attach法脱壳
kongfoo/2004.5.10-12

　　现在的壳anti都不弱，如果从壳入口一步步跟到OEP的话会很累，这里介绍
一种比较舒服的方法，不过有小小要求：掌握壳的一般知识，如IAT加密，stolen
code等。掌握PE文件知识，如一般地址表会放在什么地方，各种编译器生成的代码
入口点一般在什么地方等。掌握汇编语言的编写，因为我们面对的是加密后的IAT，
修复时通常都要写程序修复。
　　快速脱壳方法有很多种，Memory Map断点法（我最先见到是二哥/David的文章
介绍这种方法），ESP定律法（fly大侠总结出来的方法）等。
　　现在这种方法姑且叫attach法吧，当然这个方法不是我首创的，我只是总结一下。
相信很多大侠都用过这种方法脱壳:)这种方法有局限性：目标有anti attach的话就
很麻烦了，比如双进程，进程逃逸等。

　　DFCG上Volx大侠提供的asp1.4壳目标程序。用这个程序做attach法脱壳例子不很
合适，因为这个程序在OD下可以运行起来，而attach法脱壳比较适用于对付在OD下不
能直接运行起来的壳。不管了:)　这里只介绍有这样一种办法，当然只靠这个方法
是不行的，几种方法结合起来才有效率。
壳入口：（OD设置：忽略全部异常，IsDebuggerPresent Hide）

00401000 >  68 01D07300     PUSH dskchkr.0073D001
00401005    E8 01000000     CALL dskchkr.0040100B
0040100A    C3              RETN
0040100B    C3              RETN

00CDCA18    33C0            XOR EAX,EAX
00CDCA1A    50              PUSH EAX
00CDCA1B    50              PUSH EAX
00CDCA1C    50              PUSH EAX
00CDCA1D    FF7424 10       PUSH DWORD PTR SS:[ESP+10]
00CDCA21    50              PUSH EAX
00CDCA22    F2:             PREFIX REPNE:                            ; Superfluous prefix
00CDCA23    EB 01           JMP SHORT 00CDCA26
00CDCA25    90              NOP  ==处理过花指令
00CDCA26    68 BF20C477     PUSH 77C420BF  ==根据这个地址很容易就找出原API地址了

00C815CE    85C0            TEST EAX,EAX

00C815DE    81FE 5024CA00   CMP ESI,0CA2450  ==本来想去ca2450看看的，眼花了看成是ca4250，去到一看，乖乖，是正确的API地址表！

00402676    FF15 6034CD00   CALL DWORD PTR DS:[672B6EAE]  ==在402678下内存写断

00C95755    8906            MOV DWORD PTR DS:[ESI],EAX  ==断下来，知道处理代码的地址就好办了。
　　　　　　　　　　　　　　　　　　　　　　　　　　　　==重来，bp VirtualAlloc原程序解码后去c95755写修复代码就行了

00CA3650    50              PUSH EAX
00CA3651    B8 00044000     MOV EAX,500000
00CA3656    3B28            CMP EBP,DWORD PTR DS:[EAX]
00CA3658    74 0C           JE SHORT 00CA3666
00CA365A    83C0 04         ADD EAX,4
00CA365D    3D 04064000     CMP EAX,500204
00CA3662    77 0F           JA SHORT 00CA3673
00CA3664  ^ EB F0           JMP SHORT 00CA3656
00CA3666    8906            MOV DWORD PTR DS:[ESI],EAX
00CA3668    58              POP EAX
00CA3669    0FB74424 04     MOVZX EAX,WORD PTR SS:[ESP+4]
00CA366E  ^\E9 E920FFFF     JMP 00C9575C
00CA3673    8928            MOV DWORD PTR DS:[EAX],EBP
00CA3675    8305 5E36CA00 04    ADD DWORD PTR DS:[CA365E],4
00CA367C  ^ EB E8               JMP SHORT 00CA3666

00401268    E8 8FA18D00     CALL 00CDCB18  ==地址是动态的。跟去分析一下，原来是把FF15的CALL变成E8的CALL，
　　　　　　　　　　　　　　　　　　　　　 ==最后一字节随机，在修复API地址前在401268下内存写断，用代码修复。

00C9369A    C603 E8         MOV BYTE PTR DS:[EBX],0E8  ==这里断下，ebp是原API地址

00CA3700    50              PUSH EAX
00CA3701    B8 00044000     MOV EAX,500000
00CA3706    3B28            CMP EBP,DWORD PTR DS:[EAX]
00CA3708    74 0C           JE SHORT 00CA3716
00CA370A    83C0 04         ADD EAX,4
00CA370D    3D 04064000     CMP EAX,500204
00CA3712    77 0F           JA SHORT 00CA3723
00CA3714  ^ EB F0           JMP SHORT 00CA3706
00CA3716    66:C703 FF15    MOV WORD PTR DS:[EBX],15FF
00CA371B    8906            MOV DWORD PTR DS:[ESI],EAX
00CA371D    58              POP EAX
00CA371E  ^ E9 7DFFFEFF     JMP 00C936A0
00CA3723    8928            MOV DWORD PTR DS:[EAX],EBP
00CA3725    8305 5E36CA00 0>ADD DWORD PTR DS:[CA365E],4
00CA372C    8305 0E37CA00 0>ADD DWORD PTR DS:[CA370E],4
00CA3733  ^ EB E1           JMP SHORT 00CA3716

00C93F94    E8 6717FFFF     CALL 00C85700                            ; JMP to kernel32.GetProcAddress

00C85700  - FF25 7042CA00   JMP DWORD PTR DS:[CA4270]                ; kernel32.GetProcAddress
00C85706    8BC0            MOV EAX,EAX

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！