-
-
IAT加密中遇到的诡异问题
-
发表于: 2009-12-2 11:21
-
尝试写壳，IAT加密今天测出一个诡异的错误：
举例，比如原IAT表地址：
0040A04C 存放 AD 2F 81 7C 这个系统API地址
那么我改为
0040A04C 存放 5C 00 00 3A这个我用Virtualalloc函数申请的内存空间的一个地址。在003A005C为该系统API写入 重指向代码为
003A005C DB 81h,35h,7Bh,00h,3Ah,00h, 8Dh,F3h,D8h,17h, ;xor dword ptr [003A007B],17D8F38D
90h,90h,90h,90h, ;nop
0FFh,35h,7BH,00h,3Ah,00h ;push dword ptr [003A007B]
DB 81h,35h,7Bh,00h,3Ah,00h, 8Dh,F3h,D8h,17h, ;xor dword ptr [003A007B],17D8F38D
0C3h, ;retn
20h,0DCh,59h,6Bh ;here is the size of "dword ptr [003A007B]"; Size=17D8F38Dh xor 7C812FADh
所以IAT加密都按上叙途径简单加密，在最近测试的cpuBBz_152.2000在运行会有10%的概率正确，10%的概率主程序启动尚未出现时出现系统错误警告（非软件本身的警告，unknow、not"read"之类），有80%的概率直接出现系统错误警告。其他软件都正常。
采用另外一种简单方法3一直不会出错（只贴下原始数据，很容易明白）：
Data_3_for_IAT DB 68h,0B3h,60h,27h,10h, ;push 102760B3 ;( push word [xxxxxxxx],xxxxxxxx should not be 00h-7Fh)
81h,34h,24h,83h,03h,42h,00h, ;xor dword ptr [esp],00420383 ;( xor dword ptr [esp],xxxxxxxx; xxxxxxxx should not be 0FFFFFF80h-0000007Fh)
0C3h, ;retn
补充说明：
1.、xor dword ptr[003A007B],1234h与xor dword ptr[003A007B],12h前面的机器码不同类似问题我已考虑到，并做了处理。（后来发现其实没影响。确保12h等单字节情况不会出现，不需要）
2、Virtualalloc函数调用代码为：
push PAGE_READWRITE
push MEM_COMMIT
push eax (值为17530h,足够大了)
push 0
call dword ptr [ebp+(S_VirtualallocADDR-ShellStart)] ;Virtualalloc for New IAT Table
3、我还有一种IAT简单加密方案，该软件也会出错，但是出错几率为40%左右，而且往往第一次会正确显示出程序界面，如果有人有兴趣我也可以贴出来---->见12楼。
4、如果我把17D8F38D改为00000000。这样的话异或等同与无操作。在003A007B处就存放系统API的真实地址7C812FAD。这种情况是不会出错的。这个应该是关键，忘了说。
求助：
IAT简单加密方法1为什么会出错，为什么有正确的几率，大家猜测下，给个思路。
另，往往是有图形界面的程序加壳容易出错，有没有人能随意指点下原因吗。
问题描述不清，请见谅，有什么要补充的请随意提问。
请尽量下载3个附件
举例，比如原IAT表地址：
0040A04C 存放 AD 2F 81 7C 这个系统API地址
那么我改为
0040A04C 存放 5C 00 00 3A这个我用Virtualalloc函数申请的内存空间的一个地址。在003A005C为该系统API写入 重指向代码为
003A005C DB 81h,35h,7Bh,00h,3Ah,00h, 8Dh,F3h,D8h,17h, ;xor dword ptr [003A007B],17D8F38D
90h,90h,90h,90h, ;nop
0FFh,35h,7BH,00h,3Ah,00h ;push dword ptr [003A007B]
DB 81h,35h,7Bh,00h,3Ah,00h, 8Dh,F3h,D8h,17h, ;xor dword ptr [003A007B],17D8F38D
0C3h, ;retn
20h,0DCh,59h,6Bh ;here is the size of "dword ptr [003A007B]"; Size=17D8F38Dh xor 7C812FADh
所以IAT加密都按上叙途径简单加密，在最近测试的cpuBBz_152.2000在运行会有10%的概率正确，10%的概率主程序启动尚未出现时出现系统错误警告（非软件本身的警告，unknow、not"read"之类），有80%的概率直接出现系统错误警告。其他软件都正常。
采用另外一种简单方法3一直不会出错（只贴下原始数据，很容易明白）：
Data_3_for_IAT DB 68h,0B3h,60h,27h,10h, ;push 102760B3 ;( push word [xxxxxxxx],xxxxxxxx should not be 00h-7Fh)
81h,34h,24h,83h,03h,42h,00h, ;xor dword ptr [esp],00420383 ;( xor dword ptr [esp],xxxxxxxx; xxxxxxxx should not be 0FFFFFF80h-0000007Fh)
0C3h, ;retn
补充说明：
1.、xor dword ptr[003A007B],1234h与xor dword ptr[003A007B],12h前面的机器码不同类似问题我已考虑到，并做了处理。（后来发现其实没影响。确保12h等单字节情况不会出现，不需要）
2、Virtualalloc函数调用代码为：
push PAGE_READWRITE
push MEM_COMMIT
push eax (值为17530h,足够大了)
push 0
call dword ptr [ebp+(S_VirtualallocADDR-ShellStart)] ;Virtualalloc for New IAT Table
3、我还有一种IAT简单加密方案，该软件也会出错，但是出错几率为40%左右，而且往往第一次会正确显示出程序界面，如果有人有兴趣我也可以贴出来---->见12楼。
4、如果我把17D8F38D改为00000000。这样的话异或等同与无操作。在003A007B处就存放系统API的真实地址7C812FAD。这种情况是不会出错的。这个应该是关键，忘了说。
求助：
IAT简单加密方法1为什么会出错，为什么有正确的几率，大家猜测下，给个思路。
另，往往是有图形界面的程序加壳容易出错，有没有人能随意指点下原因吗。
问题描述不清，请见谅，有什么要补充的请随意提问。
请尽量下载3个附件
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
看不太明白...
 比如： 81h,35h,5Ch,00h,3Ah,00h, 8Dh,F3h,D8h,17h, ;xor dword ptr [003A007B],17D8F38D 81h,35h,5Ch,00h,3Ah,00h, 8Dh,F3h,D8h,17h, 对应的汇编指令应该是 xor dword ptr [003A005C],17D8F38D 才对，不知道你的003A007B是从哪里来的...可能是我out了 你的错误大概是由Virtualalloc函数引起的吧？你的dwSize参数最好按页的整数倍来申请，防止发生意料；另外，对于 往往第一次会正确显示出程序界面这种情况大概是你用Virtualalloc申请的内存空间（地址003A005C）被改写 或者 被free掉了吧？ 上面只是我随意猜测的，具体情况不知道...实在太深奥了!看不懂...
|
|
|
|
|
|
但是我第三种IAT加密方法不会出错  到底第三种方案会不会出错？我平常主要工作是编程，没怎么玩过破解，所以脱壳这方面还不是很熟悉... 不过，我很有兴趣，楼主还是把第三种方案的代码贴出来吧 
|
|
|
等下我贴第二种，就是我弄的比较复杂了，一时不好说清楚，郁闷。先请教下如何引用回复里某一句话，半天没弄出来。汗
说明下：我的第一种加密方法正确率10%，第二种是40%-50%，第三种是100%。我贴的是第一种和第三种。 |
|
|
把你要引用的话放在 (QUOTE) 与 (/QUOTE) 之间 注：小括号换成中括号
|
|
|
|
|
|
你那是全角的中括号，，，换成英文半角的
|
|
|
|
|
|
|
|
|
 把dwSize改成 10000h 试试？10000h正好是64KB
|
|
|
|
|
|
把Virtualalloc函数的dwSize由17500h取整为20000h后。显示界面和显示错误警告同时出现的情况多了起来，出现了一次应该是错误报告的情况，如图：
 |
|
|
|
|
|
晕，楼上...
我慢了一步 上图对应你的代码应该是：
003A005C 53 push ebx
003A005D E8 00000000 call 003A0062
003A0062 5B pop ebx
003A0063 83EB 06 sub ebx, 6 ;此时ebx应该为003A005C
003A0066 315B 10 xor dword ptr [ebx+10], ebx ;ebx+10为003A006C
003A0069 EB ;花指令
003A006A 01 ;花指令
003A006B E8 ;花指令
003A006C B8 F12FBB7C mov eax, 7CBB2FF1
003A0071 315B 10 xor dword ptr [ebx+10], ebx
;此处应该为[COLOR="Red"]xor dword ptr [ebx+11], ebx [/COLOR][ebx+10]取dword 为[COLOR="red"]B8 F1 2F BB[/COLOR]了
003A0074 5B pop ebx
003A0075 FFE0 jmp eax
也不知道是否这个原因...
|
|
|
|
|
|
 不是这个原因...只能是VirtualAlloc了... 写入内存后，用VirtualProtect修改其属性为只读试试？ |
|
|
|
|
|
搞不懂了...
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Path名称 及 Filename 皆全英文试试
(你之前的图显示你东西放在 日文路径 名下的CrackTest\) cpuBBz_152.2000（加壳后）.exe 我这里跑得好好的
|
|
|
|
