首页
社区
课程
招聘
[原创]Xtrap驱动逆向(有Bin,有码,有真相)
发表于: 2010-7-1 14:42 13856

[原创]Xtrap驱动逆向(有Bin,有码,有真相)

2010-7-1 14:42
13856

NP跟HS加了VM保护,搞不定,发现Xtrap没有用VM保护,于是拿来分析了下,
用的是老版本XDva220,因为之前在老版本做的静态分析,有些信息懒的在新版本上去改动了,
现在的版本XDva280看了看,好像变化不大,估计只是针对后面系统的更新或者
多了些新的ControlCode.

逆向的部分尽量保证接近原始汇编代码,还有5个IoControlCode没有逆向,
IoControlCode_85000880
IoControlCode_850008C0
IoControlCode_85000894
IoControlCode_85000840
IoControlCode_850008C4
感兴趣的话,大家可以接着逆.
其他部分都逆向完了,数据部分还原了大部分,有的不知道什么意思的就用dummy代替
另外有2个DeviceExtension不知道是什么结构,这个只有自己定义了2个,
XTRAP_DEVICE_EXTENSION2跟XTRAP_DEVICE_EXTENSION3(为了保证与原始汇编一致),
有逆向得不对的地方或者发现其他结构不对的,欢迎大家指出,一起修正.
另外IDB文件中间有些部分比如它所加密的字符串已用脚本解开,因为结构挺大,
所以写了个脚本处理结构的变量名字打印保存到文本.附件中包含py脚本.

我所用的DDK是2600.1106这个版本,它的_DEVOBJ_EXTENSION定义没有AttachedTo,
所以这个需要手动加上,不然不能够编译通过.
欢迎转载,请保持文章完整性.

Revers by dengkeng, Email:poppig@sohu.com

附件说明:
DeCode.py是对应的脚本文件,IDA5.5 + IDAPython 1.2
原始驱动:目录包含对应IDB文件以及驱动.


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 7
支持
分享
最新回复 (7)
雪    币: 796
活跃值: (370)
能力值: ( LV9,RANK:380 )
在线值:
发帖
回帖
粉丝
2
我看成是 Xuetr了  - -
2010-7-2 13:24
0
雪    币: 62
活跃值: (72)
能力值: ( LV5,RANK:70 )
在线值:
发帖
回帖
粉丝
3
膜拜学习
2010-7-2 14:15
0
雪    币: 221
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
楼主是F5整理的,代码不具备可读性呀。
*.py写的不错~
2010-7-2 17:23
0
雪    币: 193
活跃值: (1379)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
5
肯定不是F5整理的了,你自己用F5看看就知道了
只是函数名字不知道怎么起,为了区分已写的部分,所以前面加了My_
这样方便以后对着IDB查看哪些函数没有写.另外去掉了异常部分的代码
你看我的代码里面有goto语句吗????
2010-7-2 17:36
0
雪    币: 389
活跃值: (967)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
6
很好很强大的东东
2010-7-12 19:36
0
雪    币: 211
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
刚好打算研究一下 谢谢楼主分享
2010-12-12 01:06
0
雪    币: 284
活跃值: (16)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
怎么这么久才发现捏?
2010-12-12 08:01
0
游客
登录 | 注册 方可回帖
返回
//