ESP定律脱壳之Crunch/PE Heuristic -> Bit-Arts [Overlay]

野猫III

对象软件：FileName Pro 2.0.11
软件大小：2181KB
软件语言：英文
软件类别：国外软件/共享版/更名工具
运行环境：Win9x/Me/NT/2000/XP/2003
加入时间：2006-7-5 15:50:44
下载次数：1014
下载地址：http://gz.onlinedown.net/soft/25770.htm
软件介绍：无论你有一些或者数千个文件要给重新命名， FileName Pro能在几秒钟内给你的文件重新命名。 实际上， FileName Pro能给重新命名基于许多文件命名模式你使成形， 并且也能移动当时的你文件到新文件夹更名操作完成。 另外，如果由于任何原因你需要破坏文件名操作， FileName Pro也能做到。

简单脱壳过程 by WildCatIII[D.4s][PYG]：

OD载入程序：
00440000 >  55              PUSH EBP
00440001    E8 00000000     CALL fnamepro.00440006
00440006    5D              POP EBP
00440007    83ED 06         SUB EBP,6
0044000A    8BC5            MOV EAX,EBP
0044000C    55              PUSH EBP
0044000D    60              PUSHAD
0044000E    89AD 8A340000   MOV DWORD PTR SS:[EBP+348A],EBP  //单步到这，根据ESP定律脱壳方法，下命令断点hr esp,F9运行程序，程序被中断在：
004400E5    5D              POP EBP                                  ; fnamepro.<模块入口点>
004400E6    8B85 86340000   MOV EAX,DWORD PTR SS:[EBP+3486]
004400EC    5D              POP EBP
004400ED    FFE0            JMP EAX   //单步来这,Jump下去就到程序的OEP
＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋
00402770    68 64414000     PUSH fnamepro.00404164   //OEP,Dump EIP:2770
00402775    E8 F0FFFFFF     CALL fnamepro.0040276A                   ; JMP 到 MSVBVM60.ThunRTMain
0040277A    0000            ADD BYTE PTR DS:[EAX],AL
0040277C    0000            ADD BYTE PTR DS:[EAX],AL
0040277E    0000            ADD BYTE PTR DS:[EAX],AL
00402780    3000            XOR BYTE PTR DS:[EAX],AL
00402782    0000            ADD BYTE PTR DS:[EAX],AL
00402784    40              INC EAX
00402785    0000            ADD BYTE PTR DS:[EAX],AL
00402787    0000            ADD BYTE PTR DS:[EAX],AL
00402789    0000            ADD BYTE PTR DS:[EAX],AL
0040278B    000A            ADD BYTE PTR DS:[EDX],CL
0040278D    17              POP SS                                   ; 段寄存器更改

++++++++++++++++++++
用PEiD查得VB程序，可以运行，不用修复。呵呵～～～

本破文纯属技术交流, 转载请注明作者并保持文章的完整, 谢谢!

[ 本帖最后由 野猫III 于 2006-7-5 21:57 编辑 ]

快雪时晴

佩服，多产呀，老弟

极速暴龙

好厉害啊  PFPF

colorkey

正准备看,老板来了,汗!!!

moyelin

辛苦了！！学习下`~

cur

呵呵 学习下  努力加油！！

piaoyao424

楼主太猛了。。/:L

言申言舌

来学习一下楼主的ESP

kelvar

我有一个Crunch/PE Heuristic -> Bit-Arts [Overlay]加壳的程序
前面的一样等下断点hr esp后中断在
006B440D    83EC 08         sub esp,8
006B4410    C3              retn
006B4411    0000            add byte ptr ds:[eax],al
006B4413    0000            add byte ptr ds:[eax],al
006B4415    0000            add byte ptr ds:[eax],al
运行retn后返回到
到达
006B3102   /EB 05           jmp short PC-PCISO.006B3109
006B3104   |E8 0E130000     call PC-PCISO.006B4417
006B3109   \E8 38100000     call PC-PCISO.006B4146
006B310E    8BDD            mov ebx,ebp
006B3110    81C3 6F390000   add ebx,396F
006B3116    8B1B            mov ebx,dword ptr ds:[ebx]
006B3118    F7E3            mul ebx
脱壳后出现错误，不知道大侠能指点下不

cls99

ESP定律不看不行的