首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]脱壳的问题 0.00雪花
发表于: 2008-5-30 18:07 3852

[旧帖] [求助]脱壳的问题 0.00雪花

achangyq 活跃值
2008-5-30 18:07
3852
破解作者】 achang
【作者邮箱】 achangyq@yahoo.cn
【使用工具】 OD peid IR LordPE
【破解平台】 Win9x/NT/2000/XP
【软件名称】
【下载地址】 自己搜索下载
【加壳方式】 ASPack 2.12 -> Alexey Solodovnikov
【破解声明】 只是感兴趣，没有其他目的。
--------------------------------------------------------------------------------
【破解内容】

      具体的流程如下：
      
  1、查壳
         拿起PEid,一看：ASPack 2.12 -> Alexey Solodovnikov  EP区段：LHYPack
         心想简单，不是那些变态的加密壳，呵！

用OD载入：

00595001 >  60              PUSHAD
00595002    E8 03000000     CALL WinsealX.0059500A            //Esp定律
00595007  - E9 EB045D45     JMP 45B654F7
0059500C    55              PUSH EBP
0059500D    C3              RETN
0059500E    E8 01000000     CALL WinsealX.00595014
00595013    EB 5D           JMP SHORT WinsealX.00595072
00595015    BB EDFFFFFF     MOV EBX,-13
0059501A    03DD            ADD EBX,EBP
0059501C    81EB 00501900   SUB EBX,195000
00595022    83BD 22040000 0>CMP DWORD PTR SS:[EBP+422],0
00595029    899D 22040000   MOV DWORD PTR SS:[EBP+422],EBX
0059502F    0F85 65030000   JNZ WinsealX.0059539A
00595035    8D85 2E040000   LEA EAX,DWORD PTR SS:[EBP+42E]
0059503B    50              PUSH EAX
0059503C    FF95 4D0F0000   CALL DWORD PTR SS:[EBP+F4D]
00595042    8985 26040000   MOV DWORD PTR SS:[EBP+426],EAX
00595048    8BF8            MOV EDI,EAX
0059504A    8D5D 5E         LEA EBX,DWORD PTR SS:[EBP+5E]
0059504D    53              PUSH EBX
0059504E    50              PUSH EAX

005953B0   /75 08           JNZ SHORT WinsealX.005953BA        //F8
005953B2   |B8 01000000     MOV EAX,1
005953B7   |C2 0C00         RETN 0C
005953BA   \68 AC445200     PUSH WinsealX.005244AC
005953BF    C3              RETN                              //返回
005953C0    8B85 26040000   MOV EAX,DWORD PTR SS:[EBP+426]
005953C6    8D8D 3B040000   LEA ECX,DWORD PTR SS:[EBP+43B]
005953CC    51              PUSH ECX
005953CD    50              PUSH EAX

005244AC    55              PUSH EBP           //OEP
005244AD    8BEC            MOV EBP,ESP
005244AF    B9 05000000     MOV ECX,5
005244B4    6A 00           PUSH 0
005244B6    6A 00           PUSH 0
005244B8    49              DEC ECX
005244B9  ^ 75 F9           JNZ SHORT WinsealX.005244B4
005244BB    53              PUSH EBX
005244BC    B8 3C415200     MOV EAX,WinsealX.0052413C
005244C1    E8 0622EEFF     CALL WinsealX.004066CC
005244C6    33C0            XOR EAX,EAX
005244C8    55              PUSH EBP
005244C9    68 43475200     PUSH WinsealX.00524743
005244CE    64:FF30         PUSH DWORD PTR FS:[EAX]
005244D1    64:8920         MOV DWORD PTR FS:[EAX],ESP
005244D4    68 50475200     PUSH WinsealX.00524750                   ; ASCII "WinsealXPCopy_V11.0.32"
005244D9    6A 00           PUSH 0
005244DB    68 01001F00     PUSH 1F0001
005244E0    E8 CB26EEFF     CALL WinsealX.00406BB0                   ; JMP 到 kernel32.OpenMutexA

见此，猜测应该是DELPHI写[不敢确认，经验太少]。可以脱了，先后用OD自带插件和LordPE分别脱了一下，然后用ImportREC_Fix修复，不知为什么，填入：1244AC  自动查找IAT，可能发现了原始的IAT地址。点击“获取输入表”输入表函数框中一片空白！！

关闭OD，启动原程序，获取输入表，输入表函数框中显示11个无效指针，等级1修复，剪切无效指针。修复。查壳：Borland Delphi 6.0 - 7.0，EP区段：CODE，程序无法运行。
提示：程序错误“0*77d3119b“指令引用的0*77d3119b“内存。该内存不能为“read”

高手指点一下！！！！！！！！
--------------------------------------------------------------------------------


[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (4)
vipery
雪    币： 100
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
程序呢?                                                    a
2008-5-30 19:29
0
xxyyzasabc
雪    币： 213
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
用OD就可以dump了
2008-5-30 19:32
0
轩辕小聪
雪    币： 722
活跃值： (123)
能力值： ( LV12，RANK：300 )
在线值：
发帖
回帖
粉丝
私信
4 楼
如果自动获取IAT不行，手工填写IAT的位置和偏移试试。

在这句
005244E0    E8 CB26EEFF     CALL WinsealX.00406BB0                   ; JMP 到 kernel32.OpenMutexA

跟随进去，找到那句jmp指令中的IAT地址，在数据窗口跟随，自己滚动窗口找到整个IAT。
2008-5-31 01:51
0
achangyq
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
多谢轩辕老兄的指点，程序修复了，还是不能运行，但没有提示，有欲启动而又退出趋势。分析应该是程序有自效验。OD载入如下：             【程序已中止，退出代码】
7C92EB94 >  C3              RETN
7C92EB95    8DA424 00000000 LEA ESP,DWORD PTR SS:[ESP]
7C92EB9C    8D6424 00       LEA ESP,DWORD PTR SS:[ESP]
7C92EBA0    90              NOP
7C92EBA1    90              NOP
7C92EBA2    90              NOP
7C92EBA3    90              NOP
7C92EBA4    90              NOP
7C92EBA5 >  8D5424 08       LEA EDX,DWORD PTR SS:[ESP+8]
7C92EBA9    CD 2E           INT 2E
7C92EBAB    C3              RETN
7C92EBAC >  55              PUSH EBP
7C92EBAD    8BEC            MOV EBP,ESP
7C92EBAF    9C              PUSHFD
7C92EBB0    81EC D0020000   SUB ESP,2D0
7C92EBB6    8985 DCFDFFFF   MOV DWORD PTR SS:[EBP-224],EAX
7C92EBBC    898D D8FDFFFF   MOV DWORD PTR SS:[EBP-228],ECX
7C92EBC2    8B45 08         MOV EAX,DWORD PTR SS:[EBP+8]
7C92EBC5    8B4D 04         MOV ECX,DWORD PTR SS:[EBP+4]
7C92EBC8    8948 0C         MOV DWORD PTR DS:[EAX+C],ECX
7C92EBCB    8D85 2CFDFFFF   LEA EAX,DWORD PTR SS:[EBP-2D4]
7C92EBD1    8988 B8000000   MOV DWORD PTR DS:[EAX+B8],ECX
7C92EBD7    8998 A4000000   MOV DWORD PTR DS:[EAX+A4],EBX
7C92EBDD    8990 A8000000   MOV DWORD PTR DS:[EAX+A8],EDX
7C92EBE3    89B0 A0000000   MOV DWORD PTR DS:[EAX+A0],ESI
7C92EBE9    89B8 9C000000   MOV DWORD PTR DS:[EAX+9C],EDI
7C92EBEF    8D4D 0C         LEA ECX,DWORD PTR SS:[EBP+C]
7C92EBF2    8988 C4000000   MOV DWORD PTR DS:[EAX+C4],ECX

小弟初学解密，还望老兄多多点拨为谢！！
2008-5-31 14:35
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//