用OllyDbg脱ASPR 1.3x的壳

韩冰

作者：LaBBa 翻译：gmh001 软件： System Cleaner 4.89 Build 110 t; n- P0 y' V+ J. RUrl : http://www.allerasoft.com/products/systemcleaner/ 前言 ================== # w) e* l/ ]4 i; M& `ＯＫ，贴上来！！这是我第三次写这篇破解文章，第一次正在写的时候机死机了，第二次停电了。 （呵呵，运气有点背啊…） 现在… 这篇文章讲述如何真正快速简单的脱掉ASPR 1.3x的壳，并且找出被抽掉的字节… 并且不使用SoftIce、IceDump和 /tracex！用什么？使用OllyDbg ！ % X1 n& j: e' z' B& d* c, E& R3 r7 A所需工具 ================ 1. OllyDbg 1.09b2 or newer # y( J, e* @5 e8 k- _9 S2. ProcDump(G-rom)/Pe-edit(y0da) 3. imprec 1.3 (MackT/UCF)(protools.cjb.net) 8 Z1 x$ S' u3 g3 [4. HVIEW / Hex Editor 7 r- P0 K5 M6 ]/ ]2 C2 b 脱壳步骤 ======================= # j% _$ J, D$ N" A* j( Q1. 找到 OEP＋从内存中抓取程序 ! k7 d# Y7 k/ e8 R5 c% W7 M0 C2. 找到抽掉的字节 ) v0 b# ~6 G2 ^4 |# @) v3. 重建IAT 4. 修正OEP 5. 结束 2 K; t/ W M: a+ e' A# K7 T==================================== 0 ]: ]* y' C$ Z q& J, g' R第一步—找到 OEP＋从内存中抓取程序 ==================================== 8 k" y6 o9 x- @2 u+ m8 ?1. 运行Olly并载入应用程序（如果有提示就按 YES！） 2. 现在按Ｆ９就会在这儿中断： 7 s `: j, P7 Z6 k# P; y, a# Y 017E3414 3100 XOR DWORD PTR DS:[EAX],EAX 〈－我们在这儿中断！ 017E3416 EB 01 JMP SHORT 017E3419 3 C! O7 o% s& v/ D. \* n 017E3418 68 648F0500 PUSH 58F64 ' a* b& B+ ?$ S, F @* V 为什么Olly会中断？我们不用设断点吗？！ 1 I4 O" N q, M) P& K% @( G呵呵，Olly在每次进入一个新模块时都会中断…我们将继续使用它！！ 3 I" I, ^) P: O0 p$ T% W9 ]/ }4 u 3. 按Shift+F9，这样Olly会继续运行直到遇到一个新模块。 1 M* S, t8 {4 v- h4. 按Shift+F9２６次后我们将到达这里： 6 ?0 Z8 k4 b0 [ 017E2D7A 3100 XOR DWORD PTR DS:[EAX],EAX〈－我们停在这里 : ~! n+ {7 {0 O2 j; T 017E2D7C 64:8F05 00000000 POP DWORD PTR FS:[0] 〈在这里设断点 7 J5 r. `# j! ^; X7 M) K- H' | 017E2D83 58 POP EAX 017E2D84 833D 806D7E01 00 CMP DWORD PTR DS:[17E6D80],0 % @# u! f5 L# s! K 017E2D8B 74 14 JE SHORT 017E2DA1 , u" O, N2 X! i/ R% p 017E2D8D 6A 0C PUSH 0C 017E2D8F B9 806D7E01 MOV ECX,17E6D80 017E2D94 8D45 F8 LEA EAX,DWORD PTR SS:[EBP-8] 017E2D97 BA 04000000 MOV EDX,4 017E2D9C E8 EFE0FFFF CALL 017E0E90 % ^, a8 l! V$ r 017E2DA1 FF75 FC PUSH DWORD PTR SS:[EBP-4] 4 h$ k3 p- x9 b 017E2DA4 FF75 F8 PUSH DWORD PTR SS:[EBP-8] 3 e( ~$ V; d+ d: j9 [( @ 017E2DA7 8B45 F4 MOV EAX,DWORD PTR SS:[EBP-C] 0 T# T& u! c& b+ g 017E2DAA 8338 00 CMP DWORD PTR DS:[EAX],0 017E2DAD 74 02 JE SHORT 017E2DB1 017E2DAF FF30 PUSH DWORD PTR DS:[EAX] 017E2DB1 FF75 F0 PUSH DWORD PTR SS:[EBP-10] ) e. v+ ~' n5 B8 y% ~4 n 017E2DB4 FF75 EC PUSH DWORD PTR SS:[EBP-14] ! G5 `3 P) A% `( v/ m* s 017E2DB7 C3 RETN " K% q2 H* p! I( ^如果我们再按一次Shift+F9，软件就运行了…千万别这么做！！ 5. 现在我们向下移光标，到这里： 017E2D7C 64:8F05 00000000 POP DWORD PTR FS:[0] # C1 A G0 e' D. ^6 n& H ' I! v7 C) E* C1 k' Y按 F2（设断点）。 再按Shift+F9，Olly就会在断点中断。 / Y; m2 Q) B M/ J: p2 A6. 现在按F8单步追踪，执行RETN将会到达这里： + V9 U# Z& q# o4 Y1 a8 T8 H 017F4EC8 E9 080A0000 JMP 017F58D5 〈－在这里 . v9 ]# c2 x1 V- h' `! z. ?5 d" U, I . F! d/ @7 L+ b$ n) Z4 ]% H+ m按F8执行这个跳转… 现在我们来到这里： / V* J2 }& T$ V' J 017F58D5 D3DE RCR ESI,CL 〈－停在这里 017F58D7 B9 7D966271 MOV ECX,7162967D ) Y) N, d) {, U/ {$ a8 ? 017F58DC 81C1 38F10A23 ADD ECX,230AF138 2 M9 t0 l5 t: l7 `6 E 017F58E2 D3EE SHR ESI,CL 017F58E4 BA 9ECC7376 MOV EDX,7673CC9E / @ b: S/ S" o' j5 R8 F 017F58E9 81EA C56EFFD4 SUB EDX,D4FF6EC5 # \. E; w1 D! `. {0 D! k& v 017F58EF 81F2 B7104902 XOR EDX,24910B7 017F58F5 C1CA 94 ROR EDX,94 # h' B* C1 a0 q" O: y 017F58F8 8BF2 MOV ESI,EDX + W& J3 k5 S# y! q 017F58FA 81EE 87D851D2 SUB ESI,D251D887 " |; f! r/ u7 g a" y 017F5900 C1CE B0 ROR ESI,0B0 017F5903 8BC6 MOV EAX,ESI ; ~( L8 z! Q1 j8 F 017F5905 C1C8 28 ROR EAX,28 017F5908 53 PUSH EBX # E6 K; T" q$ h% \7 B 017F5909 5E POP ESI 017F590A 81C5 974FAF73 ADD EBP,73AF4F97 R, z0 v: k/ I: J' d 017F5910 BA 048A9178 MOV EDX,78918A04 017F5915 F7D2 NOT EDX 017F5917 F7D2 NOT EDX 017F5919 81C2 FC756E87 ADD EDX,876E75FC 017F591F 8BDA MOV EBX,EDX : C5 I4 B. E" t4 E/ [; ^" Z 017F5921 41 INC ECX------------------------- 017F5922 8BD9 MOV EBX,ECX | 017F5924 D1C3 ROL EBX,1 | a Realy Long / a9 Z. B& {; R2 e: c 017F5926 81F3 A38FD7AC XOR EBX,ACD78FA3 | Loop 017F592C 3BD8 CMP EBX,EAX | 017F592E ^0F85 EDFFFFFF JNZ 017F5921-------------------- ; I6 J3 `# O5 K' d# F+ ^, W 017F5934 8BC1 MOV EAX,ECX 〈〈－在这里设断点！！ . S v7 c/ M0 q! Z; ]7 z好了，我们可以不用通过按 F8 来追踪整个循环！！我们在下面的指令上设一个断点： 8 y3 I! t0 Q+ f t 017F5934 8BC1 MOV EAX,ECX 5 _7 `5 c5 }( Y. t* M设置断点后（F2），按F9（运行），将会在断点上停下来。 6 G) W9 `% g3 Z4 U7 q# S3 J 7. 为什么？？总是用F8 / F7追踪？？！！ & J) H' |& i0 w5 p$ D% l8 I好吧…不！！ 9 U5 F- T8 t& e4 \Olly里有一个很好的功能：调用命令行。 从菜单里选择：Plugins->Command line->Command line 现在我们将写一个条件追踪命令！ YES ! Olly有一个追踪命令！它调用－TC－条件追踪 它将会在条件表达式为真时中断！ : M" O! r5 |; B# o' a 这样…在文本框里写入：TC EIP<900000 按Enter键。 2 H: {" k% y! F! J6 N9 n0 _在窗口的右下会出现：“正在追踪” 0 o! Q' Z. D' d4 X' Y2 z2 J 8 I, o- a, ]( |6 h, f我的机子慢，花了大约８分钟(350MHz) 2 R1 E! h: Y. ] {在另一台较快的机子上花了２分钟多一点(900MHz Celeron) $ |% A0 a; u& }- ^" z. _" L } " Z( h( N5 ^, X$ \! ^$ Z( E8. 追踪完成后中断在这里： 0057EA5B E8 DB E8 7 @+ H( B) i/ O, p 0057EA5C 00 DB 00 0057EA5D 8A DB 8A 8 l$ C) F) A- ?, e) ^. R 0057EA5E E8 DB E8 0057EA5F FF DB FF 8 k9 k- H3 ^! z# c2 q( @ 9 {% D8 a( x8 M& e) m嘿！！ i Dont See Shit !!这是为什么？！ 噢，Olly没有分析这段代码，实际上我们并没有真提停在OEP上！ OEP=57EA5B 3 m- w& \$ l3 z% e( R. ~/ a* f $ i+ A1 X/ W* ~2 o7 |+ m# U# X9. 重点！！ 在OEP处看盾EAX值（CPU窗口的右上面） EAX=57E318 8 w9 U4 o8 ~' M: C) v记住它，以后会用到它的。 10. 打开 ProcDump/Pe-Edit，完全抓取进程。 =================================== 第三步－找出抽掉的字节＝ =================================== , ~2 R$ i- X- G, c- K找出抽掉的字节有三种方法： 5 V( f! ^! L% h# m, p) @" Y0 k * O9 x. W) H0 j9 F3 g1. ASPR会执行抽掉的字节，象下面这样跳转到OEP： Stolen_Bytes_1 Stolen_Bytes_2 $ M3 W1 D3 K/ ?5 i2 ` Stolen_Bytes_3 ..... ..... PUSH_THE_ADDRESS_OF_OEP 2 S( ^6 s5 _5 c4 d* E RET_TO_OEP + n ~* k" P, P: Z/ A2. ASPR首先保存抽掉的字节，然后从OEP处还原，再象下面这样跳转到OEP： 0 j8 F* R# w2 T% \5 i* W3 U Stolen_Bytes_1 Stolen_Bytes_2 ( P4 x4 A* j/ n. l# b Stolen_Bytes_3 # {2 S" b8 h* k PUSH EBX : E* ^& _6 L) F! h4 M1 z PUSH ESI PUSH EDI ; H5 D) U- e% H ...... 2 j, I) [' r# b# F5 S ...... ...... REPZ STOSB 〈－还原字节 POPFD POPAD JMP_TO_OEP 3. 没有抽掉的字节时，只执行PopAD指令和跳转到OEP。 ( A& u6 ]3 J1 J$ }) D$ H4 D z那么我们怎么处理它呢？ 看看ASPR在跳转到OEP前的最后几步是什么。这需要查看跟踪日记。 太好了！Olly可以使用"Run Trace"功能来得到一个 跟踪日记。 这样…选择菜单： View->Run trace 现在我们看见一个新窗口…跳转到最后一行的前一行，你会看到CPU窗口也变为同样的地址，象下面这样： 017F5779 F3:AA REP STOS BYTE PTR ES:[EDI] 017F577B 9D POPFD 017F577C 61 POPAD 017F577D -E9 D992D8FE JMP SYSTEMCL.0057EA5B 〈－OEP的地址 我们用第二种方法对付它！！ / n0 N: O7 g" a! ` D1 ]" {$ Q 上面的内容我是在 winXP下发现的，不是 win98：: 在CPU窗口里按 Ctrl+S（搜索命令的次序） 9 F4 B8 V6 W+ |6 [# `" N1 x写入下面的： - |) \8 q; }- F- R j- e% E / I$ M" L, u$ B% O9 h. X* c, v PUSH EBX PUSH ESI 9 f3 p. Z) i4 W2 R8 \0 |* N- |0 e' b PUSH EDI $ R2 P8 b+ }% V2 G/ c 你会发现： 01029227 0055 8B ADD BYTE PTR SS:[EBP-75],DL 0102922A EC IN AL,DX ; I/O命令 : [* K- w2 v/ D/ |; u' [' Q- m3 b 0102922B 83EC 54 SUB ESP,54 0102922E 53 PUSH EBX % W! i* X5 j% G+ I4 n. m6 p 0102922F 56 PUSH ESI 01029230 57 PUSH EDI 01029231 6A 11 PUSH 11 ! Q3 k$ H' ~5 j$ Y7 _ 忽略 "00"，你会找到抽掉的字节：55,8b,ec,83,ec,54 记下它们，以后会有用的… 关闭OLLY… 目前是不需要它啦… 4 |! C0 o- z p5 B3 J) J # Y% a9 T" ~3 r4 |7 y 0 T3 ~, j1 d% a- v0 Z============================= , |! G" W d6 j9 f& |3 o第三步－重建IAT＝ , j6 |- a( k6 n1 e============================= & Z4 S* P1 b* `; y Q* e & [3 H( ]0 ~3 |9 }1. 首先运行软件，等候它被载入。 - o1 W9 d0 `& U2. 运行Imprec，从列表中选择进程。 - n& D. \% a5 j3. 按"IAT AutoSearch" 4 [; S& k0 c! X; M2 a4. 把大小从"BC"修改为1000（BC太小了！！） 5. 按"Get Imports" x% L6 F) @* c6. 按"Show Invalid" 7. 在显示无效的项目上右击鼠标，选择"Trace level 1" " _" K6 ~6 v! c5 n8 F8. 再次按"Show Invalid"…现在我们应该得到下面的东西： : D3 ?( D2 d- \7 x* x2 w 0 n# J( p0 l3 @, D4 Q4 z; f- d （从保存的树中剪切） - E& ~4 N1 _) I FThunk: 0019E258 NbFunc: 00000400 1 0019E258 kernel32.dll 00D6 DeleteCriticalSection 1 0019E25C kernel32.dll 0228 LeaveCriticalSection ................ 省略－省略 ................ & k+ r& a; H z! X* M9 q; j 1 0019E2A4 kernel32.dll 01D1 GetThreadLocale 1 0019E2A8 kernel32.dll 01B9 GetStartupInfoA ! T, p+ @% a* S+ {7 b 0 0019E2AC ? 0000 017E0F2C <-- good 0 0019E2B0 ? 0000 017E139C <-- good 1 0019E2B4 kernel32.dll 018B GetModuleFileNameA ; |0 Z( n' m. m% l8 V* o 1 0019E2B8 kernel32.dll 0183 GetLocaleInfoA 8 ?9 m; G* {5 {* P& M& r( M; k% Q 1 0019E2BC kernel32.dll 0181 GetLastError * m2 [( [8 D) |( c0 u# g% g( ` 1 0019E2C0 kernel32.dll 0158 GetCurrentDirectoryA 0 0019E2C4 ? 0000 017E1408 <-- good / X! p. s8 {/ v2 @+ n 1 0019E2C8 kernel32.dll 0133 FreeLibrary 1 0019E2CC kernel32.dll 011C FindFirstFileA ; W, m4 l8 d0 F) p .................. 1 `, N+ T R- Y2 E$ | 省略－省略 8 q t E/ K( T; E' K/ V1 s7 i .................. 1 0019E314 kernel32.dll 00A0 CloseHandle / y1 y( W! m% w6 q4 O3 O2 G 0 0019E318 ? 0000 0255A00E <-- BAD 1 0019E31C user32.dll 0112 GetKeyboardType 1 0019E320 user32.dll 019F LoadStringA 1 0019E324 user32.dll 01AD MessageBoxA 8 _4 K/ j* A4 Y% z7 T5 {* c2 r 1 0019E328 user32.dll 0026 CharNextA 0 0019E32C ? 0000 70F7D832 <-- BAD 1 0019E330 advapi32.dll 00F7 RegQueryvalueExA ' k* k; ~' B' ~7 H$ T5 b) F7 B 1 0019E334 advapi32.dll 00EF RegOpenKeyExA 1 0019E338 advapi32.dll 00D8 RegCloseKey ( }- P+ I/ [9 w; b 0 0019E33C ? 0000 F37514C2 <-- BAD ' Q: ? k- t" K( V8 F 1 0019E340 oleaut32.dll 0006 SysFreeString 1 i- Y6 r' ], @$ R9 D 1 0019E344 oleaut32.dll 0005 SysReAllocStringLen 1 0019E348 oleaut32.dll 0004 SysAllocStringLen 0 0019E34C ? 0000 4007F56E <-- BAD 6 J) `( F3 X( {$ G* G( u5 F2 m 1 0019E350 kernel32.dll 0307 TlsSetvalue . O. w$ }. }; G* }7 r) G* k 1 0019E354 kernel32.dll 0306 TlsGetvalue 1 0019E358 kernel32.dll 01E6 GlobalAlloc 0 0019E35C ? 0000 017E139C <-- good 0 0019E360 ? 0000 BF57C0D8 <-- BAD 0 J# a1 z' `2 {3 q! \/ p2 ?0 X. ~4 Q ....................... 省略－省略 ....................... - ?+ Z, I# y# }3 W; _8 E# f; |好了，我们继续重复这样做… - f$ y- }8 L; r3 q我们需要手工选择所有坏地址（不在压缩代码内），然后在它们上面右击鼠标，从菜单里选择 "Cut Thunk(s)"。 观察窗口在最下…那儿有好的Thunk(s)… 现在我们需要修正这些好字节…你可能从fraviamb.cjb.net下载过一些插件 或者看我其他关于如何重建的文章（New2Cracking.cjb.net或者Fraviamb.cjb.net） 6 v" ^- {' I" b' G2 O$ d这是我修正的： 0019E2AC-> 017E0F2C ->GetProcAddress 7 |$ h8 y t1 B 0019E2B0-> 017E139C ->GetModuleHandleA & h* D K7 e7 U: ?2 L* [) n7 Q 0019E2C4-> 017E1408 ->GetCommandLineA 0019E35C-> 017E139C ->GetModuleHandleA 3 {( e8 C) H1 |6 ?$ M 0019E428-> 017E1420 ->LockResource 0019E47C-> 017E13C4 ->GetVersion 0019E4AC-> 017E0F2C ->GetProcAddress * ^% T3 M2 ?* n: ~" L 0019E4B8-> 017E139C ->GetModuleHandleA 9 A6 {, O% {# e& ` 0019E4FC-> 017E13F8 ->GetCurrentProcessId 0019E500-> 017E13F0 ->GetCurrentProcess 0019E50C-> 017E1430 ->FreeResource 0 W9 V0 p0 ^; U3 J' ~ ( F. z5 L/ d4 C, I" g+ _9. 按"Fix Dump"，选择我们抓取的文件… imprec将会以在文件名前加"_"的方式保存抓取的文件。 & m7 S; D4 Z6 O% M4 x1 ~9 I ( y0 z! M. E+ y6 |========================= 第四步－修正OEP＝ 2 P8 l$ R# g; x3 t, u========================= ! {9 x- H% R* y& p2 B1 i 1.打开HVIEW /Hex编辑器，跳转到OEP的偏移地址：57ea5b处， 向后移６字节到57ea55处，用"00"替换写入 stolen bytes. 保存为新文件。 5 b b1 f. m, E4 e, A# I- M ; W! ]) E+ p9 c8 z: A0 P2. 打开ProcDump/Pe-Edit ，点击“Pe-Edit”按纽载入重建的新文件，修改入口点为：57ea55 （因为抽掉的字节） 1 N2 o, K2 g' U$ O- O4 D' ]) u$ a! v; m, I3. 如果你现在试图运行程序，它会死掉的！！ 4. 打开Olly并载入我们的修正文件。 + r1 ?) I. D& B- }2 T7 _( g ; H! P) {4 P( h2 A! J5 T9 o5. 停在OEP： 57ea55处，EAX寄存器的值是什么？还记得我告诉过你在抓取之前保存的EAX的值吗？它是EAX=57E318，两个值的差别意味着有两 , |: V% G# ~# E! s: K个以上的命令： that is stolen: . H, {" G7 Y3 Y4 ~: R4 k 6 l" o: s _1 m! n3 W7 R* q+ j MOV EAX, 0157E318 / n# u, y U2 f" k3 w- r 这条指令占用５个字节（你可自己在 HVIEW里试一下） B818E35700 MOV EAX, 0157E318 这意味着有6+5=11（十进制）个抽掉的字节 : L+ R" ]& M9 D! l那么，真正的OEP是： 0 L, Z$ Y( F w( r) L# c6 R. x: A11=B(hex) $ y7 @& h% V; bOLD_OEP-STOLEN_BYTES=57EA5B-B=57EA50 * e" ?( h8 t+ X7 rOEP = 57EA50 6 B# \2 |& W! R用HVIEW/Hex打开，跳转到新的OEP，写入： 55,8B,EC,83,EC,54,B8,18,E3,57,00 5 D1 A& ^. h8 D* c" H# x- @: c; v 4 Z w5 B0 n! r" P6 S0 G用ProcDump\Pe-Edit修改入口点为：57EA50 & a9 v, A7 Y6 O5 K! s3 P8 j3 Q哈哈，这下程序能运行了！！！ 收工！！！ : f& _; U. {8 {* @8 s) d$ I9 P翻译后记：俺一直用Softice，没用过OllyDbg，所以有些内容不知道是否准确，再者水平有限，如有错误，请各位大虾指点！！ . j" n5 X c4 k * G: x. F) f* g Z. {1 h1 \