CxLrb 发表于 2006-10-18 18:59:51

一个压缩壳偷OEP的脱壳与优化

一个压缩壳偷OEP的脱壳与优化
作者：CxLrb   Email：[email protected]



目标：Registry Trash Keys Finder 3.7.2 (10-12-2006)
下载：http://www.shura.totalcmd.net/download/trashreg.zip
工具：DIE 0.52，OllyDBG及脱壳插件，PETools，FixRes，ImportREC v1.6F，
ResFix，PE Explorer 1.98
保护方式：偷OEP，PEid查不到，DIE查壳：
编译器：Microsoft Visual Basic，加壳器：<.DotFix FakeSigner>
申明：仅仅是学习和研究目的，转载请保证文章完整性，并注明作者及出处，不足之处请指正！




概要
1.        寻找原始入口点(OEP)
2.        修复被偷去的OEP
3.        转储及输入表修复
4.        优化PE文件
5.        结语
6.        感谢



寻找原始入口点(OEP)


我们将TrashReg.exe加载到peid，什么都没找到，加载到DIE 0.52，得到结果为,
编译器：Microsoft Visual Basic，加壳器：<.DotFix FakeSigner>
http://bbs.pediy.com/upload/2006/8/image/diescan.png
OD调试选项全部打勾，载入TrashReg.exe，“确定”略过入口点预警，继续分析代码选“否”，停在这里：

009750CC > /E9 FF000000   jmp   TrashReg.009751D0          -----入口
009750D1   |60            pushad
009750D2   |8B7424 24       mov   esi,
009750D6   |8B7C24 28       mov   edi,
009750DA   |FC            cld
009750DB   |B2 80         mov   dl, 80
009750DD   |33DB            xor   ebx, ebx
009750DF   |A4            movs    byte ptr es:, byte ptr [esi>
009750E0   |B3 02         mov   bl, 2
009750E2   |E8 6D000000   call    TrashReg.00975154
009750E7^|73 F6         jnb   short TrashReg.009750DF
009750E9   |33C9            xor   ecx, ecx
009750EB   |E8 64000000   call    TrashReg.00975154
009750F0   |73 1C         jnb   short TrashReg.0097510E

试了一下，ESP定律不凑效，那就单步跟踪，F8单步大约36次，来到系统领空：

7C92EAF0    8B1C24          mov   ebx,
7C92EAF3    51            push    ecx
7C92EAF4    53            push    ebx
7C92EAF5    E8 C78C0200   call    ntdll.7C9577C1
7C92EAFA    0AC0            or      al, al
7C92EAFC    74 0C         je      short ntdll.7C92EB0A
7C92EAFE    5B            pop   ebx
7C92EAFF    59            pop   ecx
7C92EB00    6A 00         push    0
7C92EB02    51            push    ecx
7C92EB03    E8 11EBFFFF   call    ntdll.ZwContinue
7C92EB08    EB 0B         jmp   short ntdll.7C92EB15
7C92EB0A    5B            pop   ebx
7C92EB0B    59            pop   ecx
7C92EB0C    6A 00         push    0

现在的出路就只有想办法返回主线程，试了代码段内存断点，不凑效，只有继续亲自跟了，在这里我们按住 Ctrl + F9 不放大约1分钟，直到地址中出现0040XXXX，当然不是很准确，但确实需要返回很多次才可以到达主线程，大概数了一下，需要150次，我们找一找就可以看到一大堆跳转，典型的VB入口处，
……
00403C18- FF25 14124000   jmp   near                   ; MSVBVM50.__vbaStopExe
00403C1E- FF25 9C124000   jmp   near                   ; MSVBVM50.__vbaForEachAry
00403C24- FF25 34124000   jmp   near                   ; MSVBVM50.__vbaR8Str
00403C2A- FF25 80104000   jmp   near                   ; MSVBVM50.__vbaVarCmpNe
00403C30- FF25 64114000   jmp   near                   ; MSVBVM50.__vbaVarLikeVar
00403C36- FF25 B8114000   jmp   near                   ; MSVBVM50.EVENT_SINK_QueryInterface
00403C3C- FF25 44114000   jmp   near                   ; MSVBVM50.EVENT_SINK_AddRef
00403C42- FF25 A4114000   jmp   near                   ; MSVBVM50.EVENT_SINK_Release
00403C48- FF25 90124000   jmp   near                   ; MSVBVM50.ThunRTMain   
00403C4E    0000            add   , al
00403C50    AD            lods    dword ptr
00403C51    FB            sti
00403C52    EC            in      al, dx
00403C53    B1 08         mov   cl, 8
00403C55    CA 1F7D         retf    7D1F

但是令人失望的是没有类似VB的入口语句，如：
Push 0040xxxx            ;ASCII "VB5!6&*"
Call < jmp.&MSVBVM50.ThunRTMain >

我们先在这一句下硬件执行断点：
00403C48- FF25 90124000   jmp   near                   ; MSVBVM50.ThunRTMain
免得下次跑掉了还要找很久才来到这里。





修复被偷去的OEP


然后我们就想办法补回偷去的OEP，很简单，我们就在 00403C4E 地址处开始写入类似上面的2行代码便可， call后跟
00403C48- FF25 90124000   jmp   near                   ; MSVBVM50.ThunRTMain   
这一句的地址无疑，关键是找 push 后应该跟哪个地址，初步判断，应该跟存放类似"VB5!6&*"这样的ASCII码的地址值，我们在OD中往下找找看，如果没有找到，我们分析一下代码再找，
]http://bbs.pediy.com/upload/2006/8/image/analysiscode.png

找到这里：

00403F44   |56            db      56                        ;CHAR 'V'
00403F45   |42            db      42                        ;CHAR 'B'
00403F46   |35            db      35                        ;CHAR '5'
00403F47   |21            db      21                        ;CHAR '!'
00403F48   |8C            db      8C
00403F49   |0E            db      0E
00403F4A   |2A            db      2A                        ;CHAR '*'

我们找到了，只要就要00403F44 这个地址，回到上面的位置，在00403C4E处写入2行代码：

Push 00403F44
Call 00403C48

将附近几行代码都00填充(如果不填00，经测试，运行脱壳后的文件在退出程序时出错)，修改后代码如下：
http://bbs.pediy.com/upload/2006/8/image/oepfixed.png

00403C36   .- FF25 B8114000 jmp   near              ;MSVBVM50.EVENT_SINK_QueryInterface
00403C3C   .- FF25 44114000 jmp   near              ;MSVBVM50.EVENT_SINK_AddRef
00403C42   .- FF25 A4114000 jmp   near              ;MSVBVM50.EVENT_SINK_Release
00403C48   .- FF25 90124000 jmp   near              ;MSVBVM50.ThunRTMain
00403C4E      68 443F4000   push    TrashReg.00403F44
00403C53      E8 F0FFFFFF   call    TrashReg.00403C48         ;jmp 到 MSVBVM50.ThunRTMain
00403C58      0000          add   , al
00403C5A      00            db      00
00403C5B      00            db      00
00403C5C      00            db      00
00403C5D      00            db      00
00403C5E      00            db      00
00403C5F      00            db      00
00403C60      30            db      30                        ;CHAR '0'


转储及输入表修复

接下来我们用Ollydump插件将程序dump出来，OEP处填入00403c4e，不要选择重建输入表，保存为dumped.exe

http://bbs.pediy.com/upload/2006/8/image/dump.png

用ImportREC v1.6F修复输入表，OEP栏填入3c48，获取输入函数全部有效：

http://bbs.pediy.com/upload/2006/8/image/importrecfix.png

转储后保存为dumped_.exe，程序已可以运行了！



优化PE文件

dumped_.exe太大，我们来优化一下，我们用PE explorer查看一下，共有8个区段，其中有几个可能是垃圾区段，如图所示，

http://bbs.pediy.com/upload/2006/8/image/lese.png

你可以删除其中几个试试，修复输入表后如果能够运行，那你就成功了，本人测试，5、6、7区段删除后无影响。我们用专业的删除工具petools，
删除程序的最后面4个区段，删除时选择从文件中删除区段，

http://bbs.pediy.com/upload/2006/8/image/delsection.png

删除完了，剩下4个区段，然后修复一下输入表（ImportREC可以一直不关），这是程序又可以运行起来了，大小为444K。

对于非汉化目的的脱壳，在这里我们重建一下PE也许就可以达到目的了，但为了更完美，我们将资源区段放到最后，看我操作，用FixRes 转储资源区段到磁盘，RVA填入6f000（注：6f000为PE的当前的虚拟大小），文件对齐粒度填入200，

http://bbs.pediy.com/upload/2006/8/image/fixres.png

然后将转存的资源区段在载入到PE文件的最后一个区段，

http://bbs.pediy.com/upload/2006/8/image/loadsection.png_621.png
修改资源目录地址为6f000，
http://bbs.pediy.com/upload/2006/8/image/resrva.png

直接删除区段rsrc，修复地址后出错，所以选择另一种办法，我们把原来的rsrc区段用00填充
http://bbs.pediy.com/upload/2006/8/image/00full.png

然后将rsrc区段的虚拟大小值增加到其之前的一个区段的虚拟大小上，即4000+E000＝12000，然后将rsrc区段从区段头删除，如下

http://bbs.pediy.com/upload/2006/8/image/delsecheader.png

然后petools重建PE，修改一下区段名，收工！重建选项一定不要勾选重建资源选项。
http://bbs.pediy.com/upload/2006/8/image/petools.png

最后的文件用Resource 2006打开看不到资源，可以使用《汉化初学者进阶教程 3》中叙述的方法重建资源，这里不再赘述。



结语

只因为用了很多繁杂的操作，是因为rsrc区段后面那个区段在PE文件中的位置很重要，改变了程序就无法运行，如果你有更好的方法，可以拿出来分享，谢谢观赏！



感谢

一蓑烟雨，看雪论坛，汉化新世纪论坛！
以及各位成员提供的好工具！

2006.10.18CxLrb

yygx 发表于 2006-10-19 18:25:44

学习了，顶一下！

chadd 发表于 2006-11-20 18:31:14

好文，学习了

madshime 发表于 2006-11-26 23:39:22

学习了。。。。。。。。。。

wzwgp 发表于 2006-11-27 09:13:22

好文，请问detect it easy 中文版哪有下？
谢谢！

zsl01 发表于 2008-9-27 17:29:39

好文，学习了/:good /:good

NONAME剑人 发表于 2008-9-28 19:48:02

你可以试试直接断ThunRTMain

lsztony00 发表于 2008-10-14 09:29:39

学习了，支持一下！

939372735 发表于 2008-11-3 17:40:35

给我看到了个查壳工具了，我去搜一下。/:001

洞庭风 发表于 2008-11-5 20:55:17

钦佩楼主的探索精神!
页: [1] 2
查看完整版本: 一个压缩壳偷OEP的脱壳与优化