Armadillo DLL脱壳
加壳方式Armadillo v4.40使用工具OllyDBG 汉化第二版,LordPE,ImportREC v1.6F,PEiD v0.94,PE Tools
脱壳目标看雪wangfanyc发的帖子，要求脱壳Armadillo 2.51 - 3.xx DLL Stub -> Silicon Realms Toolworks
脱壳平台WINXP SP2
脱壳作者邪秀才
经过看雪上的各位老大指点，终于能独自完成Armadillo DLL的壳了，正好有需求拿来试试手~！~！
1 侦壳：用PEiD查壳 Armadillo 2.51 - 3.xx DLL Stub -> Silicon Realms Toolworks
这里如何判断Arm的版本呢？记得FLY大狭说过Armadillo V4.0新增的反跟踪手段:
OllyDbg在处理调式包含格式串的消息时存在问题，被跟踪的应用程序可以使OllyDbg崩溃，或可能以进程权限执行任意指令。OutputDebugString函数可发送字符串到调试器上，然后OllyDbg会在底端显示相关状态消息，但是如果包含格式串消息，就可能使OllyDbg崩溃。Armadillo以前的版本没有此种Anti，自V4.0始才有。
有他这句话我们就可以做如下判断了：
OD 载入
下断点 HE OutputDebugStringA
Shift+F9 运行，中断下来。看堆栈：
0006EAB0 00B2580F/CALL 到 OutputDebugStringA 来自 00B25809
0006EAB4 0006F428\String = "%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s%s"
出现这个说明这个DLL是经过Armadillo 4.X压缩过
2 判断进程：DLL文件加壳应该是不可以双进程，所以这里是单进程方式。
二 、脱壳
1 寻找 Magic Jump
先用LordPE看看加壳后的DLL信息：基址＝00400000，入口点＝0003FE97
设置Ollydbg忽略所有的异常选项。老规矩：用IsDebug 1.4插件去掉Ollydbg的调试器标志
清除断点后OD 重新载入
停在这里
00927E97 >/$55 PUSH EBP
00927E98|.8BEC MOV EBP,ESP
00927E9A|.53 PUSH EBX
00927E9B|.8B5D 08 MOV EBX,DWORD PTR SS:
00927E9E|.56 PUSH ESI
00927E9F|.8B75 0C MOV ESI,DWORD PTR SS:
00927EA2|.57 PUSH EDI
00927EA3|.8B7D 10 MOV EDI,DWORD PTR SS:
00927EA6|.85F6 TEST ESI,ESI
下断点 BP GetModuleHandleA，Shift+F9 运行中断后，注意看堆栈：
00069368 00B26DF3/CALL 到 GetModuleHandleA 来自 00B26DED
0006936C 00B3BC1C\pModule = "kernel32.dll"
00069370 00B3CEC4ASCII "VirtualAlloc"
00069374 00B3FA98
00069378 7C9210EDntdll.RtlLeaveCriticalSection
Shift+F9继续，主要看堆栈，FLY大侠的教程很多，这里主要是找返回的时机
00069368 00B26E10/CALL 到 GetModuleHandleA 来自 00B26E0A
0006936C 00B3BC1C\pModule = "kernel32.dll"
00069370 00B3CEB8ASCII "VirtualFree"
00069374 00B3FA98
00069378 7C9210EDntdll.RtlLeaveCriticalSection
Shift+F9继续，呵呵，这里出现了，调试程序无法处理例外，我们被发现了 ，呵呵，再用到FLY大侠的方法，下断点 BP GetModuleHandleA+5
清除断点后OD 重新载入
00927E97 >/$55 PUSH EBP
00927E98|.8BEC MOV EBP,ESP
00927E9A|.53 PUSH EBX
00927E9B|.8B5D 08 MOV EBX,DWORD PTR SS:
00927E9E|.56 PUSH ESI
00927E9F|.8B75 0C MOV ESI,DWORD PTR SS:
00927EA2|.57 PUSH EDI
00927EA3|.8B7D 10 MOV EDI,DWORD PTR SS:
00927EA6|.85F6 TEST ESI,ESI
00927EA8|.75 09 JNZ SHORT SystemMo.00927EB3
00927EAA|.833D 28379400>CMP DWORD PTR DS:,0
00927EB1|.EB 26 JMP SHORT SystemMo.00927ED9
下断点 BP GetModuleHandleA+5，Shift+F9 运行中断后，注意看堆栈：
这里用 BP API+5 是为了多过壳检查是否下过 API 断点，相关资料看雪论坛上面可以找到。
00069364/0006EAAC
00069368|00B26DF3返回到 00B26DF3 来自 kernel32.GetModuleHandleA
0006936C|00B3BC1CASCII "kernel32.dll"
00069370|00B3CEC4ASCII "VirtualAlloc"
00069374|00B3FA98
00069378|7C9210EDntdll.RtlLeaveCriticalSection
Shift+F9
00069364/0006EAAC
00069368|00B26E10返回到 00B26E10 来自 kernel32.GetModuleHandleA
0006936C|00B3BC1CASCII "kernel32.dll"
00069370|00B3CEB8ASCII "VirtualFree"
00069374|00B3FA98
00069378|7C9210EDntdll.RtlLeaveCriticalSection
Shift+F9
000690C8/00069368
000690CC|00B15CE1返回到 00B15CE1 来自 kernel32.GetModuleHandleA
000690D0|0006921CASCII "kernel32.dll" 返回时机已到，
ALT+F9 返回到这里
00B15CE1 8B0D AC40B400 MOV ECX,DWORD PTR DS:
00B15CE7 89040E MOV DWORD PTR DS:,EAX
00B15CEA A1 AC40B400 MOV EAX,DWORD PTR DS:
00B15CEF 391C06 CMP DWORD PTR DS:,EBX
00B15CF2 75 16 JNZ SHORT 00B15D0A
00B15CF4 8D85 B4FEFFFF LEA EAX,DWORD PTR SS:
00B15CFA 50 PUSH EAX
00B15CFB FF15 BC62B300 CALL DWORD PTR DS: ; kernel32.LoadLibraryA
00B15D01 8B0D AC40B400 MOV ECX,DWORD PTR DS:
00B15D07 89040E MOV DWORD PTR DS:,EAX
00B15D0A A1 AC40B400 MOV EAX,DWORD PTR DS:
00B15D0F 391C06 CMP DWORD PTR DS:,EBX
00B15D12 0F84 2F010000 JE 00B15E47 Magic Jump 改 JE 为 JMP 避开 IAT 加密
00B15D18 33C9 XOR ECX,ECX
00B15D1A 8B07 MOV EAX,DWORD PTR DS:
00B15D1C 3918 CMP DWORD PTR DS:,EBX
00B15D1E 74 06 JE SHORT 00B15D26
00B15D20 41 INC ECX
00B15D21 83C0 0C ADD EAX,0C
00B15D24^ EB F6 JMP SHORT 00B15D1C
00B15D26 8BD9 MOV EBX,ECX
00B15D28 C1E3 02 SHL EBX,2
00B15D2B 53 PUSH EBX
00B15D2C E8 63F20100 CALL 00B34F94 ; JMP 到 msvcrt.??2@YAPAXI@Z
00B15D31 8B0D A440B400 MOV ECX,DWORD PTR DS:
把 00B75D12 这句的 JE 00B75E47 改成 JMP 00B75E47
2 获得重定位信息
下断点 bp GetTickCount，Shift+F9 运行中断后，注意看堆栈：
00069370 00B2C009/CALL 到 GetTickCount 来自 00B2C003
Shift+F9
00069370 00B2C3C8/CALL 到 GetTickCount 来自 00B2C3C2 在这里清除断点后Alt+F9返回程序
00B2C3C8 2B85 A4D4FFFF SUB EAX,DWORD PTR SS: 返回到这里
00B2C3CE 8B8D A8D4FFFF MOV ECX,DWORD PTR SS:
00B2C3D4 6BC9 32 IMUL ECX,ECX,32
00B2C3D7 81C1 D0070000 ADD ECX,7D0
00B2C3DD 3BC1 CMP EAX,ECX
00B2C3DF 76 07 JBE SHORT 00B2C3E8
00B2C3E1 C685 34D9FFFF 0>MOV BYTE PTR SS:,1
00B2C3E8 83BD E4D7FFFF 0>CMP DWORD PTR SS:,0
00B2C3EF 0F85 8A000000 JNZ 00B2C47F
00B2C3F5 0FB685 94D4FFFF MOVZX EAX,BYTE PTR SS:
00B2C3FC 85C0 TEST EAX,EAX
00B2C3FE 74 7F JE SHORT 00B2C47F
在 CPU 窗口按 Ctrl+S 查找如下代码
PUSH EAX
XCHG CX,CX
POP EAX
STC
00B2CF54 50 PUSH EAX 找到这里
00B2CF55 66:87C9 XCHG CX,CX
00B2CF58 58 POP EAX
00B2CF59 F9 STC
00B2CF5A 2D F1233E92 SUB EAX,923E23F1
00B2CF5F A2 B5419372 MOV BYTE PTR DS:,AL
00B2CF64 43 INC EBX
00B2CF65 0F7421 PCMPEQB MM4,QWORD PTR DS:
00B2CF68 1947 C0 SBB DWORD PTR DS:,EAX
00B2CF6B 60 PUSHAD
00B2CF6C C9 LEAVE
00B2CF6D 92 XCHG EAX,EDX
00B2CF6E C9 LEAVE
00B2CF6F 34 C9 XOR AL,0C9
00B2CF71 99 CDQ
00B2CF72 9B WAIT
00B2CF73 E6 2C OUT 2C,AL ; I/O 命令
00B2CF75 B7 25 MOV BH,25
00B2CF77 3E:AE SCAS BYTE PTR ES:
我们在 00B2CF54 行按 F2 设置断点，然后 F9 执行后取消断点到这里
00B2CF54 50 PUSH EAX
00B2CF55 66:87C9 XCHG CX,CX
00B2CF58 58 POP EAX
00B2CF59 C705 E0C0B300 6>MOV DWORD PTR DS:,0B3CB60
00B2CF63 A1 E49FB400 MOV EAX,DWORD PTR DS:
00B2CF68 8B00 MOV EAX,DWORD PTR DS: 注意这里，重定位表的RVA
00B2CF6A 8985 3CD9FFFF MOV DWORD PTR SS:,EAX
00B2CF70 A1 E49FB400 MOV EAX,DWORD PTR DS:
00B2CF75 83C0 04 ADD EAX,4
00B2CF78 A3 E49FB400 MOV DWORD PTR DS:,EAX
00B2CF7D A1 E49FB400 MOV EAX,DWORD PTR DS:
00B2CF82 8B00 MOV EAX,DWORD PTR DS: 注意这里，重定位表的大小
00B2CF84 8985 78D9FFFF MOV DWORD PTR SS:,EAX
00B2CF8A A1 E49FB400 MOV EAX,DWORD PTR DS:
00B2CF8F 83C0 04 ADD EAX,4
00B2CF92 A3 E49FB400 MOV DWORD PTR DS:,EAX
00B2CF97 83BD 3CD9FFFF 0>CMP DWORD PTR SS:,0 重定位表的RVA为0吗？
00B2CF9E 74 6F JE SHORT 00B2D00F 为0则重定位处理
00B2CFA0 83BD 78D9FFFF 0>CMP DWORD PTR SS:,0 重定位表的大小为0吗？
00B2CFA7 74 66 JE SHORT 00B2D00F 为0则重定位处理
00B2CFA9 8B85 FCD7FFFF MOV EAX,DWORD PTR SS:
00B2CFAF 8B8D 0CD8FFFF MOV ECX,DWORD PTR SS:
00B2CFB5 3B48 34 CMP ECX,DWORD PTR DS:
00B2CFB8 74 55 JE SHORT 00B2D00F 如与映像基址不符则重定位处理！
00B2CFBA FFB5 78D9FFFF PUSH DWORD PTR SS:
00B2CFC0 8B85 0CD8FFFF MOV EAX,DWORD PTR SS:
00B2CFC6 0385 3CD9FFFF ADD EAX,DWORD PTR SS:
00B2CFCC 50 PUSH EAX
00B2CFCD 8B85 FCD7FFFF MOV EAX,DWORD PTR SS:
00B2CFD3 FF70 34 PUSH DWORD PTR DS:
00B2CFD6 FFB5 0CD8FFFF PUSH DWORD PTR SS:
00B2CFDC E8 3C150000 CALL 00B2E51D 重定位处理CALL
00B2CFE1 83C4 10 ADD ESP,10
00B2CFE4 0FB6C0 MOVZX EAX,AL
00B2CFE7 85C0 TEST EAX,EAX
00B2CFE9 75 24 JNZ SHORT 00B2D00F
00B2CFEB 8B45 08 MOV EAX,DWORD PTR SS:
00B2CFEE 8B00 MOV EAX,DWORD PTR DS:
00B2CFF0 C700 07000000 MOV DWORD PTR DS:,7
00B2CFF6 68 50CBB300 PUSH 0B3CB50 ; ASCII "Location CPG"
00B2CFFB 8B45 08 MOV EAX,DWORD PTR SS:
00B2CFFE FF70 04 PUSH DWORD PTR DS:
00B2D001 E8 24800000 CALL 00B3502A ; JMP 到 msvcrt.strcpy
00B2D006 59 POP ECX
00B2D007 59 POP ECX
00B2D008 33C0 XOR EAX,EAX
F8走到00B2CF68处看到
DS:=00077000 重定位的RVA
EAX=009C5DE0 (SystemMo.009C5DE0)
F8走到00B2CF82处看到
DS:=0000755C 重定位的大小
EAX=009C5DE4 (SystemMo.009C5DE4), ASCII "\u"
我们把 00B2CFB8 的 JE 00B2D00F 改成 JMP 00B2D00F 跳过重定位处理，这样就不需要修改 DLL 的基址了，否则修改基址为OEP处看到的基址，如这里为00870000
现在我们 Alt+M 打开内存查看窗口，看到这个DLL的给个区段
内存映射
地址 大小 属主 区段 包含 类型 访问 初始访问已映射为
0
00400000 00001000 LOADDLL PE 文件头 Imag R RWE
00410000 00001000 LOADDLL CODE 代码 Imag R E RWE
00420000 00003000 LOADDLL DATA 数据 Imag RW RWE
00430000 00001000 LOADDLL .idata 输入表 Imag RW RWE
00440000 00001000 LOADDLL .edata 输出表 Imag R RWE
00450000 00001000 LOADDLL .rsrc 资源 Imag RW RWE
00460000 00103000 Map R R
00570000 000B5000 Map R E R E
00870000 00001000 SystemMo PE 文件头 Imag R RWE
00871000 00069000 SystemMo CODE Imag R RWE
008DA000 00004000 SystemMo DATA Imag R RWE
008DE000 00005000 SystemMo BSS Imag R RWE
008E3000 00003000 SystemMo .idata Imag R RWE
008E6000 00001000 SystemMo .edata 输出表 Imag R RWE
008E7000 00008000 SystemMo .reloc Imag R RWE
008EF000 00040000 SystemMo .text 代码 Imag R RWE
0092F000 00010000 SystemMo .adata 代码 Imag R RWE
0093F000 00010000 SystemMo .data 数据 Imag R RWE
0094F000 00010000 SystemMo .reloc1 重定位 Imag R RWE
0095F000 00070000 SystemMo .pdata 输入表 Imag R RWE
009CF000 00007000 SystemMo .rsrc 资源 Imag R RWE
009E0000 0000C000 Priv RW RW
009F0000 00002000 Map R R
00A00000 0001B000 Priv RW RW
00A21000 000BF000 Priv RW RW
00AE3000 00002000 Priv RW RW
00B00000 00064000 Priv RW RW
在00871000 00069000 SystemMo CODE 这里设置内存访问断点 F9 运行，中断在OEP
008D90B0 55 PUSH EBP
008D90B1 8BEC MOV EBP,ESP
008D90B3 83C4 C4 ADD ESP,-3C
008D90B6 B8 B88C8D00 MOV EAX,SystemMo.008D8CB8
008D90BB E8 C8D0F9FF CALL SystemMo.00876188
008D90C0 E8 D3AEF9FF CALL SystemMo.00873F98
008D90C5 8D40 00 LEA EAX,DWORD PTR DS:
008D90C8 0000 ADD BYTE PTR DS:,AL
008D90CA 0000 ADD BYTE PTR DS:,AL
008D90CC 0000 ADD BYTE PTR DS:,AL
008D90CE 0000 ADD BYTE PTR DS:,AL
008D90D0 0000 ADD BYTE PTR DS:,AL
008D90D2 0000 ADD BYTE PTR DS:,AL
008D90D4 0000 ADD BYTE PTR DS:,AL
用LordPE选中Ollydbg的loaddll.exe的进程，在下面的列表里选择SystemMo.dll，然后完整脱壳，得到dumped.dll
我们用 LordPE 打开 dumped.dll 到目录中修改 重定位:RVA=77000 大小=755C然后保存修改
3 搞定输入表
Alt+M 打开内存查看窗口，看到这个DLL的给个区段
内存映射, 条目 35
地址=008E3000
大小=00003000 (12288.)
属主=SystemMo 00870000
区段=.idata
类型=Imag 01001002
访问=R
初始访问=RWE
由于我们刚才已经跳过了重定位处理所以这里是未经过重定位处理的地址
我们在命令行里输入 D 8E3000往下走会看到许多函数地址
008E31407C93188Antdll.RtlDeleteCriticalSection
008E31447C9210EDntdll.RtlLeaveCriticalSection
008E31487C921005ntdll.RtlEnterCriticalSection
008E314C7C809FA1kernel32.InitializeCriticalSection
008E31507C809B14kernel32.VirtualFree
008E31547C809A81kernel32.VirtualAlloc
008E31587C80995Dkernel32.LocalFree
008E315C7C8099BDkernel32.LocalAlloc
现在上下滚动窗口就可以很容易的找到IAT的开始和结束的地址
开始地址＝008e3140
结束地址＝008e3798
大小=008e3798-008e3140=658
但是现在直接用ImportREC选取SystemMo.dll,看到
当前输入函数信息:
0 (十进制:0)
30D (十进制:781) 输入函数增加: +30D
(30D (十进制:781)无效指针(s)增加: +30D
->> 模块被选择! : d:\pj\systemmodule.dll
映像基地址:00400000 大小:00166000
原来ImportREC显示SystemMo.dll的基址还是00400000呀，
填入RVA=004e3140、大小＝658，可以得到输入表，却无法完成修复抓取文件。为什么呢？经过看雪的名位老大的帖子才发现都是重定位惹的祸。
于是利用 FLY 大狭的移花接木的办法：再打开一个 Ollydbg，载入 Win98 的 NotePad.EXE，然后把 008e3140－008e3798的数据复制、粘贴进NotePad.EXE 的 00405000－00405658，然后用 ImportREC 选择 NotePad.EXE 进程，填入 RVA=00005000、大小＝658，得到输入表，CUT掉垃圾指针，改 OEP=000690b0，就可以 FixDump 了，经测试在本机上可以使用！
[ 本帖最后由 下下雪 于 2006-12-17 22:23 编辑 ] 这个要收藏学习，好文啊，谢谢分享
页:
[1]