如果阅读本文,发现一些框架性的东西难以理解,可以先阅读这两篇文章

https://bbs.pediy.com/thread-206804.htm

https://bbs.pediy.com/thread-206873.htm

本来想自己写个系列的,结果已经有前辈写好了,我就分享一下自己独有的吧

0.      大体思路:

项目有加壳和解壳两部分,这两个部分通过结构体PACKINFOPackInfo来连接,具体实现是PACKINFOg_PackInfo定义在解壳的项目(dll项目,名为Stub)中,加壳部分通过

(PPACKINFO)GetProcAddress(hStub ,"g_PackInfo")来操作这个结构体.

这样就能将原PE文件的信息存入到解壳部分,减轻解壳部分的信息获取压力,在某些置0操作后,解壳部分依然能获取到信息.而且还可以获取到具体的加壳选项信息.下面将这个结构体称为PackInfo

加壳部分最后将解壳部分Stub.dll的某些区段添加到原PE文件上

1.      TLS完美处理

一开始处理TLS部分不知道怎么弄,看了看别人的帖子,结果豁然开朗,不就是循环调用TLS回调函数嘛.然后给自己来了个”高难度”的进行加壳,结果就出错了,果然是纸上得来终觉浅

测试程序是这样的:TLS回调函数首先使用TLS全局变量弹出对话框,接着主程序使用TLS全局变量弹出对话框,接着创建线程,线程中调用了MessageBox,其使用了TLS全局变量

// TLS测试程序

#include"stdafx.h"

#include"windows.h"

__declspec(thread)charg_tlsNum[10]="ffff";

voidNTAPIt_TlsCallBack_A(PVOIDDllHandle,DWORDReason,PVOIDRed)

{

   if(DLL_PROCESS_ATTACH==Reason)

   {

       MessageBoxA(0 , g_tlsNum , 0 , 0);

   }

}

#pragmadata_seg(".CRT$XLB")

PIMAGE_TLS_CALLBACKp_thread_callback[]={

   t_TlsCallBack_A,

   NULL

};

#pragmadata_seg()

DWORDWINAPIMyThreadProc(

   _In_LPVOIDlpParameter

)

{

   MessageBoxA(0 , g_tlsNum , 0 , 0);

   return0;

}

intmain()

{

   MessageBoxA(0 , g_tlsNum , 0 , 1);

   CreateThread(NULL, 0, MyThreadProc,NULL, 0,NULL);

   system("pause");

   return0;

}

        结果能弹出对话框,可是MessageBox上的字符是随机的.

可以看到,这里的数据”ffff”和数据块开始和结束在汇编层面是看不出有什么关系的,后来查阅更多的资料得知,当线程创建时,系统会从数据块开始VA和结束VA这一块空间中读取内容保存到pMem中,pMem地址存在fs:[0x2c]指向的指针数组中的一个,而索引变量则是用于找到pMem.也就是说如果每创建一个线程,就会从数据块开始VA和结束VA读取一次,保存到当前线程的空间,内存地址保存到fs:[0x2c]指向的指针数组中,通过索引变量找到数据地址.

那么,如果一开始没能让系统正确读取到你的TLS数据块,主线程之后就在也不能正确使用TLS全局变量(如果再创建线程,并且TLS数据块已经恢复好了,依然可以正确使用TLS全局变量,此为测试所得,也符合各资料所言),所以必须一开始就构建好TLS.

接下来,怎么构建呢?

逐个分析:

首先看TLS表存在哪?

是的,它存在rdata段,那么考虑压缩功能,在解压之前必定是不能正确读取了.

处理方法:Stub工程中添加一个TLS全局变量,并做做样子使用一下

_declspec(thread)intg_num;    Stub初始化函数中:  g_num;//使用tls变量,产生tls节表,

这里还有一个前置条件,

#pragmacomment(linker,"/merge:.data=.text")

#pragmacomment(linker,"/merge:.rdata=.text")

#pragmacomment(linker,"/section:.text,RWE")

也就是Stub.dll中.rdata段被合到.text段,这样只要拷贝了.text段(也是其他主要功能的载体)就可以使用其就可以其提供的tls表.

那么,首先就需要将原pe文件的目录表第10项指向Stub的这个tls表(由于会添加Stub.dll的text段作为解壳段,所以地址自然会有转换关系).

还需要将Stub的tls表中的值更改,接下来看TLS表中重要的值,

第一项和第二项其实就是代表TLS区段(注意这里是区段),所以处理是:TLS区段不能更改,原TLS表中的值设置到Stub的Tls表中

第三项:索引,有些文件存在.data段,有的文件中找不到VA对应的文件偏移,总之反正不在TLS表,也就是说会被压缩或被其他的处理,所以就在解析原pe文件的时候把它获取出来保存到信息结构体PackInfo中,这里取变量名为TlsIndex,将Stub的TLS表中索引地址指向变量TlsIndex,当然注意转化为VA

//如果在文件中找不到VA对应的内容,就说明会初始化为0,如果找得到,就读取其在文件中的内容

//获取tlsIndex的Offset

       DWORDindexOffset = RvaToOffset(g_lpTlsDir->AddressOfIndex - dwImageBase);

       //读取设置tlsIndex的值

       pPackInfo->TlsIndex = 0;//index一般默认值为0

       if(indexOffset != -1)

       {

           pPackInfo->TlsIndex = *(DWORD*)(indexOffset + m_pNewBuf);

       }

第四项:回调表VA,这个首先将Stub的TLS表的这一项设置为0,在解压缩等操作完成之后设置回去,然后手动调用

void CallTls()

{

   IMAGE_DOS_HEADER* lpDosHeader = (IMAGE_DOS_HEADER*)g_dwImageBase;

   IMAGE_NT_HEADERS* lpNtHeader = (IMAGE_NT_HEADERS*)(lpDosHeader->e_lfanew + g_dwImageBase);

   //如果tls可用,调用tls

   if(g_PackInfo.bIsTlsUseful == TRUE)

   {

       //将tls回调函数表指针设置回去

       PIMAGE_TLS_DIRECTORY pTlsDir =

          (PIMAGE_TLS_DIRECTORY)(lpNtHeader->OptionalHeader.DataDirectory[ 9 ].VirtualAddress + g_dwImageBase);

       pTlsDir->AddressOfCallBacks = g_PackInfo.TlsCallbackFuncRva;

      //手动调用TLS

       PIMAGE_TLS_CALLBACK* lptlsFun =

           (PIMAGE_TLS_CALLBACK*)(g_PackInfo.TlsCallbackFuncRva - lpNtHeader->OptionalHeader.ImageBase + g_dwImageBase);

       while((*lptlsFun) != NULL)

       {

           (*lptlsFun)((PVOID)g_dwImageBase , DLL_PROCESS_ATTACH , NULL);

           lptlsFun++;

       }

   }

}

这样关于TLS相关的问题就可以完美解决了

2.      压缩壳的实现

一开始实现压缩功能的时候虽然有思路,但暗暗感觉这背后处理的定是极其复杂.在看雪上搜索到了几篇文章

https://bbs.pediy.com/thread-131361.htm

https://bbs.pediy.com/thread-161315.htm

https://bbs.pediy.com/thread-145947.htm系列

扒下来apilib的使用代码后尝试按照自己的思路去写.

1.1加壳部分压缩

        考虑到对TLS全局变量的引用和程序启动是对资源段的使用,不压缩tls和rsrc段.

其中关于tls段的定位需要参考tls表中的数据起始位置StartAddressOfRawData或终止位置,

rsrc段参考目录表第三项.

//获得tls表指针

PIMAGE_TLS_DIRECTORY32g_lpTlsDir =(PIMAGE_TLS_DIRECTORY32)(RvaToOffset(m_pNt->OptionalHeader.DataDirectory[9].VirtualAddress)+ m_pNewBuf);

//获得tls数据起始rva ,用于判断tls区段位置

m_pTlsDataRva

= g_lpTlsDir->StartAddressOfRawData - m_pNt->OptionalHeader.ImageBase;

//用于判断资源段rva

m_pResRva = m_pNt->OptionalHeader.DataDirectory[2].VirtualAddress;

        接着是我压缩过程中对这些区段进行的处理,

首先遍历区段,在此过程中:

①  获取tls和rsrc分别保存到buf中,并且做好标记;②获取其余要压缩的区段也保存到一个CompressBuf中,同时将这些区段的文件中大小SizeofRawData以及前后顺序index保存到交互结构体PackInfo,便于解压缩使用,也就是DWORDPackInfomation[50][2];//压缩区段中每个区段的index和大小

接着需要处理CompressBuf了,压缩代码是

PCHARCPe::Compress(PVOIDpSource,longlInLength,OUTlong&lOutLenght)

{

   //packed保存压缩数据的空间，workmem为完成压缩需要使用的空间

   PCHARpacked , workmem;

   if((packed =(PCHAR)malloc(aP_max_packed_size(lInLength)))==NULL||

       (workmem =(PCHAR)malloc(aP_workmem_size(lInLength)))==NULL)

   {

       returnNULL;

   }

   //调用aP_pack压缩函数

   lOutLenght= aPsafe_pack(pSource, packed ,lInLength, workmem ,NULL,NULL);

   if(lOutLenght==APLIB_ERROR)

   {

       returnNULL;

   }

   if(NULL!= workmem)

   {

       free(workmem);

       workmem =NULL;

   }

   returnpacked;//返回保存地址

}

再接着,就是再造PE文件了,首先将Pe头复制到新的内存中,压缩区段的区段头的文件偏移和大小置为0,但是Rva和内存大小不动,这样起到占位的作用.(主要是之前懒得保存压缩区段总内存大小,并且还要专门创建一个对应的占位区段,不过这种也需要相应的处理,就是如果不加长pe头,后面再添加区段的时候,新添加的区段头可能会越过文件头范围).接着就是按照之前做的关于tls和rsrc的标记,将tls段和rsrc段按顺序原封不动复制到Pe头后面中,接着将CompressBuf添加到新区段.这样就完成了压缩部分功能.

1.2解壳部分解压缩.

解壳时,首先进行将压缩区段解压缩到DecompressBuf,根据PackInfo结构体中的压缩区段d的文件偏移大小和顺序,将其中的信息分别填到对应的区段即可

voidDecompress()

{

   // 1.获取节区头首地址

   PIMAGE_DOS_HEADERpDosHeader =(PIMAGE_DOS_HEADER)g_dwImageBase;

   PIMAGE_NT_HEADERSpNtHeader =(PIMAGE_NT_HEADERS)(pDosHeader->e_lfanew + g_dwImageBase);

   PIMAGE_SECTION_HEADERpSecHeader =IMAGE_FIRST_SECTION(pNtHeader);

   // 2.解压压缩区段

   PCHARlpPacked =((PCHAR)g_dwImageBase + g_PackInfo.packSectionRva);//内存地址

   DWORDdwPackedSize = aPsafe_get_orig_size(lpPacked);//获取解压后的大小

   PCHARlpBuffer =(PCHAR)g_VirtualAlloc(NULL, dwPackedSize ,MEM_COMMIT,PAGE_EXECUTE_READWRITE);//申请内存

   aPsafe_depack(lpPacked , g_PackInfo.packSectionSize , lpBuffer , dwPackedSize);//解压

                                                                                // 3.将各区段还原回去

   DWORDoffset = 0;

   for(inti = 0; i < g_PackInfo.PackSectionNumber; i++)

   {

       //区段的标号

       intindex = g_PackInfo.PackInfomation[i][0];

       //这个区段的SizeOfRawData

       intsize = g_PackInfo.PackInfomation[i][1];

       PCHARdestionVA =(PCHAR)g_dwImageBase + pSecHeader[index].VirtualAddress;

       PCHARsrcVA = lpBuffer + offset;

       memcpy_s(destionVA , size , srcVA , size);

       offset += size;

   }

   g_VirtualFree(lpBuffer , dwPackedSize ,MEM_DECOMMIT);

}

最后提醒一下,请使用使用aPsafe_pack和aPsafe_depack,注意是对应版本的,不要使用aP_pack(好像叫这个名字),差点被坑死.

这部分只是说下我的思路,其实能优化的有很多,希望大家多多尝试.

3.      AntiDump--过LordPE

关于AntiDump,首先学习了<<浅谈脱壳中的Dump技术全文>>一文,方法很简单,有修改PE头,修改PEB->_LDR_MODULE中的SizeOfImage,还有修改内存属性的,前面两个碰到LordPE就是死,后面的OD可以完美干掉.由于LordPE是读取文件路径自己解析文件来获取IMAGE_SIZE的,所以继续深入,这篇文章中说NT中不能在PEB中修改对应的路径来达到欺骗LordPE的目的,然后我又搜索了一些隐藏进程的文章,就试一试咯

结果发现,在处理完PEB的相关字段后,虽然不能在任务管理器中”消失”,但是LordPE进程列表中已经找不到这个进程了,这样也就够了

代码很简单:

//在解压缩之前进行

intAntidumpFunc1()

{

   PPEBpPeb;

   _asm

   {

       mov eax , fs:[0x30];                   //获得PEB地址

       mov pPeb , eax;

   }

   PLDR_MODULE pLdrModule =

       (PLDR_MODULE)(pPeb->LoaderData->InLoadOrderModuleList.Flink);

   PLDR_MODULE pLdrModuleInMem =

       (PLDR_MODULE)(pPeb->LoaderData->InMemoryOrderModuleList.Flink);

   PRTL_USER_PROCESS_PARAMETERSpRtlUserProcessParameters = pPeb->ProcessParameters;

   //隐藏进程(可过lordpe遍历,防止其找到原文件修正镜像大小,其他的就不关注了)

   nullUnicodeString(pRtlUserProcessParameters->ImagePathName);

   nullUnicodeString(pRtlUserProcessParameters->CommandLine);

   nullUnicodeString(pRtlUserProcessParameters->WindowTitle);

   nullUnicodeString(pLdrModule->FullDllName);

   nullUnicodeString(pLdrModuleInMem->FullDllName);

   //修改镜像大小

   pLdrModule->SizeOfImage = 0x1000;

}

下面是效果图:

其实Antidump除了这些之外,结合之前脱的壳,还可以把调用库函数的FF15的call转化为E8的call或是call文件头部分....

4.      解壳部分Sprintf的调用

这个问题源于我想写一个类似注册的功能,就是在当前文件夹下放一个与当前机器对应注册文件,然后软件才能打开,否则弹出一个对话框提示赋值机器码,这就不可避免的要是用sprintf这个函数,大家知道,在壳中导入表尚未修复之前不能直接使用一些库函数,必须要手动获取GetProcAddress地址,再获取其他的函数地址

void MyGetProcAddress(LPVOID *pGetProc , LPVOID *pLoadLibrary)

{

        PCHAR pBuf = NULL;

        _asm

        {

                  mov eax , fs:[0x30];//找到PEB

                  mov eax , [ eax + 0x0C ];//找到了LDR

                  mov eax , [ eax + 0x0C ];//找到了第一个节点

                  mov eax , [ eax ];      //找到了ntdll

                  mov eax , [ eax ];      //找到了kernel32.dll

                  mov ebx , dword ptr ds : [eax + 0x18];

                  mov pBuf , ebx;

        }

        PIMAGE_DOS_HEADER pDos = (PIMAGE_DOS_HEADER)pBuf;

        PIMAGE_NT_HEADERS pNt = (PIMAGE_NT_HEADERS)(pDos->e_lfanew + pBuf);

        PIMAGE_DATA_DIRECTORY pExportDir =

                  (pNt->OptionalHeader.DataDirectory + 0);

        PIMAGE_EXPORT_DIRECTORY pExport = (PIMAGE_EXPORT_DIRECTORY)

                  (pExportDir->VirtualAddress + pBuf);

        //后面的步骤

        //1 找到三个表：名称，地址，序号

        PDWORD pAddress = (PDWORD)(pExport->AddressOfFunctions + pBuf);

        PDWORD pName = (PDWORD)(pExport->AddressOfNames + pBuf);

        PWORD pId = (PWORD)(pExport->AddressOfNameOrdinals + pBuf);

        PVOID GetProAddress = 0;

        PVOID LoadLibry = 0;

        //2 在名称表中去遍历GetProcAddress这个字符串

        for(size_t i = 0; i < pExport->NumberOfNames; i++)

        {

                  char* Name = (pName[ i ] + pBuf);

                  if(strcmp(Name , "GetProcAddress") == 0)

                  {

                           GetProAddress = pAddress[ pId[ i ] ] + pBuf;

                  }

                  if(strcmp(Name , "LoadLibraryA") == 0)

                  {

                           LoadLibry = pAddress[ pId[ i ] ] + pBuf;

                  }

        }

        *pGetProc = GetProAddress;

        *pLoadLibrary = LoadLibry;

}

但是当我准备获取sprintf这个函数的时候,找了半天才找到__stdio_common_vsprintf,这个函数,那么__stdio_common_vsprintf又是怎么到sprintf这层的呢?只能到vs中扒了

最后的结果就是

typedef int(__cdecl*MY__STDIO_COMMON_VSPRINTF)(

   _In_                                   unsigned__int64_Options ,

   _Out_writes_z_(_BufferCount)           char*           _Buffer ,

   _In_                                   size_t          _BufferCount ,

   _In_z__Printf_format_string_params_(2)charconst*     _Format ,

   _In_opt_                               _locale_t       _Locale ,

   va_list         _ArgList

   );

g_stdio_common_vsprintf =(MY__STDIO_COMMON_VSPRINTF)

       g_GetProcAddress(g_LoadLibraryA("ucrtbased.dll"),"__stdio_common_vsprintf");

intMySprintf(char*szBuffer,constchar*szFormat, ...)

{

   int    iReturn ;

   va_listpArgs ;

   va_start(pArgs ,szFormat);

   iReturn = g_stdio_common_vsprintf(

       _CRT_INTERNAL_LOCAL_PRINTF_OPTIONS|_CRT_INTERNAL_PRINTF_LEGACY_VSPRINTF_NULL_TERMINATION,

       szBuffer, -1 ,szFormat,NULL, pArgs);

   va_end(pArgs);

   returniReturn ;

}

效果图

五.IAT重定向:

这个也是自己脱壳遇到的,就想着自己写一下

其实很简单,就是把解壳时填充IAT表的操作变一下即可,重点关注最下面那一块,就是自己申请一块内存空间,构造一段硬编码,将原函数地址填到这个硬编码的指定位置,然后将内存空间首地址写到IAT表,其实这还能做很多变形,我这只是最简单的

voidIATReloc()

{

       // 1.获取第一项iat项

   PIMAGE_IMPORT_DESCRIPTORpImportTable =

       (PIMAGE_IMPORT_DESCRIPTOR)((DWORD)g_PackInfo.ImportTableRva + g_dwImageBase);

   if(g_PackInfo.ImportTableRva)//如果没用导入表则跳过

   {

       HMODULElib;

       IMAGE_THUNK_DATA*IAT , *INTable;

       IMAGE_IMPORT_BY_NAME*IatByName;

       while(pImportTable->Name)//(pImportTable->FirstThunk)

       {

           lib = g_LoadLibraryA((char*)(pImportTable->Name +(DWORD)g_dwImageBase));

           IAT =(IMAGE_THUNK_DATA*)(pImportTable->FirstThunk +(DWORD)g_dwImageBase);

           INTable =(IMAGE_THUNK_DATA*)((pImportTable->OriginalFirstThunk ? pImportTable->OriginalFirstThunk : pImportTable->FirstThunk)+(DWORD)g_dwImageBase);

           while(INTable->u1.AddressOfData)

           {

               DWORDdwAddress;

               if((((DWORD)INTable->u1.Function)& 0x80000000)== 0)

               {

                   IatByName =(IMAGE_IMPORT_BY_NAME*)((DWORD)INTable->u1.AddressOfData +(DWORD)g_dwImageBase);

                   dwAddress =(DWORD)g_GetProcAddress(lib ,(char*)(IatByName->Name));

               }

               else

               {

                   dwAddress =(DWORD)g_GetProcAddress(lib ,(LPCSTR)(INTable->u1.Ordinal & 0xFFFF));

               }

               char*dllName =(char*)(pImportTable->Name +(DWORD)g_dwImageBase);

               //只重定向这几个dll,如果所有的都重定向会出错

               if((!strcmp(dllName ,"kernel32.dll"))

                 ||(!strcmp(dllName ,"user32.dll"))

                 ||(!strcmp(dllName ,"advapi32.dll"))

                 ||(!strcmp(dllName ,"gdi32.dll")))

               {

                   //申请虚拟内存

                   PCHARvirBuf =(PCHAR)g_VirtualAlloc(NULL, 7 ,MEM_COMMIT,PAGE_EXECUTE_READWRITE);

                   //赋值机器码

                   // mov ebx,address ;jmp address

                   virBuf[0]= 0xBB;

                   *(DWORD*)(virBuf + 1)= dwAddress;

                   virBuf[5]= 0xFF;

                   virBuf[6]= 0xE3;

                   //将iat表填充为这个

                   IAT->u1.Function =(DWORD)virBuf;

               }

               else

               {

                   IAT->u1.Function = dwAddress;

               }

               INTable++;

               IAT++;

           }

           pImportTable++;

       }

   }

}

附件使用:CalcKeyCode可以产生本机的key;TLStest用于生成TLS测试文件;项目当前已经实现了大部分功能(今后实现会更新帖子);还有一些默认的选项,如加花和混淆,可能不好调试,可以自己更改:在Stub项目, 注释掉AllFunc ,如AllFunc()中的 FusedFunc((DWORD)Init)改为直接在Start()中call Init

以上就是我在写壳的时候遇到的一些问题和总结的成果,希望对大家有帮助.

写壳是一件很有趣的事,平时遇到的一些壳的功能可以自己随心所欲的加进去,自己在写的过程中也成长了不少,也希望大家能多多实践,共同进步!

[培训]内核驱动高级班，冲击BAT一流互联网大厂工 作，每周日13:00-18:00直播授课