【脱文标题】：冰盾抗DDOS防火墙V6.6主程序UltraProtect脱壳

【破文作者】：KuNgBiM[DFCG][N.C.P.H]

【作者邮箱】：kungbim@163.com

【作者网站】：http://www.ncph.net

【软件名称】：冰盾抗DDOS防火墙V6.6 Build 51111

【软件大小】：1.35MB

【软件语言】：简体中文

【下载地址】：http://www.bingdun.com/bdfwsetup.exe

【软件简介】：全球第一款具备IDS入侵检测功能的专业级抗DDOS防火墙

     冰盾抗DDOS防火墙（Bingdun Anti-DDOS Firewall）来自IT技术世界一流的美国硅谷，由华人留学生Mr.Bingle Wang和Mr.Buick Zhang设计开发，采用国际领先的生物基因鉴别技术智能识别各种DDOS攻击和黑客入侵行为，防火墙采用MicroKernel微内核和ActiveDefense主动防御引擎技术实现，工作在系统的最底层，充分发挥CPU的效能，仅耗费少许内存即获得惊人的处理效能。经高强度攻防试验测试表明：在抗DDOS攻击方面，工作于100M网卡冰盾约可抵御每秒25万个SYN包攻击，工作于1000M网卡冰盾约可抵御160万个SYN攻击包；在防黑客入侵方面，冰盾可智能识别Port扫描、Unicode恶意编码、SQL注入攻击、Trojan木马上传、Exploit漏洞利用等2000多种黑客入侵行为并自动阻止，是迄今为止在抗DDOS领域功能最为强大的防火墙产品之一。

【保护方式】：注册码 + 续防护2小时试用限制

【加密保护】：UltraProtect 1.x -> RISCO Software Inc

【编译语言】：Microsoft Visual C++ 7.0

【调试环境】：WinXP-sp2、PEiD、Ollydbg、LordPE、ImportREC

【破解日期】：2005-08-18

【破解目的】：推广使用Ollydbg手动脱壳

【作者声明】：初学Crack，只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教！

―――――――――――――――――――――――――――――――――
【脱壳过程】：

侦壳：用PEiD查壳，UltraProtect 1.x -> RISCO Software Inc 加壳（原名：ACProtect）

设置Ollydbg忽略所有其它异常选项。老规矩：用IsDebug 1.4插件去掉Ollydbg的调试器标志。

Ollydbg载入主程序：

004F3000 >  60                  pushad                                    ; OD加载主程序后，停在这里
004F3001    7C 03               jl short bdfw.004F3006                    ; F8到这里，查看寄存器ESP值
004F3003    7D 01               jge short bdfw.004F3006
004F3005    E8 81D00873         call 7358008B
004F300A    E5 4D               in eax,4D
004F300C    F9                  stc
004F300D    50                  push eax
004F300E    E8 01000000         call bdfw.004F3014
004F3013  - 74 83               je short bdfw.004F2F98
004F3015    C40458              les eax,fword ptr ds:[eax+ebx*2]
........

命令行下断：hr esp 回车，F9运行

0050A106   /EB 01               jmp short bdfw.0050A109                   ; 第一次中断到这里，F8继续
0050A108   |E8 FF254BA1         call A19BC70C
0050A10D    50                  push eax
0050A10E    0060 E8             add byte ptr ds:[eax-18],ah
0050A111    0000                add byte ptr ds:[eax],al
0050A113    0000                add byte ptr ds:[eax],al
0050A115    5E                  pop esi
0050A116    83EE 06             sub esi,6
0050A119    B9 66000000         mov ecx,66
0050A11E    29CE                sub esi,ecx
0050A120    BA EEFDF861         mov edx,61F8FDEE
0050A125    C1E9 02             shr ecx,2
0050A128    83E9 02             sub ecx,2
0050A12B    83F9 00             cmp ecx,0
0050A12E    7C 1A               jl short bdfw.0050A14A
0050A130    8B048E              mov eax,dword ptr ds:[esi+ecx*4]
........

0050A109  - FF25 4BA15000       jmp dword ptr ds:[50A14B]                 ; 第二次中断到这里，F8继续
0050A10F    60                  pushad
0050A110    E8 00000000         call bdfw.0050A115
0050A115    5E                  pop esi
0050A116    83EE 06             sub esi,6
0050A119    B9 66000000         mov ecx,66
0050A11E    29CE                sub esi,ecx
0050A120    BA EEFDF861         mov edx,61F8FDEE
0050A125    C1E9 02             shr ecx,2
0050A128    83E9 02             sub ecx,2
0050A12B    83F9 00             cmp ecx,0
0050A12E    7C 1A               jl short bdfw.0050A14A
0050A130    8B048E              mov eax,dword ptr ds:[esi+ecx*4]
0050A133    8B5C8E 04           mov ebx,dword ptr ds:[esi+ecx*4+4]
0050A137    03C3                add eax,ebx
0050A139    C1C8 06             ror eax,6
........

0043DBD8    6A 60               push 60                                   ; 在这儿用LordPE纠正ImageSize后完全Dump这个进程
0043DBDA    68 A08C4600         push bdfw.00468CA0
0043DBDF    E8 402D0000         call bdfw.00440924
0043DBE4    BF 94000000         mov edi,94
0043DBE9    8BC7                mov eax,edi
0043DBEB    E8 202B0000         call bdfw.00440710
0043DBF0    8965 E8             mov dword ptr ss:[ebp-18],esp
0043DBF3    8BF4                mov esi,esp
0043DBF5    893E                mov dword ptr ds:[esi],edi
0043DBF7    56                  push esi
0043DBF8    FF15 A8424600       call dword ptr ds:[4642A8]                ; kernel32.GetVersionExA
0043DBFE    8B4E 10             mov ecx,dword ptr ds:[esi+10]
0043DC01    890D F80D4800       mov dword ptr ds:[480DF8],ecx
0043DC07    8B46 04             mov eax,dword ptr ds:[esi+4]
0043DC0A    A3 040E4800         mov dword ptr ds:[480E04],eax
0043DC0F    8B56 08             mov edx,dword ptr ds:[esi+8]
0043DC12    8915 080E4800       mov dword ptr ds:[480E08],edx
........

运行ImportREC 1.6，选择这个进程。把OEP改为0003DBD8，依次点“自动搜索IAT”-->“获得输入信息”-->“显示无效函数”
然后有2个无效函数，第一个用“跟踪级别1(反汇编)”修复，第二个修复不了就“剪切指针”，这下OK了，函数全部有效.“修复抓取文件”，脱壳后的程序正常运行！编译语言：Microsoft Visual C++ 7.0

--------------------------------------------------------------------------------------------

版权所有（C）2005 KuNgBiM[DFCG][N.C.P.H]         Copyright (C) 2005 KuNgBiM[DFCG][N.C.P.H]

--------------------------------------------------------------------------------------------
        UnPacked By KuNgBiM[DFCG][N.C.P.H]

                   2005-12-05

                   22:29:18 PM

附件:冰盾抗DDOS防火墙V6.6 Build 51111主程序脱壳文件.rar

[课程]Linux pwn 探索篇！