Hying旧版壳的简单脱壳
【目     标】:天堂xxxx(因为是外挂，所以不写全名)
【工     具】:Olydbg1.1(diy版)、LORDPE、ImportREC1.6F 
【任     务】:简单的脱一下目标的壳 
【操作平台】:WinXP sp2
【作     者】:loveboom[DFCG][FCG][US]
【相关链接】: 自己去上网搜搜
【简要说明】： 这个一个很旧的Hying的壳了，现在脱的话就非常简单了，不过看过新版的朋友就知道，新版BT很多，不过也不是那么神秘的:-)。介于关于他的壳的信息比较少，所以写一个大概的。
【详细过程】:
用peid直接看的话显示是的yc的壳，不过我之前接触过几个hying的壳，因此我用扩展方式可以看到是PELOCK ->Hying *,知道是什么壳就好办了，之前在大牛hexer的指导(不明之处看的他以前那篇文章)下跟了一个新版的壳，所以这个旧版相对来说很简单的.好了入主题先.
设置忽略全部异常,去除调试标志.
载入在ep处.
005D4DA8 >  60              PUSHAD                                   ; ep入口是伪yoda crypt的
005D4DA9    E8 00000000     CALL 005D4DAE
005D4DAE    5D              POP EBP
载入后直接在:code段下f2断点.
Memory map, item 14
 Address=00401000
 Size=001AC000 (1753088.)
 Owner=L2Walker 00400000
 Section=
 Contains=code
 Type=Imag 01001002
 Access=R
 Initial access=RWE
下断后，f9运行。这样中断在这里:
00373670    AC              LODS BYTE PTR DS:[ESI]                   ; 中断在这里
00373671    D2C8            ROR AL,CL
00373673    32C1            XOR AL,CL
00373675    04 66           ADD AL,66
00373677    32C5            XOR AL,CH
00373679    02C6            ADD AL,DH
0037367B    2AC2            SUB AL,DL
0037367D    02C1            ADD AL,CL
0037367F    2AC5            SUB AL,CH
00373681    32C2            XOR AL,DL
00373683    04 23           ADD AL,23
00373685    32C6            XOR AL,DH
00373687    F6D0            NOT AL
00373689    D2C8            ROR AL,CL
0037368B    D3CA            ROR EDX,CL
0037368D    AA              STOS BYTE PTR ES:[EDI]
0037368E    49              DEC ECX
0037368F    0BC9            OR ECX,ECX
00373691  ^ 75 DD           JNZ SHORT 00373670
00373693    53              PUSH EBX
00373694    6A 04           PUSH 4
00373696    68 00100000     PUSH 1000
0037369B    FF342B          PUSH DWORD PTR DS:[EBX+EBP]
0037369E    6A 00           PUSH 0
003736A0    8D85 001D4000   LEA EAX,DWORD PTR SS:[EBP+401D00]
003736A6    50              PUSH EAX
003736A7    8B85 33374000   MOV EAX,DWORD PTR SS:[EBP+403733]
003736AD    E9 010E0000     JMP 003744B3
003736B2  - E9 897C24EC     JMP EC5BB340
003736B7    897424 E8       MOV DWORD PTR SS:[ESP-18],ESI
003736BB    FF85 47374000   INC DWORD PTR SS:[EBP+403747]
003736C1    8B9D 6B374000   MOV EBX,DWORD PTR SS:[EBP+40376B]
003736C7    83FB 01         CMP EBX,1
003736CA    75 0E           JNZ SHORT 003736DA
003736CC    61              POPAD
003736CD    8B4424 CC       MOV EAX,DWORD PTR SS:[ESP-34]
003736D1    8D78 02         LEA EDI,DWORD PTR DS:[EAX+2]
003736D4    55              PUSH EBP
003736D5    8BEC            MOV EBP,ESP
003736D7    50              PUSH EAX
003736D8    EB 20           JMP SHORT 003736FA
003736DA    83FB 02         CMP EBX,2
003736DD    75 15           JNZ SHORT 003736F4
003736DF    61              POPAD
003736E0    8B4424 C8       MOV EAX,DWORD PTR SS:[ESP-38]
003736E4    FFB0 6F374000   PUSH DWORD PTR DS:[EAX+40376F]
003736EA    8B4424 D0       MOV EAX,DWORD PTR SS:[ESP-30]
003736EE    50              PUSH EAX
003736EF    8D78 02         LEA EDI,DWORD PTR DS:[EAX+2]
003736F2    EB 06           JMP SHORT 003736FA
003736F4    61              POPAD
003736F5    8B4424 CC       MOV EAX,DWORD PTR SS:[ESP-34]
003736F9    50              PUSH EAX                                 ; 这里跳去oep
003736FA    C3              RETN
断下后经过几个跟踪发003736f9处就是push OEP .继续往下找,找到这里:
003737D3    87E6            XCHG ESI,ESP
003737D5    B9 7F0B0000     MOV ECX,0B7F
003737DA    58              POP EAX                                  ; 这里循环解压下面的代码
003737DB    F6D0            NOT AL
003737DD    50              PUSH EAX
003737DE    44              INC ESP
003737DF  ^ E2 F9           LOOPD SHORT 003737DA
003737E1    87E6            XCHG ESI,ESP                             ; 所以我们直接在这里下f4
003737E3    6A 04           PUSH 4
003737E5    68 00100000     PUSH 1000
003737EA    68 00200000     PUSH 2000
003737EF    6A 00           PUSH 0
003737F1    FF95 33374000   CALL DWORD PTR SS:[EBP+403733]           ; VirtualAlloc
003737F7    8985 3C3D4000   MOV DWORD PTR SS:[EBP+403D3C],EAX
003737FD    C785 403D4000 0>MOV DWORD PTR SS:[EBP+403D40],0
00373807    74 7A           JE SHORT 00373883
00373809    9C              PUSHFD
0037380A    C8 BFFFF4       ENTER 0FFBF,0F4
0037380E    3F              AAS
0037380F    F0:7A 42        LOCK JPE SHORT 00373854                  ; LOCK prefix is not allowed
00373812    FFFF            ???                                      ; Unknown command
直接F4到3737E1处后看看代码已经解压了，现在好看很多.
下面的部分跟过hying的壳的朋友就知道壳是通过.取出API函数先判断代码是否要抽API代码，如果要的话就抽部分代码到壳申请的指定地址里实现
push api
ret
的方式，如果没要抽代码的就直接push ret的方式。
所以我现在要找到跳去api的代码，这个很容易，看看代码里有很多这样的代码:
0037383B    8B85 2B374000   MOV EAX,DWORD PTR SS:[EBP+40372B]
00373841    E9 6D0C0000     JMP 003744B3                             ; 这里一个
00373846    81340B C0751E56 XOR DWORD PTR DS:[EBX+ECX],561E75C0
0037384D    8D85 661E4000   LEA EAX,DWORD PTR SS:[EBP+401E66]
00373853    50              PUSH EAX
00373854    8B85 2F374000   MOV EAX,DWORD PTR SS:[EBP+40372F]
0037385A    E9 540C0000     JMP 003744B3                             ; 这里又一个
所以可以判断003744b3处是处理API的.进去看看:
003744B3    50              PUSH EAX
003744B4    8B85 383D4000   MOV EAX,DWORD PTR SS:[EBP+403D38]
003744BA    50              PUSH EAX
003744BB    E8 08000000     CALL 003744C8
003744C0    8B85 383D4000   MOV EAX,DWORD PTR SS:[EBP+403D38]
003744C6    FFE0            JMP EAX                                  ; 跳去push api ret的地址
003744C8    60              PUSHAD                                   ; 这里开始处理API
003744C9    8B7C24 24       MOV EDI,DWORD PTR SS:[ESP+24]
003744CD    8B7424 28       MOV ESI,DWORD PTR SS:[ESP+28]
003744D1    66:8B06         MOV AX,WORD PTR DS:[ESI]
003744D4    3C 50           CMP AL,50
003744D6    72 0A           JB SHORT 003744E2                        ; ＊＊＊＊＊＊
003744D8    3C 57           CMP AL,57                                ; 开始判断要不要特别"照顾"
003744DA    77 06           JA SHORT 003744E2
003744DC    8807            MOV BYTE PTR DS:[EDI],AL
003744DE    46              INC ESI
003744DF    47              INC EDI
……
003745F2   /E9 AD120000     JMP 003758A4
003745F7   |66:3D CD03      CMP AX,3CD
003745FB   |75 05           JNZ SHORT 00374602
003745FD   |E9 A2120000     JMP 003758A4
00374602   |C607 68         MOV BYTE PTR DS:[EDI],68                 ; 这里变成push api ret的方式
00374605   |8977 01         MOV DWORD PTR DS:[EDI+1],ESI
00374608   |C647 05 C3      MOV BYTE PTR DS:[EDI+5],0C3
0037460C   |83C7 06         ADD EDI,6
0037460F   |897C24 FC       MOV DWORD PTR SS:[ESP-4],EDI
00374613   |61              POPAD
00374614   |8B4424 DC       MOV EAX,DWORD PTR SS:[ESP-24]
00374618   |C2 0800         RETN 8
分析完代码后我们就要动“手术”了,在003744d6处改成:

003744D6   /E9 27010000     JMP 00374602            ;这里跳过就直接成了
push api 
retn
的方式防止壳抽代码
F4到了003737E1后，几个F8就到了处理IAT处了:
003738D8    0395 7F374000   ADD EDX,DWORD PTR SS:[EBP+40377F]
003738DE    8B3A            MOV EDI,DWORD PTR DS:[EDX]
003738E0    0BFF            OR EDI,EDI                               ; 判断有没有处理完iat
003738E2    75 05           JNZ SHORT 003738E9
003738E4    E9 53050000     JMP 00373E3C                             ; 处理完iat就跳
003738E9    03BD 37374000   ADD EDI,DWORD PTR SS:[EBP+403737]
003738EF    83C2 05         ADD EDX,5
003738F2    8BF2            MOV ESI,EDX
003738F4    56              PUSH ESI
003738F5    8D85 0E1F4000   LEA EAX,DWORD PTR SS:[EBP+401F0E]
003738FB    50              PUSH EAX
003738FC    8B85 2B374000   MOV EAX,DWORD PTR SS:[EBP+40372B]        ; GetModuleHandleA
00373902    E9 AC0B0000     JMP 003744B3
00373907    90              NOP
00373908    90              NOP
00373909    0BC0            OR EAX,EAX
0037390B    75 1E           JNZ SHORT 0037392B                       ; 判断有没有载入DLL如果没有就先LoadLibrary载入DLL
0037390D    56              PUSH ESI
0037390E    8D85 271F4000   LEA EAX,DWORD PTR SS:[EBP+401F27]
00373914    50              PUSH EAX
00373915    8B85 2F374000   MOV EAX,DWORD PTR SS:[EBP+40372F]
0037391B    E9 930B0000     JMP 003744B3                             ; LoadLibraryA
00373920    FF15 0BC07505   CALL DWORD PTR DS:[575C00B]
00373926    E9 9D0D0000     JMP 003746C8
0037392B    0FB64E FF       MOVZX ECX,BYTE PTR DS:[ESI-1]
0037392F    03F1            ADD ESI,ECX
00373931    8BD6            MOV EDX,ESI
00373933    8BF0            MOV ESI,EAX
00373935    42              INC EDX
00373936    8B0A            MOV ECX,DWORD PTR DS:[EDX]
00373938    81E1 00000080   AND ECX,80000000
0037393E    0BC9            OR ECX,ECX
00373940    0F85 87000000   JNZ 003739CD                             
00373946    8B0A            MOV ECX,DWORD PTR DS:[EDX]
……
003739CD    8B0A            MOV ECX,DWORD PTR DS:[EDX]
003739CF    81E1 FFFFFF7F   AND ECX,7FFFFFFF
003739D5    51              PUSH ECX
003739D6    52              PUSH EDX
003739D7    C1E1 05         SHL ECX,5
003739DA    6A 04           PUSH 4
003739DC    68 00100000     PUSH 1000
003739E1    51              PUSH ECX
003739E2    6A 00           PUSH 0
003739E4    8D85 FC1F4000   LEA EAX,DWORD PTR SS:[EBP+401FFC]
003739EA    50              PUSH EAX
003739EB    8B85 33374000   MOV EAX,DWORD PTR SS:[EBP+403733]        ; VirtualAlloc
003739F1    E9 BD0A0000     JMP 003744B3
……
00373A0A   /74 15           JE SHORT 00373A21
00373A0C   |03BD 37374000   ADD EDI,DWORD PTR SS:[EBP+403737]
00373A12   |EB 09           JMP SHORT 00373A1D
00373A14   |8907            MOV DWORD PTR DS:[EDI],EAX               ; 往原始IAT处填入第一层加密地址
00373A16   |83C0 20         ADD EAX,20
00373A19   |83C7 04         ADD EDI,4
00373A1C   |49              DEC ECX
00373A1D   |0BC9            OR ECX,ECX
00373A1F  ^|75 F3           JNZ SHORT 00373A14
00373A21   \59              POP ECX
00373A22    58              POP EAX
00373A23    8BF8            MOV EDI,EAX
00373A25    57              PUSH EDI
00373A26    51              PUSH ECX
00373A27    EB 2D           JMP SHORT 00373A56
00373A29    8D47 1C         LEA EAX,DWORD PTR DS:[EDI+1C]            ; 这里开始对第层加密地址变成
push [addr]
xor [esp],xorkey
ret
这里的ret就是返回到第真正去api的地址:
00373A2C    66:C707 FF35    MOV WORD PTR DS:[EDI],35FF
00373A31    C747 06 8134240>MOV DWORD PTR DS:[EDI+6],243481
00373A38    8947 02         MOV DWORD PTR DS:[EDI+2],EAX
00373A3B    C647 0D C3      MOV BYTE PTR DS:[EDI+D],0C3
00373A3F    52              PUSH EDX
00373A40    0F31            RDTSC
00373A42    32E0            XOR AH,AL
00373A44    C1C8 08         ROR EAX,8
00373A47    02E0            ADD AH,AL
00373A49    C1C8 08         ROR EAX,8
00373A4C    32E0            XOR AH,AL
00373A4E    8947 09         MOV DWORD PTR DS:[EDI+9],EAX
00373A51    5A              POP EDX
00373A52    83C7 20         ADD EDI,20
00373A55    49              DEC ECX
00373A56    0BC9            OR ECX,ECX
00373A58  ^ 75 CF           JNZ SHORT 00373A29                       ; 跳回去继续
00373A5A    59              POP ECX
为了方便我们后面的操作我把它变成:
push [addr]
xor [esp],xorkey
ret
的方式变成
PUSH [ADDR]
XOR [ESP],XORKEY
ADD ESP,4
RET
用于后面的操作，具体代码如下:
00373A38    8947 02         MOV DWORD PTR DS:[EDI+2],EAX
00373A3B    C647 0D C3      MOV BYTE PTR DS:[EDI+D],0C3
;这里用于处理成add esp,4的方式
00373A38  - E9 03C60000     JMP 00380040
00373A3D    90              NOP
00373A3E    90              NOP
在00380040处写上几句:
00380040    8947 02         MOV DWORD PTR DS:[EDI+2],EAX
00380043    C747 0D 83C404C>MOV DWORD PTR DS:[EDI+D],C304C483 ;变成add esp,4 ret的方式
0038004A  - E9 F039FFFF     JMP 00373A3F
0038004F    90              NOP
继续跟到这里:
00373ABB    8D95 C73B4000   LEA EDX,DWORD PTR SS:[EBP+403BC7]        ; 这里取出正确的函数
00373AC1    52              PUSH EDX
00373AC2    52              PUSH EDX
00373AC3    8D85 283A4000   LEA EAX,DWORD PTR SS:[EBP+403A28]        ; 这里取出特殊API函数,判断是否要特别"照顾"
00373AC9    50              PUSH EAX
00373ACA    8D85 E2204000   LEA EAX,DWORD PTR SS:[EBP+4020E2]
00373AD0    50              PUSH EAX
00373AD1    8B85 60384000   MOV EAX,DWORD PTR SS:[EBP+403860]        ; lstrcmpiA比较是否为特别函数
00373AD7    E9 D7090000     JMP 003744B3
00373ADC    90              NOP
00373ADD    5A              POP EDX
00373ADE    85C0            TEST EAX,EAX
00373AE0    75 0B           JNZ SHORT 00373AED                       ; 如果不是特别的函数就跳，后面还有很多这样的比较，所以我们这里又改改
00373AE2    8D85 E72F4000   LEA EAX,DWORD PTR SS:[EBP+402FE7]
00373AE8    E9 31030000     JMP 00373E1E
……
00373D9F    52              PUSH EDX                                 ; 没有特别函数最后就到这里
00373DA0    56              PUSH ESI
00373DA1    8D85 B9234000   LEA EAX,DWORD PTR SS:[EBP+4023B9]
00373DA7    50              PUSH EAX
00373DA8    8B85 27374000   MOV EAX,DWORD PTR SS:[EBP+403727]        ; GetProcAddress,获取API
00373DAE    E9 00070000     JMP 003744B3
00373DB3  ^ 75 8B           JNZ SHORT 00373D40
00373DB5    9D              POPFD
00373DB6    3C 3D           CMP AL,3D
00373DB8    40              INC EAX
00373DB9    0003            ADD BYTE PTR DS:[EBX],AL
00373DBB    9D              POPFD
00373DBC    40              INC EAX
00373DBD    3D 40005350     CMP EAX,50530040
00373DC2    53              PUSH EBX
00373DC3    E8 00070000     CALL 003744C8                            ; 这里进去就是壳放API的代码，前面已经跟过，所以不再跟进
好了，我们现在改一下，让壳“一律对待”。
00373AE0   /E9 BA020000     JMP 00373D9F        ;这里跳过就直接跳过特殊函数的加密
00373AE5   |90              NOP
……
00373DC8    2B85 3C3D4000   SUB EAX,DWORD PTR SS:[EBP+403D3C]
00373DCE    8985 403D4000   MOV DWORD PTR SS:[EBP+403D40],EAX
00373DD4    60              PUSHAD
00373DD5    3D C01F0000     CMP EAX,1FC0
00373DDA    76 3E           JBE SHORT 00373E1A                       ; 判断是否够空间放iat
00373DDC    6A 04           PUSH 4
00373DDE    68 00100000     PUSH 1000
00373DE3    68 00200000     PUSH 2000
00373DE8    6A 00           PUSH 0
00373DEA    8D85 0F244000   LEA EAX,DWORD PTR SS:[EBP+40240F]
00373DF0    50              PUSH EAX
00373DF1    8B85 33374000   MOV EAX,DWORD PTR SS:[EBP+403733]        ; VirtualAlloc
00373DF7    E9 B7060000     JMP 003744B3
00373DFC    EB 64           JMP SHORT 00373E62
00373DFE    8F05 00000000   POP DWORD PTR DS:[0]
00373E04    58              POP EAX
00373E05  ^ E9 8BFEFFFF     JMP 00373C95
00373E0A    8985 3C3D4000   MOV DWORD PTR SS:[EBP+403D3C],EAX
00373E10    C785 403D4000 0>MOV DWORD PTR SS:[EBP+403D40],0
00373E1A    61              POPAD
00373E1B    5B              POP EBX
00373E1C    8BC3            MOV EAX,EBX
00373E1E    3347 09         XOR EAX,DWORD PTR DS:[EDI+9]
00373E21    8947 1C         MOV DWORD PTR DS:[EDI+1C],EAX
00373E24    5A              POP EDX
00373E25    0FB642 FF       MOVZX EAX,BYTE PTR DS:[EDX-1]
00373E29    03D0            ADD EDX,EAX
00373E2B    42              INC EDX
00373E2C    83C7 20         ADD EDI,20
00373E2F    59              POP ECX
00373E30    49              DEC ECX
00373E31  ^ 0F85 28FCFFFF   JNZ 00373A5F                             ; 对指定的DLL没有处理完则回去继续
00373E37  ^ E9 A2FAFFFF     JMP 003738DE                             ; 处理完则指向下一个DLL
到了这里我们就不用再跟什么了，直接在003736f9处下断.
003736F9    50              PUSH EAX                                 ; 这里跳去oep
003736FA    C3              RETN
运行之.
00373F0E  ^\EB FA           JMP SHORT 00373F0A                       ; 第一个异常
00373F10    8985 43374000   MOV DWORD PTR SS:[EBP+403743],EAX
……
00373E94    6285 443D4000   BOUND EAX,QWORD PTR SS:[EBP+403D44]      ; 第二个异常
00373E9A  ^ EB F8           JMP SHORT 00373E94
过了第二个异常后在我们下断的地方断下来了.断下了，现在要再写一段程序来修复代码:
003736FA    60              PUSHAD                                   ; 保护现场
003736FB    9C              PUSHFD
003736FC    BE 28814D00     MOV ESI,4D8128                           ; 取原始IAT的地址
00373701    81FE F4824D00   CMP ESI,4D82F4                           ; 判断有没有结束
00373707    73 1F           JNB SHORT 00373728
00373709    8B1E            MOV EBX,DWORD PTR DS:[ESI]               ; 取出第一层加密地址
0037370B    83FB 00         CMP EBX,0                                ; 用于判断是否为0的情况
0037370E    74 13           JE SHORT 00373723
00373710    81FB 0000C000   CMP EBX,0C00000                          ; 判断是否加密后的地址
00373716    73 0B           JNB SHORT 00373723
00373718    FFD3            CALL EBX                                 ; call第一层的内容
0037371A    8B5C24 F8       MOV EBX,DWORD PTR SS:[ESP-8]             ; 第一次的3f0000这段是返回到第二层地址处
0037371E    8B5B 01         MOV EBX,DWORD PTR DS:[EBX+1]             ; 因为我们前面已经path 了代码，所以这里直接 [ebx+1]就是正确IAT地址
00373721    891E            MOV DWORD PTR DS:[ESI],EBX               ; 把API写入正确的位置
00373723    83C6 04         ADD ESI,4
00373726  ^ EB D9           JMP SHORT 00373701
00373728    9D              POPFD
00373729    61              POPAD
0037372A    C3              RETN
这样处理后，用IMP看一下，两有两个地方没有修复，这个简单，把上面的代码改几句就行了.具体的我修改很简单，我也不多讲了.
最后有一个无效的函数，直接CUT就行了.

Greetz:
 Fly.Jingulong,yock,tDasm.David.ahao.UFO(brother).alan(sister).all of my friends and you!

By loveboom[DFCG][FCG][US]
Email:bmd2chen#tom.com

本代码的着色效果由xTiNt自动完成
下载xTiNt http://211.90.75.84/web/kanaun/download/xTiNt.rar

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课