-
-
[原创]我的第四题解法
-
2007-9-11 10:06
-
思路和前面提出的解法不同，完全不关心解密函数位置。所以贴一下。
个人感觉是非常投机取巧型的，
和出题者本意背道而驰，而且代码写的相当 #%^$%**^&$，完全是能
工作就行。
ccfer 的解法才是理想解法。
解法依据很简单，基于观察到两个样本 exe 在堆栈中构造加密字符串的
MOV BYTE PTR SS:[ESP+xxx],0xx 指令是连续的。就是说，这些指令
都是相邻的，或者中间间隔1,2 条其它指令。 所以找到所有连续的序列，
再取出指令里的立即数就能得到加密字符串。
还能够根据 esp + xxx 里的 xxx 处理字符串被打乱顺序，或者重复写的
情况，因为时间关系，没有处理。
btw, windows 下编程太差。怎么读文件头疼了好久，没研究会怎么在
windows 下用内存映射方式读文件，最后读文件还是用标准 c 库的 API。
个人感觉是非常投机取巧型的，
和出题者本意背道而驰，而且代码写的相当 #%^$%**^&$，完全是能
工作就行。
ccfer 的解法才是理想解法。解法依据很简单，基于观察到两个样本 exe 在堆栈中构造加密字符串的
MOV BYTE PTR SS:[ESP+xxx],0xx 指令是连续的。就是说，这些指令
都是相邻的，或者中间间隔1,2 条其它指令。 所以找到所有连续的序列，
再取出指令里的立即数就能得到加密字符串。
还能够根据 esp + xxx 里的 xxx 处理字符串被打乱顺序，或者重复写的
情况，因为时间关系，没有处理。
btw, windows 下编程太差。怎么读文件头疼了好久，没研究会怎么在
windows 下用内存映射方式读文件，最后读文件还是用标准 c 库的 API。
static int read_file(unsigned char **ret,const char *name)
{
unsigned char *buf;
int fd;
struct stat st;
fd = _open(name,_O_RDONLY);
if (fd < 0)
{
fprintf(stderr,"open failed\n");
return -1;
}
fstat(fd,&st);
buf = (unsigned char*)malloc(st.st_size);
_read(fd,buf,st.st_size);
close(fd);
*ret = buf;
return st.st_size;
}
static void decode(FILE *fp,unsigned char *buf,int *addrs,int start,int end)
{
int i,j,pos;
unsigned int v;
unsigned char data[256];
if ( end - start < 7 )
return;
for (j = 0,i = start; i <= end; i++)
{
/// 计算字符在指令中的偏移。
v = *(unsigned int *)(buf + addrs[i]);
v <<= 8;
if (v == 0x2484c600)
pos = 7;
else if (v == 0x2444c600)
{
pos = 4;
}
else
continue;
data[j] = buf[ addrs[i] + pos ];
j++;
}
data[j] = 0;
decrypt(data);
fprintf(fp,"%s\n",(char*)data);
}
#define MAX_ITEMS 128000
int main(int argc,char **argv)
{
int i,j;
int len;
int start;
unsigned char *file;
int *addrs,*deltas;
FILE *fp;
if (argc == 1)
{
fprintf(stderr,"Usage: %s filename.exe\n",argv[0]);
return -1;
}
len = read_file(&file,argv[1]);
if (len <= 0)
{
fprintf(stderr,"read file failed\n");
return -1;
}
addrs = (int*)malloc(4 * MAX_ITEMS);
deltas = (int*)malloc(4 * MAX_ITEMS);
/// 搜索所有 MOV BYTE PTR SS:[ESP+xxx],0xx 指令的地址
len -= 4;
for (i = 0,j = 0; i < len; i++)
{
unsigned int v = *(unsigned int *)(file + i);
v <<= 8;
/// MOV BYTE PTR SS:[ESP+xxx],0xx
if ( v == 0x2484c600 || v == 0x2444c600 )
{
addrs[j] = i;
if (j)
{
deltas[j - 1] = i - addrs[j - 1];
}
j++;
if (j >= MAX_ITEMS)
{
fprintf(stderr,"Too many items, break\n");
break;
}
}
}
deltas[j - 1] = 99;
fp = fopen("out.txt","w");
/// 这里是关键算法，找出“连续的”指令序列
start = -1;
for (i = 0; i < j; i++)
{
/// 指令间距 > 20 意味着一个连续指令序列结束
if (deltas[i] > 20)
{
if (start >= 0)
{
decode(fp,file,addrs,start,i);
start = -1;
}
}
/// 指令间距 >=5 并且 <= 20 意味着连续
else if ( deltas[i] >= 5 )
{
if (start >= 0)
{
continue;
}
start = i;
}
else
{
start = -1;
}
}
free(file);
free(addrs);
free(deltas);
fclose(fp);
return 0;
}
[培训]《安卓高级研修班(网课)》月薪三万计划，掌 握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
学习
|
|
|
|
|
|
|
|
|
|
