似曾温柔 发表于 2009-1-5 22:04:18

我的第一篇脱文:手脱Armadillo5.0双进程标准壳

【破文标题】手脱Armadillo5.0双进程标准壳
【PJ工具】OD，LordPE ImportREC
【PJ平台】XP SP2
【原版下载】见附件
【PJ声明】菜鸟练习笔记，无技术含量，有纪念意义
------------------------------------------------------------------------
【PJ过程】最近一直在学习脱穿山甲的壳，今天抽空写个破文，当是学习笔记。高手就飘过了~

1、查壳：用PEID查壳结果为：Armadillo V5.00 -> Silicon Realms Toolworks *
    运行程序，打开资源管理器，很明显是双进程的
2、设置OD：忽略所有异常，用插件隐藏OD

3、开始脱壳，用OD载入
代码:004A2DC2 A> E8 E3400000   call Armadill.004A6EAA   //停在这
004A2DC7 ^ E9 16FEFFFF   jmp Armadill.004A2BE2
004A2DCC6A 0C      push 0C
004A2DCE68 B0104D00   push Armadill.004D10B0
004A2DD3E8 44150000   call Armadill.004A431C
004A2DD88B4D 08       mov ecx,dword ptr ss:
004A2DDB33FF      xor edi,edi
004A2DDD3BCF      cmp ecx,edi
004A2DDF76 2E      jbe short Armadill.004A2E0F
004A2DE16A E0      push -20
(1) 把双进程变单进程：
下断点：BP OpenMutexA，SHIFT+F9
代码:7C80EA3B k> 8BFF      mov edi,edi   //停在这
7C80EA3D55         push ebp
7C80EA3E8BEC      mov ebp,esp
7C80EA4051         push ecx
7C80EA4151         push ecx
7C80EA42837D 10 00   cmp dword ptr ss:,0
7C80EA4656         push esi
7C80EA470F84 D7540300    je kernel32.7C843F24
然后观察队栈窗口：
代码:
0012F720 0048EDAA /CALL 到 OpenMutexA 来自 Armadill.0048EDA4
0012F724 001F0001 |Access = 1F0001
0012F728 00000000 |Inheritable = FALSE
0012F72C 0012FD7C \MutexName = "1220::DA8B2CFD8D"
0012F730 6452266E
记录数据为：0012FD7C，一会就会用到。

打开ALT+M内存镜像，找.code段的起始地址为00401000
于是，在反汇编窗口CTRL+G，来到00401000
然后输入下面代码：(大家做的时候其他的代码都不变，只改变第三句中的地址)
代码:0040100060         pushad
004010019C         pushfd
0040100268 7CFD1200   push 12FD7C    //这里的地址就是刚才所记录的地址         
0040100733C0      xor eax,eax
0040100950         push eax
0040100A50         push eax
0040100B50         push eax
0040100CE8 4ED9407C   call kernel32.CreateMutexA
004010119D         popfd
0040101261         popad
00401013 - E9 23DA407C   jmp kernel32.OpenMutexA
接着在首句新建EIP，取消断点。

(2)处理IAT
这里有两种方法：
方法一：
下断点he GetModuleHandleA+9，SHIFT+F9多次，观察队栈，适当时机返回。
代码:00129474 /0012EB88
00129478 |00EA5325 返回到 00EA5325 来自 kernel32.GetModuleHandleA
0012947C |00ED0C04 ASCII "kernel32.dll"
00129480 |00ED1AD0 ASCII "VirtualAlloc"
代码:00129474 /0012EB88
00129478 |00EA5343 返回到 00EA5343 来自 kernel32.GetModuleHandleA
0012947C |00ED0C04 ASCII "kernel32.dll"
00129480 |00ED1AC4 ASCII "VirtualFree"
代码:
001291C0 /00129478
001291C4 |00E87F54 返回到 00E87F54 来自 kernel32.GetModuleHandleA
001291C8 |00129340 ASCII "kernel32.dll"
这时候就是返回时机了。
取消断点，ALT+F9，返回程序代码段，然后修改magic jump(不知道这里还可不可以叫magic jump)
代码:00E87F548B55 F4       mov edx,dword ptr ss:
00E87F578B0D 7CDFED00    mov ecx,dword ptr ds:
00E87F5D890491       mov dword ptr ds:,eax
00E87F608B55 F4       mov edx,dword ptr ss:
00E87F63A1 7CDFED00   mov eax,dword ptr ds:
00E87F68833C90 00      cmp dword ptr ds:,0
00E87F6C75 5C      jnz short 00E87FCA
00E87F6E8B4D F8       mov ecx,dword ptr ss:
00E87F718B51 08       mov edx,dword ptr ds:
00E87F7483E2 02       and edx,2
00E87F7774 38      je short 00E87FB1
00E87F79B8 0B000000   mov eax,0B
00E87F7EC1E0 02       shl eax,2
00E87F818B0D 04BBED00    mov ecx,dword ptr ds:   ; Armadill.004CB378
00E87F878B15 04BBED00    mov edx,dword ptr ds:   ; Armadill.004CB378
00E87F8D8B35 04BBED00    mov esi,dword ptr ds:   ; Armadill.004CB378
00E87F938B5E 78       mov ebx,dword ptr ds:
00E87F96335A 34       xor ebx,dword ptr ds:
00E87F99331C01       xor ebx,dword ptr ds:
00E87F9C83E3 10       and ebx,10
00E87F9FF7DB      neg ebx
00E87FA11BDB      sbb ebx,ebx
00E87FA3F7DB      neg ebx
00E87FA50FB6C3       movzx eax,bl
00E87FA885C0      test eax,eax
00E87FAA75 05      jnz short 00E87FB1
00E87FAC ^ E9 1BFFFFFF   jmp 00E87ECC
00E87FB18D8D C8FEFFFF    lea ecx,dword ptr ss:
00E87FB751         push ecx
00E87FB8FF15 D4E1EC00    call dword ptr ds:      ; kernel32.LoadLibraryA
00E87FBE8B55 F4       mov edx,dword ptr ss:
00E87FC18B0D 7CDFED00    mov ecx,dword ptr ds:
00E87FC7890491       mov dword ptr ds:,eax
00E87FCA8B55 F4       mov edx,dword ptr ss:
00E87FCDA1 7CDFED00   mov eax,dword ptr ds:
00E87FD2833C90 00      cmp dword ptr ds:,0
00E87FD675 05      jnz short 00E87FDD          //把他NOP掉吧！
00E87FD8 ^ E9 EFFEFFFF   jmp 00E87ECC
00E87FDDC785 BCFEFFFF 000000>mov dword ptr ss:,0
处理完后，直接拉到下面：
代码:00E8824633348A       xor esi,dword ptr ds:
00E882498B45 F4       mov eax,dword ptr ss:
00E8824C8B0D 7CDFED00    mov ecx,dword ptr ds:
00E88252893481       mov dword ptr ds:,esi
00E88255 ^ E9 72FCFFFF   jmp 00E87ECC
00E8825AEB 03      jmp short 00E8825F//在这F2，SHIFT+F9，取消断点
接着返回到刚才修改的地方，撤消修改，IAT处理到此结束！

方法二：下断点：bp VirtualProtect，SHIFT+F9，观察队栈，找适当时机返回
返回的时机就是：当Size的值小于1000，且NewProtect为PAGE_READWRITE时
代码:00129470 00EAA814 /CALL 到 VirtualProtect 来自 00EAA80E
00129474 0045F118 |Address = Armadill.0045F118
00129478 0000008C |Size = 8C (140.)
0012947C 00000004 |NewProtect = PAGE_READWRITE
00129480 0012C028 \pOldProtect = 0012C028
这个时候就可以返回了！

取消断点，ALT+F9
代码:00EAA8146A 14      push 14    //返回到这
00EAA816E8 FBCA0000   call 00EB7316
00EAA81B83C4 04       add esp,4
00EAA81E8985 84ABFFFF    mov dword ptr ss:,eax
00EAA82483BD 84ABFFFF 00cmp dword ptr ss:,0
00EAA82B74 59      je short 00EAA886
00EAA82D8B0D EC53EE00    mov ecx,dword ptr ds:
00EAA833898D 10AAFFFF    mov dword ptr ss:,ecx
00EAA8398B95 74D8FFFF    mov edx,dword ptr ss:
00EAA83F0395 78D3FFFF    add edx,dword ptr ss:
接着CTRL+F，查找命令push 100(把整个短块前面的勾去掉)
代码:00EAAA8768 00010000   push 100      //来到这
00EAAA8C8D8D 40C1FFFF    lea ecx,dword ptr ss:
00EAAA9251         push ecx
00EAAA938B95 40C2FFFF    mov edx,dword ptr ss:
00EAAA998B02      mov eax,dword ptr ds:
00EAAA9B50         push eax
00EAAA9CE8 2F7CFBFF   call 00E626D0    //跟随
00EAAAA183C4 0C       add esp,0C
00EAAAA48D8D 40C1FFFF    lea ecx,dword ptr ss:
然后跟随进入下面的一个CALL，然后把段首改为RETN

这样，同样可以阻止对IAT进行修改，达到目的！

(3)寻找OEP
同样有2种方法：
方法一：下断点bp CreateThread，SHIFT+F9
代码:7C810657 k> 8BFF      mov edi,edi   //停在这里
7C81065955         push ebp
7C81065A8BEC      mov ebp,esp
7C81065CFF75 1C       push dword ptr ss:
7C81065FFF75 18       push dword ptr ss:
7C810662FF75 14       push dword ptr ss:
7C810665FF75 10       push dword ptr ss:
7C810668FF75 0C       push dword ptr ss:
7C81066BFF75 08       push dword ptr ss:
7C81066E6A FF      push -1
7C810670E8 D7FDFFFF   call kernel32.CreateRemoteThread
7C8106755D         pop ebp
7C810676C2 1800       retn 18
取消断点，ALT+F9返回
下面就单步跟吧！
代码:00EAF2B1/EB 46      jmp short 00EAF2F9
00EAF2B3|8B55 08       mov edx,dword ptr ss:
00EAF2B6|833A 01       cmp dword ptr ds:,1
00EAF2B9|75 3E      jnz short 00EAF2F9
00EAF2BB|A1 04BBED00   mov eax,dword ptr ds:
00EAF2C0|8B0D 04BBED00    mov ecx,dword ptr ds:   ; Armadill.004CB378
00EAF2C6|8B50 68       mov edx,dword ptr ds:
00EAF2C9|3351 34       xor edx,dword ptr ds:
00EAF2CC|A1 04BBED00   mov eax,dword ptr ds:
00EAF2D1|3350 60       xor edx,dword ptr ds:
00EAF2D4|8955 DC       mov dword ptr ss:,edx
00EAF2D7|8B4D 08       mov ecx,dword ptr ss:
00EAF2DA|8B51 04       mov edx,dword ptr ds:
00EAF2DD|52         push edx
00EAF2DE|8B45 08       mov eax,dword ptr ss:
00EAF2E1|8B48 08       mov ecx,dword ptr ds:
00EAF2E4|51         push ecx
00EAF2E5|6A 00      push 0
00EAF2E7|8B55 08       mov edx,dword ptr ss:
00EAF2EA|8B42 0C       mov eax,dword ptr ds:
00EAF2ED|50         push eax
00EAF2EE|8B4D F4       mov ecx,dword ptr ss:
00EAF2F1|2B4D DC       sub ecx,dword ptr ss:
00EAF2F4|FFD1      call ecx       //这里就跳向OEP了！F7跟进即可！
00EAF2F6|8945 FC       mov dword ptr ss:,eax
00EAF2F9\8B45 FC       mov eax,dword ptr ss:
代码:0045B52C55         push ebp   //这里就是OEP了！
0045B52D8BEC      mov ebp,esp
0045B52F83C4 F0       add esp,-10
0045B532B8 8CB24500   mov eax,Armadill.0045B28C
0045B537E8 C0ABFAFF   call Armadill.004060FC
0045B53CA1 C8D44500   mov eax,dword ptr ds:
0045B5418B00      mov eax,dword ptr ds:
0045B543E8 F893FFFF   call Armadill.00454940
0045B5488B0D B0D54500    mov ecx,dword ptr ds:   ; Armadill.0045EC88
0045B54EA1 C8D44500   mov eax,dword ptr ds:
0045B5538B00      mov eax,dword ptr ds:
0045B5558B15 B4AF4500    mov edx,dword ptr ds:   ; Armadill.0045B000
0045B55BE8 F893FFFF   call Armadill.00454958
0045B560A1 C8D44500   mov eax,dword ptr ds:
0045B5658B00      mov eax,dword ptr ds:
0045B567E8 6C94FFFF   call Armadill.004549D8
0045B56CE8 B38BFAFF   call Armadill.00404124
0045B5718D40 00       lea eax,dword ptr ds:
方法二：ALT+M，在00401000处F2，SHIFT+F9，然后单步走，
      同样可以找到下面地址：
         00EAF2F4|FFD1      call ecx       //这里就跳向OEP了！F7跟进即可！

4、用LordPE脱壳，然后用Import REC修复，剪掉无效的指针即可！
OK，脱壳文件能正常运行！
脱壳到此结束！

------------------------------------------------------------------------
【PJ总结】早就听到穿山甲的大名，所以反复看教程，然后自己动手实践！
HOHO~~终于成功！说实话，真有点小兴奋！
不过这只是简单的保护方式，以后路还有很长要走！
菜鸟还要继续努力啊！不过，我会继续加油！

singo 发表于 2009-1-5 22:10:46

原帖由 似曾温柔 于 2009-1-5 22:04 发表 http://bbs.sunwy.org/images/common/back.gif
【破文标题】手脱Armadillo5.0双进程标准壳
【PJ工具】OD，LordPE ImportREC
【PJ平台】XP SP2
【原版下载】见附件
【PJ声明】菜鸟练习笔记，无技术含量，有纪念意义
---------------------------------------- ...
写得很详细，不过提醒一下楼主大人，附件好像没有上传哦

brewk3 发表于 2009-1-5 22:11:13

期待楼主的进一步文章，这样的好咚咚:lol

lingfeng123 发表于 2009-1-6 08:28:29

这也叫新手，太牛了。。。

blue002 发表于 2017-8-4 16:20:57

辛苦了，楼主                                          
页: [1]
查看完整版本: 我的第一篇脱文:手脱Armadillo5.0双进程标准壳