[原创]手脱ASProtect 1.23RC4 补回OEP头-¥付费问答-看雪-安全社区|安全招聘|kanxue.com

[旧帖] [原创]手脱ASProtect 1.23RC4 补回OEP头 0.00雪花

2010-5-7 18:41 2876

[旧帖] [原创]手脱ASProtect 1.23RC4 补回OEP头 0.00雪花

joewinxiao 活跃值

2010-5-7 18:41

2876

ASProtect 1.23RC4 是ASProtect发展的一个重要里程碑，而且是经常偷代码的其中一个壳，现在对他进行脱壳，补充OEP头。
菜鸟第一贴，请各大虾把不对的地方指出，本人水平有限，表达能力有限，望谅解。好，现在开现：
1、首先在选项设置一下，隐藏一下OD，采用最后一次异常法去脱

2、SHIFT+F9运行
（第17次跑飞，第16次为最后一次异常，重裁）
其实对这个壳不数次数也可以，当出现如下特征码，即证明为最后一次异常
je
。。。。
。。。。
CALL
。。。。
。。。。
je
。。。。
。。。。
retn

3、在RETN外F2下断，SHIFT+F9运行到此，F2取消断点

4、此时观察堆栈窗口，用数值为00400000下面的第二个地址下硬件断点
HR 0012FF30

5、下好断点后，SHIFT+F9运行，断在下面地方，之后F8单步走

6、来到papad后跟一个jmp时，改用F7单步进去

7、跳到下面地址，此时开始追踪被偷代码

F7继续单步走

来到此处发现第一外被偷代码
第一处被偷代码找到
021068DD 896C24 00          mov dword ptr ss:[esp],ebp
021068E1 8BEC                mov ebp,esp
021068E3 6A FF             push -1
021068E5 68 E0984000       push 4098E0
021068EA 68 AC664000       push 4066AC                      ; jmp 到
021068EF 64:A1 00000000    mov eax,dword ptr fs:[0]
记录下来，继续F7走

第二处被偷代码找到
0210691D 894424 00          mov dword ptr ss:[esp],eax
02106921 64:8925 00000000    mov dword ptr fs:[0],esp
02106928 83EC 68             sub esp,68
记录下来，继续F7走

第三处被偷代码找到
02106953 895C24 00 mov dword ptr ss:[esp],ebx
记录下来，继续F7走

第四处被偷代码找到
0210697F 897424 00 mov dword ptr ss:[esp],esi
记录下来，继续F7走

第五处被偷代码找到
021069AB 897C24 00          mov dword ptr ss:[esp],edi
021069AF 8965 E8             mov dword ptr ss:[ebp-18],esp
021069B2 33DB                xor ebx,ebx
021069B4 895D FC             mov dword ptr ss:[ebp-4],ebx
021069B7 6A 02             push 2
记录下来，继续F7走

此时被偷代码全部找到，F8走

此处跳去OEP

到达OEP

7、开始补回OEP头
记录下来的被偷代码如下：
第一处被偷代码
021068DD 896C24 00          mov dword ptr ss:[esp],ebp
021068E1 8BEC                mov ebp,esp
021068E3 6A FF             push -1
021068E5 68 E0984000       push 4098E0
021068EA 68 AC664000       push 4066AC                      ; jmp 到
021068EF 64:A1 00000000    mov eax,dword ptr fs:[0]
第二处被偷代码
0210691D 894424 00          mov dword ptr ss:[esp],eax
02106921 64:8925 00000000    mov dword ptr fs:[0],esp
02106928 83EC 68             sub esp,68
第三处被偷代码
02106953 895C24 00          mov dword ptr ss:[esp],ebx
第四处被偷代码
0210697F 897424 00          mov dword ptr ss:[esp],esi
第五处被偷代码
021069AB 897C24 00          mov dword ptr ss:[esp],edi
021069AF 8965 E8             mov dword ptr ss:[ebp-18],esp
021069B2 33DB                xor ebx,ebx
021069B4 895D FC             mov dword ptr ss:[ebp-4],ebx
021069B7 6A 02             push 2
对代码处理一下：
每一处第一个代码命令改为PUSH，修改后为：
Push ebp
mov ebp,esp
push -1
push 4098E0
push 4066AC
mov eax,dword ptr fs:[0]
Push eax
mov dword ptr fs:[0],esp
sub esp,68
Push ebx
Push esi
Push edi
mov dword ptr ss:[ebp-18],esp
xor ebx,ebx
mov dword ptr ss:[ebp-4],ebx
push 2
此时开始修复OEP

选定上面一段JMP以下的空代码NOP掉

回补刚才记录下来的代码

回补完成后在PUSH ebp处新建EIP

此时OEP完全修复完成，脱壳。脱壳就不说了。

附上原程序：
Mp3Cutter.rar

[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。

上传的附件：

1.jpg （46.62kb，199次下载）
2.jpg （127.51kb，201次下载）
3.jpg （120.60kb，201次下载）
4.jpg （36.19kb，197次下载）
5.jpg （101.47kb，199次下载）
6.jpg （121.82kb，198次下载）
7.jpg （119.89kb，200次下载）
8.jpg （135.31kb，196次下载）
9.jpg （142.20kb，198次下载）
10.jpg （154.24kb，194次下载）
11.jpg （134.71kb，195次下载）
12.jpg （136.90kb，195次下载）
13.jpg （141.78kb，194次下载）
14.jpg （102.98kb，189次下载）
15.jpg （181.01kb，190次下载）
16.jpg （146.05kb，185次下载）
17.jpg （105.32kb，180次下载）
18.jpg （192.50kb，180次下载）
19.jpg （180.13kb，182次下载）
20.jpg （195.06kb，179次下载）
Mp3Cutter.rar （927.52kb，36次下载）

收藏・2

点赞・6

打赏

最新回复 (14)
qwyyhl 雪币： 30 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	qwyyhl 2010-5-10 10:53 2 楼 0 正需要这个教程,谢谢楼主提供
jenf 雪币： 15 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 67 粉丝 0 关注私信	jenf 2010-5-10 11:23 3 楼 0 学习，多谢分享
SENTEMUL 雪币： 58 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 174 粉丝 0 关注私信	SENTEMUL 2010-5-10 11:31 4 楼 0 学习学习
chinapandy 雪币： 1222 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 21 粉丝 0 关注私信	chinapandy 2010-5-23 16:14 5 楼 0 学习一下
leejet 雪币： 105 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 3 粉丝 0 关注私信	leejet 2010-5-23 16:16 6 楼 0 学习了，谢谢楼主分享
roa 雪币： 1 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 48 粉丝 0 关注私信	roa 2010-5-24 01:03 7 楼 0 学习一下，不错。
李鹏峰雪币： 4 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 10 粉丝 0 关注私信	李鹏峰 2010-5-24 01:22 8 楼 0 请问下，最后修补偷取代码的地方时如何辨认的，为什么可以再此处填充？假如是对比的方法，两个同语言不同类型的软件的OEP是不是一样的？实践简单，原理难。
高原李雪币： 9 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 42 粉丝 0 关注私信	高原李 2010-5-24 07:04 9 楼 0 很详细,学习一下
mdcaijay 雪币： 21 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 7 粉丝 0 关注私信	mdcaijay 2010-5-24 07:40 10 楼 0 楼主很用心，呵呵，我也跟着学习一下
风中留恋雪币： 32 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 30 粉丝 0 关注私信	风中留恋 2010-5-24 08:51 11 楼 0 学习学习~~~~~~~~~
shinansoft 雪币： 457 活跃值： (39) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 52 粉丝 0 关注私信	shinansoft 2010-5-24 09:01 12 楼 0 新发现,楼主所被偷代码都有一特点，都是mov dword ptr ss:[esp]，XXX 来到此处发现第一外被偷代码第一处被偷代码找到 021068DD 896C24 00 mov dword ptr ss:[esp],ebp 021068E1 8BEC mov ebp,esp 021068E3 6A FF push -1 021068E5 68 E0984000 push 4098E0 021068EA 68 AC664000 push 4066AC ; jmp 到 021068EF 64:A1 00000000 mov eax,dword ptr fs:[0] 第二处被偷代码找到 0210691D 894424 00 mov dword ptr ss:[esp],eax 02106921 64:8925 00000000 mov dword ptr fs:[0],esp 02106928 83EC 68 sub esp,68 第三处被偷代码找到 02106953 895C24 00 mov dword ptr ss:[esp],ebx 第四处被偷代码找到 0210697F 897424 00 mov dword ptr ss:[esp],esi 第五处被偷代码找到 021069AB 897C24 00 mov dword ptr ss:[esp],edi 021069AF 8965 E8 mov dword ptr ss:[ebp-18],esp 021069B2 33DB xor ebx,ebx 021069B4 895D FC mov dword ptr ss:[ebp-4],ebx 021069B7 6A 02 push 2 学习了。。。谢谢！
wbpmrck 雪币： 173 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 89 粉丝 0 关注私信	wbpmrck 2010-5-24 09:09 13 楼 0 学习了~~~
shinansoft 雪币： 457 活跃值： (39) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 52 粉丝 0 关注私信	shinansoft 2010-5-24 09:30 14 楼 0 小弟知识浅薄，斗胆为楼主补充一下，请大牛修正补充：修改后的这段代码在程序入口的下一址中插入,再重新在这段代码开头定义新EIP 对代码处理一下：每一处第一个代码命令改为PUSH，修改后为： Push ebp mov ebp,esp push -1 push 4098E0 push 4066AC mov eax,dword ptr fs:[0] Push eax mov dword ptr fs:[0],esp sub esp,68 Push ebx Push esi Push edi mov dword ptr ss:[ebp-18],esp xor ebx,ebx mov dword ptr ss:[ebp-4],ebx push 2 此时开始修复OEP
春哥凤姐雪币： 39 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	春哥凤姐 2010-5-26 18:13 15 楼 0 很不错，学习了
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复

joewinxiao

发帖

回帖

RANK

关注

私信

他的文章

[原创]手脱ASProtect 1.23RC4 补回OEP头

[原创]“SFX”法直接到达OEP

[求助]自动添加注释的插件，为何不能显示注释

Ollydbg 中弹出的窗口如何找断点?

关于我们

联系我们

企业服务

看雪公众号

最新回复 (14)
qwyyhl 雪币： 30 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	qwyyhl 2010-5-10 10:53 2 楼 0 正需要这个教程,谢谢楼主提供
jenf 雪币： 15 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 67 粉丝 0 关注私信	jenf 2010-5-10 11:23 3 楼 0 学习，多谢分享
SENTEMUL 雪币： 58 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 174 粉丝 0 关注私信	SENTEMUL 2010-5-10 11:31 4 楼 0 学习学习
chinapandy 雪币： 1222 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 21 粉丝 0 关注私信	chinapandy 2010-5-23 16:14 5 楼 0 学习一下
leejet 雪币： 105 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 3 粉丝 0 关注私信	leejet 2010-5-23 16:16 6 楼 0 学习了，谢谢楼主分享
roa 雪币： 1 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 48 粉丝 0 关注私信	roa 2010-5-24 01:03 7 楼 0 学习一下，不错。
李鹏峰雪币： 4 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 10 粉丝 0 关注私信	李鹏峰 2010-5-24 01:22 8 楼 0 请问下，最后修补偷取代码的地方时如何辨认的，为什么可以再此处填充？假如是对比的方法，两个同语言不同类型的软件的OEP是不是一样的？实践简单，原理难。
高原李雪币： 9 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 42 粉丝 0 关注私信	高原李 2010-5-24 07:04 9 楼 0 很详细,学习一下
mdcaijay 雪币： 21 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 7 粉丝 0 关注私信	mdcaijay 2010-5-24 07:40 10 楼 0 楼主很用心，呵呵，我也跟着学习一下
风中留恋雪币： 32 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 30 粉丝 0 关注私信	风中留恋 2010-5-24 08:51 11 楼 0 学习学习~~~~~~~~~
shinansoft 雪币： 457 活跃值： (39) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 52 粉丝 0 关注私信	shinansoft 2010-5-24 09:01 12 楼 0 新发现,楼主所被偷代码都有一特点，都是mov dword ptr ss:[esp]，XXX 来到此处发现第一外被偷代码第一处被偷代码找到 021068DD 896C24 00 mov dword ptr ss:[esp],ebp 021068E1 8BEC mov ebp,esp 021068E3 6A FF push -1 021068E5 68 E0984000 push 4098E0 021068EA 68 AC664000 push 4066AC ; jmp 到 021068EF 64:A1 00000000 mov eax,dword ptr fs:[0] 第二处被偷代码找到 0210691D 894424 00 mov dword ptr ss:[esp],eax 02106921 64:8925 00000000 mov dword ptr fs:[0],esp 02106928 83EC 68 sub esp,68 第三处被偷代码找到 02106953 895C24 00 mov dword ptr ss:[esp],ebx 第四处被偷代码找到 0210697F 897424 00 mov dword ptr ss:[esp],esi 第五处被偷代码找到 021069AB 897C24 00 mov dword ptr ss:[esp],edi 021069AF 8965 E8 mov dword ptr ss:[ebp-18],esp 021069B2 33DB xor ebx,ebx 021069B4 895D FC mov dword ptr ss:[ebp-4],ebx 021069B7 6A 02 push 2 学习了。。。谢谢！
wbpmrck 雪币： 173 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 89 粉丝 0 关注私信	wbpmrck 2010-5-24 09:09 13 楼 0 学习了~~~
shinansoft 雪币： 457 活跃值： (39) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 52 粉丝 0 关注私信	shinansoft 2010-5-24 09:30 14 楼 0 小弟知识浅薄，斗胆为楼主补充一下，请大牛修正补充：修改后的这段代码在程序入口的下一址中插入,再重新在这段代码开头定义新EIP 对代码处理一下：每一处第一个代码命令改为PUSH，修改后为： Push ebp mov ebp,esp push -1 push 4098E0 push 4066AC mov eax,dword ptr fs:[0] Push eax mov dword ptr fs:[0],esp sub esp,68 Push ebx Push esi Push edi mov dword ptr ss:[ebp-18],esp xor ebx,ebx mov dword ptr ss:[ebp-4],ebx push 2 此时开始修复OEP
春哥凤姐雪币： 39 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 10 粉丝 0 关注私信	春哥凤姐 2010-5-26 18:13 15 楼 0 很不错，学习了
	游客登录 \| 注册方可回帖　回帖　表情雪币赚取及消费高级回复