【文章标题】: vfp&exeNc-内存型 7.78演示版主程序脱壳
【文章作者】: 小彻小悟
【作者邮箱】: 问我妈妈
【作者主页】: 问我妈妈
【作者QQ号】: 问我妈妈
【软件名称】: vfp&exeNc-内存型 7.78演示版
【软件大小】: 490K
【下载地址】: http://www.czkj.com
【加壳方式】: 压缩未知壳
【保护方式】: vfp&exeNc7.78
【编写语言】: Borland Delphi 6.0 - 7.0
【使用工具】: OD Imprec 1.6F
【操作平台】: Windows Sp1
【软件介绍】: 内存型加密软件,保护您的源代码.
【作者声明】: 只是感兴趣,没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
今天无意只间,看见了一款新壳.看雪论坛好象没有介绍过此壳,小弟就去官方网站下了个演示版脱壳练习练习,心得不感独享,
和广大朋友分享.(高手飘过)^-^
OD设置忽略所有异常,然后OD载入主程序.
00525F20 > 60 PUSHAD //停在这里
00525F21 E8 01000000 CALL vfpenc78.00525F27 //F8死,F7跟:) 这里用SEP定律也是死-,-
00525F26 6358 E8 ARPL WORD PTR DS:[EAX-18],BX
00525F29 0100 ADD DWORD PTR DS:[EAX],EAX
00525F2B 0000 ADD BYTE PTR DS:[EAX],AL
00525F2D 7A 58 JPE SHORT vfpenc78.00525F87
00525F2F 2D 0D104000 SUB EAX,vfpenc78.0040100D
00525F34 8D90 C1104000 LEA EDX,DWORD PTR DS:[EAX+4010C1]
00525F3A 52 PUSH EDX
00525F3B 50 PUSH EAX
00525F3C 8D80 49104000 LEA EAX,DWORD PTR DS:[EAX+401049]
00525F42 5D POP EBP
00525F43 50 PUSH EAX
00525F44 8D85 65104000 LEA EAX,DWORD PTR SS:[EBP+401065]
00525F4A 50 PUSH EAX
00525F4B 64:FF35 0000000>PUSH DWORD PTR FS:[0]
00525F52 64:8925 0000000>MOV DWORD PTR FS:[0],ESP
00525F59 CC INT3
00525F5A 90 NOP
00525F5B 64:8F05 0000000>POP DWORD PTR FS:[0]
00525F62 83C4 04 ADD ESP,4
00525F65 C3 RETN
00525F66 EB 11 JMP SHORT vfpenc78.00525F79
在00525F21代码处F7跟进
00525F27 58 POP EAX ; vfpenc78.00525F26 //来到这里
00525F28 E8 01000000 CALL vfpenc78.00525F2E //F8死 F7跟进
00525F2D 7A 58 JPE SHORT vfpenc78.00525F87
00525F2F 2D 0D104000 SUB EAX,vfpenc78.0040100D
00525F34 8D90 C1104000 LEA EDX,DWORD PTR DS:[EAX+4010C1]
00525F3A 52 PUSH EDX
00525F3B 50 PUSH EAX
00525F3C 8D80 49104000 LEA EAX,DWORD PTR DS:[EAX+401049]
00525F42 5D POP EBP
00525F43 50 PUSH EAX
00525F44 8D85 65104000 LEA EAX,DWORD PTR SS:[EBP+401065]
00525F4A 50 PUSH EAX
00525F4B 64:FF35 0000000>PUSH DWORD PTR FS:[0]
00525F52 64:8925 0000000>MOV DWORD PTR FS:[0],ESP
00525F59 CC INT3
00525F5A 90 NOP
00525F5B 64:8F05 0000000>POP DWORD PTR FS:[0]
00525F62 83C4 04 ADD ESP,4
00525F65 C3 RETN
继续。。在00525F28处 F7跟进后
00525F2E 58 POP EAX ; vfpenc78.00525F2D //来到这里
00525F2F 2D 0D104000 SUB EAX,vfpenc78.0040100D
00525F34 8D90 C1104000 LEA EDX,DWORD PTR DS:[EAX+4010C1]
00525F3A 52 PUSH EDX
00525F3B 50 PUSH EAX
00525F3C 8D80 49104000 LEA EAX,DWORD PTR DS:[EAX+401049]
00525F42 5D POP EBP
00525F43 50 PUSH EAX
00525F44 8D85 65104000 LEA EAX,DWORD PTR SS:[EBP+401065]
00525F4A 50 PUSH EAX
00525F4B 64:FF35 0000000>PUSH DWORD PTR FS:[0]
00525F52 64:8925 0000000>MOV DWORD PTR FS:[0],ESP
00525F59 CC INT3 //F8这里死 返回系统领空
00525F5A 90 NOP
00525F5B 64:8F05 0000000>POP DWORD PTR FS:[0] //在这里F2 SHIFT+F9运行到这里
00525F62 83C4 04 ADD ESP,4
00525F65 C3 RETN
00525F66 EB 11 JMP SHORT vfpenc78.00525F79
00525F68 59 POP ECX
00525F69 8D9D 00104000 LEA EBX,DWORD PTR SS:[EBP+401000]
00525F6F 53 PUSH EBX
00525F70 5F POP EDI
00525F71 2BFA SUB EDI,EDX
00525F73 57 PUSH EDI
00525F74 8A03 MOV AL,BYTE PTR DS:[EBX]
00525F76 3007 XOR BYTE PTR DS:[EDI],AL ; 异常
00525F78 43 INC EBX
00525F79 47 INC EDI
00525F7A ^ E2 F8 LOOPD SHORT vfpenc78.00525F74 //不让他回跳
00525F7C 58 POP EAX //F4到这里
00525F7D 894424 1C MOV DWORD PTR SS:[ESP+1C],EAX
00525F81 61 POPAD //当然,直接这里也可以
00525F82 FFE0 JMP EAX //让它跳把 不是OEP哦```
----------------------------------------------------------------------------------------------------------
00524001 60 PUSHAD //跳到这里来了,看代码就知道不是OEP-,-
00524002 E8 03000000 CALL vfpenc78.0052400A //E注意寄存器 ESP=0012ffa0(你的机器我不敢保证一样的)
00524007 - E9 EB045D45 JMP 45AF44F7
0052400C 55 PUSH EBP
0052400D C3 RETN
0052400E E8 01000000 CALL vfpenc78.00524014
00524013 EB 5D JMP SHORT vfpenc78.00524072
00524015 BB EDFFFFFF MOV EBX,-13
0052401A 03DD ADD EBX,EBP
0052401C 81EB 00401200 SUB EBX,124000
00524022 83BD 22040000 0>CMP DWORD PTR SS:[EBP+422],0
00524029 899D 22040000 MOV DWORD PTR SS:[EBP+422],EBX
0052402F 0F85 65030000 JNZ vfpenc78.0052439A
00524035 8D85 2E040000 LEA EAX,DWORD PTR SS:[EBP+42E]
0052403B 50 PUSH EAX
0052403C FF95 4D0F0000 CALL DWORD PTR SS:[EBP+F4D]
00524042 8985 26040000 MOV DWORD PTR SS:[EBP+426],EAX
00524048 8BF8 MOV EDI,EAX
0052404A 8D5D 5E LEA EBX,DWORD PTR SS:[EBP+5E]
0052404D 53 PUSH EBX
0052404E 50 PUSH EAX
0052404F FF95 490F0000 CALL DWORD PTR SS:[EBP+F49]
00524055 8985 4D050000 MOV DWORD PTR SS:[EBP+54D],EAX
0052405B 8D5D 6B LEA EBX,DWORD PTR SS:[EBP+6B]
动作
在ESP那一行鼠标又键,数据窗口跟随.
看下面的数据窗口
0012FFA0 00525FE1 vfpenc78.00525FE1
右键,断点,硬件访问,字 F9运行
005243B0 /75 08 JNZ SHORT vfpenc78.005243BA //运行后来到这里
005243B2 |B8 01000000 MOV EAX,1
005243B7 |C2 0C00 RETN 0C
005243BA \68 43854D00 PUSH vfpenc78.004D8543
005243BF C3 RETN //这里返回
005243C0 8B85 26040000 MOV EAX,DWORD PTR SS:[EBP+426]
005243C6 8D8D 3B040000 LEA ECX,DWORD PTR SS:[EBP+43B]
005243CC 51 PUSH ECX
005243CD 50 PUSH EAX
005243CE FF95 490F0000 CALL DWORD PTR SS:[EBP+F49]
005243D4 8985 55050000 MOV DWORD PTR SS:[EBP+555],EAX
005243DA 8D85 47040000 LEA EAX,DWORD PTR SS:[EBP+447]
005243E0 50 PUSH EAX
005243E1 FF95 510F0000 CALL DWORD PTR SS:[EBP+F51]
--------------------------------------------------------------------------------------------------------------------
004D8543 60 PUSHAD //返回到这里 记得清除上面的断点,养成一个好习惯!
004D8544 E8 00000000 CALL vfpenc78.004D8549
004D8549 5D POP EBP
004D854A 81ED 06104000 SUB EBP,vfpenc78.00401006
004D8550 8D85 56104000 LEA EAX,DWORD PTR SS:[EBP+401056]
004D8556 50 PUSH EAX
004D8557 64:FF35 0000000>PUSH DWORD PTR FS:[0]
004D855E 64:8925 0000000>MOV DWORD PTR FS:[0],ESP
004D8565 CC INT3 //返回到系统领空
004D8566 90 NOP
004D8567 64:8F05 0000000>POP DWORD PTR FS:[0] //F2断下,SHIFT+F9运行到这里,F4死。。
004D856E 83C4 04 ADD ESP,4
004D8571 74 05 JE SHORT vfpenc78.004D8578
004D8573 75 03 JNZ SHORT vfpenc78.004D8578
004D8575 EB 07 JMP SHORT vfpenc78.004D857E
004D8577 59 POP ECX
004D8578 8D9D 00104000 LEA EBX,DWORD PTR SS:[EBP+401000]
004D857E 53 PUSH EBX
004D857F 5F POP EDI
004D8580 2BFA SUB EDI,EDX
004D8582 57 PUSH EDI
004D8583 8A03 MOV AL,BYTE PTR DS:[EBX]
004D8585 3007 XOR BYTE PTR DS:[EDI],AL
004D8587 43 INC EBX
004D8588 47 INC EDI
004D8589 ^ E2 F8 LOOPD SHORT vfpenc78.004D8583
004D858B 58 POP EAX
004D858C 894424 1C MOV DWORD PTR SS:[ESP+1C],EAX
004D8590 61 POPAD
004D8591 FFE0 JMP EAX //飞象光明之颠^-^
004D8593 74 60 JE SHORT vfpenc78.004D85F5
004D8595 75 5E JNZ SHORT vfpenc78.004D85F5
004D8597 EB 55 JMP SHORT vfpenc78.004D85EE
004D8599 55 PUSH EBP
拿自带插件脱之,Imprec 1.6F 出场
OEP输入 D8591 自动获IAT表 抓取修复文件 运行正常^-^
查壳为Borland Delphi 6.0 - 7.0
----------------------------------------------------------------------
脱壳脚本:
/////////////////////////
//For vfpenc78,By wynney
#log
Var Addr1
Var Addr2
Var VirtualFree
log eip
cmt eip, "请忽略所有异常"
GPA "VirtualFree","kernel32.dll"
CMP $RESULT,0
JE ERR
MOV VirtualFree,$RESULT
BP VirtualFree
RUN
RUN
BC VirtualFree
RTU
find eip,#68????????C3#
CMP $RESULT,0
JE ERR
MOV Addr1,$RESULT
BP Addr1
RUN
BC Addr1
STO
STO
find eip,#61FFE0#
CMP $RESULT,0
JE ERR
MOV Addr2,$RESULT+1
BP Addr2
RUN
BC Addr2
STO
log eip
cmt eip, "This is the OEP! Found By: wynney "
RET
ERR:
MSG "error"
RET
/////////////////////////////
----------------------------------------------------------------------
【经验总结】
注意2个返回系统领空的位置就OK
另外 感谢 peaceclub KanXue Fly 大彻大悟 machenglin wynney laomms xxdoc forgot monkeycz 一直以来对我的帮助
祝大家2007新的一年 身体健康 万事如意 金猪大发
引用forgot老大的一句名言 写破文比脱壳难-,-
脱壳脚本是 wynney大侠所写 再次感谢wynney大侠 完美了这个破文:)
----------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!
2007年01月14日
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课