首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
脱MoleBox加壳的EdrLib示例
发表于: 2007-5-12 17:33 9498

脱MoleBox加壳的EdrLib示例

CCDebuger 活跃值
24
2007-5-12 17:33
9498

【文章标题】: 脱MoleBox加壳的EdrLib示例
【文章作者】: CCDebuger
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  写这个是因为看到初级菜鸟的这个求助帖：
  
  http://bbs.pediy.com/showthread.php?t=44385
  
  把他提供的文件拿来做个示例。开个新帖是为了方便查找。这文章没什么技术含量，只是说明一些操作的步骤，方便初学者理解而已。加壳文件及脱壳后的文件还有这篇文章我都放在附件里，大家可以自己下载看。下面进入正题。
  
  主程序脱壳：
  
  1、BP VirtualProtect 中断两次后ALT+F9返回：
  


0040EC6D FF15 10B84100 CALL DWORD PTR DS:[41B810] ; kernel32.VirtualProtect
0040EC73 8B15 E8B64100 MOV EDX,DWORD PTR DS:[41B6E8] ; 返回到这。[0041B6E8]=003E1F00，数据窗口中看003E1F00的内容，就是OEP：004011C6
0040EC79 8B45 E8 MOV EAX,DWORD PTR SS:[EBP-18]
0040EC7C 0342 08 ADD EAX,DWORD PTR DS:[EDX+8] ; [EDX+8]=0000444C，0000444C就是输入表的RVA。这里就可以dump主程序了
0040EC7F 8945 F4 MOV DWORD PTR SS:[EBP-C],EAX
0040EC82 C705 74B94100 0>MOV DWORD PTR DS:[41B974],0
0040EC8C 6A 00 PUSH 0
0040EC8E 68 B4AC4100 PUSH Packed.0041ACB4 ; ASCII "EXECUTABLE"
0040EC93 8B0D 70B94100 MOV ECX,DWORD PTR DS:[41B970] ; Packed.004000D8
0040EC99 51 PUSH ECX
0040EC9A 8B55 E8 MOV EDX,DWORD PTR SS:[EBP-18]
0040EC9D 52 PUSH EDX
0040EC9E 8B45 F4 MOV EAX,DWORD PTR SS:[EBP-C]
0040ECA1 50 PUSH EAX
0040ECA2 E8 E9FAFFFF CALL Packed.0040E790
0040ECA7 83C4 14 ADD ESP,14
0040ECAA E8 B30F0000 CALL Packed.0040FC62
0040ECAF 25 FF000000 AND EAX,0FF
0040ECB4 85C0 TEST EAX,EAX
0040ECB6 74 15 JE SHORT Packed.0040ECCD
0040ECB8 E8 B60F0000 CALL Packed.0040FC73
0040ECBD 25 FF000000 AND EAX,0FF
0040ECC2 85C0 TEST EAX,EAX
0040ECC4 74 02 JE SHORT Packed.0040ECC8
0040ECC6 ^ EB F0 JMP SHORT Packed.0040ECB8
0040ECC8 E8 950F0000 CALL Packed.0040FC62
0040ECCD 68 14AD4100 PUSH Packed.0041AD14 ; ASCII "imm32.dll"
0040ECD2 FF15 7CB74100 CALL DWORD PTR DS:[41B77C] ; kernel32.GetModuleHandleA

0012FE44 00400220 Packed.00400220
0012FE48 00000001
0012FE4C 00000000
0012FE50 00000004
0012FE54 00407784 ASCII ".data"
0012FE58 7C93056D 返回到 ntdll.7C93056D 来自 ntdll.7C92EE02
0012FE5C 00400000 Packed.00400000

ADD EAX,DWORD PTR DS:[ECX+CONST]
MOV ECX,DWORD PTR SS:[EBP-CONST]
CMP EAX,DWORD PTR DS:[ECX]

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：
收藏
免费 ・7
支持
分享
最新回复 (7)
yzjsdn
雪    币： 170
活跃值： (18)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
沙发啊，呵呵，学习了~
2007-5-12 17:43
0
初级菜鸟
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
谢谢CCDebuger大侠帮助我解决多日来的困惑，再次感谢
2007-5-12 19:00
0
狐狸少爷
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
学习好文支持CC
2007-5-12 21:17
0
kanxue
雪    币： 47147
活跃值： (20450)
能力值： (RANK：350 )
在线值：
发帖
回帖
粉丝
私信
5 楼
感谢CCDebuger百忙之中还来帮助新手答疑
2007-5-13 10:37
0
tzl
雪    币： 242
活跃值： (1664)
能力值： ( LV9，RANK：410 )
在线值：
发帖
回帖
粉丝
私信
6 楼
真是精彩,收藏学习
2007-5-13 11:05
0
开始的复活节
雪    币： 4
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
老帖版面花了,怎么看。。。
2017-4-24 22:48
0
rxaicy
雪    币： 187
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼

请问这种壳是molebox的版本吗？


入口是这样，看起来没壳，实际上是打包了很多资源的一个exe

00401280 > $  55            push    ebp

00401281   .  89E5          mov     ebp, esp

00401283   .  83EC 08       sub     esp, 8

00401286   .  C70424 010000>mov     dword ptr [esp], 1

0040128D   .  FF15 74824000 call    dword ptr [<&msvcrt.__set_app_ty>;  msvcrt.__set_app_type

00401293   .  E8 B8FEFFFF   call    00401150

00401298   .  90            nop

00401299   .  8DB426 000000>lea     esi, dword ptr [esi]

004012A0   .  55            push    ebp

004012A1   .  89E5          mov     ebp, esp

004012A3   .  83EC 08       sub     esp, 8

004012A6   .  C70424 020000>mov     dword ptr [esp], 2

004012AD   .  FF15 74824000 call    dword ptr [<&msvcrt.__set_app_ty>;  msvcrt.__set_app_type

004012B3   .  E8 98FEFFFF   call    00401150

004012B8   .  90            nop

004012B9   .  8DB426 000000>lea     esi, dword ptr [esi]

004012C0   .  55            push    ebp

004012C1   .  8B0D 90824000 mov     ecx, dword ptr [<&msvcrt.atexit>>;  msvcrt.atexit

004012C7   .  89E5          mov     ebp, esp

004012C9   .  5D            pop     ebp

004012CA   .  FFE1          jmp     ecx

004012CC      8D7426 00     lea     esi, dword ptr [esi]

004012D0   .  55            push    ebp

004012D1   .  8B0D 84824000 mov     ecx, dword ptr [<&msvcrt._onexit>;  msvcrt._onexit

004012D7   .  89E5          mov     ebp, esp

004012D9   .  5D            pop     ebp

004012DA   .  FFE1          jmp     ecx


始终没发现该软件到底是什么版本。请大神指点 。


2018-2-12 00:07
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//