【文章标题】: FlashVideoStudio1.5破解版脱壳
【文章作者】: Winter[CZG][D.4s][BCG]
【作者邮箱】: spsgeyro@gmail.com
【软件名称】: FlashVideoStudio1.5
【软件大小】: 6.68 MB
【下载地址】: http://vip.hanzify.org/lordfox/MyHHOpus/todo.rar
【加壳方式】: Armadillo 3.78 - 4.xx -> Silicon Realms Toolworks
【保护方式】: 注册码
【使用工具】: OD,PEID,IMPREC
【作者声明】: 只是感兴趣,没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
很久没学习脱壳了,今日在汉化新世纪论坛逛的时候发现这个软件,遂跟着教程学脱。
由于是要汉化,但是破解文件本身又加了壳,所以先输入破解后的注册名和序列号,然后OD载入:
00829000 > 60 PUSHAD
00829001 E8 00000000 CALL FVStudio.00829006
00829006 5D POP EBP
00829007 50 PUSH EAX
00829008 51 PUSH ECX
忽略所有异常,下断BP OpenMutexA,shift+F9,来到断点处:
7C817227 > 8BFF MOV EDI,EDI
7C817229 55 PUSH EBP
7C81722A 8BEC MOV EBP,ESP
7C81722C 51 PUSH ECX
0012F770 008017B8 /CALL 到 OpenMutexA
0012F774 001F0001 |Access = 1F0001
0012F778 00000000 |Inheritable = FALSE
0012F77C 0012FDB0 \MutexName = "C64::DABECE0C5A" //记下0012FDB0这个值
ctrl+G,401000,输入如下代码:
00401000 60 PUSHAD
00401001 9C PUSHFD
00401002 68 B0FD1200 PUSH 12FDB0 ; ASCII "C64::DABECE0C5A"
00401007 33C0 XOR EAX,EAX
00401009 50 PUSH EAX
0040100A 50 PUSH EAX
0040100B E8 105A417C CALL kernel32.CreateMutexA
00401010 9D POPFD
00401011 61 POPAD
00401012 - E9 1062417C JMP kernel32.OpenMutexA
然后在401000上点击鼠标右键,选择新建OEP,然后复制数据区二进制代码:
60 9C 68 B0 FD 12 00 33 C0 50 50 E8 10 5A 41 7C 9D 61 E9 10 62 41 7C 90
继续F9,断下后取消断点,ctrl+G返回401000撤销修改,然后下断:BP GetModuleHandleA+05(这个程序BP GetModuleHandleA似乎断下后返回不对)
011EF168 /011EF7C0
011EF16C |7C822B47 返回到 kernel32.7C822B47 来自 kernel32.GetModuleHandleA
011EF170 |00000000
011EF174 |7C822B8F 返回到 kernel32.7C822B8F 来自 kernel32.7C822B40
011EF73C /011EF858
011EF740 |4C52D4A7 返回到 msctfime.4C52D4A7 来自 kernel32.GetModuleHandleA
011EF744 |011EF748 ASCII "I:\WINDOWS\system32\ntdll.dll"
0012F710 0012F778
0012F714 008008F3 返回到 FVStudio.008008F3 来自 kernel32.GetModuleHandleA
0012F718 00000000
0012F71C 7C82B3C8 返回到 kernel32.7C82B3C8 来自 ntdll.ZwOpenMutant
001294FC /0012EC44
00129500 |01217105 返回到 01217105 来自 kernel32.GetModuleHandleA
00129504 |0122BC1C ASCII "kernel32.dll"
00129508 |0122CEC4 ASCII "VirtualAlloc"
001294FC /0012EC44
00129500 |01217122 返回到 01217122 来自 kernel32.GetModuleHandleA
00129504 |0122BC1C ASCII "kernel32.dll"
00129508 |0122CEB8 ASCII "VirtualFree"
然后shift+F9,一次中断后取消断点:
00129260 /00129500
00129264 |01205FC9 返回到 01205FC9 来自 kernel32.GetModuleHandleA
00129268 |001293B4 ASCII "kernel32.dll"
alt+f9返回:
01205FC9 8B0D AC402301 MOV ECX,DWORD PTR DS:[12340AC]
01205FCF 89040E MOV DWORD PTR DS:[ESI+ECX],EAX
01205FD2 A1 AC402301 MOV EAX,DWORD PTR DS:[12340AC]
01205FD7 391C06 CMP DWORD PTR DS:[ESI+EAX],EBX
01205FDA 75 16 JNZ SHORT 01205FF2
01205FDC 8D85 B4FEFFFF LEA EAX,DWORD PTR SS:[EBP-14C]
01205FE2 50 PUSH EAX
01205FE3 FF15 BC622201 CALL DWORD PTR DS:[12262BC] ; kernel32.LoadLibraryA
01205FE9 8B0D AC402301 MOV ECX,DWORD PTR DS:[12340AC]
01205FEF 89040E MOV DWORD PTR DS:[ESI+ECX],EAX
01205FF2 A1 AC402301 MOV EAX,DWORD PTR DS:[12340AC]
01205FF7 391C06 CMP DWORD PTR DS:[ESI+EAX],EBX
01205FFA 0F84 2F010000 JE 0120612F //Magic Jump,改成JMP,然后去01206144下断,F9运行
01206000 33C9 XOR ECX,ECX
01206002 8B07 MOV EAX,DWORD PTR DS:[EDI]
01206004 3918 CMP DWORD PTR DS:[EAX],EBX
01206006 74 06 JE SHORT 0120600E
01206008 41 INC ECX
01206144 EB 03 JMP SHORT 01206149 //在这里下断点,断下以后取消断点,撤销magic jump的修改
01206146 D6 SALC
01206147 D6 SALC
然后alt+M,在401000上下内存访问断点
0121F968 8B12 MOV EDX,DWORD PTR DS:[EDX] //在这里断下,F8单步下去
0121F96A 8955 DC MOV DWORD PTR SS:[EBP-24],EDX
0121F96D 834D FC FF OR DWORD PTR SS:[EBP-4],FFFFFFFF
0121F9D9 8B50 60 MOV EDX,DWORD PTR DS:[EAX+60]
0121F9DC 3350 44 XOR EDX,DWORD PTR DS:[EAX+44]
0121F9DF 3350 1C XOR EDX,DWORD PTR DS:[EAX+1C]
0121F9E2 2BCA SUB ECX,EDX
0121F9E4 FFD1 CALL ECX ; FVStudio.004D17BF //这里F7进去,就到OEp啦
然后lordPE脱壳,IMPREC进行修复,OEP:000D17BF,自动搜索,获取输入表以后剪切无效指针,修复。
为了完美一点可以用peditor删除.text1,.adata,.data1,.pdata四个区段,然后重建可执行文件。
运行以后跳出要求注册的NAG,由于已经脱壳,只要把他跳过即可。
查找ascII,双击username,跟踪来到:
0041A236 E8 C572FEFF CALL dumped_.00401500 //F9以后断下,注意堆栈变化
当堆栈出现如下时,F8跟踪:
0012DD60 0012E658 ASCII "HDQ"
0012DD64 0012E658 ASCII "HDQ"
00419000 8BCE MOV ECX,ESI
00419002 E8 295C0000 CALL dumped_.0041EC30
00419007 E8 F484FEFF CALL dumped_.00401500
0041900C 84C0 TEST AL,AL
0041900E 6A 00 PUSH 0
00419010 6A 32 PUSH 32
00419012 74 0B JE SHORT dumped_.0041901F //这里改成JMP后启动无NAG了
00419014 8B4E 1C MOV ECX,DWORD PTR DS:[ESI+1C]
00419017 68 83000000 PUSH 83
0041901C 51 PUSH ECX
0041901D EB 09 JMP SHORT dumped_.00419028
还有点疑问需要请教诸位大侠,脱壳完成后用PEID查看仍旧显示Armadillo 1.xx - 2.xx -> Silicon Realms Toolworks,应该如何优化?
--------------------------------------------------------------------------------
2006年05月01日 14:44:08
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课