再一次提醒你：不要运行这个 API！因而在0043776E内按右键然后选择[新建起源]。这是跳过该 API 的正确做法。现在我们必须用 NOP 来填充调用到该 API 及其有关 Push。
把下面的代码用nop修改掉：
00437759 MOV AL,BYTE PTR DS:[E8686133]
0043775E ADD EAX,DWORD PTR DS:[EAX]
00437760 ADD BYTE PTR DS:[EBX+FFFA3895],CL
00437766 CALL NEAR DWORD PTR DS:[EDX-1]
00437769 ADC EAX,<&KERNEL32.WaitForDebugEvent>
（不知道为什么这段代码是动态的）
改为：
00437759 NOP
0043775A NOP
0043775B NOP
0043775C NOP
0043775D NOP
0043775E NOP
0043775F NOP
00437760 NOP
00437761 NOP
00437762 NOP
00437763 NOP
00437764 NOP
00437765 NOP
00437766 NOP
00437767 NOP
00437768 NOP
00437769 NOP
0043776A NOP
0043776B NOP
0043776C NOP
0043776D NOP
0043776E TEST EAX,EAX
SETUP 7 打补丁
“当处理这个步骤时要特别小心! 多数人并不知道究竟是如何打补钉的正确方法，所以要尽力领会我在这里是怎样做，并且你还需要在其它情况下会完成。” 我是试了几次才成功的！
第一步是更改此跳转：
0043776E TEST EAX,EAX
00437770 JE armadill.004398A5 //把这里修改为 Jmp 00401000
Why？ 因为父进程的偏移是00401000 我们需要在那里打补丁。
现在go 00401000 准备打补丁了：
00401000 ADD BYTE PTR DS:[EAX],AL
00401002 ADD BYTE PTR DS:[EAX],AL
00401004 ADD BYTE PTR DS:[EAX],AL
00401006 ADD BYTE PTR DS:[EAX],AL
00401008 ADD BYTE PTR DS:[EAX],AL
来看看内存镜象中的数据，Alt+M 打开内存镜象窗口：
00400000 00001000 armadill PE header Imag R RWE
00401000 00025000 armadill CODE Imag R RWE
00426000 00001000 armadill DATA Imag R RWE
00427000 00001000 armadill BSS Imag R RWE
00428000 00002000 armadill .idata Imag R RWE
0042A000 00001000 armadill .tls Imag R RWE
0042B000 00001000 armadill .rdata Imag R RWE
0042C000 00003000 armadill .reloc Imag R RWE
0042F000 00020000 armadill .text code Imag R RWE
0044F000 00010000 armadill .adata Imag R RWE
0045F000 00010000 armadill .data data,imports Imag R RWE
0046F000 00010000 armadill .reloc1 relocations Imag R RWE
0047F000 00040000 armadill .pdata Imag R RWE
004BF000 00011000 armadill .rsrc resources Imag R RWE
看看程序的代码段开始于00401000 结束于00425FFF
在转存窗口中把OEP的入口修改为400000，修改后是这样的：
0012EFF4 01 00 00 00 B0 0E 00 00 ...?..
0012EFFC B8 0E 00 00 01 00 00 80 ?.. ..�
0012F004 00 00 00 00 00 00 00 00 ........
0012F00C 00 00 40 00 02 00 00 00 ..@. ... //*******
0012F014 00 00 00 00 00 00 40 00 ......@. //*******
0012F01C 00 00 40 00 00 00 00 00 ..@..... //*******
因为每个块循环以 1000作增量补钉，所以要解压的第一块必须是401000。
现在我们必须在主窗口下以 401000 作开始行，并写入
00401000 8105 0CF01200 00100000 ADD DWORD PTR DS:[12F00C],1000
0040100A 8105 18F01200 00100000 ADD DWORD PTR DS:[12F018],1000
00401014 8105 1CF01200 00100000 ADD DWORD PTR DS:[12F01C],1000
这里补丁要和转存窗口中的地址一致。
下一行就要这样写∶
0040101E CMP DWORD PTR DS:[12F01C],armadill.00426000
//测试代码段结束了吗？
要知道何时我们已经解压了全部块。
则必须写入∶
00401028 - 0F85 F6341F00 JNZ 00437775 //没有完成就继续
如果比较结果不是 True，那这个循环返回到的位置紧挨着哪里是调用该循环。然后我们必须写入下一行写 NOP ，我们将放置一个 BP，是要在完成转储操作时来停止它。
下面是打好补丁的全部代码：
00401000 ADD DWORD PTR DS:[12F00C],1000
0040100A ADD DWORD PTR DS:[12F018],1000
00401014 ADD DWORD PTR DS:[12F01C],1000
0040101E CMP DWORD PTR DS:[12F01C],armadill.00426000
00401028 JNZ armadill.00437775
0040102E NOP //这里下个中断，如果完成了就断在这里。
0040102F NOP
好了，最关键的部分完成了，下面就可以脱壳了。
SETUP 8 脱壳了
检查一下前面的几步，保证他的正确后就运行这个程序了。F9一下，哈哈中断在：
0040102E NOP //这里下个中断，如果完成了就断在这里
好像成功了耶！
看看记录里有些什么，Alt+L打开记录窗口：
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
77E65A12 COND: 未知的标示符
0040102E 中断在 armadill.0040102E
我不知道为什么成了未知的标示符，可能是我的条件记录没有设置好，不过那就是复制的代码块。有了这个信息就说明代码被完全的复制过来了。
SETUP 9由父进程解出子进程
先用OD的附加功能查看子进程的句柄，打开附加窗口，看到没有变色的那个armadillo3.exe就是子进程，他的句柄是OBDC （这个值每次加载后就会变）
在程序中写入下面的代码：
0040102E PUSH 0BDC //PUSH (子进程句柄)
00401033 CALL kernel32.DebugActiveProcessStop
00401038 NOP // 这里下个中断
运行程序。看看寄存器窗口，如果当 程序 在 EAX = 1 停下时，可以确定子进程与他的父进程已经分离，然后我们可以关闭 OllyDbg。而如果 EAX = 0，那是因为你写入有点不对劲（可能是句柄），则你必须要从头到尾核对那些行。你可以重新写入代码，再来一次。
现在关闭 OllyDbg 然后再次打开它。不要装入任何东西。转到菜单 文件|附加 然后寻找子进程并且 附加上 它(我们已经杀死他的父进程 :X)。
只要成功附加上，运行一下，程序就会在死循环运行，因此按 F12 来暂停程序，然后在PUPE中把OEP的代码还原成55 8B ，再“Parchear”一下就会还原成原来的代码了。
打开 LordPE 然后搜索armadillo3.exe这个进程。选择这进程以及选择〔active dump engine〕| 〔IntelliDump〕|〔select〕，然后点击 Dump full ，一旦保存完成，立即运行 PEditor (，然后再写入这个有效的入口点( ENTRY POINT)。计算一下是4251D0-400000＝251D0 修复即可。
第一部分已完，写了一个晚上。太冷了，第二部分关于如何查找这奇妙跳转来完成引入表、修复 IAT 和生成程序运行 还是留给明天吧。
fxyang[OCN][BCG][FCG]
2003.11.26夜上一页 1 2 |
安全中国首页 > 文章中心 > 脱壳技术