[求助]无名壳绝对牛B 杀OD-加壳脱壳-看雪-安全社区|安全招聘|kanxue.com

最新回复 (27) ◀ 1 2
wwithout 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 26 粉丝 0 关注私信	wwithout 26 楼谢谢24楼，但是我试过了各种方法，也下载过脱壳机，都不好使的，手动脱壳跟踪到POPAD之前就跳走了，再跟下去就飞了。 2007-3-26 08:13 0
病毒毒雪币： 0 能力值： (RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	病毒毒 27 楼学习了，这个外挂比较变态 2007-3-26 08:58 0
tiamoer 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	tiamoer 28 楼 Themida 1.8.X 脱壳之泡泡堂不死外挂3.16 Themida 1.8.X 脱壳之泡泡堂不死外挂3.16 首先用PEID查下壳：什么也没发现，看区段名有Themida 字样，初步估计应该是1.8.X的。载入后隐藏我们的OD，在代码段下内存写入断点 0041D014 > B8 00000000 MOV EAX,0 ；载入点。注意看这些代码 0041D019 60 PUSHAD 0041D01A 0BC0 OR EAX,EAX ；明眼的就看出是Themida 壳了 0041D01C 74 68 JE SHORT 无敌外挂.0041D086 0041D01E E8 00000000 CALL 无敌外挂.0041D023 0041D023 58 POP EAX 0041D024 05 53000000 ADD EAX,53 0041D029 8038 E9 CMP BYTE PTR DS:[EAX],0E9 0041D02C 75 13 JNZ SHORT 无敌外挂.0041D041 0041D02E 61 POPAD 0041D02F EB 45 JMP SHORT 无敌外挂.0041D076 =============================================================================== SHIFT+F9运行，第一次中断在下面： 004F14A2 F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[> ；F7一次后F8一次 004F14A4 C685 CD2A1B07 5>MOV BYTE PTR SS:[EBP+71B2ACD],56 004F14AB 68 396D1FD4 PUSH D41F6D39 004F14B0 FFB5 FD051B07 PUSH DWORD PTR SS:[EBP+71B05FD] 004F14B6 8D85 E87C1E07 LEA EAX,DWORD PTR SS:[EBP+71E7CE8] 004F14BC FFD0 CALL EAX 004F14BE 68 00800000 PUSH 8000 004F14C3 6A 00 PUSH 0 004F14C5 52 PUSH EDX 004F14C6 FFD0 CALL EAX =============================================================================== SHIFT+F9继续运行，断在下面： 004F52E1 8908 MOV DWORD PTR DS:[EAX],ECX ；中断在这里，往上面找代码 =============================================================================== 004F4A80 /0F84 17000000 JE 无敌外挂.004F4A9D 004F4A86 \|83BD 310E1B07 0>CMP DWORD PTR SS:[EBP+71B0E31],0 004F4A8D \|0F85 0A000000 JNZ 无敌外挂.004F4A9D 《====改成JMP 004F4A9D ========== 004F4A93 \|C785 410C1B07 0>MOV DWORD PTR SS:[EBP+71B0C41],1 004F4A9D \61 POPAD 004F4A9E B9 46A60308 MOV ECX,803A646 004F4AA3 BA 9AD13616 MOV EDX,1636D19A 。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。 004F4BC4 5E POP ESI 004F4BC5 83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],1 004F4BCC 0F84 39000000 JE 无敌外挂.004F4C0B 《====改成JMP 004F4BF6 =========== 004F4BD2 3B8D 29081B07 CMP ECX,DWORD PTR SS:[EBP+71B0829] 004F4BD8 0F84 2D000000 JE 无敌外挂.004F4C0B 004F4BDE 3B8D 1D171B07 CMP ECX,DWORD PTR SS:[EBP+71B171D] 004F4BE4 0F84 21000000 JE 无敌外挂.004F4C0B 004F4BEA 3B8D 552A1B07 CMP ECX,DWORD PTR SS:[EBP+71B2A55] 004F4BF0 0F84 15000000 JE 无敌外挂.004F4C0B 004F4BF6 8D9D E2FD2107 LEA EBX,DWORD PTR SS:[EBP+721FDE2] 004F4BFC FFD3 CALL EBX 004F4BFE 8BF8 MOV EDI,EAX 004F4C00 8985 1D2F1B07 MOV DWORD PTR SS:[EBP+71B2F1D],EAX 004F4C06 E9 B4060000 JMP 无敌外挂.004F52BF 004F4C0B 8D9D E2FD2107 LEA EBX,DWORD PTR SS:[EBP+721FDE2] 004F4C11 FFD3 CALL EBX 004F4C13 83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],0 =============================================================================== 改好上面2处跳转（目的是避开加密）后返回中断处，用HideOD申请一段内存地址（我的是2A30000） 004F52E1 8908 MOV DWORD PTR DS:[EAX],ECX ；中断处，改成 JMP 2A30000 004F52E3 AD LODS DWORD PTR DS:[ESI] 004F52E4 C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0 004F52EB 89B5 6D301B07 MOV DWORD PTR SS:[EBP+71B306D],ESI ；地址A，记下来 004F52F1 83F8 FF CMP EAX,-1 004F52F4 0F85 20000000 JNZ 无敌外挂.004F531A 004F52FA 813E DDDDDDDD CMP DWORD PTR DS:[ESI],DDDDDDDD 004F5300 0F85 14000000 JNZ 无敌外挂.004F531A 004F5306 C706 00000000 MOV DWORD PTR DS:[ESI],0 004F530C 83C6 04 ADD ESI,4 004F530F 89B5 6D301B07 MOV DWORD PTR SS:[EBP+71B306D],ESI 004F5315 ^ E9 E6F6FFFF JMP 无敌外挂.004F4A00 004F531A C1C0 03 ROL EAX,3 004F531D 0385 11171B07 ADD EAX,DWORD PTR SS:[EBP+71B1711] 004F5323 83BD 99221B07 0>CMP DWORD PTR SS:[EBP+71B2299],1 004F532A 0F84 9D000000 JE 无敌外挂.004F53CD 004F5330 813E AAAAAAAA CMP DWORD PTR DS:[ESI],AAAAAAAA 004F5336 0F85 12000000 JNZ 无敌外挂.004F534E 004F533C 83C6 04 ADD ESI,4 004F533F C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0 004F5346 97 XCHG EAX,EDI 004F5347 B0 E9 MOV AL,0E9 004F5349 E9 03000000 JMP 无敌外挂.004F5351 004F534E 97 XCHG EAX,EDI 004F534F B0 E8 MOV AL,0E8 004F5351 50 PUSH EAX 004F5352 83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],1 004F5359 0F84 3E000000 JE 无敌外挂.004F539D 004F535F B8 00010000 MOV EAX,100 004F5364 83BD C7E82107 0>CMP DWORD PTR SS:[EBP+721E8C7],0 004F536B 0F84 08000000 JE 无敌外挂.004F5379 004F5371 8D9D 61712107 LEA EBX,DWORD PTR SS:[EBP+7217161] 004F5377 FFD3 CALL EBX 004F5379 803F 90 CMP BYTE PTR DS:[EDI],90 004F537C 0F84 08000000 JE 无敌外挂.004F538A 004F5382 83C7 05 ADD EDI,5 004F5385 E9 43000000 JMP 无敌外挂.004F53CD 004F538A 83F8 50 CMP EAX,50 004F538D 0F82 0A000000 JB 无敌外挂.004F539D 004F5393 B0 90 MOV AL,90 004F5395 AA STOS BYTE PTR ES:[EDI] 004F5396 58 POP EAX 004F5397 AA STOS BYTE PTR ES:[EDI] 004F5398 E9 24000000 JMP 无敌外挂.004F53C1 ；改成 JMP 2A30014 004F539D 58 POP EAX 004F539E AA STOS BYTE PTR ES:[EDI] 004F539F 807F FF E9 CMP BYTE PTR DS:[EDI-1],0E9 004F53A3 0F85 18000000 JNZ 无敌外挂.004F53C1 ；改成 JMP 2A30036 004F53A9 83BD C7E82107 0>CMP DWORD PTR SS:[EBP+721E8C7],0 ；地址C，记下来 004F53B0 0F84 08000000 JE 无敌外挂.004F53BE 004F53B6 8D9D 31712107 LEA EBX,DWORD PTR SS:[EBP+7217131] 004F53BC FFD3 CALL EBX 004F53BE 8847 04 MOV BYTE PTR DS:[EDI+4],AL ；这里NOP掉 004F53C1 8B85 1D2F1B07 MOV EAX,DWORD PTR SS:[EBP+71B2F1D] ；地址B，记下来 004F53C7 2BC7 SUB EAX,EDI 004F53C9 83E8 04 SUB EAX,4 004F53CC AB STOS DWORD PTR ES:[EDI] ；这里NOP掉 004F53CD AD LODS DWORD PTR DS:[ESI] 004F53CE C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0 004F53D5 ^ E9 11FFFFFF JMP 无敌外挂.004F52EB ；改成 JMP 02A3005F 004F53DA 89B5 6D301B07 MOV DWORD PTR SS:[EBP+71B306D],ESI 004F53E0 52 PUSH EDX 004F53E1 68 00800000 PUSH 8000 004F53E6 6A 00 PUSH 0 004F53E8 FFB5 F5211B07 PUSH DWORD PTR SS:[EBP+71B21F5] 004F53EE FF95 49131B07 CALL DWORD PTR SS:[EBP+71B1349] 004F53F4 5A POP EDX 004F53F5 8B8D 9D121B07 MOV ECX,DWORD PTR SS:[EBP+71B129D] 004F53FB C701 00000000 MOV DWORD PTR DS:[ECX],0 004F5401 83C1 04 ADD ECX,4 004F5404 898D 9D121B07 MOV DWORD PTR SS:[EBP+71B129D],ECX 004F540A ^ E9 10F5FFFF JMP 无敌外挂.004F491F 004F540F E9 A4060000 JMP 无敌外挂.004F5AB8 ；这里F2下个断点 004F5414 60 PUSHAD 004F5415 8B8D 9D121B07 MOV ECX,DWORD PTR SS:[EBP+71B129D] 004F541B 8B09 MOV ECX,DWORD PTR DS:[ECX] 004F541D 898D C3E82107 MOV DWORD PTR SS:[EBP+721E8C3],ECX 004F5423 8138 4E54444C CMP DWORD PTR DS:[EAX],4C44544E 。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。 CTRL+G 来到2A30000处，写如下代码： 02A30000 A3 0004A302 MOV DWORD PTR DS:[2A30400],EAX 02A30005 8908 MOV DWORD PTR DS:[EAX],ECX 02A30007 AD LODS DWORD PTR DS:[ESI] 02A30008 C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0 02A3000F - E9 D752ACFD JMP 无敌外挂.004F52EB ；地址A 02A30014 50 PUSH EAX 02A30015 A1 0004A302 MOV EAX,DWORD PTR DS:[2A30400] 02A3001A 8907 MOV DWORD PTR DS:[EDI],EAX 02A3001C 807F FF E8 CMP BYTE PTR DS:[EDI-1],0E8 02A30020 75 08 JNZ SHORT 02A3002A 02A30022 66:C747 FE FF15 MOV WORD PTR DS:[EDI-2],15FF 02A30028 EB 06 JMP SHORT 02A30030 02A3002A 66:C747 FE FF25 MOV WORD PTR DS:[EDI-2],25FF 02A30030 58 POP EAX 02A30031 - E9 8B53ACFD JMP 无敌外挂.004F53C1 ；地址B 02A30036 50 PUSH EAX 02A30037 A1 0004A302 MOV EAX,DWORD PTR DS:[2A30400] 02A3003C 8947 01 MOV DWORD PTR DS:[EDI+1],EAX 02A3003F 807F FF E8 CMP BYTE PTR DS:[EDI-1],0E8 02A30043 75 08 JNZ SHORT 02A3004D 02A30045 66:C747 FF FF15 MOV WORD PTR DS:[EDI-1],15FF 02A3004B EB 06 JMP SHORT 02A30053 02A3004D 66:C747 FF FF25 MOV WORD PTR DS:[EDI-1],25FF 02A30053 58 POP EAX 02A30054 - 0F85 6753ACFD JNZ 无敌外挂.004F53C1 ；地址B 02A3005A - E9 4A53ACFD JMP 无敌外挂.004F53A9 ；地址C 02A3005F 83C7 04 ADD EDI,4 02A30062 - E9 8452ACFD JMP 无敌外挂.004F52EB ；地址A 02A30067 90 NOP （二进制代码） A3 00 04 A3 02 89 08 AD C7 46 FC 00 00 00 00 E9 D7 52 AC FD 50 A1 00 04 A3 02 89 07 80 7F FF E8 75 08 66 C7 47 FE FF 15 EB 06 66 C7 47 FE FF 25 58 E9 8B 53 AC FD 50 A1 00 04 A3 02 89 47 01 80 7F FF E8 75 08 66 C7 47 FF FF 15 EB 06 66 C7 47 FF FF 25 58 0F 85 67 53 AC FD E9 4A 53 AC FD 83 C7 04 E9 84 52 AC FD 90 ================================================================================ 写好代码后,删除先前在代码段下的内存写入断点,shift+F9,中断在004F540F,到这里已经获得了IAT,现在找OEP.，在这里我采用世面上流传的找THEMIDA OEP方法：取消004F540F处断点,ALT+M打开内存察看窗口，直接在代码段F2下断点。Shift+F9就中断在OEP处了 004013A8 - FF25 DC104000 JMP DWORD PTR DS:[4010DC] ; MSVBVM60.ThunRTMain 004013AE 0000 ADD BYTE PTR DS:[EAX],AL 004013B0 DA00 FIADD DWORD PTR DS:[EAX] 004013B2 5C POP ESP 004013B3 A7 CMPS DWORD PTR DS:[ESI],DWORD PTR ES:[ED> 004013B4 9E SAHF 004013B5 D20F ROR BYTE PTR DS:[EDI],CL 004013B7 EE OUT DX,AL ; I/O 命令 004013B8 8BED MOV EBP,EBP 004013BA 0000 ADD BYTE PTR DS:[EAX],AL 004013BC 0000 ADD BYTE PTR DS:[EAX],AL 004013BE 0000 ADD BYTE PTR DS:[EAX],AL 004013C0 3000 XOR BYTE PTR DS:[EAX],AL 004013C2 0000 ADD BYTE PTR DS:[EAX],AL 004013C4 3800 CMP BYTE PTR DS:[EAX],AL 004013C6 0000 ADD BYTE PTR DS:[EAX],AL 004013C8 0000 ADD BYTE PTR DS:[EAX],AL 004013CA 0000 ADD BYTE PTR DS:[EAX],AL 004013CC D9F2 FPTAN 通过上面的代码，我们很明显发现程序是用VB编译的，而且OEP已经被THEMIDA偷掉了，让我们来手动修复他的OEP吧。我们先找一个没加壳的VB程序用OD载入进行对比一下就明白了。 004011D0 $- FF25 80104000 JMP DWORD PTR DS:[<&MSVBVM60.#100>] ; MSVBVM60.ThunRTMain 004011D6 00 DB 00 004011D7 00 DB 00 004011D8 > $ 68 7C184000 PUSH Variant.0040187C ；注意这里，（搜索VB5！） 004011DD . E8 EEFFFFFF CALL <JMP.&MSVBVM60.#100> ；这个CALL是指向上面的JMP 004011E2 . 0000 ADD BYTE PTR DS:[EAX],AL 004011E4 . 0000 ADD BYTE PTR DS:[EAX],AL 004011E6 . 0000 ADD BYTE PTR DS:[EAX],AL 004011E8 . 3000 XOR BYTE PTR DS:[EAX],AL 004011EA . 0000 ADD BYTE PTR DS:[EAX],AL 004011EC . 40 INC EAX 004011ED . 0000 ADD BYTE PTR DS:[EAX],AL 004011EF . 0000 ADD BYTE PTR DS:[EAX],AL 004011F1 . 0000 ADD BYTE PTR DS:[EAX],AL 004011F3 . 0058 2C ADD BYTE PTR DS:[EAX+2C],BL 004011F6 . 114A DB ADC DWORD PTR DS:[EDX-25],ECX 004011F9 . 43 INC EBX 004011FA . 8645 BA XCHG BYTE PTR SS:[EBP-46],AL 004011FD . 1822 SBB BYTE PTR DS:[EDX],AH 004011FF . 6D INS DWORD PTR ES:[EDI],DX ; I/O 命令 00401200 . CE INTO 00401201 . C3 RETN 。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。改成如下代码就手动修复OEP了： 004013A8 - FF25 DC104000 JMP DWORD PTR DS:[4010DC] ; MSVBVM60.ThunRTMain 004013AE 0000 ADD BYTE PTR DS:[EAX],AL 004013B0 68 D07E4000 PUSH 无敌外挂.00407ED0 ; ASCII "VB5!6&vb6chs.dll" 004013B5 E8 EEFFFFFF CALL 无敌外挂.004013A8 ; JMP 到 MSVBVM60.ThunRTMain 004013BA 0000 ADD BYTE PTR DS:[EAX],AL 004013BC 0000 ADD BYTE PTR DS:[EAX],AL 004013BE 0000 ADD BYTE PTR DS:[EAX],AL 004013C0 3000 XOR BYTE PTR DS:[EAX],AL 004013C2 0000 ADD BYTE PTR DS:[EAX],AL 004013C4 3800 CMP BYTE PTR DS:[EAX],AL 004013C6 0000 ADD BYTE PTR DS:[EAX],AL 004013C8 0000 ADD BYTE PTR DS:[EAX],AL 004013CA 0000 ADD BYTE PTR DS:[EAX],AL 004013CC D9F2 FPTAN =============================================================================== 到这里修复后就可以用LOAD PE 脱壳，ImportREC修复输入表 OEP：000013AE RVA：00001000 大小：00000118 剪取掉一个无效指针后修复。试运行一下脱壳修复好的程序，正常。 PEID查壳 Microsoft Visual Basic 5.0 / 6 发现脱壳后的文件巨大，用LOAD PE 清除 Themida 这个区段，保存，在用LOAD PE 重建。再次打开重建后的程序，运行正常，文件大小98.1KB 到这里就脱壳+修复+优化完毕了。附脱壳优化后文件：http://www.live-share.com/files/182814/___.rar.html 转自：http://www.unpack.cn/thread-11256-1-2.html 2007-4-8 00:35 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

最新回复 (27) ◀ 1 2
wwithout 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 26 粉丝 0 关注私信	wwithout 26 楼谢谢24楼，但是我试过了各种方法，也下载过脱壳机，都不好使的，手动脱壳跟踪到POPAD之前就跳走了，再跟下去就飞了。 2007-3-26 08:13 0
病毒毒雪币： 0 能力值： (RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	病毒毒 27 楼学习了，这个外挂比较变态 2007-3-26 08:58 0
tiamoer 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	tiamoer 28 楼 Themida 1.8.X 脱壳之泡泡堂不死外挂3.16 Themida 1.8.X 脱壳之泡泡堂不死外挂3.16 首先用PEID查下壳：什么也没发现，看区段名有Themida 字样，初步估计应该是1.8.X的。载入后隐藏我们的OD，在代码段下内存写入断点 0041D014 > B8 00000000 MOV EAX,0 ；载入点。注意看这些代码 0041D019 60 PUSHAD 0041D01A 0BC0 OR EAX,EAX ；明眼的就看出是Themida 壳了 0041D01C 74 68 JE SHORT 无敌外挂.0041D086 0041D01E E8 00000000 CALL 无敌外挂.0041D023 0041D023 58 POP EAX 0041D024 05 53000000 ADD EAX,53 0041D029 8038 E9 CMP BYTE PTR DS:[EAX],0E9 0041D02C 75 13 JNZ SHORT 无敌外挂.0041D041 0041D02E 61 POPAD 0041D02F EB 45 JMP SHORT 无敌外挂.0041D076 =============================================================================== SHIFT+F9运行，第一次中断在下面： 004F14A2 F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[> ；F7一次后F8一次 004F14A4 C685 CD2A1B07 5>MOV BYTE PTR SS:[EBP+71B2ACD],56 004F14AB 68 396D1FD4 PUSH D41F6D39 004F14B0 FFB5 FD051B07 PUSH DWORD PTR SS:[EBP+71B05FD] 004F14B6 8D85 E87C1E07 LEA EAX,DWORD PTR SS:[EBP+71E7CE8] 004F14BC FFD0 CALL EAX 004F14BE 68 00800000 PUSH 8000 004F14C3 6A 00 PUSH 0 004F14C5 52 PUSH EDX 004F14C6 FFD0 CALL EAX =============================================================================== SHIFT+F9继续运行，断在下面： 004F52E1 8908 MOV DWORD PTR DS:[EAX],ECX ；中断在这里，往上面找代码 =============================================================================== 004F4A80 /0F84 17000000 JE 无敌外挂.004F4A9D 004F4A86 \|83BD 310E1B07 0>CMP DWORD PTR SS:[EBP+71B0E31],0 004F4A8D \|0F85 0A000000 JNZ 无敌外挂.004F4A9D 《====改成JMP 004F4A9D ========== 004F4A93 \|C785 410C1B07 0>MOV DWORD PTR SS:[EBP+71B0C41],1 004F4A9D \61 POPAD 004F4A9E B9 46A60308 MOV ECX,803A646 004F4AA3 BA 9AD13616 MOV EDX,1636D19A 。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。 004F4BC4 5E POP ESI 004F4BC5 83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],1 004F4BCC 0F84 39000000 JE 无敌外挂.004F4C0B 《====改成JMP 004F4BF6 =========== 004F4BD2 3B8D 29081B07 CMP ECX,DWORD PTR SS:[EBP+71B0829] 004F4BD8 0F84 2D000000 JE 无敌外挂.004F4C0B 004F4BDE 3B8D 1D171B07 CMP ECX,DWORD PTR SS:[EBP+71B171D] 004F4BE4 0F84 21000000 JE 无敌外挂.004F4C0B 004F4BEA 3B8D 552A1B07 CMP ECX,DWORD PTR SS:[EBP+71B2A55] 004F4BF0 0F84 15000000 JE 无敌外挂.004F4C0B 004F4BF6 8D9D E2FD2107 LEA EBX,DWORD PTR SS:[EBP+721FDE2] 004F4BFC FFD3 CALL EBX 004F4BFE 8BF8 MOV EDI,EAX 004F4C00 8985 1D2F1B07 MOV DWORD PTR SS:[EBP+71B2F1D],EAX 004F4C06 E9 B4060000 JMP 无敌外挂.004F52BF 004F4C0B 8D9D E2FD2107 LEA EBX,DWORD PTR SS:[EBP+721FDE2] 004F4C11 FFD3 CALL EBX 004F4C13 83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],0 =============================================================================== 改好上面2处跳转（目的是避开加密）后返回中断处，用HideOD申请一段内存地址（我的是2A30000） 004F52E1 8908 MOV DWORD PTR DS:[EAX],ECX ；中断处，改成 JMP 2A30000 004F52E3 AD LODS DWORD PTR DS:[ESI] 004F52E4 C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0 004F52EB 89B5 6D301B07 MOV DWORD PTR SS:[EBP+71B306D],ESI ；地址A，记下来 004F52F1 83F8 FF CMP EAX,-1 004F52F4 0F85 20000000 JNZ 无敌外挂.004F531A 004F52FA 813E DDDDDDDD CMP DWORD PTR DS:[ESI],DDDDDDDD 004F5300 0F85 14000000 JNZ 无敌外挂.004F531A 004F5306 C706 00000000 MOV DWORD PTR DS:[ESI],0 004F530C 83C6 04 ADD ESI,4 004F530F 89B5 6D301B07 MOV DWORD PTR SS:[EBP+71B306D],ESI 004F5315 ^ E9 E6F6FFFF JMP 无敌外挂.004F4A00 004F531A C1C0 03 ROL EAX,3 004F531D 0385 11171B07 ADD EAX,DWORD PTR SS:[EBP+71B1711] 004F5323 83BD 99221B07 0>CMP DWORD PTR SS:[EBP+71B2299],1 004F532A 0F84 9D000000 JE 无敌外挂.004F53CD 004F5330 813E AAAAAAAA CMP DWORD PTR DS:[ESI],AAAAAAAA 004F5336 0F85 12000000 JNZ 无敌外挂.004F534E 004F533C 83C6 04 ADD ESI,4 004F533F C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0 004F5346 97 XCHG EAX,EDI 004F5347 B0 E9 MOV AL,0E9 004F5349 E9 03000000 JMP 无敌外挂.004F5351 004F534E 97 XCHG EAX,EDI 004F534F B0 E8 MOV AL,0E8 004F5351 50 PUSH EAX 004F5352 83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],1 004F5359 0F84 3E000000 JE 无敌外挂.004F539D 004F535F B8 00010000 MOV EAX,100 004F5364 83BD C7E82107 0>CMP DWORD PTR SS:[EBP+721E8C7],0 004F536B 0F84 08000000 JE 无敌外挂.004F5379 004F5371 8D9D 61712107 LEA EBX,DWORD PTR SS:[EBP+7217161] 004F5377 FFD3 CALL EBX 004F5379 803F 90 CMP BYTE PTR DS:[EDI],90 004F537C 0F84 08000000 JE 无敌外挂.004F538A 004F5382 83C7 05 ADD EDI,5 004F5385 E9 43000000 JMP 无敌外挂.004F53CD 004F538A 83F8 50 CMP EAX,50 004F538D 0F82 0A000000 JB 无敌外挂.004F539D 004F5393 B0 90 MOV AL,90 004F5395 AA STOS BYTE PTR ES:[EDI] 004F5396 58 POP EAX 004F5397 AA STOS BYTE PTR ES:[EDI] 004F5398 E9 24000000 JMP 无敌外挂.004F53C1 ；改成 JMP 2A30014 004F539D 58 POP EAX 004F539E AA STOS BYTE PTR ES:[EDI] 004F539F 807F FF E9 CMP BYTE PTR DS:[EDI-1],0E9 004F53A3 0F85 18000000 JNZ 无敌外挂.004F53C1 ；改成 JMP 2A30036 004F53A9 83BD C7E82107 0>CMP DWORD PTR SS:[EBP+721E8C7],0 ；地址C，记下来 004F53B0 0F84 08000000 JE 无敌外挂.004F53BE 004F53B6 8D9D 31712107 LEA EBX,DWORD PTR SS:[EBP+7217131] 004F53BC FFD3 CALL EBX 004F53BE 8847 04 MOV BYTE PTR DS:[EDI+4],AL ；这里NOP掉 004F53C1 8B85 1D2F1B07 MOV EAX,DWORD PTR SS:[EBP+71B2F1D] ；地址B，记下来 004F53C7 2BC7 SUB EAX,EDI 004F53C9 83E8 04 SUB EAX,4 004F53CC AB STOS DWORD PTR ES:[EDI] ；这里NOP掉 004F53CD AD LODS DWORD PTR DS:[ESI] 004F53CE C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0 004F53D5 ^ E9 11FFFFFF JMP 无敌外挂.004F52EB ；改成 JMP 02A3005F 004F53DA 89B5 6D301B07 MOV DWORD PTR SS:[EBP+71B306D],ESI 004F53E0 52 PUSH EDX 004F53E1 68 00800000 PUSH 8000 004F53E6 6A 00 PUSH 0 004F53E8 FFB5 F5211B07 PUSH DWORD PTR SS:[EBP+71B21F5] 004F53EE FF95 49131B07 CALL DWORD PTR SS:[EBP+71B1349] 004F53F4 5A POP EDX 004F53F5 8B8D 9D121B07 MOV ECX,DWORD PTR SS:[EBP+71B129D] 004F53FB C701 00000000 MOV DWORD PTR DS:[ECX],0 004F5401 83C1 04 ADD ECX,4 004F5404 898D 9D121B07 MOV DWORD PTR SS:[EBP+71B129D],ECX 004F540A ^ E9 10F5FFFF JMP 无敌外挂.004F491F 004F540F E9 A4060000 JMP 无敌外挂.004F5AB8 ；这里F2下个断点 004F5414 60 PUSHAD 004F5415 8B8D 9D121B07 MOV ECX,DWORD PTR SS:[EBP+71B129D] 004F541B 8B09 MOV ECX,DWORD PTR DS:[ECX] 004F541D 898D C3E82107 MOV DWORD PTR SS:[EBP+721E8C3],ECX 004F5423 8138 4E54444C CMP DWORD PTR DS:[EAX],4C44544E 。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。 CTRL+G 来到2A30000处，写如下代码： 02A30000 A3 0004A302 MOV DWORD PTR DS:[2A30400],EAX 02A30005 8908 MOV DWORD PTR DS:[EAX],ECX 02A30007 AD LODS DWORD PTR DS:[ESI] 02A30008 C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0 02A3000F - E9 D752ACFD JMP 无敌外挂.004F52EB ；地址A 02A30014 50 PUSH EAX 02A30015 A1 0004A302 MOV EAX,DWORD PTR DS:[2A30400] 02A3001A 8907 MOV DWORD PTR DS:[EDI],EAX 02A3001C 807F FF E8 CMP BYTE PTR DS:[EDI-1],0E8 02A30020 75 08 JNZ SHORT 02A3002A 02A30022 66:C747 FE FF15 MOV WORD PTR DS:[EDI-2],15FF 02A30028 EB 06 JMP SHORT 02A30030 02A3002A 66:C747 FE FF25 MOV WORD PTR DS:[EDI-2],25FF 02A30030 58 POP EAX 02A30031 - E9 8B53ACFD JMP 无敌外挂.004F53C1 ；地址B 02A30036 50 PUSH EAX 02A30037 A1 0004A302 MOV EAX,DWORD PTR DS:[2A30400] 02A3003C 8947 01 MOV DWORD PTR DS:[EDI+1],EAX 02A3003F 807F FF E8 CMP BYTE PTR DS:[EDI-1],0E8 02A30043 75 08 JNZ SHORT 02A3004D 02A30045 66:C747 FF FF15 MOV WORD PTR DS:[EDI-1],15FF 02A3004B EB 06 JMP SHORT 02A30053 02A3004D 66:C747 FF FF25 MOV WORD PTR DS:[EDI-1],25FF 02A30053 58 POP EAX 02A30054 - 0F85 6753ACFD JNZ 无敌外挂.004F53C1 ；地址B 02A3005A - E9 4A53ACFD JMP 无敌外挂.004F53A9 ；地址C 02A3005F 83C7 04 ADD EDI,4 02A30062 - E9 8452ACFD JMP 无敌外挂.004F52EB ；地址A 02A30067 90 NOP （二进制代码） A3 00 04 A3 02 89 08 AD C7 46 FC 00 00 00 00 E9 D7 52 AC FD 50 A1 00 04 A3 02 89 07 80 7F FF E8 75 08 66 C7 47 FE FF 15 EB 06 66 C7 47 FE FF 25 58 E9 8B 53 AC FD 50 A1 00 04 A3 02 89 47 01 80 7F FF E8 75 08 66 C7 47 FF FF 15 EB 06 66 C7 47 FF FF 25 58 0F 85 67 53 AC FD E9 4A 53 AC FD 83 C7 04 E9 84 52 AC FD 90 ================================================================================ 写好代码后,删除先前在代码段下的内存写入断点,shift+F9,中断在004F540F,到这里已经获得了IAT,现在找OEP.，在这里我采用世面上流传的找THEMIDA OEP方法：取消004F540F处断点,ALT+M打开内存察看窗口，直接在代码段F2下断点。Shift+F9就中断在OEP处了 004013A8 - FF25 DC104000 JMP DWORD PTR DS:[4010DC] ; MSVBVM60.ThunRTMain 004013AE 0000 ADD BYTE PTR DS:[EAX],AL 004013B0 DA00 FIADD DWORD PTR DS:[EAX] 004013B2 5C POP ESP 004013B3 A7 CMPS DWORD PTR DS:[ESI],DWORD PTR ES:[ED> 004013B4 9E SAHF 004013B5 D20F ROR BYTE PTR DS:[EDI],CL 004013B7 EE OUT DX,AL ; I/O 命令 004013B8 8BED MOV EBP,EBP 004013BA 0000 ADD BYTE PTR DS:[EAX],AL 004013BC 0000 ADD BYTE PTR DS:[EAX],AL 004013BE 0000 ADD BYTE PTR DS:[EAX],AL 004013C0 3000 XOR BYTE PTR DS:[EAX],AL 004013C2 0000 ADD BYTE PTR DS:[EAX],AL 004013C4 3800 CMP BYTE PTR DS:[EAX],AL 004013C6 0000 ADD BYTE PTR DS:[EAX],AL 004013C8 0000 ADD BYTE PTR DS:[EAX],AL 004013CA 0000 ADD BYTE PTR DS:[EAX],AL 004013CC D9F2 FPTAN 通过上面的代码，我们很明显发现程序是用VB编译的，而且OEP已经被THEMIDA偷掉了，让我们来手动修复他的OEP吧。我们先找一个没加壳的VB程序用OD载入进行对比一下就明白了。 004011D0 $- FF25 80104000 JMP DWORD PTR DS:[<&MSVBVM60.#100>] ; MSVBVM60.ThunRTMain 004011D6 00 DB 00 004011D7 00 DB 00 004011D8 > $ 68 7C184000 PUSH Variant.0040187C ；注意这里，（搜索VB5！） 004011DD . E8 EEFFFFFF CALL <JMP.&MSVBVM60.#100> ；这个CALL是指向上面的JMP 004011E2 . 0000 ADD BYTE PTR DS:[EAX],AL 004011E4 . 0000 ADD BYTE PTR DS:[EAX],AL 004011E6 . 0000 ADD BYTE PTR DS:[EAX],AL 004011E8 . 3000 XOR BYTE PTR DS:[EAX],AL 004011EA . 0000 ADD BYTE PTR DS:[EAX],AL 004011EC . 40 INC EAX 004011ED . 0000 ADD BYTE PTR DS:[EAX],AL 004011EF . 0000 ADD BYTE PTR DS:[EAX],AL 004011F1 . 0000 ADD BYTE PTR DS:[EAX],AL 004011F3 . 0058 2C ADD BYTE PTR DS:[EAX+2C],BL 004011F6 . 114A DB ADC DWORD PTR DS:[EDX-25],ECX 004011F9 . 43 INC EBX 004011FA . 8645 BA XCHG BYTE PTR SS:[EBP-46],AL 004011FD . 1822 SBB BYTE PTR DS:[EDX],AH 004011FF . 6D INS DWORD PTR ES:[EDI],DX ; I/O 命令 00401200 . CE INTO 00401201 . C3 RETN 。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。改成如下代码就手动修复OEP了： 004013A8 - FF25 DC104000 JMP DWORD PTR DS:[4010DC] ; MSVBVM60.ThunRTMain 004013AE 0000 ADD BYTE PTR DS:[EAX],AL 004013B0 68 D07E4000 PUSH 无敌外挂.00407ED0 ; ASCII "VB5!6&vb6chs.dll" 004013B5 E8 EEFFFFFF CALL 无敌外挂.004013A8 ; JMP 到 MSVBVM60.ThunRTMain 004013BA 0000 ADD BYTE PTR DS:[EAX],AL 004013BC 0000 ADD BYTE PTR DS:[EAX],AL 004013BE 0000 ADD BYTE PTR DS:[EAX],AL 004013C0 3000 XOR BYTE PTR DS:[EAX],AL 004013C2 0000 ADD BYTE PTR DS:[EAX],AL 004013C4 3800 CMP BYTE PTR DS:[EAX],AL 004013C6 0000 ADD BYTE PTR DS:[EAX],AL 004013C8 0000 ADD BYTE PTR DS:[EAX],AL 004013CA 0000 ADD BYTE PTR DS:[EAX],AL 004013CC D9F2 FPTAN =============================================================================== 到这里修复后就可以用LOAD PE 脱壳，ImportREC修复输入表 OEP：000013AE RVA：00001000 大小：00000118 剪取掉一个无效指针后修复。试运行一下脱壳修复好的程序，正常。 PEID查壳 Microsoft Visual Basic 5.0 / 6 发现脱壳后的文件巨大，用LOAD PE 清除 Themida 这个区段，保存，在用LOAD PE 重建。再次打开重建后的程序，运行正常，文件大小98.1KB 到这里就脱壳+修复+优化完毕了。附脱壳优化后文件：http://www.live-share.com/files/182814/___.rar.html 转自：http://www.unpack.cn/thread-11256-1-2.html 2007-4-8 00:35 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

[求助]无名壳 绝对牛B 杀OD

[求助]无名壳绝对牛B 杀OD