-
-
[旧帖] [求助]UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo 问题。。。 0.00雪花
-
发表于: 2008-1-17 11:36
-
研究破解，，，只是爱好别无他意。。。。。。
地址：http://www.cctvtools.net/tools/BoxPlayer.zip
我在下了一个软件壳是PE UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
OD载入
005278C0 > 60 pushad
005278C1 BE 00904E00 mov esi, 004E9000
005278C6 8DBE 0080F1FF lea edi, dword ptr [esi+FFF18000]
005278CC 57 push edi
005278CD 83CD FF or ebp, FFFFFFFF
005278D0 EB 10 jmp short 005278E2
005278D2 90 nop
005278D3 90 nop
005278D4 90 nop
005278D5 90 nop
005278D6 90 nop
005278D7 90 nop
005278D8 8A06 mov al, byte ptr [esi]
005278DA 46 inc esi
005278DB 8807 mov byte ptr [edi], al
005278DD 47 inc edi
005278DE 01DB add ebx, ebx
005278E0 75 07 jnz short 005278E9
005278E2 8B1E mov ebx, dword ptr [esi]
005278E4 83EE FC sub esi, -4
005278E7 11DB adc ebx, ebx
005278E9 ^ 72 ED jb short 005278D8
005278EB B8 01000000 mov eax, 1
005278F0 01DB add ebx, ebx
005278F2 75 07 jnz short 005278FB
005278F4 8B1E mov ebx, dword ptr [esi]
005278F6 83EE FC sub esi, -4
0041931C > 55 push ebp 到这里脱壳
0041931D 8BEC mov ebp, esp
0041931F 6A FF push -1
00419321 68 90DA4100 push 0041DA90
00419326 68 86944100 push <jmp.&msvcrt._except_handler3>
0041932B 64:A1 00000000 mov eax, dword ptr fs:[0]
00419331 50 push eax
00419332 64:8925 0000000>mov dword ptr fs:[0], esp
00419339 83EC 68 sub esp, 68
0041933C 53 push ebx
0041933D 56 push esi
0041933E 57 push edi
用PE查Microsoft Visual C++ 6.0 应该是脱了，可是我用ImportREC_fix修复的时候出现两个针无效，
如图
而且程序无法运行，，不知道如果处理，，，高手指点
地址：http://www.cctvtools.net/tools/BoxPlayer.zip
我在下了一个软件壳是PE UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
OD载入
005278C0 > 60 pushad
005278C1 BE 00904E00 mov esi, 004E9000
005278C6 8DBE 0080F1FF lea edi, dword ptr [esi+FFF18000]
005278CC 57 push edi
005278CD 83CD FF or ebp, FFFFFFFF
005278D0 EB 10 jmp short 005278E2
005278D2 90 nop
005278D3 90 nop
005278D4 90 nop
005278D5 90 nop
005278D6 90 nop
005278D7 90 nop
005278D8 8A06 mov al, byte ptr [esi]
005278DA 46 inc esi
005278DB 8807 mov byte ptr [edi], al
005278DD 47 inc edi
005278DE 01DB add ebx, ebx
005278E0 75 07 jnz short 005278E9
005278E2 8B1E mov ebx, dword ptr [esi]
005278E4 83EE FC sub esi, -4
005278E7 11DB adc ebx, ebx
005278E9 ^ 72 ED jb short 005278D8
005278EB B8 01000000 mov eax, 1
005278F0 01DB add ebx, ebx
005278F2 75 07 jnz short 005278FB
005278F4 8B1E mov ebx, dword ptr [esi]
005278F6 83EE FC sub esi, -4
0041931C > 55 push ebp 到这里脱壳
0041931D 8BEC mov ebp, esp
0041931F 6A FF push -1
00419321 68 90DA4100 push 0041DA90
00419326 68 86944100 push <jmp.&msvcrt._except_handler3>
0041932B 64:A1 00000000 mov eax, dword ptr fs:[0]
00419331 50 push eax
00419332 64:8925 0000000>mov dword ptr fs:[0], esp
00419339 83EC 68 sub esp, 68
0041933C 53 push ebx
0041933D 56 push esi
0041933E 57 push edi
用PE查Microsoft Visual C++ 6.0 应该是脱了，可是我用ImportREC_fix修复的时候出现两个针无效，
如图
而且程序无法运行，，不知道如果处理，，，高手指点
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
 可能是自校验之类的吧
|
|
|
这个确实自校验的程序
脱壳相信你应该没有问题，脱完壳后是这样的： 0041931C > 55 push ebp 你可以先看一下这个帖子 http://bbs.pediy.com/showthread.php?t=28298&highlight=%E8%87%AA%E6%A0%A1+%E6%A0%A1%E9%AA%8C 我的方法是从这个上面学来的，所以不敢妄称高手  打开没有脱壳的程序，随便找一块空白但是靠近代码的地方，修改一下内存，然后运行程序，能够运行，说明不是程序自校验，而是文件自校验。 其实有两个思路： 第一个思路、在GetModuleFileNameA函数的出口处，每当返回时，都返回没有脱壳的文件的名称。这样的结果就是程序每次都去校验没有脱壳的文件，但让没有问题。但是这种方法麻烦一点，说深了就是API Hook了。hehe 第二个思路、修改跳转，让程序总是跳向校验正确的一方。直接有效！！！ 我们就做这个。 同时用OD打开没有脱壳的程序和脱壳后的程序， 既然是文件校验，肯定要读取文件的，所以我们在文件Api上面下断。 在两个OD下Command Line 里面都输入,bp CreateFileA，F9运行，停在 7C801A24 > 8BFF mov edi, edi 看堆栈 0012D9F4 73D40E73 /CALL 到 CreateFileA 来自 MFC42.73D40E6D 看见了吧，正在读取文件 取消断点，Alt+F9返回用户空间， 来到 00403088 85C0 test eax, eax 下面干什么？？？比较两个程序运行时的不相同的跳转实现！！！ 同时在两个OD中F8单步运行，直到这里 0040315F /0F8F 39030000 jg 0040349E ;;;;第一个跳转对于没有脱壳的文件，两个跳转都没有实现，而脱壳后的程序则不是。 好的，修改这两个跳转，脱壳后程序正常运行。大功告成！！！ 第三个思路、修改没有脱壳的校验值，使得这个值和我们脱壳后的文件的校验值相等。 由于我对MFC42的东西一知半解，弄了半天没有实现。 哈哈
|
|
|
呵呵，被我追到了……
不过没用断点，直接单步比较两个，累啊…… 
|
|
|
呵呵，被我追到了…… 膜拜！！！
|
|
|
|
|
|
不过人品不错，没怎么费力，呵呵！ 呵呵，我以前也是这样，慢慢的才会下一些断点，不是每种情况都能够下对 这个比较愁哦
|
|
|
哎，都怪自己想偷懒，下断点：bpx CreateFileA，一拦截就结束了，好几次，郁闷了就没有试试
bp…… 
|
|
|
|
