67C (对象名称:Message) szNewString=0x0043F6F0 lpstrBuffer=0x0012DB78 存入缓冲区中的数据: "Message" Dephi_Set/GetText返回值: 0x00000007 返回地址: 00468BF3 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150B67C (对象名称:Message) szNewString=0x01010101 lpstrBuffer=0x0012DBA8 存入缓冲区中的数据: "Message" Dephi_Set/GetText返回值: 0x00000007 返回地址: 00441F27 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150B67C (对象名称:Message) szNewString=0x0043F6F0 lpstrBuffer=0x0012DB24 存入缓冲区中的数据: "注册失败1,注册码不完整,请检查注册码是否已经全部复制或是否已经全部输入" Dephi_Set/GetText返回值: 0x00000045 返回地址: 004689F2 函数名称: TControl::SetName(Project1.exe) TControl::SetName: 设置对象名称 lpDelphiClass=0x015059B4 szName="OK" TControl::SetName返回值: 0x00000000 返回地址: 00468BF3 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x015059B4 (对象名称:OK) szNewString=0x0012DB88 lpstrBuffer=0x0012DB80 Dephi_Set/GetText返回值: 0x0012DB80 返回地址: 00468BF3 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x015059B4 (对象名称:OK) szNewString=0x00000000 lpstrBuffer=0x0012DBA8 存入缓冲区中的数据: "OK" Dephi_Set/GetText返回值: 0x00000002 返回地址: 0046C0C9 函数名称: DestroyWindow(USER32.dll) DestroyWindow: 注销窗口 hWnd=0x0014029A DestroyWindow返回值: 0x00000001 返回地址: 00455F35 函数名称: EnableWindow(USER32.dll) EnableWindow: 设置窗口可用性 hWnd=0x000801B4 bEnable=0x00000000 (FALSE) EnableWindow返回值: 0x00000000 返回地址: 00455F35 函数名称: EnableWindow(USER32.dll) EnableWindow: 设置窗口可用性 hWnd=0x000B01B6 bEnable=0x00000000 (FALSE) EnableWindow返回值: 0x00000000 返回地址: 0046BF31 函数名称: GetClassInfoA(USER32.dll) GetClassInfoA: 取得WNDCLASS结构（或WNDCLASSEX结构）的一个副本 hInstance=0x00400000 lpClassName="TMessageForm" lpWndClass=0x0012D928 GetClassInfoA返回值: 0x0000C17A(NULL表示失败) 返回地址: 0046C038 函数名称: CreateWindowExA(USER32.dll) CreateWindowExA: 创建窗口 dwExStyle=0x00000101 lpClassName="TMessageForm" lpWindowName="Play" dwStyle=0x86C80000 (|WS_POPUP|WS_CLIPSIBLINGS|WS_CLIPCHILDREN|WS_CAPTION|WS_BORDER|WS_DLGFRAME|WS_SYSMENU) x=0x015E y=0x0179 nWidth=0x01C5 nHeight=0x006E hWndParent=0x000B01B6 hMenu=0x00000000 hInstance=0x00400000 lpParam=0x00000000 CreateWindowExA返回值: 0x0015029A 返回地址: 00486852 函数名称: InitializeFlatSB(COMCTL32.dll) InitializeFlatSB返回值: 0x00000001 返回地址: 0046BC86 函数名称: GetClassInfoA(USER32.dll) GetClassInfoA: 取得WNDCLASS结构（或WNDCLASSEX结构）的一个副本 hInstance=0x00400000 lpClassName="BUTTON" lpWndClass=0x0012D96C GetClassInfoA返回值: 0x0000C017(NULL表示失败) 返回地址: 0046BF31 函数名称: GetClassInfoA(USER32.dll) GetClassInfoA: 取得WNDCLASS结构（或WNDCLASSEX结构）的一个副本 hInstance=0x00400000 lpClassName="TButton" lpWndClass=0x0012D920 GetClassInfoA返回值: 0x0000C179(NULL表示失败) 返回地址: 0046C038 函数名称: CreateWindowExA(USER32.dll) CreateWindowExA: 创建窗口 dwExStyle=0x00000000 (WS_EX_LEFT) lpClassName="TButton" lpWindowName="OK" dwStyle=0x44010001 (|WS_CHILD|WS_CLIPSIBLINGS|WS_TABSTOP|WS_MAXIMIZEBOX|WS_EX_DLGMODALFRAME|WS_EX_CONTROLPARENT) x=0x00BA y=0x002E nWidth=0x004B nHeight=0x0019 hWndParent=0x0015029A hMenu=0x00000000 hInstance=0x00400000 lpParam=0x00000000 CreateWindowExA返回值: 0x000B027C 返回地址: 00441F27 函数名称: Dephi_Set/GetText(Project1.exe) Dephi_Set/GetText: 设置或获取窗口字符串 lpDelphiClass=0x0150B67C (对象名称:Message) szNewString=0x0043F6F0 lpstrBuffer=0x0012D500 存入缓冲区中的数据: "注册失败1,注册码不完整,请检查注册码是否已经全部复制或是否已经全部输入" Dephi_Set/GetText返回值: 0x00000045 Dephi程序，对象挺多的 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
看到楼主在更新softsnoop这个工具，我也来罗嗦几句。
要实现用softsnoop跟cyclone这个程序，需要满足以下两点： 1.去掉调试标志 设置softsnoop  加载cyclone后停在入口   2.补丁softsnoop   点运行后，弹出  点是后，cyclone就可以在softsnoop中跑起来。 以上只针对cyclone |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
