首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. 加壳脱壳
    3. 发新帖
[求助]手脱tElock V0.99-1.0 Private -> tE! *的问题
2009-2-3 10:25 8486

[求助]手脱tElock V0.99-1.0 Private -> tE! *的问题

ynhhdj 活跃值
2009-2-3 10:25
8486
Exeinfo　PE　0.0.2.2　
下载地址：http://www.onlinedown.net/soft/67311.htm

用PEID检查加壳为tElock V0.99-1.0 Private -> tE! *

OD载入
05562000 >- E9 00F0FFFF     JMP 05561005                             ; 05561005
05562005    0000            ADD BYTE PTR DS:[EAX],AL
05562007    0000            ADD BYTE PTR DS:[EAX],AL
05562009    0000            ADD BYTE PTR DS:[EAX],AL
0556200B    0000            ADD BYTE PTR DS:[EAX],AL
0556200D    0000            ADD BYTE PTR DS:[EAX],AL
0556200F    0000            ADD BYTE PTR DS:[EAX],AL
05562011    0000            ADD BYTE PTR DS:[EAX],AL
。。。
按F8

05561005   /E9 00000000     JMP 0556100A                             ; 0556100A
0556100A   \E9 00000000     JMP 0556100F                             ; 0556100F
0556100F    E9 00000000     JMP 05561014                             ; 05561014
05561014    E9 00000000     JMP 05561019                             ; 05561019
05561019    E9 00000000     JMP 0556101E                             ; 0556101E
0556101E    E9 00000000     JMP 05561023                             ; 05561023
05561023    E9 00000000     JMP 05561028                             ; 05561028
05561028    E9 00000000     JMP 0556102D                             ; 0556102D
0556102D    E9 00000000     JMP 05561032                             ; 05561032
05561032  - E9 09AAFFFF     JMP 0555BA40                             ; 0555BA40
05561037    0000            ADD BYTE PTR DS:[EAX],AL
05561039    0000            ADD BYTE PTR DS:[EAX],AL

F8一直往下走到　05561032  - E9 09AAFFFF跳转到
0555BA40   ?  60            PUSHAD
0555BA41   ?  BE 00504E05   MOV ESI,54E5000
0555BA46   ?  8DBE 00C0F1FA LEA EDI,DWORD PTR DS:[ESI+FAF1C000]
0555BA4C   .  57            PUSH EDI
0555BA4D   .  89E5          MOV EBP,ESP
0555BA4F   .  8D9C24 80C1FF>LEA EBX,DWORD PTR SS:[ESP-3E80]
0555BA56   .  31C0          XOR EAX,EAX
0555BA58   >  50            PUSH EAX
0555BA59   .  39DC          CMP ESP,EBX
0555BA5B   .^ 75 FB         JNZ SHORT 0555BA58                       ;  0555BA58

看到这个想ESP定律可能有用F8一下，　DD 0012FFA4　下硬件访问断点　F9运行

断在这

0555C5CC   .  8D4424 80     LEA EAX,DWORD PTR SS:[ESP-80]
0555C5D0   >  6A 00         PUSH 0
0555C5D2   .  39C4          CMP ESP,EAX
0555C5D4   .^ 75 FA         JNZ SHORT 0555C5D0                       ;  0555C5D0
0555C5D6   .  83EC 80       SUB ESP,-80
0555C5D9   .- E9 FAF6F8FA   JMP 004EBCD8                             ;  004EBCD8
0555C5DE      00            DB 00
0555C5DF      00            DB 00
0555C5E0      F8C55505      DD exeinfop.0555C5F8

在0555C5D9   .- E9 FAF6F8FA   JMP 004EBCD8  F2下断　F9运行　来到0555C5D9
F8一下到达OEP
004EBCD8    55              PUSH EBP
004EBCD9    8BEC            MOV EBP,ESP
004EBCDB    B9 05000000     MOV ECX,5
004EBCE0    6A 00           PUSH 0
004EBCE2    6A 00           PUSH 0
004EBCE4    49              DEC ECX
004EBCE5  ^ 75 F9           JNZ SHORT 004EBCE0                       ; 004EBCE0
004EBCE7    53              PUSH EBX
004EBCE8    56              PUSH ESI
004EBCE9    57              PUSH EDI
004EBCEA    B8 B8BA4E00     MOV EAX,4EBAB8
004EBCEF    E8 9CAEF1FF     CALL 00406B90                            ; 00406B90
004EBCF4    8B35 E4E04E00   MOV ESI,DWORD PTR DS:[4EE0E4]            ; exeinfop.004EF7D0
004EBCFA    8B3D 28E24E00   MOV EDI,DWORD PTR DS:[4EE228]            ; exeinfop.004FF644
004EBD00    33C0            XOR EAX,EAX
004EBD02    55              PUSH EBP

用LORDEP脱壳　在用IREC修复　程序可以运行一看大小81M！晕死，一个496K的程序脱壳后81M！

就用LORDEP重建PE！重建后1.41M可是程序不能运行了！不知道要怎么搞了！那位大侠能帮我看一下啊！这个问题要怎么解决！！

[培训]《安卓高级研修班(网课)》月薪三万计划，掌 握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

收藏
免费 ・0
打赏
分享
最新回复 (27)
江树清
雪    币： 202
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
江树清 2009-2-3 11:41
2 楼
0
用ImportREC修复啊~~~
ynhhdj
雪    币： 209
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ynhhdj 2009-2-3 14:14
3 楼
0
能说一下用ImportREC这个怎么修复呢
will周
雪    币： 175
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
will周 2009-2-3 16:33
4 楼
0
貌似自校验的 源程序 和脱壳后的自己走一遍或者 搜索CMP  好像是这样吧 不行不要鄙视我 我初学者
兲边
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
兲边 2009-2-3 17:07
5 楼
0
这个还真搞不明白
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-3 18:10
6 楼
0
不是重建后有问题，是加了自校验！然后反调试。
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-3 18:16
7 楼
0
修复出来的，不知道哪里校验了
上传的附件：
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-3 18:40
8 楼
0
004A1E30    50              push    eax
004A1E31    E8 3654F6FF     call    <jmp.&user32.FindWindowA>
004A1E36    A3 403F5005     mov     dword ptr [5503F40], eax
004A1E3B    6A 00           push    0
004A1E3D    6A 00           push    0
004A1E3F    6A 10           push    10
004A1E41    A1 403F5005     mov     eax, dword ptr [5503F40]
004A1E46    50              push    eax
004A1E47    E8 D856F6FF     call    <jmp.&user32.SendMessageA>
004A1E4C    6A 00           push    0
004A1E4E    A1 88ED4E00     mov     eax, dword ptr [4EED88]
004A1E53    E8 3021F6FF     call    00403F88
004A1E58    50              push    eax
004A1E59    E8 0E54F6FF     call    <jmp.&user32.FindWindowA>
004A1E5E    A3 403F5005     mov     dword ptr [5503F40], eax
004A1E63    6A 00           push    0
004A1E65    6A 00           push    0
004A1E67    6A 10           push    10
004A1E69    A1 403F5005     mov     eax, dword ptr [5503F40]
004A1E6E    50              push    eax
004A1E6F    E8 B056F6FF     call    <jmp.&user32.SendMessageA>

第一处ANTI-DEBUG，牛人见了别笑，我是第一次做。。。。。
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-3 18:56
9 楼
0
发个测试的，可以运行。
但是不知道解决锁键盘和鼠标的问题，我是按ctrl+alt+del来临时解决的。

004EBE9C    E8 075FFBFF     call    004A1DA8

这个CALL NOP掉

004DA0AF   /0F84 9F020000   je      004DA354

这里改成JMP
上传的附件：
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-3 21:44
10 楼
0
额。。。。发现有问题的，这个源程序还做了其他XXX东西的，能正常运行，但是功能都用不了的。
PS:此壳就是UPX，不是tElock。
tElock我以前遇到过，光是esp定律搞不定的。
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-3 21:48
11 楼
0
娃哈哈！找到了！
004D5DE7    803D 38ED4E00 2>cmp     byte ptr [4EED38], 2F
004D5DEE   /0F85 2B2A0000   jnz     004D881F
nop掉就行了！！
上传的附件：
ynhhdj
雪    币： 209
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ynhhdj 2009-2-4 00:19
12 楼
0
第二次整的这个还是不行啊！键盘和鼠标还是锁死了！
ASL
雪    币： 201
活跃值： (94)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ASL 2009-2-4 07:18
13 楼
0
[QUOTE=XSJS;572972]娃哈哈！找到了！
004D5DE7    803D 38ED4E00 2>cmp     byte ptr [4EED38], 2F
004D5DEE   /0F85 2B2A0000   jnz     004D881F
nop掉就行了！！[/QUOTE]

wow , ! unlock mouse & key and nice work :-)
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-4 12:44
14 楼
0
第二次整的这个还是不行啊！键盘和鼠标还是锁死了！


我一直没说不被锁死，我是菜鸟。。。。。。

wow , ! unlock mouse & key and nice work :-)
  

wow!!!! Would you tell us how you avoid the block input function's work? Many thanks
ASL
雪    币： 201
活跃值： (94)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ASL 2009-2-4 19:44
15 楼
0
Delphi example :

function BlockInput() :boolean; stdcall external 'user32.dll';

easy

ps. I locking only for fun , this is easy to break
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-4 20:49
16 楼
0
Thanks.
ps:Are there many people here in this BBS like to communicate in English?

here's my final version of the exefile.
上传的附件：
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-4 21:12
17 楼
0
Hi! ASL! I need your help!

I set break point on BlockInput and find where the programme Call this API,
so I nop the codes that call to thus API, surely I got the version that never block my input.

But I got a question here....code for User32!BlockInput is like this
77D6CA7E >  B8 36110000     mov     eax, 1136
77D6CA83    BA 0003FE7F     mov     edx, 7FFE0300
77D6CA88    33C0            xor     eax, eax
77D6CA8A    40              inc     eax
77D6CA8B    C2 0400         retn    4

these codes only change some values of some regisers, I don't understand how such simple codes works!!!
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-4 21:24
18 楼
0
Ha! I understand!!!Because of my plugin for od works!!The plugin modifies the codes for BlockInput

I was just debugging PEID protected with yoda's protector.
Reffer to KanXue Boss's informatiom,yoda also make use of BlockInput.
But yoda didn't import user32.dll in its import table,so od's plugin didn't get chance to modify the code,the real codes are like these:

77D6CA7E >  B8 36110000     mov     eax, 1136
77D6CA83    BA 0003FE7F     mov     edx, 7FFE0300
77D6CA88    FF12            call    dword ptr [edx]
77D6CA8A    C2 0400         retn    4

anyway,thanks!!!
ASL
雪    币： 201
活跃值： (94)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ASL 2009-2-5 08:57
19 楼
0
ups !!! bad cracker ?
No buffer info in MBytes

上传的附件：
ynhhdj
雪    币： 209
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ynhhdj 2009-2-5 10:20
20 楼
0
我脱下的文件有1.41MB！你的怎么有5.58MB！我修改三处现在软件可以用了！
先004EBE0A  NOP 掉
在把锁键盘和鼠标的　004EBD83　NOP掉
最后一处是软件能运行但是检查不出文件信息的004D5E16　
004D5E16   /0F84 2B2A0000   JNZ  004D8847     改　JE               

修改了这三处！软件正常运行了！
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-5 12:57
21 楼
0
Wow!!
"Ver 0.0.2.2 By A.S.L"
Finaly....I saw this....
Forgive me of my poor English....

ps. It seem you understand Chinese right?
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-5 12:58
22 楼
0
你们都是牛人啊，我小菜一个，能运行起来已经不错了。。。。。更不要强求什么文件体积小了。。。。。
ynhhdj
雪    币： 209
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ynhhdj 2009-2-5 14:06
23 楼
0
XSJS你是谦虚了！我也是小菜菜呢！一起努力！
XSJS
雪    币： 152
活跃值： (15)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
XSJS 2009-2-5 15:04
24 楼
0
请教下你是怎么脱壳的？
ynhhdj
雪    币： 209
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
ynhhdj 2009-2-5 15:12
25 楼
0
我就是按一楼的方法脱出来呢
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回