附上脱壳过程和自己写的脚本,逆向集录_00_不同程序OEP特征总结

 图片 1

累计6种 IAT相关的拍卖,所以自身是 一边写脚本一边骂写
VMP壳的人,要不要这么坑啊,作者要的脱的主次非常的大 跑二遍要
1个钟头,小编也不记得本身跑了略微遍了!哎!说来都以泪,新手正是如此啊!十分少说了上边贴上脚本!必要的融洽去下!

图片 2

转载:

这个特征,会对剖判程序起到一定的扶植功能,这里,并从未完全列出全方位的主流程序,希望进行试探吧;

图片 3 
开垦进度到进口看下
图片 4 
4、跑OEP
啥也卡不懂,然则没什么知道是VMP壳就好办,直接CT冠道L+G  输入 VirtualProtect
下断 如下图(假诺提示未知,先在内部存款和储蓄器窗口找到 kernel32.dll代码段
进去后在转到就到了)
图片 5 
F9跑起来,那是会段下
图片 6 
注意NewProtect 这项 等于 PAGE_READONLY 是终止,不然一向F9
按慢点别跑飞了
图片 7 
到040一千处看看,代码是还是不是已经解码
图片 8 
业已解码, 搜索特征码 EB0B85F375078BC6C1E0100BF0
图片 9 
那是OEP第叁个CALL的尾巴,依照他找到OEP 
图片 10 
OEP 正是 00a6f7c8,但是那才是率先步 那时候DUMP 是没用的 因为VMP加密了IAT
大家须求苏醒他
5、还原IAT
不管找二个IAT调用函数跟一下,刚好OEP上边就有八个 FF25 型的IAT
调用,跟进去看下
图片 11 
抑或啥都看不懂,但是没什么
既然是调用IAT函数,肯定会在某一整日调到真实函数地址去的
继续跟下边把一切跟的流水生产线贴上来
图片 12 
图片 13 
图片 14 
图片 15 
图片 16 
那是全方位工艺流程的莫过于实践的代码 ,现在剖析下
01059D91    53              push ebx                     拥戴景况
01059D92    66:0FB6DB       movzx bx,bl          垃圾代码
01059D96    66:BB 5D55      mov bx,0x555D   垃圾代码
01059D9A    BB 5AC27200     mov ebx,0072C25A 
 那才是最终对EBX操作所以下面两条都是没用的代码
00F3BBFF    8B9B 25697400   mov ebx,dword ptr ds:[ebx+0x746925]   
计算地址
01196B98    8D9B 5071F632   lea ebx,dword ptr
ds:[ebx+0x32F67150]  计算地址
00EA9FC2    871C24          xchg dword ptr ss:[esp],ebx 
 和栈顶调换,并还原EBX的原始值
00F9FC9D    C2 0400         retn 0x4                  还原EBX
并回到函数
那儿看下商旅 栈顶现身真实函数的地点
<ignore_js_op>图片 17 
00F9FC9D    C2 0400         retn 0x4      
分析下那条指令的实施流程,先EIP=栈顶的值 也正是全神贯注函数地址,栈顶+4+4
懂汇编的人就能够意识,栈顶+8的岗位保存是眼前CALL的归来地址
那实行了那条指令后回去地址不是未有了么?因为那一个IAT调用 没加密前是
FF25型的 也便是 jmp [????????] 所以无需回到地址
,而调用那一个IAT的时候
是有贰个CALL的进CALL的时候就能PUSH重临地址到宾馆,所以那一个IAT管理的很抢眼!实行完真实函数后直接就重回到调用IATCALL的底下继续施行了。
看图片开采 那个CALL 上边有一条 RETN指令 看来这条
是VMP加上去的了,不过绝不忽视了那条指令 因为那条指令很关键,VMP在收获
IAT地址的最后RETN的地方 会随机JMP到代码他加上的RETN 上,并不完全部是在壳段
所以那一个RETN 要留到最终管理。
再找三个FF25 型的IAT调用看看
图片 18 
跟进去看下,上边是实行流程代码
00FB7DC7    90              nop
00FB7DC8    0FB7D6          movzx edx,si        垃圾代码
00FB7DCB    66:0FBED1       movsx dx,cl       垃圾代码
00FB7DCF    5A              pop edx                   出栈             
  
00FB7DD0    871424          xchg dword ptr ss:[esp],edx       
   交流栈顶的值,还原 EDX原始值
00FB7DD3    52              push edx                            
 敬爱情形
00FB7DD4    66:0FBED1       movsx dx,cl     垃圾
00FB7DD8    0FB7D6          movzx edx,si      垃圾
00FB7DDB    BA B7757D00     mov edx,007D75B7     总括地址
010DFDAD    8B92 3D036900   mov edx,dword ptr ds:[edx+0x69033D]   
计算地址
0102B837    8D92 B52FE512   lea edx,dword ptr ds:[edx+0x12E52FB5] 
   计算地址
00EACB30    871424          xchg dword ptr ss:[esp],edx 
 函数实际地址给栈顶 并还原情况          
0115D36E    C2 0400         retn 0x4 
以此FF25 CALL 的第四行 有个POP  edx 而进那些CALL在此以前  有贰个push edx
,能够看到 那么些push edx 也是垃圾代码是 VMP自身丰盛上去的,看来VMP
会随机在上下 填充贰个字节,在上面正是 PUSH 贰个寄放器,在下边正是 retn
找一个 FF15型的CALL看看
图片 19 
跟进去看下流程
010B27B9    BE B34E6E0B     mov esi,0xB6E4EB3    垃圾代码
00EFFC5B    5E              pop esi               出栈
00EEB9B0    873424          xchg dword ptr ss:[esp],esi   
调换栈顶的值,还原 ESI原始值
00F437BB    56              push esi   保存意况
00F8D827    BE 4B084800     mov esi,0048084B    总结地址
00FA55B3    8BB6 C005B900   mov esi,dword ptr
ds:[esi+0xB905C0]  总括地址
010E8053    8DB6 3F68AD31   lea esi,dword ptr ds:[esi+0x31AD683F]
总括地址
00F44191    873424          xchg dword ptr ss:[esp],esi 
 真实函数地址给栈顶,还原遭遇
0057A761    C3              retn 
其次行 pop esi  看来这么些CALL 的push esi 是垃圾指令了,可是 开采这么些是retn 为啥不是,retn 04 呢?因为那个是 FF15 型调用,也正是 call
[????????]  供给奉行完后归来到call 上边继续推行
再找一个FF15型调用看看
图片 20 
跟进去看下流程
00E77D14    90              nop
00E77D15    51              push ecx            保存景况              
00E77D16    66:F7D1         not cx           垃圾代码
00E77D19    8B4C24 04       mov ecx,dword ptr ss:[esp+0x4]   
栈顶+4(调用CALL的回来地址)给ECX,
00FB7CFF    8D49 01         lea ecx,dword ptr ds:[ecx+0x1]   取
重回地址+1的值 给ECX
01013FB5    894C24 04       mov dword ptr
ss:[esp+0x4],ecx  重新写入到重返处
01013FB9    B9 A1598A00     mov ecx,008A59A1 计算地址
010566B2    8B89 94C36C00   mov ecx,dword ptr ds:[ecx+0x6CC394]
总计地址
00E95200    8D89 19378077   lea ecx,dword ptr ds:[ecx+0x77803719]
总计地址
00FEA363    870C24          xchg dword ptr
ss:[esp],ecx  真实函数地址给栈顶,还原景况       
010ABADE    C3              retn
本条 有一点不均等啊,不会细小略 看调用CALL 的下边有叁个 RETN啊,这借使例行再次回到程序还不行跑飞啊,VMP神奇的利用 4 5 6三行代码
就化解了,那写壳的人当成脑洞大开啊!
装有的IAT加密就这么完了啊??? NO  还会有更脑洞大开的 往下看
图片 21 
跟进去看看
0119D768    90              nop
0106B2C9    872C24          xchg dword ptr ss:[esp],ebp       
   交流栈顶的值,还原栈顶
00F3E26F    55              push ebp                            
 保存重回地址
00F3E270    F7D5            not ebp                              
垃圾代码
00F3E272    50              push eax                            
 保存遭受
00F3E273    B8 D41D4300     mov eax,00431DD4  总括地址
00F3E278    66:8BEB         mov bp,bx  垃圾代码
00F3E27B    8B80 41F7BE00   mov eax,dword ptr
ds:[eax+0xBEF741]  总括地址
00F3E281    66:0F4FE8       cmovg bp,ax  垃圾代码
00F3E285    66:8BE8         mov bp,ax   垃圾代码
00F3E288    8D80 903F170C   lea eax,dword ptr
ds:[eax+0xC173F90]  总结地址
00F3E28E    0FB7E8          movzx ebp,ax 垃圾代码
00F3E291    8BE8            mov ebp,eax     真实函数地址给 EBP
00F3E293    58              pop eax   还原 寄存器
011B5D71    C3              retn
那是在干啥呢?? 咋把实事求是函数地址 给了 EBP呢? 看调用处的底下 有三个call ebp 领会了吧 那是把   mov
xx,[????????]  整成了七个CALL哦,再来看下货仓 调用处pop  EBP , CALL内
第2行
有把栈顶的值还原了,然后把函数的归来地址重新PUSH进去,这里管理的比相当美丽妙,全体调用处的 pop ebp也是垃圾指令,这就完了???NO还只怕有往下看
图片 22 
跟进去看下
00E97E5D    90              nop
00E97E5E    0FBFDB          movsx ebx,bx  垃圾代码
010C1083    50              push eax                    保存遭遇     
010C1084    8B4424 04       mov eax,dword ptr ss:[esp+0x4]    
 获取当前CALL的回到地址给EAX
00E2EB3F    8D40 01         lea eax,dword ptr ds:[eax+0x1] 
 获取当前CALL重返地址+1给EAX
00E2EB42    0F45DB          cmovne ebx,ebx    垃圾代码
00E2EB45    66:0FB6DB       movzx bx,bl  垃圾代码
00E2EB49    894424 04       mov dword ptr
ss:[esp+0x4],eax  保存再次回到地址
00E2EB4D    B8 012C4300     mov eax,00432C01 计算地址
00E2EB52    66:0FBEDB       movsx bx,bl 垃圾代码
00E2EB56    66:8BDF         mov bx,di 垃圾代码
01170378    8B80 F58CC000   mov eax,dword ptr ds:[eax+0xC08CF5]
计算地址
0117037E    0FB7DC          movzx ebx,sp 垃圾代码
01170381    0F41DE          cmovno ebx,esi      垃圾代码
01170384    F6D7            not bh 垃圾代码
01170386    8D80 145A2C32   lea eax,dword ptr ds:[eax+0x322C5A14]
总计地址
0117038C    B3 85           mov bl,0x85 垃圾代码
0117038E    8ADE            mov bl,dh 垃圾代码
01170390    8BD8            mov ebx,eax   真实函数地址给 EBX          
   
01170392    0FBFC2          movsx eax,dx 垃圾代码
01170395    C6C4 E2         mov ah,0xE2 垃圾代码
01170398    0FC8            bswap eax             垃圾代码            
0117039A    58              pop eax      还原情况                    
0117039B    C3              retn
相信是真的看 了地方的某个,这里简单驾驭了吧, 4 5 8行管理调用处的 下边 retn
的,函数是得到 EBX的调用值的

 

职业急供给脱二个VMP壳,我是七个平昔没接触过脱壳的人。弹指间这种心绪蒙受的人应有都清楚!不能硬着头皮找教程,7天看完了
《天草的壳的社会风气》尝试脱壳下边是自身的脱壳进度希望大牌多多指正!
1、筹算工具,FEID(查壳工具)、DIE(查壳工具)、LordPE(dump工具)、ImpRec(IAT修复工具)、UIF(IAT修复工具)、CFF(文件优化学工业具)、OD(作者爱破解专版
调节和测验工具)
2、查壳 PEID
图片 23 
区段突显是vmp1,看来是VMP壳编写语言依然不能够分明上DIE
图片 24 
展现编制程序语言是VC++的,VMP壳
3、开OD希图脱壳、OD设置如下
图片 25

a0) VB5:

6、用UIf 修复IAT 
7、用lodepe dump
8、用imprec 修复IAT
9、用cff 去掉壳段
迄今甘休VMP脱壳实现!

【Delphi】OEP上边是贰个位置
【Delphi】OEP处
有5个CALL
【Delphi】OEP
5个CALL之后,全是0
【Delphi】OEP处第二个CALL有GetModuleHandleA调用
【Delphi】的IAT调用是
FF25形式的

 图片 26

d) VS2013

图片 27

c)
VC6/E语言(通过深入分析,开采相互特征一致,可以断定E语言和VC6大同小异)

【BC++】
二进制特征:EB1066623PASSAT32B2B484F4F4B90
【BC++】
OEP的率先个API调用是 GetModuleHandleA
【BC++】 IAT调用是
FF25形式的

 

 

【VB5】程序的IAT引用,都是FF15型的

 

 

图片 28

 

图片 29

 

b0) Delphi

 

图片 30

【VS2013】开始处,call
xxx; jmp xxx;
【VS2012】的OEP平衡仓库是sub
esp, 0x44
【VS2013】的OEP第一个API调用是GetStartupInfoW
【VS2013】程序的IAT引用,都是FF15型的

b1) BC++

 

发表评论

电子邮件地址不会被公开。 必填项已用*标注