-
-
[原创]实现自动脱壳被MaxtoCode加密的Net程序集
-
发表于: 2006-10-29 21:07
-
本次脱壳的测试对象是CodeLib 2 V14.9.2468.42911 更新日期是2006-10-5 目前的最新版本。
运行脱机程序到如下界面：
选中列表中的第二项，codelib.exe，选择一个保存路径，点击dump按钮，即可完成脱壳。
脱壳完的程序保存到codedump.exe。
注意这个文件是直接dump脱壳的结果，不能直接运行。
使用ildasm 反编译，然后打开il文件
查找 IL_0000: call void InFaceMaxtoCode::Startup()
替换为 //IL_0000: call void InFaceMaxtoCode::Startup()
即取消对 maxtocode 运行库的引用。
然后运行 ilasm 编译成exe文件。
放在codelib的安装目录中即可正常运行了。
下载地址：http://www.bbsftp.com/temp/codelib_dumped.rar
对 codelib注册算法有兴趣的可以下载回去研究研究。
注意：先重命名安装目录中的codelib.exe，然后解压缩放进去就可以运行了。
这个程序里面还有很多anti，不过都不重要了，可以通过直接修改il来去掉anti。
脱壳机暂时不准备公开，DRT小组内部共享。
这次先简单介绍一下原理，下次有机会再详细介绍一下如何实现通用的内存程序集dumper。
这个dumper首先按照 pe dumper的原理，从内存里面dump出pe文件。
然后在在pe文件中增加一个只读的section。用来放dump出来的 IL 码。
通过前面几篇帖子介绍的方法，利用net 2.0的新特性获取方法的methodbody，
然后根据methodbody中的信息重建ILHeader，Datatable，
将结果存入新section中，再修改相应method的rva指向新的位置。
对所有的方法都这样处理一遍，即可完成dump。
这种方式对压缩壳，加密壳一般都有效。
运行脱机程序到如下界面：
选中列表中的第二项，codelib.exe，选择一个保存路径，点击dump按钮，即可完成脱壳。
脱壳完的程序保存到codedump.exe。
注意这个文件是直接dump脱壳的结果，不能直接运行。
使用ildasm 反编译，然后打开il文件
查找 IL_0000: call void InFaceMaxtoCode::Startup()
替换为 //IL_0000: call void InFaceMaxtoCode::Startup()
即取消对 maxtocode 运行库的引用。
然后运行 ilasm 编译成exe文件。
放在codelib的安装目录中即可正常运行了。
下载地址：http://www.bbsftp.com/temp/codelib_dumped.rar
对 codelib注册算法有兴趣的可以下载回去研究研究。
注意：先重命名安装目录中的codelib.exe，然后解压缩放进去就可以运行了。
这个程序里面还有很多anti，不过都不重要了，可以通过直接修改il来去掉anti。
脱壳机暂时不准备公开，DRT小组内部共享。
这次先简单介绍一下原理，下次有机会再详细介绍一下如何实现通用的内存程序集dumper。
这个dumper首先按照 pe dumper的原理，从内存里面dump出pe文件。
然后在在pe文件中增加一个只读的section。用来放dump出来的 IL 码。
通过前面几篇帖子介绍的方法，利用net 2.0的新特性获取方法的methodbody，
然后根据methodbody中的信息重建ILHeader，Datatable，
将结果存入新section中，再修改相应method的rva指向新的位置。
对所有的方法都这样处理一遍，即可完成dump。
这种方式对压缩壳，加密壳一般都有效。
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
下载不了，救命
|
|
|
|
|
|
|
