-
-
[分享]SoftWrap 6.x之二：Inline Patch SoftWrap壳的方法
-
发表于: 2007-4-24 13:35
-
【文章标题】: SoftWrap 6.x之二：Inline Patch SoftWrap壳的方法
【文章作者】: wynney
【软件名称】: Fractal PC 3.01
【下载地址】: http://www.fractalpc.com/resources/SetupFractalPC30.exe
【使用工具】: OD、CodeCaver
--------------------------------------------------------------------------------
【详细过程】
一、前言
像这种猛壳的Inline Patch无非就是找到Patch点后，一层一层的Patch，另外还需要Patch壳的CRC校验之类的。废话就不多说了，
我们来看如何Inline Patch SoftWrap壳吧
二、Pass NAG
0、准备工作，我们先找一块空白地址吧，Patch的数据长度是95字节
我在这里选择004277DF作为存放代码的地址
1、设置忽略除了特权指令和指定异常之外的所有异常
2、F9运行，停在异常之后，Alt+E，找到Softwrap.dll路径，Ctrl+N
3、找到swAccessQuery
双击来到代码处
几次Shift+F9通过异常，中断在10001934，看堆栈
Ctrl+G：0045BBA7
0045BAF3 53 push ebx
0045BAF4 8BDC mov ebx, esp
0045BAF6 81EC 04010000 sub esp, 104
0045BAFC 60 pushad
0045BAFD 8DBB FCFEFFFF lea edi, dword ptr [ebx-104]
0045BB03 C707 736F6674 mov dword ptr [edi], 74666F73
0045BB09 C747 04 7772617>mov dword ptr [edi+4], 70617277
0045BB10 C747 08 2E646C6>mov dword ptr [edi+8], 6C6C642E
0045BB17 8367 0C 00 and dword ptr [edi+C], 0
0045BB1B 57 push edi
0045BB1C 53 push ebx
0045BB1D 57 push edi
0045BB1E FF95 8E2F0000 call dword ptr [ebp+2F8E] ; 加载Softwrap.dll
0045BB24 5B pop ebx
0045BB25 5F pop edi
0045BB26 8943 FC mov dword ptr [ebx-4], eax
0045BB29 50 push eax
0045BB2A E8 48030000 call 0045BE77 ; Softwrap.dll的CRC校验
0045BB2F 85C0 test eax, eax
0045BB31 ^ 0F84 A6E6FFFF je 0045A1DD ; 如果跳则错误，Patch点①
0045BB37 66:8985 ED22000>mov word ptr [ebp+22ED], ax
0045BB3E C707 73774163 mov dword ptr [edi], 63417773
0045BB44 C747 04 6365737>mov dword ptr [edi+4], 73736563
0045BB4B C747 08 5175657>mov dword ptr [edi+8], 72657551
0045BB52 C747 0C 7900000>mov dword ptr [edi+C], 79
0045BB59 56 push esi
0045BB5A 57 push edi
0045BB5B 53 push ebx
0045BB5C 51 push ecx
0045BB5D 52 push edx
0045BB5E 57 push edi
0045BB5F FF73 FC push dword ptr [ebx-4]
0045BB62 FF95 862F0000 call dword ptr [ebp+2F86]
0045BB68 5A pop edx
0045BB69 59 pop ecx
0045BB6A 5B pop ebx
0045BB6B 5F pop edi
0045BB6C 5E pop esi
0045BB6D 85C0 test eax, eax
0045BB6F ^ 0F84 68E6FFFF je 0045A1DD
0045BB75 8BD0 mov edx, eax
0045BB77 8B85 F30C0000 mov eax, dword ptr [ebp+CF3]
0045BB7D 35 159D17FA xor eax, FA179D15
0045BB82 0385 F30C0000 add eax, dword ptr [ebp+CF3]
0045BB88 8985 F1220000 mov dword ptr [ebp+22F1], eax
0045BB8E 8DB5 FD220000 lea esi, dword ptr [ebp+22FD]
0045BB94 8BFE mov edi, esi
0045BB96 B9 40000000 mov ecx, 40
0045BB9B F3:AB rep stos dword ptr es:[edi]
0045BB9D 53 push ebx
0045BB9E 57 push edi
0045BB9F 56 push esi
0045BBA0 FF73 08 push dword ptr [ebx+8]
0045BBA3 56 push esi
0045BBA4 50 push eax
0045BBA5 FFD2 call edx ; EDX=10001934
0045BBA7 83C4 0C add esp, 0C
★（1）、
0045BB31 ^ 0F84 A6E6FFFF je 0045A1DD
0045BB37 66:8985 ED22000>mov word ptr [ebp+22ED], ax
Change to
0045BB31 - E9 F9BCFCFF jmp 0042782F ◆
0045BB36 90 nop
0045BB37 66:8985 ED22000>mov word ptr [ebp+22ED], ax
0042782F C705 E88B0410 0>mov dword ptr [10048BE8], 1
00427839 - E9 F8420300 jmp 0045BB36
00459933 BA 42CD9CDB mov edx, DB9CCD42 ; 选5个字节的行来Patch代码
00459938 AD lods dword ptr [esi]
00459939 33C2 xor eax, edx
0045993B 05 40FDC304 add eax, 4C3FD40 ; 我选的是这，Patch点②
00459940 33C1 xor eax, ecx
00459942 C1C2 05 rol edx, 5
00459945 69D2 53307040 imul edx, edx, 40703053
0045994B 33D1 xor edx, ecx
0045994D AB stos dword ptr es:[edi] ; 中断在这
004597C7 FFD6 call esi ; 解码call，刚加载程序这里是解码的
004597C9 68 14EBECC8 push C8ECEB14 ; 运行到这后，Patch点2就解码开了
004597CE 5B pop ebx
004597CF BF 761CCDAB mov edi, ABCD1C76 ; 这就是我选择的第3个Patch点③
004597D4 0FACFB 15 shrd ebx, edi, 15
★（2）、
0045993B 05 40FDC304 add eax, 4C3FD40
00459940 33C1 xor eax, ecx
00459942 C1C2 05 rol edx, 5
Change to
0045993B - E9 CADEFCFF jmp 0042780A ◆
00459940 33C1 xor eax, ecx
00459942 C1C2 05 rol edx, 5
0042780A 05 40FDC304 add eax, 4C3FD40
0042780F 81FE 54BB4500 cmp esi, 0045BB54
00427815 75 13 jnz short 0042782A
00427817 C705 31BB4500 E>mov dword ptr [45BB31], FCBCF9E9
00427821 66:C705 35BB450>mov word ptr [45BB35], 90FF
0042782A - E9 11210300 jmp 00459940
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
“炫耀”。。。
 如果是新人发文章，还能说得上“炫耀”。。。。。 壳的分析文章，个人感觉是不符合用户需求的。 一是多数没那水平去理解，二是大家注重的只是脱壳的过程，脱掉了，管它干了什么。 支持大牛发文章 
|
|
|
|
|
|
|
|
|
|
|
|
[QUOTE=wynney;301060]欢迎你的文章：）
如果你觉得难度不是很大 那么你在刚接触ASProtect的Stolen Code的时候一定觉得ASPr不难了：） 因为它们两个很类似，写的修复代码也很类似 只是SoftW分的类型比ASPr多而已 你是否知道处理它的IAT要分好几种呢？ 1、Jmp [API] 6字节...[/QUOTE] 一开始我觉得这个壳很复杂，我之所以说难度不大，是因为通过一段时间的跟踪，我了解了它，并且知道了怎么去做，我的方法是到oep后在通过下断点的方法获得函数，并修复代码，我看到你的方法也是如此，其实如果找到壳在初始化时，抽取函数加密的地方直接利用它加密的时候进行修复应该比这个方法要快。不过我没有试。
|
|
|
|
|
|
|
|
|
|
