Hying's Armor v0.7x Code Injection

【目     标】:商业类的东西不便说出名字
【工     具】:Olydbg1.1(diy版)、LORDPE、ImportREC1.6F 
【目　　的】: 通过注入代码，在程序运行前显示一个提示框
【操作平台】:Windows 2003 server 
【作     者】: LOVEBOOM[DFCG][FCG][US]
【简要说明】： 相信会脱这个壳的人已经有很多很多了，在你想明白怎么注入代码之前，你得有一点基础知识，对这个壳比较了解，这篇文章是
讲如何注入，并非脱壳分析，如果你想知道如何脱壳，可以看我以前的文章和别的网友的文章，如果那些文章你都看懂了，而你有一定的基础，相
信这篇文章对你来说是非常简单的:-)。
【详细过程】:
正式开始前先讲一些：这个壳经常伪装成别的壳来欺骗检测工具的检测，骗过对壳没有了解的朋友。这次我找的目标也同样伪装了，这次伪装
成*Neolite 2.0 -> Neoworx Inc.*的了，如果你按那个壳的方法去操作肯定是没有结果的。
  这个壳的反跟踪比较多，有精彩代码值得我们学习的。用OD跟踪比用SICE跟踪更为方便，异常太多了。花指令也是做的比较有个性的:-)。
用OD跟踪的的话，只有一个anti-debug可以防止我们跟踪。
也许你会说，直接在壳代码处就改自己的代码不就行了吗?是的，没错。我选择在程序代码解压出来之后再出现信息框是想说，代码已经解压出来
了，你可以修改程序的流程了，可以暴力破解或找修改壳的流程，去除全部的anti-debug让壳和upx一样等等，只有想不到的，没有做不到的。
要在壳运行过程中添加提示信息的话，先得找入手点，找入手点当然比须对壳比较了解，然后考虑我们的写注入的东西里要用到哪些东西，这些东
西又从哪里获取，是自己添加还是直接借用壳的。Patch代码又存放到哪里，是否有足够的空间。等等。
我选择的是在壳解压出程序的代码后，壳CRC检测时用到的UnmapViewOfFile作为入口点，我做的方式是在壳入口处就开始hook掉该进程的UnmapViewOfFile,
让壳执行这个程序之前先显示我想显示的对话框。Hook的过程我们要修改进程空间的代码，所以我们就得先获取相关权限，然后修改内存页，让相关空
间代码能够修改，这个过程我们就得知道，我这里偷了下懒，作为完整的写法应该是修改完后，还原程序代码，然后把相关权限也写回去的，我没有写还
原代码的。获取和修改权限就得用到VirtualQuery和VirtualProtect，用VirtualQuery获取原有的权限后应该保存一个地方呀，这个地方我选择动态申请，动
态申请用取了VirtualAlloc和VirtualFree这两个API。添加信息框要用到MessageBoxA这个Api,这个API在USER32.DLL中，壳开始的时候并没有加载这个dll,所
以还得用到LoadLibraryA,载入了DLL之后，还得取api的地址呀，所以就用到了GetProcAddress,用GetProcAddress中要用到DLL的句柄，获取句柄的话就得用
到GetModuleHandleA。还好壳里已经有GetModuleHandleA这个api。总结一下用到了这么些API：
  GETMODULEHANDLEA
  GETPROCADDRESS
  LOADLIBRARYA
  VIRTUALALLOC
  VIRTUALFREE
  VIRTUALQUERY
  VIRTUALPROTECT
  UnmapViewOfFile
  MESSAGEBOXA
要用的API已经得到，要提示信息还得到在空地上写上想提示的信息，还得把要动态获取地址的API的名字写上去，还得把那两个DLL的名字都写上去。
OK，自己想了这么些情况，然后开始动手：
用peid看了一下报告成伪壳，随便在段后面的空间里写的点东西，再运行，发现程序不让运行，这说明程序有检测。用LordPE看看只有少数几个api函数：
->Import Table
   1. ImageImportDescriptor:
    OriginalFirstThunk:  0x0007E079
    TimeDateStamp:       0x00000000  (GMT: Thu Jan 01 00:00:00 1970)
    ForwarderChain:      0x00000000
    Name:                0x0007E089  ("KERNEL32.dll")
    FirstThunk:          0x0007E079

    Ordinal/Hint API name
    ------------ ---------------------------------------
    0x0000       "GetProcAddress"
    0x0000       "LoadLibraryA"
    0x0000       "GetModuleHandleA"
看到这些输入表信息我们就能达到目标了（如果输入表为空的话，能不能达到我的目的呢?答案是肯定的。因为壳自己也要用到API，壳用什么方法获取，我们也模拟它来完成使命。）
上面分析后代码量可能比较大，所以还得找找有没有足够的空间。所以用lordpe看看程序的”空地”有多少，壳是加密后，通过在原程序的基础上增加一个段来保存解壳代码，所
以我们看看最后一个段有没有足够的空间。最后一个段的信息：
item:
    Name:                  
    VirtualSize:           0x00014000
    VirtualAddress:        0x0007E000
    SizeOfRawData:         0x00014000
    PointerToRawData:      0x00029A00
    PointerToRelocations:  0x00000000
    PointerToLinenumbers:  0x00000000
    NumberOfRelocations:   0x0000
    NumberOfLinenumbers:   0x0000
    Characteristics:       0xC0000040
    (INITIALIZED_DATA, READ, WRITE)
看了下空间不是很多，所以自己修改下，把空间改大点，添加了&H1000的空间，这样可以放足够的代码了。修改后：
    Name:                  
    VirtualSize:           0x00015000       ************
    VirtualAddress:        0x0007E000
    SizeOfRawData:         0x00015000      ************
    PointerToRawData:      0x00029A00
    PointerToRelocations:  0x00000000
    PointerToLinenumbers:  0x00000000
    NumberOfRelocations:   0x0000
    NumberOfLinenumbers:   0x0000
    Characteristics:       0xC0000040
    (INITIALIZED_DATA, READ, WRITE)
修改好后用OD载入目标,现在来获取LoadLibraryA、GetModuleHandleA、GetProcAddress ,
00491DAD > /E9 00000000     JMP 00491DB2                             ; EP,伪装别的壳的入口
00491DB2   \60              PUSHAD
00491DB3    E8 14000000     CALL 00491DCC
00491DB8    5D              POP EBP
载入后，下命令g GetModuleHandleA，断下后，通过堆栈看看GetModuleHandleA载入地址：
0012FF9C   0047E117  /CALL to GetModuleHandleA from cjbo.0047E114
0012FFA0   0047E089  \pModule = "KERNEL32.dll"
……
0047E114    FF53 08         CALL DWORD PTR DS:[EBX+8]                ; 这里调用GetModuleHandleA
0047E117    8BF8            MOV EDI,EAX                              ; 返回到这里
计算一下得知GetModuleHandleA保存在0047E081处。因为IAT地址一般是连续的，这样的话，直接DD 47e081看看数据窗口就知道其它两个API保存的位置了：
0047E079 >77E12DFB  kernel32.GetProcAddress
0047E07D >77E1850D  kernel32.LoadLibraryA
0047E081 >77E12CD1  kernel32.GetModuleHandleA

因为关系到重定位，所以为了防止意外我用到相对地址的方式来获取实际地址。
第一步已经完成了，第二步看看UnmapViewOfFile在哪里调用，看它的原因是去找CRC检测数据。重来, 这次要去除ZwSetInformationThread这个anti-ring3’debug,否
则壳会脱离Debugger,让调试器不能跟踪。去除ZwSetInformation时要注意不能直接改成RET　10之类的，壳会检测的：
00382CB2    8A06            MOV AL,BYTE PTR DS:[ESI]
00382CB4    3C B8           CMP AL,0B8                               ; 开始检测了，判断是否为mov eax,xxxxxx的方式，如果不是则跳
00382CB6    75 04           JNZ SHORT 00382CBC
00382CB8    A4              MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
00382CB9    A5              MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ES>
00382CBA    EB 33           JMP SHORT 00382CEF
00382CBC    3C 8D           CMP AL,8D
00382CBE    75 03           JNZ SHORT 00382CC3                       ; 判断是否为LEA的方式
00382CC0    A5              MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ES>
00382CC1    EB 2C           JMP SHORT 00382CEF
00382CC3    3C CD           CMP AL,0CD                               ; 判断是否为Int xx的入口
00382CC5    75 04           JNZ SHORT 00382CCB
00382CC7    66:A5           MOVS WORD PTR ES:[EDI],WORD PTR DS:[ESI]
00382CC9    EB 24           JMP SHORT 00382CEF
00382CCB    3C BA           CMP AL,0BA                               ; 判断是否为mov edx,address的方式
00382CCD    75 04           JNZ SHORT 00382CD3
00382CCF    A4              MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
00382CD0    A5              MOVS DWORD PTR ES:[EDI],DWORD PTR DS:[ES>
00382CD1    EB 1C           JMP SHORT 00382CEF
00382CD3    3C FF           CMP AL,0FF                               ; 判断是否为push [address]的方式
00382CD5    75 04           JNZ SHORT 00382CDB
00382CD7    66:A5           MOVS WORD PTR ES:[EDI],WORD PTR DS:[ESI]
00382CD9    EB 14           JMP SHORT 00382CEF
00382CDB    3C C2           CMP AL,0C2                               ; 判断是否为RET val的方式
00382CDD    75 0A           JNZ SHORT 00382CE9
00382CDF    A4              MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
00382CE0    66:A5           MOVS WORD PTR ES:[EDI],WORD PTR DS:[ESI]
00382CE2    61              POPAD
00382CE3    33C0            XOR EAX,EAX
00382CE5    40              INC EAX
00382CE6    C2 0C00         RETN 0C
00382CE9    61              POPAD
00382CEA    33C0            XOR EAX,EAX
00382CEC    C2 0C00         RETN 0C
当然如果你的目标不是新版本的不会检测的。
去除这个anti-Debug后，follow UnmapViewOfFile,在RET 4处下断。运行中断后，取消断点，返回壳代码：
0037DAB9    FFB5 64174100   PUSH DWORD PTR SS:[EBP+411764]           ; 返回到这里
0037DABF    7C 05           JL SHORT 0037DAC6
0037DAC1    EB 05           JMP SHORT 0037DAC8
0037DAC3    0FCD            BSWAP EBP
0037DAC5    2074F9 8D       AND BYTE PTR DS:[ECX+EDI*8-73],DH
0037DAC9    859D C34000EB   TEST DWORD PTR SS:[EBP+EB0040C3],EBX
0037DACF    020F            ADD CL,BYTE PTR DS:[EDI]
0037DAD1    0F50E8          MOVMSKPS EBP,XMM0
0037DAD4    04 00           ADD AL,0
0037DAD6    0000            ADD BYTE PTR DS:[EAX],AL
0037DAD8    CD 20           INT 20
0037DADA  - E9 6883C404     JMP 04FC5E47
0037DADF    8B85 A2184100   MOV EAX,DWORD PTR SS:[EBP+4118A2]        ; CloseHandle
0037DAE5    EB 04           JMP SHORT 0037DAEB

没跟多久看会看到，CRC的比较了。
0037DC7E    3BF7            CMP ESI,EDI                              ; 到这里进行CRC检测
0037DC80    0F85 F65E0000   JNZ 00383B7C                             ; 不等则over
其中ESI是计算后的结果，EDI就是正确的CRC值，这里就有三种去除方式了，第一种在把crc值保存在文件中，第二种mov esi,edi,的方式，第三种直接改成nop。
用LordPE看一下正确的CRC值正是保存在PE header-4处。
004000F0  00 00 00 00 00 00 00 00 00 00 00 00 61 95 C1 32  ............a?2
00400100  50 45 00 00 4C 01 03 00 19 5E 42 2A 00 00 00 00  PE..L  . ^B*....
原程序没修改时的正确CRC值为32c19561,这个值是换算后的。换算方法是：
KEY==CRC xor Key(048F7032)
key==KEY ROR 3
如果你现在直接在od里是看不到程序解码的，因为我并没有处理DRx部分。这篇文章是讲代码注入的，所以我不讲那些东西。
现在我们的CRC值的信息已经找到，也知道是哪里用UnmapViewOfFile这个函数，现在只需在壳入口处写上自己的代码，然后在上面比较CRC值是否正确的地方，
把正确的检测值，保存到pe header-4处。现在只差写代码，我在这里开始写：

00491DCC    5D              POP EBP                                  ; 我从这里开始修改,我通过相当地址来计算实际地址的,EBP== 00491DB8
过了这里后，记下EBP的值，然后和上面获取的地址运算后得到实际地址
00491DCD    E8 0E000000     CALL 00491DE0                            ; 先取Kernel32.dll的句柄
整理了一下代码：
  start:
    call @F
    
    @@:
      pop ebp          ;获取EBP的值
      call @F
      db 'Kernel32.dll',0,0
    @@:
      CALL DWORD PTR SS:[EBP+0FFFEC2C9h]        ;获取Kernel32.dll的句柄
      MOV DWORD PTR SS:[EBP+500h],EAX           ;保存句柄
      call @F
      db 'VirtualAlloc',0
    @@:
      PUSH DWORD PTR SS:[EBP+500h]              ; push hModule
      CALL DWORD PTR SS:[EBP+0FFFEC2C1h]        ; GetProcAddress
      MOV DWORD PTR SS:[EBP+504h],EAX           ;保存VirtualAlloc的地址
      call @F
      db 'VirtualQuery',0
    @@:
      PUSH DWORD PTR SS:[EBP+500h]              ; push hModule      
      CALL DWORD PTR SS:[EBP+0FFFEC2C1h]        ; GetProcAddress
      MOV DWORD PTR SS:[EBP+508h],EAX           ;保存VirtualQuery的地址
      CALL @F
      DB 'VirtualProtect',0,0                   ;因为我自己是用od直接写的代码，所以我现在整理把那些多余的0都写进来
    @@:  
      PUSH DWORD PTR SS:[EBP+500h]              ; push hModule
      CALL DWORD PTR SS:[EBP+0FFFEC2C1h]        ; GetProcAddress
      MOV DWORD PTR SS:[EBP+50Ch],EAX           ;Save address
      CALL @F
      db 'VirtualFree',0,0
    @@:
      PUSH DWORD PTR SS:[EBP+500h]              ; push hModule
      CALL DWORD PTR SS:[EBP+0FFFEC2C1h]        ; GetProcAddress      
      MOV DWORD PTR SS:[EBP+510h],EAX           ;SaveAddress
      CALL @F
      db 'User32.dll',0,0
    @@:
      CALL DWORD PTR SS:[EBP+0FFFEC2C5h]        ;Load Library user32.dll
      CALL @F
      db 'MessageBoxA',0
    @@:
      push eax                  ;push hModule
      db 5 dup (90h)
      CALL DWORD PTR SS:[EBP+0FFFEC2C1h]         ; GetProcAddress         
      MOV DWORD PTR SS:[EBP+514h],EAX            ;save address
      call @F
      db 'UnmapViewOfFile',0,0
    @@:
      PUSH DWORD PTR SS:[EBP+500h]               ; push hModule
      CALL DWORD PTR SS:[EBP+0FFFEC2C1h]         ; GetProcAddress      
      MOV DWORD PTR SS:[EBP+518],EAX             ;save address
      PUSH 4h                                    ; /Protect = PAGE_READWRITE
      PUSH 1000h                                 ; |AllocationType = MEM_COMMIT
      PUSH 28h                                   ; |Size = 28 (40.)
      PUSH 0                                     ; |Address = NULL
      CALL DWORD PTR SS:[EBP+504h]               ; \VirtualAlloc
      MOV DWORD PTR SS:[EBP+52Ch],EAX            ; 保存hMeM
      MOV ESI,EAX                                ; 获取权限
      PUSH 28h                                   ; /BufSize = 28 (40.)
      PUSH ESI                                   ; |Buffer = 003A0000
      PUSH EDI                                   ; |Address = kernel32.UnmapViewOfFile
      CALL DWORD PTR SS:[EBP+508h]               ; \VirtualQuery
      LEA EAX,DWORD PTR DS:[ESI+14h]             ; 准备修改权限
      PUSH EAX                                   ; /pOldProtect = 003A0014
      PUSH 40h                                   ; |NewProtect = PAGE_EXECUTE_READWRITE
      LEA EAX,DWORD PTR DS:[ESI+0Ch]             ; |
      PUSH DWORD PTR DS:[EAX]                    ; |Size = 78000 (491520.)
      PUSH DWORD PTR DS:[ESI]                    ; |Address = kernel32.77E16000
      CALL DWORD PTR SS:[EBP+50Ch]               ; \VirtualProtect
      PUSH EBX                                   ; 修改API入口代码
      MOV EAX,DWORD PTR SS:[EBP+518h]
      INC EAX
      LEA EBX,DWORD PTR SS:[EBP+196h]
      SUB EBX,EAX
      SUB EBX,5h
      MOV BYTE PTR DS:[EAX],0E8h
      MOV DWORD PTR DS:[EAX+1],EBX
      POP EBX                                    ; 7FFDF000
      POPAD
      ;JMP 0047E0D6                              ; 跳去执行原壳的流程
  end start
修改API入口入＋1的代码为:
77E1667C >  53              PUSH EBX             ;API入口
77E1667D    E8 CCB86788     CALL cjb.00491F4E
然后在491F4E处写上相关的代码就可以了：
00491F4E    60              PUSHAD
00491F4F    E8 00000000     CALL 00491F54
00491F54    5D              POP EBP
00491F55    8B85 7C030000   MOV EAX,DWORD PTR SS:[EBP+37C]
00491F5B    C740 01 8B5C240>MOV DWORD PTR DS:[EAX+1],8245C8B         ; 还原API的代码
00491F62    C640 05 56      MOV BYTE PTR DS:[EAX+5],56
00491F66    8D40 01         LEA EAX,DWORD PTR DS:[EAX+1]
00491F69    894424 20       MOV DWORD PTR SS:[ESP+20],EAX
00491F6D    9C              PUSHFD
00491F6E    6A 40           PUSH 40                                  ; /Style = MB_OK|MB_ICONASTERISK|MB_APPLMODAL
00491F70    8D85 AC000000   LEA EAX,DWORD PTR SS:[EBP+AC]            ; |
00491F76    50              PUSH EAX                                 ; |Title = "Demo"
00491F77    8D85 B2000000   LEA EAX,DWORD PTR SS:[EBP+B2]            ; |
00491F7D    50              PUSH EAX                                 ; |Text = "Hying's Armor v0.7x Code Injection Demo
00491F7E    6A 00           PUSH 0                                   ; |hOwner = NULL
00491F80    FF95 78030000   CALL DWORD PTR SS:[EBP+378]              ; \MessageBoxA
00491F86    9D              POPFD
00491F87    61              POPAD
00491F88    C3              RETN
代码已经写好了，保存一下，然后通过上面找CRC 的方式找出实际的正确值。写在PE HEADER-4处：
004000F0  00 00 00 00 00 00 00 00 00 00 00 00 07 61 90 D6  ............a?
00400100  50 45 00 00 4C 01 03 00 19 5E 42 2A 5B 4C 6F 72  PE..L  . ^B*[Lor
全部修改完，保存为文件，试试就可以成功了。再说一下，因为是商业性的东西，所以我不以具体怎么破解之类的来写。
Greetz:
Fly.Jingulong,yock,tDasm.David.hexer,hmimys,ahao.UFO(brother).alan(sister).all of my friends and you!

                                                    By loveboom[DFCG][FCG][US]
                                                    http://blog.csdn.net/bmd2chen
                                                    Email:loveboom#163.com
                                                    Date:2005-6-6 17:59
'好色'了一下

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课