-
-
关于 ASProtect 2.1x SKE 脱壳
-
发表于: 2005-12-26 16:31
-
论坛上SYSCOM发了很多关于ASProtect 2.1x SKE的脱壳文章，
我也照葫芦画瓢练习了一下。凑巧遇到一程序就是用的
ASProtect 2.1x SKE加的壳（PEID0.94），于是实战开始：
1.忽略除内存访问异常外的其它异常 F9运行
2.按 CTRL+B 搜索 83 C4 2C 5D 5F 5E 5B C3 找到一处位置。
但是下硬件断点后直到程序运行也没有中断下来！
于是在第31次异常后（32次异常后程序运行）在SEH句柄处F2
下断点，SHIFT+F9一次中断下来后取消断点。这时向下翻就
可以看到刚才搜索到的位置！ 下F2断点 F9运行后中断下来了：）
3.取消断点 F7跟进CALL 运行到RET时 按 CTRL+B 搜索
89 45 F0 B8 00 07 00 00 找到一处地方 修改跳转吧。
4.F7一下来到伪OEP开始处（？） 找空地贴上PATCH代码 并在代码开始处
新建EIP，开始模拟运行每一处的 CALL 00XX0000。
但是跳到相应位置执行call时出错了！ ：（ 感觉是模拟运行的
参数可能有问题，无奈汇编基础太差，找不出原因。 恳请高手指点！
脱壳无果只有考虑INLINE PATCH了。幸运的是ASProtect 2.1x SKE对付
inline patch的方法没什么特别的，按照以前的方法就可以搞定。只是
需要注意的是壳中增加了对一些空闲位置的检测，不小心就会发现你写
的修复代码被清零了！下内存访问断点就能找到清除代码 也相应PATCH
一下就OK了。
个人感觉对付ASProtect 2.1x SKE加壳程序，采用INLINE PATCH更好破
解，但不利于软件的汉化。
不知道大家怎么看，希望能多多交流一下。
我也照葫芦画瓢练习了一下。凑巧遇到一程序就是用的
ASProtect 2.1x SKE加的壳（PEID0.94），于是实战开始：
1.忽略除内存访问异常外的其它异常 F9运行
2.按 CTRL+B 搜索 83 C4 2C 5D 5F 5E 5B C3 找到一处位置。
但是下硬件断点后直到程序运行也没有中断下来！
于是在第31次异常后（32次异常后程序运行）在SEH句柄处F2
下断点，SHIFT+F9一次中断下来后取消断点。这时向下翻就
可以看到刚才搜索到的位置！ 下F2断点 F9运行后中断下来了：）
3.取消断点 F7跟进CALL 运行到RET时 按 CTRL+B 搜索
89 45 F0 B8 00 07 00 00 找到一处地方 修改跳转吧。
4.F7一下来到伪OEP开始处（？） 找空地贴上PATCH代码 并在代码开始处
新建EIP，开始模拟运行每一处的 CALL 00XX0000。
但是跳到相应位置执行call时出错了！ ：（ 感觉是模拟运行的
参数可能有问题，无奈汇编基础太差，找不出原因。 恳请高手指点！
脱壳无果只有考虑INLINE PATCH了。幸运的是ASProtect 2.1x SKE对付
inline patch的方法没什么特别的，按照以前的方法就可以搞定。只是
需要注意的是壳中增加了对一些空闲位置的检测，不小心就会发现你写
的修复代码被清零了！下内存访问断点就能找到清除代码 也相应PATCH
一下就OK了。
个人感觉对付ASProtect 2.1x SKE加壳程序，采用INLINE PATCH更好破
解，但不利于软件的汉化。
不知道大家怎么看，希望能多多交流一下。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
正在努力学习ASProtect 2.1x SKE脱壳中!
你能看的懂!我还看不懂!晕了 
|
|
|
|
|
|
感谢回复
这些天研究ASPR的壳 发现很多都不能用LOVEBOOM和SYSCOM的方法 主要原因在于SYSCOM的关键PATCH位置 （push 700）以及LOVEBOOM 的PATCH点(call ????)在到达stolen code开始处进行修复时并没有 运行到那些位置（ASPR作者做了改进？） 但是进入CALL慢慢跟踪能 找到API解密地址出现的地方：） 修复真是很麻烦的事 底子差 郁闷啊 
|
|
|
|
|
|
兄弟别郁闷了!
我现在ASProtect 2.1x SKE -> Alexey Solodovnikov 这个壳我脱了不知道怎么修复！ 脱后为Borland Delphi 6.0 - 7.0编写 还有PEBundle 2.0x - 2.4x-> Jeremy Collake [Overlay] 这个壳脱后也怎么修复？我也不会！ 脱后是Microsoft Visual C++ 6.0编写！ 还真郁闷了!哎呀!
|
|
|
现在流行新人脱变态壳，老鸟自称是壳盲。。。
|
|
|
ASPR2.1X的壳总算搞定了
再次感谢SYSCOM和LOVEBOOM的精彩脱壳教程 根据我脱这种壳的过程给新手一个建议：如果发现按教程无法 修复IAT时，一定要自己跟进那个CALL看看有什么地方出现API 解密后的地址，并写出相应的修复代码。 修复IAT后先DUMP FULL然后立即DUMP REGION附属数据，否则 脱壳后程序无法运行的
|
|
|
最初由 Phoenix 发布 此帖炫耀的成分比较重 放个教程出来吧
|
|
|
|
|
|
最初由 chinadev 发布 MOV EAX,700 修改 ==>JMP XXXXXXXX(补丁代码相应位置) 一般ASPR有检测 建议设置硬件执行断点并用脚本来完成跳转
|
|
|
最初由 okdodo 发布 用的是哪个例子？ 方法是INLINE PATCH吗？ |
|
|
最初由 wwwddd 发布 不是用的SYSCOM和LOVEBOOM教程的例子 稍微有些不同 换PATCH点脱壳后运行正常。 不是用的INLINE PATCH 复杂了很多 不过多数是体力活
|
|
|
|
|
|
再次尝试一个asprotect2.1x加壳的程序～
发现和以前有点不同：忽略所有异常后，F9运行 结果到程序运行后只有两次INT3异常，无法找到 最后一次异常，有谁遇到这种情况吗？能否指点 一下  不知道是不是新版的，没用到内存访问异常吗？ |
|
|
|
