-
-
[原创][开源]用C++实现的壳(扩展版)
-
2016-1-1 13:47
-
本来想增加反调试功能，可我实在水平有限，无法干掉StrongOD的反反调试功能，所以就没在拓展版中假如反调试功能，如果大家有什么好的反调试技术可以添加到这个壳子里，我在这就不献丑了...
拓展版在界面上有了变化，增加了一些可选选项：
【IAT加密】
我对IAT进行加密的思路是：
①首先定义一个自己的导入表数据结构，在Pack部分加壳的时候，读取被加壳程序的导入表信息并保存到我自己的导入表数据结构中，然后抹去被加壳程序的导入表数据；
②在Shell部分对IAT进行解密的时候，直接从我自己定义的导入表数据结构中获取修复IAT所用的信息，当通过这些信息获取到真正的函数地址后，将该地址填入一个new出来的堆空间1内保存，在这个堆空间1内加入一些花指令，最终再调用真正的函数地址。
如果直接将堆空间1的地址写入IAT，就完成了一个简单的IAT-Hook，但这样操作的话，真正的函数地址和要写入的IAT地址会同时出现，在反汇编中修改代码，直接将函数地址写入IAT地址的话，就会使得IAT-Hook失效，所以我没有直接将堆空间1写入IAT地址。
③而是将堆空间1写入了一段又new出来的堆空间2，然后再在别的函数中，将堆空间2的地址写入IAT地址，这就能保证真正的函数地址和IAT地址不同时出现，这样的话，如果脱壳者在不了解我自己定义的导入表数据结构的情况下，是很难修复IAT并成功脱壳的。
我自己定义的IAT数据结构如下：
typedef struct _MYIMPORT
{
DWORD m_dwIATAddr; //IAT地址
DWORD m_dwModNameRVA; //模块名偏移
DWORD m_dwFunNameRVA; //函数名偏移
BOOL m_bIsOrdinal; //是否为序号导出函数
DWORD m_Ordinal; //序号
}MYIMPORT, *PMYIMPORT;
如果大家感兴趣可以用这个壳对一个程序进行“IAT加密”，然后忘掉这个导入表数据结构，再脱脱壳感受一下，嘿嘿...
这个其实没有什么技术含量，只是在逻辑上很难破解（在你不知道这个程序所绑定的机器码的情况下）。
原理就是，用机器码1同代码段进行亦或操作，这样加过壳的程序就只能在机器码1的电脑上运行了，而如果在其他机器上运行，Shell部分在对机器码绑定进行解密的时候，获取的机器码同机器码1不同，这样解密出来的代码就是垃圾代码，根本无法运行，这样双击的效果为：
我这个获取机器码的代码是从网上找的，但貌似并不是真正的机器码，不过也无所谓，只要能保证每台机器所获取的信息都是不同且唯一的就行，原理一样。
【总结】
给程序加壳其实就是拖慢破解者的进度，或者从数量上击垮对方，很难有脱不了的壳，除非是经过VM保护的代码才会很难分析。这就是一场加壳者和破解者之间的较量，再简单的壳也会有小菜脱不了，再难的壳也会有大牛能搞定。
注：测试环境为win7系统，32位和64位都可以，但在xp上不行，原因是Shell部分获取Kernel32.dll基址的时候的代码只适用于win7，xp的话需要删除一句“mov eax, [eax]”。如果你想要兼容xp的话，请从网上自行搜索获取Kernel32.dll基址的其他方法。
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
good job
|
|
|
非常感谢回复
要是以后加入虚拟机引擎就爽了 |
|
|
|
|
|
|
|
|
 你这个思路实现了吗？ 我获取到真正的函数地址以后，不是直接填到对应的IAT地址的啊。。而是直接填到一块new出来的堆空间中的啊，而这个堆空间中填的地址也不是直接就是函数地址，是一段ShellCode的地址，经过一些花指令以后才会call真正的函数地址。你dump以后成功修复IAT了？  (加壳的时候别忘了选择IAT加密 )
|
|
|
|
|
|
|
|
|
哇，多谢大牛赐教！
调试方面我还是太弱啊，回头研究研究你说的这种方法！ 感谢感谢！
|
|
|
|
|
|
我用的是VS2013开发的。
我给出的那个78kb的Shell.dll是我在VS2013下静态编译的( 运行库：多线程 MT )Release版。  你试一下你自己编译exe文件配上压缩包里自带的Shell.dll(78kb)看能不能正常加壳。如果能的话就说明是Shell编译的问题。 确定一下你的dll项目是否是Release(之前为了调试方便，我把shell项目Release的生成目录改成了Debug目录)，再确定一下Shell项目是不是按照上图中的方式设置。 在我电脑上下载下来源码然后直接编译出来，加壳是没问题的。 看来VS低版本对高版本的兼容性不太好吧，你也可以看看这个迁移方案，希望能够帮到你： http://blog.csdn.net/civilman/article/details/40109483 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
没啥不高兴的，我这壳本来就是供大家学习的，我自己水平也有限，有大牛来指点当然是极好的了！
|
|
|
|
|
|
|
