用OllyDbg脱ASPR 1.3x的壳

韩冰

作者：LaBBa 0 A `7 F' M# n翻译：gmh001 0 q# O$ b3 r2 p. k& w软件： System Cleaner 4.89 Build 110 % S9 _! A& p* ?9 l2 _Url : http://www.allerasoft.com/products/systemcleaner/ 4 R' D3 C6 r* j, |$ E }+ b& l+ B) a! G3 i4 O( X z6 g* x前言 . I% P" i: _; P================== ' o/ n1 P( [- n0 Q( |3 q1 {ＯＫ，贴上来！！这是我第三次写这篇破解文章，第一次正在写的时候机死机了，第二次停电了。 ( L9 \( G( d# D; s（呵呵，运气有点背啊…） 现在… * z& J7 I ^% H5 n9 K 这篇文章讲述如何真正快速简单的脱掉ASPR 1.3x的壳，并且找出被抽掉的字节… 并且不使用SoftIce、IceDump和 /tracex！用什么？使用OllyDbg ！ 所需工具 ================ 1. OllyDbg 1.09b2 or newer 2. ProcDump(G-rom)/Pe-edit(y0da) - @$ V5 B7 Y: A) u3. imprec 1.3 (MackT/UCF)(protools.cjb.net) 4. HVIEW / Hex Editor 1 H' Q. i6 Q! e+ z. S脱壳步骤 1 a; A0 b6 j! g8 X======================= 1. 找到 OEP＋从内存中抓取程序 2. 找到抽掉的字节 3. 重建IAT 4 `$ S. n6 d7 y2 a8 F4. 修正OEP 5. 结束 3 S& r$ O! \. g; A$ e+ i==================================== / ]% ~* G, d, H7 M: q第一步—找到 OEP＋从内存中抓取程序 ==================================== 1. 运行Olly并载入应用程序（如果有提示就按 YES！） 2. 现在按Ｆ９就会在这儿中断： ! X p3 G# \ [9 d) x, I% L1 L7 B 017E3414 3100 XOR DWORD PTR DS:[EAX],EAX 〈－我们在这儿中断！ 017E3416 EB 01 JMP SHORT 017E3419 017E3418 68 648F0500 PUSH 58F64 + n! d! i0 U8 a+ h0 h" [4 K # s1 P. G6 f! r+ p) {为什么Olly会中断？我们不用设断点吗？！ 呵呵，Olly在每次进入一个新模块时都会中断…我们将继续使用它！！ " d% _: u6 N$ F: h 3. 按Shift+F9，这样Olly会继续运行直到遇到一个新模块。 4. 按Shift+F9２６次后我们将到达这里： 017E2D7A 3100 XOR DWORD PTR DS:[EAX],EAX〈－我们停在这里 017E2D7C 64:8F05 00000000 POP DWORD PTR FS:[0] 〈在这里设断点 1 a# N% C& r: n: M4 B* K3 d 017E2D83 58 POP EAX 7 j0 K& [# N& y3 b* b; w: D 017E2D84 833D 806D7E01 00 CMP DWORD PTR DS:[17E6D80],0 : R5 {1 { k1 K# \! m2 ^1 e 017E2D8B 74 14 JE SHORT 017E2DA1 5 W' u6 G H$ t 017E2D8D 6A 0C PUSH 0C 017E2D8F B9 806D7E01 MOV ECX,17E6D80 017E2D94 8D45 F8 LEA EAX,DWORD PTR SS:[EBP-8] 017E2D97 BA 04000000 MOV EDX,4 @8 T6 P, q7 `' I: m; U$ k 017E2D9C E8 EFE0FFFF CALL 017E0E90 7 j$ Z, b' \4 z! s: e 017E2DA1 FF75 FC PUSH DWORD PTR SS:[EBP-4] - y- m2 `% g0 n! Y# E 017E2DA4 FF75 F8 PUSH DWORD PTR SS:[EBP-8] ( B. _2 h+ H8 s$ c 017E2DA7 8B45 F4 MOV EAX,DWORD PTR SS:[EBP-C] , {- i& ~( x, ~# z$ _( z 017E2DAA 8338 00 CMP DWORD PTR DS:[EAX],0 017E2DAD 74 02 JE SHORT 017E2DB1 017E2DAF FF30 PUSH DWORD PTR DS:[EAX] ' _, [. @9 Z; ?1 u 017E2DB1 FF75 F0 PUSH DWORD PTR SS:[EBP-10] 017E2DB4 FF75 EC PUSH DWORD PTR SS:[EBP-14] 1 M" K9 I2 x' ?. ]$ L 017E2DB7 C3 RETN % i/ u- `6 C/ N$ b6 P& ^) N2 S 如果我们再按一次Shift+F9，软件就运行了…千万别这么做！！ * L2 h& a, a. C1 L' D: X+ b6 u5. 现在我们向下移光标，到这里： 2 K* B( j' e6 H+ r7 k% {0 [ 017E2D7C 64:8F05 00000000 POP DWORD PTR FS:[0] , r2 h7 K0 ]5 {" c % Q) g8 ]" W1 ?! o0 m2 S按 F2（设断点）。 - w7 w9 U* ^6 K' ~( m. b7 G" C再按Shift+F9，Olly就会在断点中断。 6. 现在按F8单步追踪，执行RETN将会到达这里： - q! G$ Q5 L6 {8 _+ p% c! M 017F4EC8 E9 080A0000 JMP 017F58D5 〈－在这里 ( E$ S2 r* Z% Z. k- ?+ L8 f- _6 b ( u/ ]. C* g3 i, m+ T按F8执行这个跳转… & u# p9 k( U; P! N* `现在我们来到这里： $ s) n! ?; A2 c" c 017F58D5 D3DE RCR ESI,CL 〈－停在这里 . d' G3 d+ N7 c+ L% { 017F58D7 B9 7D966271 MOV ECX,7162967D / u7 e: f3 Z& U; J& b$ ]; } 017F58DC 81C1 38F10A23 ADD ECX,230AF138 & ~5 E4 R! g: B V. z& U+ A& \ 017F58E2 D3EE SHR ESI,CL 017F58E4 BA 9ECC7376 MOV EDX,7673CC9E 017F58E9 81EA C56EFFD4 SUB EDX,D4FF6EC5 017F58EF 81F2 B7104902 XOR EDX,24910B7 9 h& a4 F) `3 y9 N 017F58F5 C1CA 94 ROR EDX,94 0 C( n, f" ?% T 017F58F8 8BF2 MOV ESI,EDX 2 w* N1 |- w- \$ s; _) \ 017F58FA 81EE 87D851D2 SUB ESI,D251D887 ! l/ h0 u3 }( ]# U0 ^8 B* l 017F5900 C1CE B0 ROR ESI,0B0 ! V- s) S7 ]+ c _1 ]& v6 ?8 e 017F5903 8BC6 MOV EAX,ESI / n: H% T l* K/ \8 g1 Y I) @ 017F5905 C1C8 28 ROR EAX,28 ! p# e- a7 e/ X* r V 017F5908 53 PUSH EBX 017F5909 5E POP ESI 017F590A 81C5 974FAF73 ADD EBP,73AF4F97 017F5910 BA 048A9178 MOV EDX,78918A04 017F5915 F7D2 NOT EDX 017F5917 F7D2 NOT EDX 017F5919 81C2 FC756E87 ADD EDX,876E75FC 017F591F 8BDA MOV EBX,EDX ' c1 \7 H( H. |. V7 Z 017F5921 41 INC ECX------------------------- 017F5922 8BD9 MOV EBX,ECX | 6 j' x! G3 i; | 017F5924 D1C3 ROL EBX,1 | a Realy Long 017F5926 81F3 A38FD7AC XOR EBX,ACD78FA3 | Loop 017F592C 3BD8 CMP EBX,EAX | 7 r3 a& p3 Z! [! r 017F592E ^0F85 EDFFFFFF JNZ 017F5921-------------------- " c: f0 }0 \0 k1 `2 D% t 017F5934 8BC1 MOV EAX,ECX 〈〈－在这里设断点！！ 9 ?2 I* C! o. k( A5 p8 M- F9 S6 d2 ^ % U6 T) S& R, l3 c1 O0 c, }* U6 i/ q好了，我们可以不用通过按 F8 来追踪整个循环！！我们在下面的指令上设一个断点： w' L, e8 q( R; V* S ' D; j% s+ S+ F# I$ O7 l$ O; A 017F5934 8BC1 MOV EAX,ECX ! q2 `" t& ?, x5 Q设置断点后（F2），按F9（运行），将会在断点上停下来。 $ ]+ i" D) n: Z9 [7. 为什么？？总是用F8 / F7追踪？？！！ 好吧…不！！ 1 Z L0 N# g) H/ [$ B7 v/ U5 \% fOlly里有一个很好的功能：调用命令行。 q! |, z, x! l从菜单里选择：Plugins->Command line->Command line , P; ?7 W! I, Z% j现在我们将写一个条件追踪命令！ YES ! Olly有一个追踪命令！它调用－TC－条件追踪 它将会在条件表达式为真时中断！ 这样…在文本框里写入：TC EIP<900000 9 O, U( }7 c/ k% T# O H! h' @按Enter键。 ( D! O0 q- D2 R( @5 t在窗口的右下会出现：“正在追踪” ; v8 |, n2 W; F) y. g e 9 N* e3 `' @0 P3 B- m% w我的机子慢，花了大约８分钟(350MHz) 在另一台较快的机子上花了２分钟多一点(900MHz Celeron) 8. 追踪完成后中断在这里： 0057EA5B E8 DB E8 0057EA5C 00 DB 00 0057EA5D 8A DB 8A ) u1 O6 U, Y) Z, i 0057EA5E E8 DB E8 & N, l5 Z( A" P 0057EA5F FF DB FF 嘿！！ i Dont See Shit !!这是为什么？！ 噢，Olly没有分析这段代码，实际上我们并没有真提停在OEP上！ OEP=57EA5B 9. 重点！！ 在OEP处看盾EAX值（CPU窗口的右上面） . b) u3 V3 W( R- b: \1 tEAX=57E318 记住它，以后会用到它的。 ! d8 d0 `4 @9 ?% l- ^' V! o$ q) w 10. 打开 ProcDump/Pe-Edit，完全抓取进程。 0 K- c( k A, ?9 t* l =================================== 5 X' Q2 h! i9 F第三步－找出抽掉的字节＝ 4 N' r! ]1 ^- h3 k; r( h=================================== % d0 E/ r# t0 E9 e l ( ] R1 |5 Z6 O$ \ Z% |) J找出抽掉的字节有三种方法： F6 F& ]" n2 G& m' ? |1 l 1. ASPR会执行抽掉的字节，象下面这样跳转到OEP： 1 Y3 Z! ~5 W9 B1 _9 B Stolen_Bytes_1 & I9 F9 `+ q+ V* d" j) M, g Stolen_Bytes_2 Stolen_Bytes_3 ..... 6 U; N4 S& C" M3 y9 F ..... ' n7 Y8 H7 g' n: a0 i( ^7 [ PUSH_THE_ADDRESS_OF_OEP $ W9 i- l9 u; I RET_TO_OEP , [' N1 s7 H5 M0 h 9 g- W) F& _ ?- O6 H2. ASPR首先保存抽掉的字节，然后从OEP处还原，再象下面这样跳转到OEP： 0 [* c s h! c3 M8 I Stolen_Bytes_1 % T. H/ C; g1 s$ r' ~+ S Stolen_Bytes_2 Stolen_Bytes_3 PUSH EBX 5 Z4 k* n- K7 S6 C, |" \! b9 ]/ N PUSH ESI PUSH EDI 8 p, |+ l8 O' m! U ...... 6 R! n" f, P/ I' g. k+ d1 \ c ...... $ G: k3 Q2 l5 {4 r- n: @/ c ...... REPZ STOSB 〈－还原字节 ; v+ H' h R' W+ \* s! a E9 g POPFD 1 D% _. y: E0 B7 G ?- i2 k. x POPAD JMP_TO_OEP * ]3 p3 r, s K" T' O% T4 l3. 没有抽掉的字节时，只执行PopAD指令和跳转到OEP。 那么我们怎么处理它呢？ 看看ASPR在跳转到OEP前的最后几步是什么。这需要查看跟踪日记。 太好了！Olly可以使用"Run Trace"功能来得到一个 跟踪日记。 这样…选择菜单： View->Run trace 现在我们看见一个新窗口…跳转到最后一行的前一行，你会看到CPU窗口也变为同样的地址，象下面这样： 0 |( E3 }# m; X$ I0 J, M2 ` # b" E2 X% \, [' M& |5 x- f! X8 o0 e* F 017F5779 F3:AA REP STOS BYTE PTR ES:[EDI] . q a$ Z5 I; S6 C" c8 T7 z 017F577B 9D POPFD , f) H/ E6 |( Z 017F577C 61 POPAD ; q3 _( U0 x+ n* ?' ` 017F577D -E9 D992D8FE JMP SYSTEMCL.0057EA5B 〈－OEP的地址 : r7 z4 [6 h5 D/ z( B5 ~我们用第二种方法对付它！！ 9 U2 N6 w/ _. R! X; V# {) i( C上面的内容我是在 winXP下发现的，不是 win98：: 1 x- h+ I7 x6 M% F. {在CPU窗口里按 Ctrl+S（搜索命令的次序） 写入下面的： 7 C6 j/ T' ^( K9 V & I/ S0 V3 x6 B% {' V+ G- z PUSH EBX PUSH ESI PUSH EDI 你会发现： 0 O1 ~+ o% V/ [( c( N 01029227 0055 8B ADD BYTE PTR SS:[EBP-75],DL 0102922A EC IN AL,DX ; I/O命令 4 s# S3 @+ ]% {; Y6 x 0102922B 83EC 54 SUB ESP,54 - x/ a6 G- C: C0 O8 _5 e 0102922E 53 PUSH EBX 0102922F 56 PUSH ESI ' q( F1 y6 B! s$ ^ 01029230 57 PUSH EDI . T* R! q1 A$ f 01029231 6A 11 PUSH 11 5 }: D/ u ]: _8 ]7 d: @& m. r忽略 "00"，你会找到抽掉的字节：55,8b,ec,83,ec,54 记下它们，以后会有用的… ) D% [2 o* h4 W) ?9 \ . j; N* n$ L Z9 d, q& G: R关闭OLLY… ! e7 |4 e' R/ F3 R a9 u; Q3 C/ P目前是不需要它啦… $ J" S: j# K, g1 f e' {============================= 第三步－重建IAT＝ ; c% e4 N5 \3 R0 T3 s============================= 1. 首先运行软件，等候它被载入。 - C% |5 Y6 h" x1 e9 w2. 运行Imprec，从列表中选择进程。 3. 按"IAT AutoSearch" 4. 把大小从"BC"修改为1000（BC太小了！！） 5. 按"Get Imports" 2 R$ |; E8 M, ^: K4 ~4 Q, h4 d6. 按"Show Invalid" 4 Y6 \, c9 K1 w4 f7. 在显示无效的项目上右击鼠标，选择"Trace level 1" 1 p5 l! G5 V9 s- [) z8. 再次按"Show Invalid"…现在我们应该得到下面的东西： ; z* ?* o/ _3 q2 P/ w- f+ E% a$ j. p （从保存的树中剪切） 2 T& N2 ~/ a5 i2 ]& O5 d! X FThunk: 0019E258 NbFunc: 00000400 1 0019E258 kernel32.dll 00D6 DeleteCriticalSection ' E3 m' Z% Z! r9 N* j# V 1 0019E25C kernel32.dll 0228 LeaveCriticalSection ................ 6 Q) [, o+ ~, C1 i" | 省略－省略 0 O7 h* S+ q" N ................ ) C( a, W8 {- W$ b( y1 V 1 0019E2A4 kernel32.dll 01D1 GetThreadLocale 1 0019E2A8 kernel32.dll 01B9 GetStartupInfoA 3 V, `* O' v3 q/ H 0 0019E2AC ? 0000 017E0F2C <-- good 0 0019E2B0 ? 0000 017E139C <-- good 1 0019E2B4 kernel32.dll 018B GetModuleFileNameA d8 S# Q/ V- \" m+ O 1 0019E2B8 kernel32.dll 0183 GetLocaleInfoA & i/ r0 H" {3 K+ \5 L 1 0019E2BC kernel32.dll 0181 GetLastError r( G% i8 y# v l; a4 \ 1 0019E2C0 kernel32.dll 0158 GetCurrentDirectoryA 0 0019E2C4 ? 0000 017E1408 <-- good 1 0019E2C8 kernel32.dll 0133 FreeLibrary 4 \/ P9 F, O: c- }% f0 [ k( \& X 1 0019E2CC kernel32.dll 011C FindFirstFileA .................. 1 K8 i: N% b* h 省略－省略 .................. 3 d4 e8 _2 E. r; t2 ~; o3 t& c1 } 1 0019E314 kernel32.dll 00A0 CloseHandle ! y. q- v# @" v 0 0019E318 ? 0000 0255A00E <-- BAD % z- K$ g7 X9 K$ e2 f. u 1 0019E31C user32.dll 0112 GetKeyboardType % B2 b S* {, V' ~* _& _$ I0 b4 g' q 1 0019E320 user32.dll 019F LoadStringA / G6 q: @3 {. R9 }6 e 1 0019E324 user32.dll 01AD MessageBoxA 1 0019E328 user32.dll 0026 CharNextA + z. H! S6 I! ~' L 0 0019E32C ? 0000 70F7D832 <-- BAD 1 0019E330 advapi32.dll 00F7 RegQueryvalueExA 1 0019E334 advapi32.dll 00EF RegOpenKeyExA 1 0019E338 advapi32.dll 00D8 RegCloseKey 0 0019E33C ? 0000 F37514C2 <-- BAD 1 0019E340 oleaut32.dll 0006 SysFreeString 1 0019E344 oleaut32.dll 0005 SysReAllocStringLen 1 0019E348 oleaut32.dll 0004 SysAllocStringLen 9 a4 T: i* H2 | 0 0019E34C ? 0000 4007F56E <-- BAD ' y, k( e8 k. e( f* l 1 0019E350 kernel32.dll 0307 TlsSetvalue 1 0019E354 kernel32.dll 0306 TlsGetvalue 1 0019E358 kernel32.dll 01E6 GlobalAlloc . k0 H% j) P" [0 r. A1 Z X 0 0019E35C ? 0000 017E139C <-- good ! M* i& z1 W" y) C% Q% ~9 L 0 0019E360 ? 0000 BF57C0D8 <-- BAD ....................... 省略－省略 / z$ y; W5 M# Y1 t$ d y ....................... 好了，我们继续重复这样做… 我们需要手工选择所有坏地址（不在压缩代码内），然后在它们上面右击鼠标，从菜单里选择 "Cut Thunk(s)"。 . c. m4 a' L0 I1 I3 `8 c观察窗口在最下…那儿有好的Thunk(s)… . F+ }2 w+ c! q& T8 c, d现在我们需要修正这些好字节…你可能从fraviamb.cjb.net下载过一些插件 % R. H8 D J; n) H或者看我其他关于如何重建的文章（New2Cracking.cjb.net或者Fraviamb.cjb.net） & h. Z' E9 O# |- ]/ v这是我修正的： ; j' [: F6 T! ~; T# H ; v2 {; `6 p- R3 ~# A 0019E2AC-> 017E0F2C ->GetProcAddress " z9 y; v$ B# h# R. ?! u4 r 0019E2B0-> 017E139C ->GetModuleHandleA 8 v) f: ?' s$ j# `" q. E2 t 0019E2C4-> 017E1408 ->GetCommandLineA 0019E35C-> 017E139C ->GetModuleHandleA 0019E428-> 017E1420 ->LockResource 0019E47C-> 017E13C4 ->GetVersion 0019E4AC-> 017E0F2C ->GetProcAddress 7 c+ S1 k4 Z l 0019E4B8-> 017E139C ->GetModuleHandleA 0019E4FC-> 017E13F8 ->GetCurrentProcessId $ I9 S8 b! k. o/ G4 X' t 0019E500-> 017E13F0 ->GetCurrentProcess 0019E50C-> 017E1430 ->FreeResource % s9 b; L* e2 j- R% i# D 9. 按"Fix Dump"，选择我们抓取的文件… 5 i5 J6 W% ? V9 f7 f1 s3 Zimprec将会以在文件名前加"_"的方式保存抓取的文件。 ========================= 第四步－修正OEP＝ ( C$ L( I E; l: n: G: l: O========================= 1.打开HVIEW /Hex编辑器，跳转到OEP的偏移地址：57ea5b处， & _1 H6 e- s8 @* W# W1 F向后移６字节到57ea55处，用"00"替换写入 stolen bytes. 保存为新文件。 2. 打开ProcDump/Pe-Edit ，点击“Pe-Edit”按纽载入重建的新文件，修改入口点为：57ea55 （因为抽掉的字节） ) l3 D# ?; _/ t9 ]% x % H ~' n, p$ j3. 如果你现在试图运行程序，它会死掉的！！ $ O! H0 P7 i# j: y; S" X 4. 打开Olly并载入我们的修正文件。 5. 停在OEP： 57ea55处，EAX寄存器的值是什么？还记得我告诉过你在抓取之前保存的EAX的值吗？它是EAX=57E318，两个值的差别意味着有两 个以上的命令： that is stolen: MOV EAX, 0157E318 8 R3 p4 K( C* N1 m 0 h/ C$ X- |7 y# k) Y/ N8 H0 H4 Y这条指令占用５个字节（你可自己在 HVIEW里试一下） + x; y- \4 l, c' X/ I. p B818E35700 MOV EAX, 0157E318 ( {6 q" f$ o3 T- {; K+ q这意味着有6+5=11（十进制）个抽掉的字节 ( y( Z, O* X% U4 l3 `, u$ |那么，真正的OEP是： 11=B(hex) OLD_OEP-STOLEN_BYTES=57EA5B-B=57EA50 # ^* f7 g0 E0 D: bOEP = 57EA50 6 w5 b' O% y8 B! X# e; |用HVIEW/Hex打开，跳转到新的OEP，写入： & ^( M: f/ ^* T: R4 w4 I 55,8B,EC,83,EC,54,B8,18,E3,57,00 ' m& r, J6 ~0 h0 K( z& n 用ProcDump\Pe-Edit修改入口点为：57EA50 哈哈，这下程序能运行了！！！ - ^! @: I2 x2 I: m收工！！！ 4 z& b& Z: V( {: X1 _' s ! ?# p" O& o. n5 P/ q% u翻译后记：俺一直用Softice，没用过OllyDbg，所以有些内容不知道是否准确，再者水平有限，如有错误，请各位大虾指点！！ . y: t ~# v1 @( W9 `. C1 z& e