首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[分享]ACProtect之补区段法(OEP Obfuscation, API redirection)
发表于: 2007-3-23 21:53 11221

[分享]ACProtect之补区段法(OEP Obfuscation, API redirection)

wynney 活跃值
24
2007-3-23 21:53
11221

【文章标题】: ACProtect之补区段法(OEP Obfuscation, API redirection)
【文章作者】: wynney
【软件名称】: 1个小东西
【下载地址】: 自己搜索下载
【加壳方式】: AntiCrack Protector 1.0x -> RISCO Software Inc.
【使用工具】: Topo
【作者声明】: 论坛冷冷清清，浇浇水：）
--------------------------------------------------------------------------------
【详细过程】
  一、写在前面：
  东西很简单，本文所说的只是用一个方法来解决Stolen Code，没什么技术含量。
  关于ACProtect的Stolen Code，以前有不少高人有具体分析，发文章之前，简单搜索了下论坛，看到这篇介绍的很详细。
  《simonzh2000分析的Acprotect1.21加密的电脑中国象棋》。本文所介绍的是，如何用“傻瓜式”的方法来解决那些字节
  抽取得太多的，而你又没耐性抑或没能力去分析的情况。抛砖引玉，勿见笑。
  
  二、Fix IAT&Go to OEP
  
  忽略所有异常。
  
  00400000   00001000   NgaMy                 PE header     Imag   R         RWE
  00401000   00009000   NgaMy      .text      code          Imag   R         RWE
  0040A000   00002000   NgaMy      .rdata     code,data     Imag   R         RWE
  0040C000   00004000   NgaMy      .data      code          Imag   R         RWE
  00410000   0000F000   NgaMy      .rsrc      code,resourc  Imag   R         RWE
  0041F000   0001E000   NgaMy      .perplex   code,imports  Imag   R         RWE
  
  .rdata段，F2，Shift+F9
  注：Delphi和BCB的程序是.idata段
  
  

0043383D 8B46 0C mov eax,dword ptr ds:[esi+C] ; 停在这里
00433840 0BC0 or eax,eax ; 这一段代码相信大家很熟悉了，fly分析得很详细
00433842 0F84 25020000 je NgaMy.00433A6D
00433848 8366 0C 00 and dword ptr ds:[esi+C],0
0043384C 03C2 add eax,edx
0043384E 8BD8 mov ebx,eax
00433850 56 push esi
00433851 57 push edi
00433852 50 push eax
00433853 8BF3 mov esi,ebx
00433855 8BFB mov edi,ebx
00433857 AC lods byte ptr ds:[esi]
00433858 C0C0 03 rol al,3
0043385B AA stos byte ptr es:[edi]
0043385C 803F 00 cmp byte ptr ds:[edi],0
0043385F ^ 75 F6 jnz short NgaMy.00433857
00433861 58 pop eax
00433862 5F pop edi
00433863 5E pop esi
00433864 50 push eax
00433865 FF95 90E24100 call dword ptr ss:[ebp+41E290]
0043386B 0BC0 or eax,eax
0043386D 75 43 jnz short NgaMy.004338B2
0043386F 90 nop
00433870 90 nop
00433871 90 nop
00433872 90 nop
00433873 53 push ebx
00433874 FF95 94E24100 call dword ptr ss:[ebp+41E294]
0043387A 0BC0 or eax,eax
0043387C 75 34 jnz short NgaMy.004338B2
0043387E 90 nop
0043387F 90 nop
00433880 90 nop
00433881 90 nop
00433882 8B95 1FFC4000 mov edx,dword ptr ss:[ebp+40FC1F]
00433888 0195 1D1F4000 add dword ptr ss:[ebp+401F1D],edx
0043388E 0195 211F4000 add dword ptr ss:[ebp+401F21],edx
00433894 6A 00 push 0
00433896 FFB5 1D1F4000 push dword ptr ss:[ebp+401F1D]
0043389C FFB5 211F4000 push dword ptr ss:[ebp+401F21]
004338A2 6A 00 push 0
004338A4 FF95 9CE24100 call dword ptr ss:[ebp+41E29C]
004338AA 6A 00 push 0
004338AC FF95 98E24100 call dword ptr ss:[ebp+41E298]
004338B2 60 pushad
004338B3 2BC0 sub eax,eax
004338B5 8803 mov byte ptr ds:[ebx],al
004338B7 43 inc ebx
004338B8 3803 cmp byte ptr ds:[ebx],al
004338BA ^ 75 F9 jnz short NgaMy.004338B5
004338BC 61 popad
004338BD 8985 17FC4000 mov dword ptr ss:[ebp+40FC17],eax
004338C3 C785 1BFC4000 0000>mov dword ptr ss:[ebp+40FC1B],0
004338CD 8B95 1FFC4000 mov edx,dword ptr ss:[ebp+40FC1F]
004338D3 8B06 mov eax,dword ptr ds:[esi]
004338D5 0BC0 or eax,eax
004338D7 75 07 jnz short NgaMy.004338E0
004338D9 90 nop
004338DA 90 nop
004338DB 90 nop
004338DC 90 nop
004338DD 8B46 10 mov eax,dword ptr ds:[esi+10]
004338E0 03C2 add eax,edx
004338E2 0385 1BFC4000 add eax,dword ptr ss:[ebp+40FC1B]
004338E8 8B18 mov ebx,dword ptr ds:[eax]
004338EA 8B7E 10 mov edi,dword ptr ds:[esi+10]
004338ED 03FA add edi,edx
004338EF 03BD 1BFC4000 add edi,dword ptr ss:[ebp+40FC1B]
004338F5 85DB test ebx,ebx
004338F7 0F84 62010000 je NgaMy.00433A5F
004338FD F7C3 00000080 test ebx,80000000
00433903 75 1D jnz short NgaMy.00433922
00433905 90 nop
00433906 90 nop
00433907 90 nop
00433908 90 nop
00433909 03DA add ebx,edx
0043390B 83C3 02 add ebx,2
0043390E 56 push esi
0043390F 57 push edi
00433910 50 push eax
00433911 8BF3 mov esi,ebx
00433913 8BFB mov edi,ebx
00433915 AC lods byte ptr ds:[esi]
00433916 C0C0 03 rol al,3
00433919 AA stos byte ptr es:[edi]
0043391A 803F 00 cmp byte ptr ds:[edi],0
0043391D ^ 75 F6 jnz short NgaMy.00433915
0043391F 58 pop eax
00433920 5F pop edi
00433921 5E pop esi
00433922 3B9D 1FFC4000 cmp ebx,dword ptr ss:[ebp+40FC1F]
00433928 7C 11 jl short NgaMy.0043393B
0043392A 90 nop
0043392B 90 nop
0043392C 90 nop
0043392D 90 nop
0043392E 83BD 02244000 00 cmp dword ptr ss:[ebp+402402],0
00433935 75 0A jnz short NgaMy.00433941
00433937 90 nop
00433938 90 nop
00433939 90 nop
0043393A 90 nop
0043393B 81E3 FFFFFF0F and ebx,0FFFFFFF
00433941 53 push ebx
00433942 FFB5 17FC4000 push dword ptr ss:[ebp+40FC17]
00433948 FF95 8CE24100 call dword ptr ss:[ebp+41E28C]
0043394E 3B9D 1FFC4000 cmp ebx,dword ptr ss:[ebp+40FC1F]
00433954 7C 0F jl short NgaMy.00433965
00433956 90 nop
00433957 90 nop
00433958 90 nop
00433959 90 nop
0043395A 60 pushad
0043395B 2BC0 sub eax,eax
0043395D 8803 mov byte ptr ds:[ebx],al
0043395F 43 inc ebx
00433960 3803 cmp byte ptr ds:[ebx],al
00433962 ^ 75 F9 jnz short NgaMy.0043395D
00433964 61 popad
00433965 0BC0 or eax,eax
00433967 ^ 0F84 15FFFFFF je NgaMy.00433882
0043396D 3B85 9CE24100 cmp eax,dword ptr ss:[ebp+41E29C] ; 比较是否是MessageBoxA
00433973 74 20 je short NgaMy.00433995 ; nop掉
00433975 90 nop
00433976 90 nop
00433977 90 nop
00433978 90 nop
00433979 3B85 9D014100 cmp eax,dword ptr ss:[ebp+41019D] ; 比较是否是RegisterHotKey
0043397F 74 09 je short NgaMy.0043398A ; nop掉
00433981 90 nop
00433982 90 nop
00433983 90 nop
00433984 90 nop
00433985 EB 14 jmp short NgaMy.0043399B
00433987 90 nop
00433988 90 nop
00433989 90 nop
0043398A 8D85 0A024100 lea eax,dword ptr ss:[ebp+41020A]
00433990 EB 09 jmp short NgaMy.0043399B
00433992 90 nop
00433993 90 nop
00433994 90 nop
00433995 8D85 24024100 lea eax,dword ptr ss:[ebp+410224]
0043399B 56 push esi
0043399C FFB5 17FC4000 push dword ptr ss:[ebp+40FC17]
004339A2 5E pop esi
004339A3 39B5 FA234000 cmp dword ptr ss:[ebp+4023FA],esi
004339A9 74 15 je short NgaMy.004339C0
004339AB 90 nop
004339AC 90 nop
004339AD 90 nop
004339AE 90 nop
004339AF 39B5 FE234000 cmp dword ptr ss:[ebp+4023FE],esi
004339B5 74 09 je short NgaMy.004339C0
004339B7 90 nop
004339B8 90 nop
004339B9 90 nop
004339BA 90 nop
004339BB EB 63 jmp short NgaMy.00433A20
004339BD 90 nop
004339BE 90 nop
004339BF 90 nop
004339C0 80BD D2594100 00 cmp byte ptr ss:[ebp+4159D2],0
004339C7 74 57 je short NgaMy.00433A20 ; Magic Jump，改Jmp
004339C9 90 nop
004339CA 90 nop
004339CB 90 nop
004339CC 90 nop
004339CD EB 07 jmp short NgaMy.004339D6
004339CF 90 nop
004339D0 90 nop
004339D1 90 nop
004339D2 0100 add dword ptr ds:[eax],eax
004339D4 0000 add byte ptr ds:[eax],al
004339D6 8BB5 E4FC4000 mov esi,dword ptr ss:[ebp+40FCE4]
004339DC 83C6 0D add esi,0D
004339DF 81EE EA1B4000 sub esi,NgaMy.00401BEA
004339E5 2BF5 sub esi,ebp
004339E7 83FE 00 cmp esi,0
004339EA 7F 34 jg short NgaMy.00433A20
004339EC 90 nop
004339ED 90 nop
00403D38 68 8C3D4000 push NgaMy.00403D8C ; 停在这
00403D3D 64:A1 00000000 mov eax,dword ptr fs:[0]
00403D43 50 push eax
00403D44 8B4424 10 mov eax,dword ptr ss:[esp+10]
00403D48 896C24 10 mov dword ptr ss:[esp+10],ebp
00403D4C 8D6C24 10 lea ebp,dword ptr ss:[esp+10]
00403D50 2BE0 sub esp,eax
00403D52 53 push ebx
00403D53 56 push esi
00403D54 57 push edi
00403D55 8B45 F8 mov eax,dword ptr ss:[ebp-8]
00403D58 8965 E8 mov dword ptr ss:[ebp-18],esp
00403D5B 50 push eax
00403D5C 8B45 FC mov eax,dword ptr ss:[ebp-4]
00403D5F C745 FC FFFFFFFF mov dword ptr ss:[ebp-4],-1
00403D66 8945 F8 mov dword ptr ss:[ebp-8],eax
00403D69 8D45 F0 lea eax,dword ptr ss:[ebp-10]
00403D6C 64:A3 00000000 mov dword ptr fs:[0],eax
00403D72 C3 retn ; F4，F8
00405560 3D 00100000 cmp eax,1000 ; 停在这
00405565 73 0E jnb short NgaMy.00405575
00405567 F7D8 neg eax
00405569 03C4 add eax,esp
0040556B 83C0 04 add eax,4
0040556E 8500 test dword ptr ds:[eax],eax
00405570 94 xchg eax,esp
00405571 8B00 mov eax,dword ptr ds:[eax]
00405573 50 push eax
00405574 C3 retn ; F4，F8

0040305C 83F9 02 cmp ecx,2 ; FOEP，上面被抽了不少字节
0040305F 74 0C je short NgaMy.0040306D
00403061 81CE 00800000 or esi,8000
00403067 8935 B0DE4000 mov dword ptr ds:[40DEB0],esi
0040306D C1E0 08 shl eax,8

0041F000 N> 60 pushad ; EP，F8
0041F001 E8 01000000 call NgaMy.0041F007 ; ESP=0012FFA4,hr 0012FFA4,Shift+F9

004365F4 8915 F5FD4100 mov dword ptr ds:[41FDF5],edx ; 几次Shift+F9后来到这里，删除硬件断点
004365FA FF35 F5FD4100 push dword ptr ds:[41FDF5] ; 这里就是Stolen Code开始的地方了
00436600 8F05 2DFE4100 pop dword ptr ds:[41FE2D] ; ntdll.KiFastSystemCallRet
00436606 FF35 2DFE4100 push dword ptr ds:[41FE2D] ; ntdll.KiFastSystemCallRet
0043660C C70424 60000000 mov dword ptr ss:[esp],60
00436613 56 push esi
00436614 890C24 mov dword ptr ss:[esp],ecx
00436617 68 8DFD4100 push NgaMy.0041FD8D
0043661C 59 pop ecx
0043661D 8919 mov dword ptr ds:[ecx],ebx
0043661F 8B0C24 mov ecx,dword ptr ss:[esp]
00436622 8F05 ADFE4100 pop dword ptr ds:[41FEAD]
00436628 FF35 8DFD4100 push dword ptr ds:[41FD8D]
0043662E C70424 48A24000 mov dword ptr ss:[esp],NgaMy.0040A248
00436635 8905 B9FD4100 mov dword ptr ds:[41FDB9],eax
0043663B FF35 B9FD4100 push dword ptr ds:[41FDB9]
00436641 90 nop
00436642 90 nop
00436643 60 pushad
00436644 E8 01000000 call NgaMy.0043664A ; F4，ESP=0012FF98，hr esp，F9


二进制复制pushad上面的代码[nop可以不复制]
89 15 F5 FD 41 00 FF 35 F5 FD 41 00 8F 05 2D FE 41 00 FF 35 2D FE 41 00 C7 04 24 60 00 00 00 56
89 0C 24 68 8D FD 41 00 59 89 19 8B 0C 24 8F 05 AD FE 41 00 FF 35 8D FD 41 00 C7 04 24 48 A2 40
00 89 05 B9 FD 41 00 FF 35 B9 FD 41 00 90 90

00436F16 68 1DFD4100 push NgaMy.0041FD1D ; 删除硬件断点
00436F1B 58 pop eax
00436F1C 8930 mov dword ptr ds:[eax],esi
00436F1E 8F05 79FC4100 pop dword ptr ds:[41FC79]
00436F24 8B05 79FC4100 mov eax,dword ptr ds:[41FC79]
00436F2A FF35 1DFD4100 push dword ptr ds:[41FD1D]
00436F30 56 push esi
00436F31 891C24 mov dword ptr ss:[esp],ebx
00436F34 C70424 383D4000 mov dword ptr ss:[esp],NgaMy.00403D38
00436F3B 8B3424 mov esi,dword ptr ss:[esp]
00436F3E 8F05 A5FE4100 pop dword ptr ds:[41FEA5] ; NgaMy.00403D38
00436F44 8905 01FF4100 mov dword ptr ds:[41FF01],eax
00436F4A FF35 01FF4100 push dword ptr ds:[41FF01]
00436F50 891C24 mov dword ptr ss:[esp],ebx
00436F53 56 push esi
00436F54 C70424 45FE4100 mov dword ptr ss:[esp],NgaMy.0041FE45
00436F5B 8F05 31FE4100 pop dword ptr ds:[41FE31] ; NgaMy.0041FE45
00436F61 90 nop
00436F62 90 nop
00436F63 60 pushad
00436F64 E8 01000000 call NgaMy.00436F6A ; F4，ESP=0012FF94，hr esp，F9

二进制复制pushad上面的代码[nop可以不复制]
68 1D FD 41 00 58 89 30 8F 05 79 FC 41 00 8B 05 79 FC 41 00 FF 35 1D FD 41 00 56 89 1C 24 C7 04
24 38 3D 40 00 8B 34 24 8F 05 A5 FE 41 00 89 05 01 FF 41 00 FF 35 01 FF 41 00 89 1C 24 56 C7 04
24 45 FE 41 00 8F 05 31 FE 41 00

0043783F 8B1D 31FE4100 mov ebx,dword ptr ds:[41FE31] ; 删除硬件断点
00437845 8933 mov dword ptr ds:[ebx],esi
00437847 8F05 39FC4100 pop dword ptr ds:[41FC39]
0043784D FF35 39FC4100 push dword ptr ds:[41FC39]
00437853 5B pop ebx
00437854 8F05 09FE4100 pop dword ptr ds:[41FE09]
0043785A 891D 21FC4100 mov dword ptr ds:[41FC21],ebx
00437860 FF35 21FC4100 push dword ptr ds:[41FC21]
00437866 C705 19FC4100 09FE>mov dword ptr ds:[41FC19],NgaMy.0041FE0>
00437870 8B1D 19FC4100 mov ebx,dword ptr ds:[41FC19] ; NgaMy.0041FE09
00437876 8B33 mov esi,dword ptr ds:[ebx]
00437878 8F05 FDFB4100 pop dword ptr ds:[41FBFD]
0043787E 8B1D FDFB4100 mov ebx,dword ptr ds:[41FBFD]
00437884 FF15 45FE4100 call dword ptr ds:[41FE45] ; NgaMy.00403D38
0043788A 90 nop
0043788B 90 nop
0043788C 60 pushad
0043788D E8 01000000 call NgaMy.00437893 ; F4，ESP=0012FF24，hr esp，F9

二进制复制pushad上面的代码[nop可以不复制]
8B 1D 31 FE 41 00 89 33 8F 05 39 FC 41 00 FF 35 39 FC 41 00 5B 8F 05 09 FE 41 00 89 1D 21 FC 41
00 FF 35 21 FC 41 00 C7 05 19 FC 41 00 09 FE 41 00 8B 1D 19 FC 41 00 8B 33 8F 05 FD FB 41 00 8B
1D FD FB 41 00 FF 15 45 FE 41 00

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：
收藏
免费 ・7
支持
分享
最新回复 (20)
KuNgBiM
雪    币： 817
活跃值： (1927)
能力值： ( LV12，RANK：2670 )
在线值：
发帖
回帖
粉丝
私信
2 楼
支持！
2007-3-23 21:55
0
kanxue
雪    币： 47147
活跃值： (20460)
能力值： (RANK：350 )
在线值：
发帖
回帖
粉丝
私信
3 楼
感谢分享~
2007-3-23 21:57
0
china
雪    币： 3689
活跃值： (4247)
能力值： (RANK：215 )
在线值：
发帖
回帖
粉丝
私信
4 楼
我的录象DVD呢？什么时候给我？
2007-3-23 22:48
0
夜凉如水
雪    币： 136
活跃值： (105)
能力值： ( LV9，RANK：140 )
在线值：
发帖
回帖
粉丝
私信
5 楼
支持作者好东西嘎嘎方便群众!!!!!!!
2007-3-23 23:39
0
wynney
雪    币： 224
活跃值： (147)
能力值： ( LV9，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
6 楼
最初由 china 发布
我的录象DVD呢？什么时候给我？

又来追债了
2007-3-23 23:50
0
KuNgBiM
雪    币： 817
活跃值： (1927)
能力值： ( LV12，RANK：2670 )
在线值：
发帖
回帖
粉丝
私信
7 楼
最初由 wynney 发布
又来追债了


真佩服ABC的决心`````
2007-3-23 23:56
0
netwind
雪    币： 10914
活跃值： (3288)
能力值： (RANK：520 )
在线值：
发帖
回帖
粉丝
私信
8 楼


为什么我在尝试时,想修复时,却不行呢?
attach原始的程序 然后
get imports结果什么也没有.

另外您是根据什么判断那里是foep的呢?
正常情况
看到 push ebp
move ebp,esp
类似的来判断

但这里怎么判断它就是那个foep呢?

另外在测试时,没在00438ACD  这个地方断下来,而是 断在了438b1c处
接着后面都断不下来了

谢谢了!
2007-3-24 00:26
0
wynney
雪    币： 224
活跃值： (147)
能力值： ( LV9，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
9 楼
最初由 netwind 发布


为什么我在尝试时,想修复时,却不行呢?
attach原始的程序 然后
get imports结果什么也没有.
........

1、请按教程nop掉那2处，改掉magic jump，到达FOEP后再用ImportREC修复
2、多了解了解各类程序语言的入口特征，http://bbs.pediy.com/showthread.php?s=&threadid=38612
3、文中都写得很详细了，到达下一段后，esp变了就得删除原先的hr，再重新下hr esp撒，esp没变就不用重新下了撒
2007-3-24 01:27
0
wynney
雪    币： 224
活跃值： (147)
能力值： ( LV9，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
10 楼
最初由 KuNgBiM 发布
真佩服ABC的决心`````

没这点决心 咋玩crack呀
2007-3-24 01:28
0
夜凉如水
雪    币： 136
活跃值： (105)
能力值： ( LV9，RANK：140 )
在线值：
发帖
回帖
粉丝
私信
11 楼
羡慕啊 真的很有时间和信心 羡慕之
2007-3-24 03:31
0
wan
雪    币： 333
活跃值： (45)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
wan
12 楼
耐心啊
2007-3-24 09:39
0
yyjpcx
雪    币： 239
活跃值： (59)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
13 楼
兄弟 真是强
2007-3-24 10:00
0
binbinbin
雪    币： 405
活跃值： (10)
能力值： ( LV9，RANK：1130 )
在线值：
发帖
回帖
粉丝
私信
14 楼
论坛有你就不会冷冷清清啦
2007-3-24 11:40
0
wangshq397
雪    币： 277
活跃值： (312)
能力值： ( LV9，RANK：330 )
在线值：
发帖
回帖
粉丝
私信
15 楼
学习

.
2007-3-24 11:59
0
萝卜
雪    币： 260
活跃值： (81)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
16 楼
支持做个脚本
2007-3-24 12:05
0
小子贼野
雪    币： 347
活跃值： (30)
能力值： ( LV9，RANK：420 )
在线值：
发帖
回帖
粉丝
私信
17 楼
郁闷看不大懂，还是要继续学习，努力努力再努力
2007-3-24 15:35
0
夜凉如水
雪    币： 136
活跃值： (105)
能力值： ( LV9，RANK：140 )
在线值：
发帖
回帖
粉丝
私信
18 楼
最初由 netwind 发布


为什么我在尝试时,想修复时,却不行呢?
attach原始的程序 然后
get imports结果什么也没有.
........


rav=a000 size=170
然后添上oep
不过脱壳修复以后peid还是显示为
ACProtect 1.4x -> RISCO soft *

不知道什么原因!!
2007-3-24 19:37
0
wynney
雪    币： 224
活跃值： (147)
能力值： ( LV9，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
19 楼
最初由 夜凉如水 发布
rav=a000 size=170
然后添上oep
不过脱壳修复以后peid还是显示为
ACProtect 1.4x -> RISCO soft *

........

呵呵，无关紧要了不是
PEID take a mistake!
2007-3-24 21:14
0
yzm
雪    币： 203
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
yzm
20 楼
有视频教程就好了，看不怎么懂啊！
2007-7-25 12:43
0
yosen2001
雪    币： 215
活跃值： (85)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
21 楼
没到这水平,我也没办法看懂,反正被偷代码的,好像都可以用这种方法来修复
2007-9-10 23:43
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//