我新学脱壳,每当我碰到壳中的花指令时,头痛不已.
我也看到工具区有动态去除花指令的OD插件,但不甚合我意.原因有2:
1 我经常碰到象
$: JMP $+6
$+5: DB ? ;也许1个,也许2个无用的字节
$+6: PUSH ESI ;真正的指令
这样的指令序列,我总不能定义一个好的配置,去除这样的花指令.因为也许正常的指令序列也许象这样.
2 就算真的你去除了这些花指令(即使你没有意外的NOP掉任何一个正常的指令),我们知道很多壳要利用这些垃圾(花指令)
做CRC校验的,一但更改了这些指令,恐怕你所调试的程序就无疾而终了.
我的意思是:当我只需要仔细观察某段汇编指令(比如我需要研究它的算法),我需要把这些花指令去掉.
当我观察完这些代码,我就把这些指令还原,以避开CRC陷阱.
基于以上,我做了个小插件.
以下是应用示例:
我有一段代码,看 00955302 的指令,跳转到 0095530F 的中间,所以我用这个插件去除花指令.
00955302 /E9 09000000 JMP 00955310
00955307 |5D POP EBP ; NOTEPADy.00400000
00955308 |D2A3 A0591EFF SHL BYTE PTR [EBX+FF1E59A0], CL
0095530E |CC INT3
0095530F |15 668BF3FF ADC EAX, FFF38B66 ;跳转到一条指令的中间
00955314 34 0F XOR AL, 0F
代码变成如下,好看多了 :)
00955302 /E9 09000000 JMP 00955310
00955307 |5D POP EBP ; NOTEPADy.00400000
00955308 |D2A3 A0591EFF SHL BYTE PTR [EBX+FF1E59A0], CL
0095530E |CC INT3
0095530F |90 NOP
00955310 \66:8BF3 MOV SI, BX
00955313 FF340F PUSH DWORD PTR [EDI+ECX]
好了,还原.
00955302 /E9 09000000 JMP 00955310
00955307 |5D POP EBP ; NOTEPADy.00400000
00955308 |D2A3 A0591EFF SHL BYTE PTR [EBX+FF1E59A0], CL
0095530E |CC INT3
0095530F |15 668BF3FF ADC EAX, FFF38B66 ;跳转到一条指令的中间
00955314 34 0F XOR AL, 0F
可以继续执行了.
使用:
1 将AJUNK.DLL拷贝到OD的插件目录.
2 在我们要NOP掉的指令处,右键弹出菜单,选择要NOP掉的字节数量.(快捷键 1-6)
3 恢复.(快捷键 9 取消一次操作, 0 恢复所有的指令)
本来,我想在 JMP XXXXX 的指令处,就可以直接找到花指令的所在,自动去除的.但我刚学用OD,对OD还很陌生,
所以只有用你自己的脑袋来判断了.
我纯粹菜鸟一个,写这个东西只是好玩.如有遗笑方家的地方,还望各位包含.
也希望各位老大帮助我们这些 newbie, 不胜感谢.
以下是插件的DLL和源码.
因为OD提供的输入库是C的,我使用的是VC++6,所以对plugins.h做了点修改,所有的引入,引出函数前都+了个 下划线.
又：POSTPOST http://bbs.pediy.com/editpost.php HTTP/1.0
个插件有点意思，请emai to : lenglianxi@tom.com, 我会将DLL和源码一并寄给你。
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
