-
-
Acpr1.41-2.0_unpacker全自动脱壳脚本
-
发表于: 2007-3-26 12:28
-
Acpr1.41-2.0_unpacker全自动脱壳脚本
此脚本是在前人基础上改进而成，自动修复ITA和DUMP。
SORRY！这个脚本最初原作者是zpunpack，我只是在试验脚本编写过程中发现VolX大侠写的
Aspr2.XX_unpacker_v1.0SC.osc 脚本能自动DUMP文件，于是就进去挖掘了一下，发现关键
点，立即查看了hnhuqiong大侠的OllyScript中文说明.txt
=========================================================
DPE 文件名, 入口
----------------
<Dump Process with Entry point>
提取执行模块到指定文件中。
“入口”用来设定入口地址。
这个命令用来抓取文件,还是比较好用的,因为直接利用了OD强大的内存管理功能.
例：
dpe "c:\test.exe", eip //入口为当前地址，保存为C盘下test.exe
=========================================================
受启发后就实验了这句：dpe "\\已脱壳未修复IAT.exe", eip
发现脚本自动帮我们DUMP下来了，所以就索性拿Acprotect这个脚本改造了一下，并无技术含量
脚本编写我只是入门而已，还要向前辈们多学习才行。
=====================================================================
刚才经过skylly大侠的指点，修正了一下，如果遇到出错，请尝试重新运行一下
脚本！
=====================================================================
/*
Script written by ~icy~学习班
Script : Acpr1.41-2.0_unpacker全自动脱壳
日期 : 2007-03-26
调试环境 : OllyDbg 1.1, ODBGScript 1.51, Winxp Win2003
调试选项 : 设置 OllyDbg 忽略所有异常选项
工具 : OllyDbg, ODBGScript 1.51, Import Reconstructor.
*/
//support ACprotect1.41-2.0 UltraProtect 1.x
var eipaddr1
var esiadd
var ebxadd
var cbase
var csize
var imgbase
var iatrva
var add1
GMI eip, MODULEBASE
cmp $RESULT,0
je lblabort
mov imgbase,$RESULT
gmi eip,CODEBASE //获得代码基地
cmp $RESULT,0
je lblabort
mov cbase,$RESULT
mov cbase,$RESULT
gmemi cbase,MEMORYsize
cmp $RESULT,0
je lblabort
mov csize,$RESULT
gpa "GetModuleHandleA","kernel32.dll"
cmp $RESULT,0
je lblabort
mov add1,$RESULT
bprm add1,ff
esto
bpmc
rtu
findop eip,#F3AA# //查找指定内容
cmp $RESULT,0
je lblabort
repl $RESULT,#F3AA#,#9090#,2
bp $RESULT
run
bc $RESULT
sto
sto
sto
bprm add1,ff
esto
bpmc
rtu
mov eipaddr1,eip
mov eipaddr1,eipaddr1-30
mov esiadd,esi+0c
mov ebxadd,ebx-imgbase
mov [esiadd],ebxadd
mov iatrva,esi-imgbase
findop eipaddr1,#83660c00# //地址中查找：and dword ptr ds:[esi+C],0
cmp $RESULT,0
je lblabort
repl $RESULT,#83660C00#,#90909090#,4
find eipaddr1,#2BC08803# //内存中查找:sub eax,eax mov byte ptr ds:[ebx]
cmp $RESULT,0
je lblabort
repl $RESULT,#2BC08803#,#90909090#,4
find eipaddr1,#2BC08803#
cmp $RESULT,0
je lblabort
repl $RESULT,#2BC08803#,#90909090#,4
find eipaddr1,#80BD16564100007457# //魔法跳
je lblabort
repl $RESULT,#80BD16564100007457#,#80BD1656410000eb57#,9 //jmp
find eipaddr1,#8DBD??????0033C0#
cmp $RESULT,0
je lblabort
bp $RESULT
esto
bc $RESULT
bpmc
bprm cbase,csize
esto
cmt eip,"传说中的光明之颠~OEP~"
dpe "\\已脱壳未修复IAT.exe", eip
eval "程序已脱壳请直接用ImportREC修复IAT"
msg $RESULT
ret
lblabort:
msg "脚本失败!"
ret
此脚本是在前人基础上改进而成，自动修复ITA和DUMP。
SORRY！这个脚本最初原作者是zpunpack，我只是在试验脚本编写过程中发现VolX大侠写的
Aspr2.XX_unpacker_v1.0SC.osc 脚本能自动DUMP文件，于是就进去挖掘了一下，发现关键
点，立即查看了hnhuqiong大侠的OllyScript中文说明.txt
=========================================================
DPE 文件名, 入口
----------------
<Dump Process with Entry point>
提取执行模块到指定文件中。
“入口”用来设定入口地址。
这个命令用来抓取文件,还是比较好用的,因为直接利用了OD强大的内存管理功能.
例：
dpe "c:\test.exe", eip //入口为当前地址，保存为C盘下test.exe
=========================================================
受启发后就实验了这句：dpe "\\已脱壳未修复IAT.exe", eip
发现脚本自动帮我们DUMP下来了，所以就索性拿Acprotect这个脚本改造了一下，并无技术含量
脚本编写我只是入门而已，还要向前辈们多学习才行。
=====================================================================
刚才经过skylly大侠的指点，修正了一下，如果遇到出错，请尝试重新运行一下
脚本！
=====================================================================
/*
Script written by ~icy~学习班
Script : Acpr1.41-2.0_unpacker全自动脱壳
日期 : 2007-03-26
调试环境 : OllyDbg 1.1, ODBGScript 1.51, Winxp Win2003
调试选项 : 设置 OllyDbg 忽略所有异常选项
工具 : OllyDbg, ODBGScript 1.51, Import Reconstructor.
*/
//support ACprotect1.41-2.0 UltraProtect 1.x
var eipaddr1
var esiadd
var ebxadd
var cbase
var csize
var imgbase
var iatrva
var add1
GMI eip, MODULEBASE
cmp $RESULT,0
je lblabort
mov imgbase,$RESULT
gmi eip,CODEBASE //获得代码基地
cmp $RESULT,0
je lblabort
mov cbase,$RESULT
mov cbase,$RESULT
gmemi cbase,MEMORYsize
cmp $RESULT,0
je lblabort
mov csize,$RESULT
gpa "GetModuleHandleA","kernel32.dll"
cmp $RESULT,0
je lblabort
mov add1,$RESULT
bprm add1,ff
esto
bpmc
rtu
findop eip,#F3AA# //查找指定内容
cmp $RESULT,0
je lblabort
repl $RESULT,#F3AA#,#9090#,2
bp $RESULT
run
bc $RESULT
sto
sto
sto
bprm add1,ff
esto
bpmc
rtu
mov eipaddr1,eip
mov eipaddr1,eipaddr1-30
mov esiadd,esi+0c
mov ebxadd,ebx-imgbase
mov [esiadd],ebxadd
mov iatrva,esi-imgbase
findop eipaddr1,#83660c00# //地址中查找：and dword ptr ds:[esi+C],0
cmp $RESULT,0
je lblabort
repl $RESULT,#83660C00#,#90909090#,4
find eipaddr1,#2BC08803# //内存中查找:sub eax,eax mov byte ptr ds:[ebx]
cmp $RESULT,0
je lblabort
repl $RESULT,#2BC08803#,#90909090#,4
find eipaddr1,#2BC08803#
cmp $RESULT,0
je lblabort
repl $RESULT,#2BC08803#,#90909090#,4
find eipaddr1,#80BD16564100007457# //魔法跳
je lblabort
repl $RESULT,#80BD16564100007457#,#80BD1656410000eb57#,9 //jmp
find eipaddr1,#8DBD??????0033C0#
cmp $RESULT,0
je lblabort
bp $RESULT
esto
bc $RESULT
bpmc
bprm cbase,csize
esto
cmt eip,"传说中的光明之颠~OEP~"
dpe "\\已脱壳未修复IAT.exe", eip
eval "程序已脱壳请直接用ImportREC修复IAT"
msg $RESULT
ret
lblabort:
msg "脚本失败!"
ret
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
不错支持这个
|
|
|
|
|
|
|
|
|
|
|
|
支持！
|
|
|
|
|
|
dpe "\\已脱壳未修复IAT.exe", eip // 和zpunpack兄的脚本就只多了这一句
|
|
|
|
|
|
刚才测试了一下老K的附件，只要出错后在重新运行一下脚本即可，奇怪~~~
已正常脱壳  |
|
|
|
|
|
|
|
|
最初由 yzjsdn 发布 还是这样的 
|
|
|
|
|
|
最初由 yzjsdn 发布 我插件全是最新的，OD是看雪的OllyICE 看来我还是只有自己手动脱壳的命了 支持！ |
|
|
貌似没有我自己的acpr脚本好用,
|
|
|
或者用我在UNPACK发布的OD-ICY修改版试一下或者脚本插件版本用1.51，我前段时间测试1.52的时候出现过几次错误。另外skylly大侠说有更好的脚本就共享一下吧，期待~
http://www.unpack.cn/thread-11131-1-1.html OD-ICY修改版(过强壳) 此版是在OllyDBG 1.1 汉化第三版基础上修改完成。(主文件 ICY.EXE) 修改了OllyDBG类标识，可以跳过某些软件检测OD； 升级HideOD到0.1.7.0，可以方便的调试THEMIDA、Winlicense、ExeCryptor、等强壳； 添加了一些实用插件和脚本。 内附（Linux新作）大家可以用这个检测程序试下你目前的OD：） |
|
|
最初由 skylly 发布 也分享一个吧
|
|
|
早就公开过了，
N久以前我贴过, PS:我不是什么什么大侠,
|
|
|
一般我是这样脱ACPR的
冒似通用。。Alt+M 第一区段F2、F9 Alt+M 末尾区段F2、F9 Alt+M PE文件头F2、F9 Alt+M 第一区段F2、F9 到达OEP OD插件脱壳 ImportRE修复完成 PS：这样就是修复有点烦而已 |
|
|
测试测试。~~~~
|
|
|
|
|
|
最初由 KuNgBiM 发布 初次见到,拿个实例说说噻,对我等菜鸟太重要了 |
|
|
真是爽啊...感谢分享
在脚本插件1.52下好象有点不是很稳定,我这里有时可以运行,有时就会出现老K那样的问题,在1.51下运行正常   |
