win7 32

PEID，OD，improtREC

// 定义变量,初始化变量 
VAR dwGetAPIAddr 
VAR dwWriteIATAddr 
VAR dwOEP VAR dwTmp 

MOV dwGetAPIAddr, 001D0474    // 获取 API 地址的地方      
MOV dwWriteIATAddr, 001D0897  // 填充 IAT 的地方 
MOV dwOEP, 0047148B            // OEP

// 清理环境 
BC    // 清理软件断点 
BPHWC  // 清理硬件断点 
BPMC  // 清理内存断点 

// 设置断点 
BPHWS dwOEP, "x" 
BPHWS dwGetAPIAddr, "x" 
BPHWS dwWriteIATAddr, "x"

// 构造循环 
LOOP1:  

// 运行程序 
RUN 

// 判断 是 获取 API 地址的地方 
cmp eip,dwGetAPIAddr 
JNZ SIGN1 

MOV dwTmp, eax 
jmp LOOP1  

// 判断 是 填充 IAT 的地方 
SIGN1: 

cmp eip,dwWriteIATAddr 
JNZ SIGN2  

MOV [edx],dwTmp 

jmp LOOP1  
// 判断是 OEP ，结束了 
SIGN2: 
cmp eip,dwOEP 
JZ EXIT1 

jmp LOOP1  // 脚本结束 

EXIT1: 

MSG "yes，今晚吃鸡！"

• 先用PEID扫了一下发现什么都没有扫到
  

• 发现有pushad/fd先用ESP定律下断试一下
• 或者也可以单步F7遇到循环就跳也能出去,这种简单的壳这样做是可取的
  
• 嗯,直接就这样到了,F7几下就到了OEP
  
• 这里有个sub esp,0x58所以应该是Delphi写的,第一个call本来应该显示getversion的,但是并没有,发现它IAT加密了
  OEP是47148B
  
• 那我们先跟进去看一下
• 这里有对ebx一个sub和add运算看了一下发现它获取到了GetVersion的地址
  
• 但是0x475080还是它WriteIAT的地址,所以在这里下硬件写入断点,然后重新运行寻找它GetAPIAddr(获取API地址的地方)
  
• F9了两次发现这个地方像是写入IAT的地方
  
  那这个1D0897应该是WriteIATAddr了

  这个时候有两种办法

• 在写入iat的地方下断点,然后run跟踪,运行到下一次写入的时候就会断下来
  
• 然后进run跟踪的界面,找到7*开头往这个eax里面写入的地址就是GetAPIAddr了
• 可以看到这里获取到了API的地址
  
• 这个地方就可以用了,也可以再往上找一下eax是从哪来的
• 找到eax是从这个地方获取的
  
  1D1914或者1D0474
  我们写脱壳脚本的时候GetAPI用这两个地址都可以

• 等脚本跑完 修复完导入表

  从OEP处将程序dump出来

  

  然后用imporREC修复一下dump出来程序的导入表就可以了

  

  完成

  

1. 一直单步F7找到它循环的规律寻找它是在哪获取到函数地址的
   
   2.在0x1D0895这个地方下断用run跟踪F7跑一下(因为第一种方法没什么通用规律可言,只能一步一步跟踪,所以就详述第二种方法了,但是单步F7总是万能的^.^)
   run跟踪的原理就是模拟操作然后全部记录在run跟踪窗口中
   

先用PEID扫了一下发现什么都没有扫到

或者也可以单步F7遇到循环就跳也能出去,这种简单的壳这样做是可取的

嗯,直接就这样到了,F7几下就到了OEP

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)