-
-
用Ollydbg手脱Armadillo加壳的DLL
-
发表于:
2005-5-31 18:11
9810
-
用Ollydbg手脱Armadillo加壳的DLL
【破解作者】 jameshero
【使用工具】 PEID、flyODBG修改版
【破解平台】 winXP+SP2
【软件名称】 某服务端程序
【软件简介】 因为涉及到某些商业问题，在这就不说了，看方法吧
【加壳方式】 Armadillo 2.51 - 3.xx DLL Stub
【破解声明】 我是一只小菜鸟，偶得一点心得，愿与大家分享：）
--------------------------------------------------------------------------------
【破解内容】
一。用PEID查看壳为：Armadillo 2.51 - 3.xx DLL Stub
具体版本不知道，看看先吧！
二。设置flyODBG忽略所有异常选项,OD自动隐藏插件帮你隐藏OD.
OD载入程序。
00944957 > 55 push ebp
00944958 8BEC mov ebp,esp
0094495A 53 push ebx
0094495B 8B5D 08 mov ebx,dword ptr ss:[ebp+8]
0094495E 56 push esi
0094495F 8B75 0C mov esi,dword ptr ss:[ebp+C]
00944962 57 push edi
00944963 8B7D 10 mov edi,dword ptr ss:[ebp+10]
00944966 85F6 test esi,esi
---------------------------------------------------------------
下断：BP GetModuleHandleA+5，Shift+F9运行，注意看堆栈：
---------------------------------------------------------------
00069510 |00B452CA 返回到 00B452CA 来自 kernel32.GetModuleHandleA
00069514 |00069660 ASCII "kernel32.dll"
---------------------------------------------------------------
当堆栈变成上面的样子就可以返回了，我们ALT+F9返回程序！
---------------------------------------------------------------
00B452CA 8B0D 3C1EB700 mov ecx,dword ptr ds:[B71E3C] <---------返回到这
00B452D0 89040E mov dword ptr ds:[esi+ecx],eax
00B452D3 A1 3C1EB700 mov eax,dword ptr ds:[B71E3C]
00B452D8 391C06 cmp dword ptr ds:[esi+eax],ebx
00B452DB 75 16 jnz short 00B452F3
00B452DD 8D85 B4FEFFFF lea eax,dword ptr ss:[ebp-14C]
00B452E3 50 push eax
00B452E4 FF15 B842B600 call dword ptr ds:[B642B8] ; kernel32.LoadLibraryA
00B452EA 8B0D 3C1EB700 mov ecx,dword ptr ds:[B71E3C]
00B452F0 89040E mov dword ptr ds:[esi+ecx],eax
00B452F3 A1 3C1EB700 mov eax,dword ptr ds:[B71E3C]
00B452F8 391C06 cmp dword ptr ds:[esi+eax],ebx
00B452FB 0F84 2F010000 je 00B45430 <--------------MAGICJUMP，改JMP 00B45430
00B45301 33C9 xor ecx,ecx
00B45303 8B07 mov eax,dword ptr ds:[edi]
00B45305 3918 cmp dword ptr ds:[eax],ebx
00B45307 74 06 je short 00B4530F
----------------------------------------------------------------
（注意：下面的方法和FLY的不太一样）
现在我们Alt+M打开内存查看窗口，看到这个DLL的给个区段
----------------------------------------------------------------
00870000 00001000 KingFor3 00870000 (itself) PE header //★ 这里下 内存访问 断点
00871000 0008B000 KingFor3 00870000 CODE
008FC000 00002000 KingFor3 00870000 DATA
008FE000 00001000 KingFor3 00870000 BSS
----------------------------------------------------------------
现在我们F9运行程序，中断在下面地址
----------------------------------------------------------------
00B585A7 0348 3C add ecx,dword ptr ds:[eax+3C] 〈------中断在这
00B585AA 898D FCD7FFFF mov dword ptr ss:[ebp-2804],ecx
00B585B0 A1 C8DFB600 mov eax,dword ptr ds:[B6DFC8]
00B585B5 8985 CCAEFFFF mov dword ptr ss:[ebp+FFFFAECC],eax
00B585BB 8B85 CCAEFFFF mov eax,dword ptr ss:[ebp+FFFFAECC]
00B585C1 8985 0CD8FFFF mov dword ptr ss:[ebp-27F4],eax
00B585C7 8B85 FCD7FFFF mov eax,dword ptr ss:[ebp-2804]
00B585CD 8B40 50 mov eax,dword ptr ds:[eax+50]
----------------------------------------------------------------
现在我们CTRL+S在整个区段搜索
mov edx,dword ptr ds:[ecx+C]
add edx,dword ptr ds:[ecx+8]
找到下面的地址
----------------------------------------------------------------
00B5E1D7 8D74C1 D8 lea esi,dword ptr ds:[ecx+eax*8-28]
00B5E1DB 33C0 xor eax,eax
00B5E1DD 3BCE cmp ecx,esi
00B5E1DF 73 11 jnb short 00B5E1F2
00B5E1E1 8B51 0C mov edx,dword ptr ds:[ecx+C]〈--------找到这
00B5E1E4 0351 08 add edx,dword ptr ds:[ecx+8]〈-------在这下断
00B5E1E7 3BD0 cmp edx,eax
----------------------------------------------------------------
在上面地址下断以后，ALT+M取消内存断点，F9运行断下
继续F9，会在这多次中断，看“寄存器”窗口的ECX 00870298 ASCII ".reloc"
当出现这个的时候，再看 下面，这个时候显示的就是重定位表RVA和大小
现在我们记下来，取消断点。
----------------------------------------------------------------
ds:[008702A0]=00009E78 〈----大小
edx=00092000 〈-------重定位RVA
----------------------------------------------------------------
现在我们ALT+M
----------------------------------------------------------------
00870000 00001000 KingFor3 00870000 (itself) PE header
00871000 0008B000 KingFor3 00870000 CODE //★ 这里下 内存访问 断点
008FC000 00002000 KingFor3 00870000 DATA
008FE000 00001000 KingFor3 00870000 BSS
---------------------------------------------------------------
继续F9就到了OEP
---------------------------------------------------------------
008FBBAC 55 push ebp 〈------OEP
008FBBAD 8BEC mov ebp,esp
008FBBAF 83C4 C4 add esp,-3C
008FBBB2 B8 A4B88F00 mov eax,KingFor3.008FB8A4
008FBBB7 E8 88A8F7FF call KingFor3.00876444
008FBBBC 6A 00 push 0
008FBBBE E8 8DBEF8FF call KingFor3.00887A50 ; jmp to ole32.CoInitialize
008FBBC3 E8 2C6FF7FF call KingFor3.00872AF4
008FBBC8 E8 93F9FFFF call KingFor3.008FB560
008FBBCD E8 CA84F7FF call KingFor3.0087409C
008FBBD2 8BC0 mov eax,eax
----------------------------------------------------------------
用LordPE选中Ollydbg的loaddll.exe的进程，在下面的列表里选择这个dll，然后完整脱壳，得到dumped.dll。
（下面找IAT地址的方法也和FLY的不一样，大家注意看！）
现在我们再次ALT+M
---------------------------------------------------------------
00870000 00001000 KingFor3 00870000 (itself) PE header
00871000 0008B000 KingFor3 00870000 CODE
008FC000 00002000 KingFor3 00870000 DATA
008FE000 00001000 KingFor3 00870000 BSS
008FF000 00003000 KingFor3 00870000 .idata <--这里，双击，可以看到数据
---------------------------------------------------------------
008FF000 00 00 00 00 00 00 00 00 00 00 00 00 20 F8 08 00 ............ ?.
008FF010 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
008FF020 E0 FA 08 00 00 00 00 00 00 00 00 00 00 00 00 00 帔.............
008FF030 00 00 00 00 26 FB 08 00 00 00 00 00 00 00 00 00 ....&?.........
008FF040 00 00 00 00 00 00 00 00 66 FB 08 00 00 00 00 00 ........f?.....
008FF050 00 00 00 00 00 00 00 00 00 00 00 00 AE FB 08 00 ............?.
008FF060 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
008FF070 08 FC 08 00 00 00 00 00 00 00 00 00 00 00 00 00 ?.............
008FF080 00 00 00 00 7A FC 08 00 00 00 00 00 00 00 00 00 ....z?.........
008FF090 00 00 00 00 00 00 00 00 24 02 09 00 00 00 00 00 ........$......
008FF0A0 00 00 00 00 00 00 00 00 00 00 00 00 72 02 09 00 ............r..
008FF0B0 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
008FF0C0 0C 07 09 00 00 00 00 00 00 00 00 00 00 00 00 00 ...............
008FF0D0 00 00 00 00 A4 11 09 00 00 00 00 00 00 00 00 00 ....?..........
008FF0E0 00 00 00 00 00 00 00 00 BA 11 09 00 00 00 00 00 ........?......
008FF0F0 00 00 00 00 00 00 00 00 00 00 00 00 C8 12 09 00 ............?..
008FF100 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
008FF110 02 13 09 00 00 00 00 00 00 00 00 00 00 00 00 00 ..............
008FF120 00 00 00 00 30 13 09 00 00 00 00 00 00 00 00 00 ....0..........
008FF130 00 00 00 00 00 00 00 00 3E 15 09 00 00 00 00 00 ........>......
008FF140 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................
008FF150 00 00 00 00 8A 18 93 7C ED 10 92 7C 05 10 92 7C ....????? 〈-这里就是IAT开始地址
008FF160 A1 9F 80 7C 14 9B 80 7C 81 9A 80 7C 5D 99 80 7C ???|??]?| 地址为8FF154
008FF170 BD 99 80 7C AC 92 80 7C 17 A4 80 7C AB 14 81 7C ?????|??
008FF180 37 97 80 7C 94 97 80 7C 7B 97 80 7C 59 B8 80 7C 7?|??{?|Y?|
008FF190 C7 A0 80 7C AD 9C 80 7C E0 C6 80 7C 11 03 81 7C 沁???嗥??
008FF1A0 4F 1D 80 7C 05 A4 80 7C EE 1E 80 7C 28 AC 80 7C O??|??(?|
008FF1B0 29 B5 80 7C 57 B3 80 7C 7E D4 80 7C 8D 2C 81 7C )?|W?|~?|??
---------------------------------------------------------------
好了，下面我们用ImportREC选取这个.dll,填入RVA=8FF154-400000=4FF154、大小如果你不确定
的话，就写1000好了
（这里ImportREC的设置，我们这里和FLY的也不一样，选中“使用来自磁盘的PE首部”）
为什么RVA是8FF154-400000=4FF154呢？因为这个时候ImportREC里显示的“镜像基址”为400000
现在点“获取输入信息”再CUT掉无效指针，OEP=008FBBAC-870000，现在FIXDUMP
再用LOADPE修复一下文件吧，修复的时候“镜像基址”改成870000，重定位表RVA和大小，就写上
我们上面看到的吧！到此，脱壳完成！
以上的方法和FLY大侠所写的有些不同，看方法吧，脱壳有很多路，主要看自己
穿山甲的加壳选项比较多，目前我能搞定的就这一种，其他的还在琢磨中，呵呵
其他的加壳方式，如果哪位大侠搞定了，还希望提点一下我等菜鸟
Jameshero
2005-5-31
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
