[求助] 关于彩虹狗壳的压缩算法和IAT修复-加壳脱壳-看雪-安全社区|安全招聘|kanxue.com

[求助] 关于彩虹狗壳的压缩算法和IAT修复

发表于: 2007-3-28 15:50 8291

[求助] 关于彩虹狗壳的压缩算法和IAT修复

HenryShow

2007-3-28 15:50

8291

最近拿到一款雕刻软件，需要配套彩虹加密狗使用。
在调试过程当中遇到如下问题：
1. 软件不在调试状态下，有狗则可以正常运行程序。但在调试状态下，仍然显示没有找到狗。
-- 原因：壳在运行时通过IsDebuggerPresent, ZwQuerySystemInformation, ZwQueryInformationProcess等函数来判断程序是否被调试，并用CreateFile来检查是否有SoftIce,TRW的存在。
-- 解决：我下载的OllyDbg已经对IsDebuggerPresent免疫，但对ZwQueryInformationProcess仍然返回调试状态，现临时在ZwQueryInformationProcess上下断点，并在返回时修改返回值来达到调试目的。本来想在壳中加入自己的代码来修改壳的代码，但修改后程序运行出错，原因暂不清楚。

2. 通过对壳代码的分析，发现壳自己做了重定位和建立IAT。但此壳在内存的45D000和52C1CC处有2张IAT表，使用ImportRec无法修复，因此脱壳失败.
请问各位大大有什么好的办法？

3. 壳在运行时会动态解码原始Exe文件的代码和壳的部分代码到内存当中执行。
而且此壳同时具备加密和压缩功能。压缩功能的反汇编代码如下：
请各位大大帮忙看下这个是什么压缩算法，能给出压缩原理更好.
(因刚注册，无法上传附件，所以只能贴出代码了，^_^)
__declspec( naked ) void UnzipCode()
{
__asm {
               push ebp
               mov    ebp, esp
               sub    esp, 14h
               push ebx
               push esi
               push edi
               mov    eax, [ebp+0Ch]
               add    eax, [ebp+8]
               mov    [ebp-14h], eax
               mov    eax, [ebp+10h]
               mov    [ebp-10h], eax
               mov    eax, [ebp+8]
               mov    [ebp-8], eax
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               cmp    ecx, 11h
               jle    short loc_53A645
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               sub    ecx, 11h
               mov    [ebp-4], ecx
               inc    dword ptr [ebp-8]
               cmp    dword ptr [ebp-4], 4
               jnb    short loc_53A627
               jmp    loc_53A99E
; ---------------------------------------------------------------------------

loc_53A627:                            ; CODE XREF: RCC1:0053A620.j
                                       ; RCC1:0053A63E.j
               mov    eax, [ebp-8]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-8]
               inc    dword ptr [ebp-10h]
               dec    dword ptr [ebp-4]
               cmp    dword ptr [ebp-4], 0
               ja    short loc_53A627
               jmp    loc_53A701
; ---------------------------------------------------------------------------

loc_53A645:                            ; CODE XREF: RCC1:0053A60A.j
                                       ; RCC1:0053A9C9.j
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               mov    [ebp-4], ecx
               inc    dword ptr [ebp-8]
               cmp    dword ptr [ebp-4], 10h
               jb    short loc_53A65D
               jmp    loc_53A77C
; ---------------------------------------------------------------------------

loc_53A65D:                            ; CODE XREF: RCC1:0053A656.j
               cmp    dword ptr [ebp-4], 0
               jnz    short loc_53A68A

loc_53A663:                            ; CODE XREF: RCC1:0053A678.j
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               test ecx, ecx
               jnz    short loc_53A67A
               add    dword ptr [ebp-4], 0FFh
               inc    dword ptr [ebp-8]
               jmp    short loc_53A663
; ---------------------------------------------------------------------------

loc_53A67A:                            ; CODE XREF: RCC1:0053A66C.j
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               add    ecx, 0Fh
               add    [ebp-4], ecx
               inc    dword ptr [ebp-8]

loc_53A68A:                            ; CODE XREF: RCC1:0053A661.j
               mov    eax, [ebp-8]
               mov    eax, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], eax
               add    dword ptr [ebp-10h], 4
               add    dword ptr [ebp-8], 4
               dec    dword ptr [ebp-4]
               cmp    dword ptr [ebp-4], 0
               jbe    short loc_53A701
               cmp    dword ptr [ebp-4], 4
               jb    short loc_53A6E8

loc_53A6AB:                            ; CODE XREF: RCC1:0053A6C5.j
               mov    eax, [ebp-8] ;
               mov    eax, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], eax
               add    dword ptr [ebp-10h], 4
               add    dword ptr [ebp-8], 4
               sub    dword ptr [ebp-4], 4
               cmp    dword ptr [ebp-4], 4
               jnb    short loc_53A6AB ;
               cmp    dword ptr [ebp-4], 0
               jbe    short loc_53A6E6

loc_53A6CD:                            ; CODE XREF: RCC1:0053A6E4.j
               mov    eax, [ebp-8] ;
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-8]
               inc    dword ptr [ebp-10h]
               dec    dword ptr [ebp-4]
               cmp    dword ptr [ebp-4], 0
               ja    short loc_53A6CD ;
loc_53A6E6:                            ; CODE XREF: RCC1:0053A6CB.j
               jmp    short loc_53A701
; ---------------------------------------------------------------------------

loc_53A6E8:                            ; CODE XREF: RCC1:0053A6A9.j
                                       ; RCC1:0053A6FF.j
               mov    eax, [ebp-8]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-8]
               inc    dword ptr [ebp-10h]
               dec    dword ptr [ebp-4]
               cmp    dword ptr [ebp-4], 0
               ja    short loc_53A6E8

loc_53A701:                            ; CODE XREF: RCC1:0053A640.j
                                       ; RCC1:0053A6A3.j ...
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               mov    [ebp-4], ecx
               inc    dword ptr [ebp-8]
               cmp    dword ptr [ebp-4], 10h
               jb    short loc_53A716
               jmp    short loc_53A77C
; ---------------------------------------------------------------------------

loc_53A716:                            ; CODE XREF: RCC1:0053A712.j
               mov    eax, [ebp-10h]
               sub    eax, 801h
               mov    [ebp-0Ch], eax
               xor    eax, eax
               mov    ecx, [ebp-4]
               shr    ecx, 2
               sub    eax, ecx
               neg    eax
               sub    [ebp-0Ch], eax
               xor    eax, eax
               mov    ecx, [ebp-8]
               xor    edx, edx
               mov    dl, [ecx]
               lea    ecx, ds:0[edx*4]
               sub    eax, ecx
               neg    eax
               sub    [ebp-0Ch], eax
               inc    dword ptr [ebp-8]
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-0Ch]
               inc    dword ptr [ebp-10h]
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-0Ch]
               inc    dword ptr [ebp-10h]
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-10h]
               jmp    loc_53A988
; ---------------------------------------------------------------------------

loc_53A77C:                            ; CODE XREF: RCC1:0053A658.j
                                       ; RCC1:0053A714.j ...
               cmp    dword ptr [ebp-4], 40h
               jb    short loc_53A7C9
               mov    eax, [ebp-10h]
               dec    eax
               mov    [ebp-0Ch], eax
               xor    eax, eax
               mov    ecx, [ebp-4]
               shr    ecx, 2
               and    ecx, 7
               sub    eax, ecx
               neg    eax
               sub    [ebp-0Ch], eax
               xor    eax, eax
               mov    ecx, [ebp-8]
               xor    edx, edx
               mov    dl, [ecx]
               lea    ecx, ds:0[edx*8]
               sub    eax, ecx
               neg    eax
               sub    [ebp-0Ch], eax
               inc    dword ptr [ebp-8]
               mov    eax, [ebp-4]
               shr    eax, 5
               dec    eax
               mov    [ebp-4], eax
               jmp    loc_53A94F
; ---------------------------------------------------------------------------
               jmp    loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A7C9:                            ; CODE XREF: RCC1:0053A780.j
               cmp    dword ptr [ebp-4], 20h
               jb    short loc_53A820
               and    dword ptr [ebp-4], 1Fh
               jnz    short loc_53A7FC

loc_53A7D5:                            ; CODE XREF: RCC1:0053A7EA.j
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               test ecx, ecx
               jnz    short loc_53A7EC
               add    dword ptr [ebp-4], 0FFh
               inc    dword ptr [ebp-8]
               jmp    short loc_53A7D5
; ---------------------------------------------------------------------------

loc_53A7EC:                            ; CODE XREF: RCC1:0053A7DE.j
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               add    ecx, 1Fh
               add    [ebp-4], ecx
               inc    dword ptr [ebp-8]

loc_53A7FC:                            ; CODE XREF: RCC1:0053A7D3.j
               mov    eax, [ebp-10h]
               dec    eax
               mov    [ebp-0Ch], eax
               xor    eax, eax
               mov    ecx, [ebp-8]
               xor    edx, edx
               mov    dx, [ecx]
               sar    edx, 2
               sub    eax, edx
               neg    eax
               sub    [ebp-0Ch], eax
               add    dword ptr [ebp-8], 2
               jmp    loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A820:                            ; CODE XREF: RCC1:0053A7CD.j
               cmp    dword ptr [ebp-4], 10h
               jb    short loc_53A899
               mov    eax, [ebp-10h]
               mov    [ebp-0Ch], eax
               xor    eax, eax
               mov    ecx, [ebp-4]
               and    ecx, 8
               shl    ecx, 0Bh
               sub    eax, ecx
               neg    eax
               sub    [ebp-0Ch], eax
               and    dword ptr [ebp-4], 7
               jnz    short loc_53A86B

loc_53A844:                            ; CODE XREF: RCC1:0053A859.j
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               test ecx, ecx
               jnz    short loc_53A85B
               add    dword ptr [ebp-4], 0FFh
               inc    dword ptr [ebp-8]
               jmp    short loc_53A844
; ---------------------------------------------------------------------------

loc_53A85B:                            ; CODE XREF: RCC1:0053A84D.j
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               add    ecx, 7
               add    [ebp-4], ecx
               inc    dword ptr [ebp-8]

loc_53A86B:                            ; CODE XREF: RCC1:0053A842.j
               xor    eax, eax
               mov    ecx, [ebp-8]
               xor    edx, edx
               mov    dx, [ecx]
               sar    edx, 2
               sub    eax, edx
               neg    eax
               sub    [ebp-0Ch], eax
               add    dword ptr [ebp-8], 2
               mov    eax, [ebp-10h]
               cmp    [ebp-0Ch], eax
               jnz    short loc_53A890
               jmp    loc_53A9CE
; ---------------------------------------------------------------------------

loc_53A890:                            ; CODE XREF: RCC1:0053A889.j
               sub    dword ptr [ebp-0Ch], 4000h
               jmp    short loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A899:                            ; CODE XREF: RCC1:0053A824.j
               mov    eax, [ebp-10h]
               dec    eax
               mov    [ebp-0Ch], eax
               xor    eax, eax
               mov    ecx, [ebp-4]
               shr    ecx, 2
               sub    eax, ecx
               neg    eax
               sub    [ebp-0Ch], eax
               xor    eax, eax
               mov    ecx, [ebp-8]
               xor    edx, edx
               mov    dl, [ecx]
               lea    ecx, ds:0[edx*4]
               sub    eax, ecx
               neg    eax
               sub    [ebp-0Ch], eax
               inc    dword ptr [ebp-8]
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-0Ch]
               inc    dword ptr [ebp-10h]
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-10h]
               jmp    loc_53A988
; ---------------------------------------------------------------------------

loc_53A8EB:                            ; CODE XREF: RCC1:0053A7C4.j
                                       ; RCC1:0053A81B.j ...
               cmp    dword ptr [ebp-4], 6
               jb    short loc_53A94F
               mov    eax, [ebp-10h]
               sub    eax, [ebp-0Ch]
               cmp    eax, 4
               jl    short loc_53A94F
               mov    eax, [ebp-0Ch]
               mov    eax, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], eax
               add    dword ptr [ebp-10h], 4
               add    dword ptr [ebp-0Ch], 4
               sub    dword ptr [ebp-4], 2

loc_53A912:                            ; CODE XREF: RCC1:0053A92C.j
               mov    eax, [ebp-0Ch]
               mov    eax, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], eax
               add    dword ptr [ebp-10h], 4
               add    dword ptr [ebp-0Ch], 4
               sub    dword ptr [ebp-4], 4
               cmp    dword ptr [ebp-4], 4
               jnb    short loc_53A912
               cmp    dword ptr [ebp-4], 0
               jbe    short loc_53A94D

loc_53A934:                            ; CODE XREF: RCC1:0053A94B.j
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-0Ch]
               inc    dword ptr [ebp-10h]
               dec    dword ptr [ebp-4]
               cmp    dword ptr [ebp-4], 0
               ja    short loc_53A934

loc_53A94D:                            ; CODE XREF: RCC1:0053A932.j
               jmp    short loc_53A988
; ---------------------------------------------------------------------------

loc_53A94F:                            ; CODE XREF: RCC1:0053A7BF.j
                                       ; RCC1:0053A8EF.j ...
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-0Ch]
               inc    dword ptr [ebp-10h]
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-0Ch]
               inc    dword ptr [ebp-10h]

loc_53A96F:                            ; CODE XREF: RCC1:0053A986.j
               mov    eax, [ebp-0Ch]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-0Ch]
               inc    dword ptr [ebp-10h]
               dec    dword ptr [ebp-4]
               cmp    dword ptr [ebp-4], 0
               ja    short loc_53A96F

loc_53A988:                            ; CODE XREF: RCC1:0053A777.j
                                       ; RCC1:0053A8E6.j ...
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax-2]
               and    ecx, 3
               mov    [ebp-4], ecx
               cmp    dword ptr [ebp-4], 0
               jnz    short loc_53A99E
               jmp    short loc_53A9C9
; ---------------------------------------------------------------------------

loc_53A99E:                            ; CODE XREF: RCC1:0053A622.j
                                       ; RCC1:0053A99A.j ...
               mov    eax, [ebp-8]
               mov    al, [eax]
               mov    ecx, [ebp-10h]
               mov    [ecx], al
               inc    dword ptr [ebp-8]
               inc    dword ptr [ebp-10h]
               dec    dword ptr [ebp-4]
               cmp    dword ptr [ebp-4], 0
               ja    short loc_53A99E
               mov    eax, [ebp-8]
               xor    ecx, ecx
               mov    cl, [eax]
               mov    [ebp-4], ecx
               inc    dword ptr [ebp-8]
               jmp    loc_53A77C
; ---------------------------------------------------------------------------

loc_53A9C9:                            ; CODE XREF: RCC1:0053A99C.j
               jmp    loc_53A645
; ---------------------------------------------------------------------------

loc_53A9CE:                            ; CODE XREF: RCC1:0053A88B.j
               mov    eax, [ebp-8]
               cmp    [ebp-14h], eax
               jz    short loc_53A9DD
               mov    eax, 0FFFFFFFFh
               jmp    short loc_53A9E5
; ---------------------------------------------------------------------------

loc_53A9DD:                            ; CODE XREF: RCC1:0053A9D4.j
               mov    eax, [ebp-10h]
               sub    eax, [ebp+10h]
               jmp    short $+2

loc_53A9E5:                            ; CODE XREF: RCC1:0053A9DB.j
               pop    edi
               pop    esi
               pop    ebx
               leave
               retn 0Ch
}

}

最后感谢各位大大看完此文章，谢谢。

[==== 2007.3.28 16:56 增加 ====]
关于Unzip汇编代码，以及压缩前/解压后的数据，都在下面这个包里面。http://www.live-share.com/files/188560/Crack.rar.html

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏・2

免费・0

支持

最新回复 (15)
kanxue 雪币： 47147 活跃值： (20380) 能力值： (RANK：350 ) 在线值：发帖 2374 回帖 17045 粉丝 538 关注私信	kanxue 8 2 楼 1.这个你尝试用HideOD插件隐藏一下OD，看看有效果否。不能上传附件，你用临时空间上传：http://www.live-share.com/ 2007-3-28 16:43 0
fly 雪币： 898 活跃值： (4039) 能力值： ( LV9，RANK：3410 ) 在线值：发帖 294 回帖 7686 粉丝 32 关注私信	fly 85 3 楼带狗脱壳应该可以修复的调试其加密输入表的过程看看 2007-3-28 18:48 0
HenryShow 雪币： 209 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 3 回帖 17 粉丝 0 关注私信	HenryShow 1 4 楼终于弄好了！！！^_^ 失败的原因： 1. 在使用ImportREC找IAT时，需要找2次，分别输入2次的IAT地址。 2. ImportREC使用的时机不对，在之前使用的时候，还有大概5-10个函数没有解出来，所以造成EXE不能运行。 3. 受ImportREC的提示的影响，它说IAT未能完全修复，程序可能不能运行，- -。 =========================================================== 另外，虽然Dump出来的文件可以运行了，但心里还是没有底，不知道会不会还有某些代码仍然没有被修复。所以还是想弄懂壳的基本原理，然后看看是不是能够用程序来进行脱壳。另外，在Google资料的时候，发现 http://www.cppblog.com/mybios/archive/2006/11/21/15483.html 这个资料比较有用，在脱这个壳的时候，大部分代码的功能好像和这个相同。只不过壳另外加入了加密和Unzip的代码。希望能够看懂Unzip的代码，这样也可以在自己的程序当中使用，^^. =========================================================== 最后感谢kanxue大大和fly大大的回复 2007-3-28 20:29 0
china 雪币： 3638 活跃值： (4197) 能力值： (RANK：215 ) 在线值：发帖 72 回帖 1984 粉丝 9 关注私信	china 5 5 楼期待来个教程。 2007-3-28 21:00 0
Pan88168 雪币： 463 活跃值： (111) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 1103 粉丝 8 关注私信	Pan88168 6 楼楼主脱的是4。0的壳 2007-3-29 02:12 0
HenryShow 雪币： 209 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 3 回帖 17 粉丝 0 关注私信	HenryShow 1 7 楼回5楼的：破解过程我也是有记录下来，不过记录不完整，而且软件还有版权问题，所以只能说Sorry，破解记录还是不发了。如果有可能，我会将壳的加密和Unzip代码研究出来之后加入到自己的程序中，给大家参考。回6楼的：这个狗壳是什么版本的我也不清楚，请问你是怎么看出来的？ 2007-3-29 08:57 0
nig 雪币： 413 活跃值： (637) 能力值： ( LV9，RANK：170 ) 在线值：发帖 38 回帖 1456 粉丝 13 关注私信	nig 4 8 楼象你说的，只有彩虹微狗4.0版本的壳才会这样查找调试器，而且还不止这些，还有findprocessfirst ，判断线程ID等。还有查找狗壳关键点的数据，如果为CC，则返回EAC5这样的数据。有狗但有调试也会返回错误的。象这种壳，最好不脱，而是SMC来做，脱了不好跨平台的。一般加外壳保护，里面还会有读狗部分，却主程序的函数还会受狗壳的监控的。 -- 原因：壳在运行时通过IsDebuggerPresent, ZwQuerySystemInformation, ZwQueryInformationProcess等函数来判断程序是否被调试，并用CreateFile来检查是否有SoftIce,TRW的存在。 2007-3-29 09:45 0
HenryShow 雪币： 209 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 3 回帖 17 粉丝 0 关注私信	HenryShow 1 9 楼最初由 nig* 发布* --43-- 象这种壳，最好不脱，而是SMC来做，脱了不好跨平台的。 ........ 像nig说的，这个壳最开始我也并没有想说要脱，而是想自己拦截它的读写狗驱动的过程，然后分析数据的算法，再写自己的驱动程序来模拟有狗的运行环境。这样才是最完美的解法。但狗驱动的算法没怎么看，只是在调试壳的时候发现在CreateFileA处下断点而不能成功，所以就想把壳给脱了，然后再调试。结果发现读狗的算法在壳里面，而脱壳出来的程序不需要狗也能运行。现在还是继续在研究这个程序，主要方向是： 1. 壳的Unzip过程。 2. 狗驱动是如何跟狗通讯的。回给壳的数据又是什么。 2007-3-29 12:23 0
nig 雪币： 413 活跃值： (637) 能力值： ( LV9，RANK：170 ) 在线值：发帖 38 回帖 1456 粉丝 13 关注私信	nig 4 10 楼参考chinaDragon的监视程序，可以逆向这个，你能得到通讯的方法。壳的解压是一个固定部分，而且里面有很多的函数都是将函数名称分解之后再合成，取函数的，用he GetProcAddress可以断下来。是它的弱点。 2007-3-29 14:59 0
向日葵雪币： 207 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 205 粉丝 0 关注私信	向日葵 11 楼如果你将狗驱动与狗通讯研究透了，还有必要去研究壳的解压过程嘛？只是数据在驱动中的加密和解密算法头大，又是反调试，又是花指令。 2007-3-29 18:50 0
nig 雪币： 413 活跃值： (637) 能力值： ( LV9，RANK：170 ) 在线值：发帖 38 回帖 1456 粉丝 13 关注私信	nig 4 12 楼应该说,这几天彩虹公司的人泡在论坛里确实学到了不少的东西@ 以前讨论过的一些内容都成为其封堵的部分. 所以那之后也就少在谈论它了. 如果可以学TORO写一下在驱动中的监视程序,那么一切都会变得轻松而容易! 2007-3-29 19:52 0
cis 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 19 粉丝 0 关注私信	cis 13 楼顶一下 2007-4-2 19:58 0
windtrace 雪币： 4441 活跃值： (805) 能力值： ( LV3，RANK：30 ) 在线值：发帖 15 回帖 266 粉丝 0 关注私信	windtrace 14 楼都是高手啊，拜一下 2007-4-3 15:19 0
Aming 雪币： 207 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 117 粉丝 2 关注私信	Aming 15 楼算法应该是LZSS字典15K RMH的那个所谓加载任何DLL的代码是我当年给他的，他二话没说就写篇文章发表了，还把我的名字弄了上去。那个加载器有一定的问题：1、9x下资源没有移位；2、没有重定位表的不能加载；3、没有处理TLS的代码。 2007-4-6 00:25 0
無苛取代雪币： 101 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 42 粉丝 0 关注私信	無苛取代 16 楼 2007-4-7 12:50 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

HenryShow

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (15)
kanxue 雪币： 47147 活跃值： (20380) 能力值： (RANK：350 ) 在线值：发帖 2374 回帖 17045 粉丝 538 关注私信	kanxue 8 2 楼 1.这个你尝试用HideOD插件隐藏一下OD，看看有效果否。不能上传附件，你用临时空间上传：http://www.live-share.com/ 2007-3-28 16:43 0
fly 雪币： 898 活跃值： (4039) 能力值： ( LV9，RANK：3410 ) 在线值：发帖 294 回帖 7686 粉丝 32 关注私信	fly 85 3 楼带狗脱壳应该可以修复的调试其加密输入表的过程看看 2007-3-28 18:48 0
HenryShow 雪币： 209 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 3 回帖 17 粉丝 0 关注私信	HenryShow 1 4 楼终于弄好了！！！^_^ 失败的原因： 1. 在使用ImportREC找IAT时，需要找2次，分别输入2次的IAT地址。 2. ImportREC使用的时机不对，在之前使用的时候，还有大概5-10个函数没有解出来，所以造成EXE不能运行。 3. 受ImportREC的提示的影响，它说IAT未能完全修复，程序可能不能运行，- -。 =========================================================== 另外，虽然Dump出来的文件可以运行了，但心里还是没有底，不知道会不会还有某些代码仍然没有被修复。所以还是想弄懂壳的基本原理，然后看看是不是能够用程序来进行脱壳。另外，在Google资料的时候，发现 http://www.cppblog.com/mybios/archive/2006/11/21/15483.html 这个资料比较有用，在脱这个壳的时候，大部分代码的功能好像和这个相同。只不过壳另外加入了加密和Unzip的代码。希望能够看懂Unzip的代码，这样也可以在自己的程序当中使用，^^. =========================================================== 最后感谢kanxue大大和fly大大的回复 2007-3-28 20:29 0
china 雪币： 3638 活跃值： (4197) 能力值： (RANK：215 ) 在线值：发帖 72 回帖 1984 粉丝 9 关注私信	china 5 5 楼期待来个教程。 2007-3-28 21:00 0
Pan88168 雪币： 463 活跃值： (111) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 1103 粉丝 8 关注私信	Pan88168 6 楼楼主脱的是4。0的壳 2007-3-29 02:12 0
HenryShow 雪币： 209 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 3 回帖 17 粉丝 0 关注私信	HenryShow 1 7 楼回5楼的：破解过程我也是有记录下来，不过记录不完整，而且软件还有版权问题，所以只能说Sorry，破解记录还是不发了。如果有可能，我会将壳的加密和Unzip代码研究出来之后加入到自己的程序中，给大家参考。回6楼的：这个狗壳是什么版本的我也不清楚，请问你是怎么看出来的？ 2007-3-29 08:57 0
nig 雪币： 413 活跃值： (637) 能力值： ( LV9，RANK：170 ) 在线值：发帖 38 回帖 1456 粉丝 13 关注私信	nig 4 8 楼象你说的，只有彩虹微狗4.0版本的壳才会这样查找调试器，而且还不止这些，还有findprocessfirst ，判断线程ID等。还有查找狗壳关键点的数据，如果为CC，则返回EAC5这样的数据。有狗但有调试也会返回错误的。象这种壳，最好不脱，而是SMC来做，脱了不好跨平台的。一般加外壳保护，里面还会有读狗部分，却主程序的函数还会受狗壳的监控的。 -- 原因：壳在运行时通过IsDebuggerPresent, ZwQuerySystemInformation, ZwQueryInformationProcess等函数来判断程序是否被调试，并用CreateFile来检查是否有SoftIce,TRW的存在。 2007-3-29 09:45 0
HenryShow 雪币： 209 活跃值： (10) 能力值： ( LV4，RANK：50 ) 在线值：发帖 3 回帖 17 粉丝 0 关注私信	HenryShow 1 9 楼最初由 nig* 发布* --43-- 象这种壳，最好不脱，而是SMC来做，脱了不好跨平台的。 ........ 像nig说的，这个壳最开始我也并没有想说要脱，而是想自己拦截它的读写狗驱动的过程，然后分析数据的算法，再写自己的驱动程序来模拟有狗的运行环境。这样才是最完美的解法。但狗驱动的算法没怎么看，只是在调试壳的时候发现在CreateFileA处下断点而不能成功，所以就想把壳给脱了，然后再调试。结果发现读狗的算法在壳里面，而脱壳出来的程序不需要狗也能运行。现在还是继续在研究这个程序，主要方向是： 1. 壳的Unzip过程。 2. 狗驱动是如何跟狗通讯的。回给壳的数据又是什么。 2007-3-29 12:23 0
nig 雪币： 413 活跃值： (637) 能力值： ( LV9，RANK：170 ) 在线值：发帖 38 回帖 1456 粉丝 13 关注私信	nig 4 10 楼参考chinaDragon的监视程序，可以逆向这个，你能得到通讯的方法。壳的解压是一个固定部分，而且里面有很多的函数都是将函数名称分解之后再合成，取函数的，用he GetProcAddress可以断下来。是它的弱点。 2007-3-29 14:59 0
向日葵雪币： 207 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 205 粉丝 0 关注私信	向日葵 11 楼如果你将狗驱动与狗通讯研究透了，还有必要去研究壳的解压过程嘛？只是数据在驱动中的加密和解密算法头大，又是反调试，又是花指令。 2007-3-29 18:50 0
nig 雪币： 413 活跃值： (637) 能力值： ( LV9，RANK：170 ) 在线值：发帖 38 回帖 1456 粉丝 13 关注私信	nig 4 12 楼应该说,这几天彩虹公司的人泡在论坛里确实学到了不少的东西@ 以前讨论过的一些内容都成为其封堵的部分. 所以那之后也就少在谈论它了. 如果可以学TORO写一下在驱动中的监视程序,那么一切都会变得轻松而容易! 2007-3-29 19:52 0
cis 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 19 粉丝 0 关注私信	cis 13 楼顶一下 2007-4-2 19:58 0
windtrace 雪币： 4441 活跃值： (805) 能力值： ( LV3，RANK：30 ) 在线值：发帖 15 回帖 266 粉丝 0 关注私信	windtrace 14 楼都是高手啊，拜一下 2007-4-3 15:19 0
Aming 雪币： 207 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 8 回帖 117 粉丝 2 关注私信	Aming 15 楼算法应该是LZSS字典15K RMH的那个所谓加载任何DLL的代码是我当年给他的，他二话没说就写篇文章发表了，还把我的名字弄了上去。那个加载器有一定的问题：1、9x下资源没有移位；2、没有重定位表的不能加载；3、没有处理TLS的代码。 2007-4-6 00:25 0
無苛取代雪币： 101 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 14 回帖 42 粉丝 0 关注私信	無苛取代 16 楼 2007-4-7 12:50 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复