smalke 发表于 2008-9-19 14:38:28

常见自校检分析实例(转)

<P>自校检是许多软件的保护手段之一，对软件加个简单的壳再增加自校检在一定程序上可以抵挡住一大部分新手，不过，对许多人来说，这个保护已经很弱了。可是，搜索论坛，居然没有一篇系统的文章。不知道是大家太忙了还是因为要守住点秘密。其实大部分技术应该拿出来交流才好，只有交流才有进步。就象老王的EPE，netsowell一次一次的脱壳文章，才促使老王一次一次的升级，保护强度也越来越强。废话一堆，不讲了。下面讲几种常见的解决自校检方法，写的粗略，希望大家补充。<BR>1、通用对比法。就是将已经触发自校检的程序与原来正常的程序进行关键跳转对比，这种方法比较通用，大部分的自校检可以通过此方法解决（如果软件有防多开窗口的限制，需<BR>要先解决这个问题。）附件中的sample1.EXE是一个加了ASPACK的自校检程序，修改任何代码或大小等都会触发校检提示软件被修改。dumped.EXE是脱壳后的文件，由于触发校检运行后出现“文件被非法修改”的提示，现在我们来解决脱壳后文件的自校检问题。打开脱壳后的程序dumped.EXE，下断BP CreateFileA，F9两次后出现出错提示。CTRL+F2重新载入dumped.EXE，下断BP reateFileA，F9一次。这时另开一个OD打开原来的程序sample1.EXE，用脚本到达OEP，命令中也下断BP CreateFileA，F9一次，这时两个OD停在同一个地方，然后在两个OD中逐步单步跟踪，碰到JE、JNE、JBE...之类的关键跳转要对比一下两者的区别。<BR>7C801A24 &gt;&nbsp; 8BFF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV EDI,EDI&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; BP CreateFileA断在这里，ALT+F9返回<BR>7C801A26&nbsp;&nbsp;&nbsp; 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EBP<BR>=================<BR>0040111C&nbsp; |.&nbsp; 3BF4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CMP ESI,ESP&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 都停在这里，逐步F8，进行关键跳转的对比<BR>0040111E&nbsp; |.&nbsp; E8 0D030000&nbsp;&nbsp; CALL crcdumpe.00401430<BR>00401123&nbsp; |.&nbsp; 8985 E0FEFFFF MOV DWORD PTR SS:,EAX<BR>00401129&nbsp; |.&nbsp; 83BD E0FEFFFF&gt;CMP DWORD PTR SS:,-1<BR>00401130&nbsp; |.&nbsp; 75 07&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JNZ SHORT crcdumpe.00401139</P>
<P>逐步F8，跟到下面的代码时，发现两个跳转不一样：<BR>0040120C&nbsp;&nbsp; /75 07&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JNZ SHORT crc.00401215&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; 原版这个地方信息窗口提示：跳转没有实现<BR>0040120E&nbsp;&nbsp; |B8 01000000&nbsp;&nbsp;&nbsp;&nbsp; MOV EAX,1<BR>00401213&nbsp;&nbsp; |EB 02&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JMP SHORT crc.00401217<BR>00401215&nbsp;&nbsp; \33C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; XOR EAX,EAX<BR>=======================<BR>0040120C&nbsp; |. /75 07&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JNZ SHORT crcdumpe.00401215&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 脱壳版这个地方信息窗口提示：跳转已经实现，NOP掉<BR>0040120E&nbsp; |. |B8 01000000&nbsp;&nbsp; MOV EAX,1<BR>00401213&nbsp; |. |EB 02&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JMP SHORT crcdumpe.00401217<BR>00401215&nbsp; |&gt; \33C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; XOR EAX,EAX</P>
<P>这时将脱壳版0040120C处代码NOP掉后另存为dumpedFIX.EXE。试着运行一下，如果正常完事，还不行的话继续跟踪下去。该例只改这一处。</P>
<P>2、跟踪退出函数。附件中sample2也是个自校检程序，修改任何一处软件会自动退出。我们试着用UltraEdit将sample2.EXE的最后一个字节改为01后另存为sample2-change.EXE，这时运行sample2-change就会自动退出，我们就是要从退出函数入手。软件退出一般都是调用ExitProcess、PostQuitMessage之类的，我们用OD载入sample2-change.EXE，从输入表中我们可以看出软件是调用ExitProcess退出的。于是在OD中下断BP ExitProcess，F9运行，断下后看堆栈信息：<BR>0012FEB8&nbsp;&nbsp; 004015B5&nbsp; /CALL 到 ExitProcess 来自 sample2-.004015AF&nbsp;&nbsp;&nbsp;&nbsp; //从这里我们可以看出ExitProcess的调用地方是在004015AF<BR>0012FEBC&nbsp;&nbsp; 00000000&nbsp; \ExitCode = 0<BR>0012FEC0&nbsp;&nbsp; 20DFA6E6<BR>在OD中CTRL+G，输入004015AF：<BR>004015AF&nbsp; |.&nbsp; FF15 AC514200 CALL DWORD PTR DS:[&lt;&amp;KERNEL32.ExitProces&gt;; \就在这里，向上找这个子CALL的首部<BR>004015B5&nbsp; |&gt;&nbsp; 8BE5&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV ESP,EBP<BR>004015B7&nbsp; |.&nbsp; 5D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; POP EBP<BR>004015B8&nbsp; \.&nbsp; C3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; RETN<BR>=======================================<BR>004014E0&nbsp; /$&nbsp; 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EBP&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 找到这里，注意信息栏的内容<BR>004014E1&nbsp; |.&nbsp; 8BEC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV EBP,ESP<BR>004014E3&nbsp; |.&nbsp; 51&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH ECX<BR>004014E4&nbsp; |.&nbsp; 833D F8354200&gt;CMP DWORD PTR DS:,1<BR>004014EB&nbsp; |.&nbsp; 75 11&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JNZ SHORT sample2-.004014FE<BR>信息栏的内容：<BR>Local Calls from 0040146B, 0040148B, 004014A9, 004014C9<BR>也就是说有四个地方调用ExitProcess退出，因为程序的退出按钮和关闭的叉号也是调用ExitProcess函数的，一般都会在前面几个，我们在内容上右击，“前往CALL来自0040146B”<BR>0040146B&nbsp; |.&nbsp; E8 70000000&nbsp;&nbsp; CALL sample2-.004014E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; \到这里，同样查找首部<BR>00401470&nbsp; |.&nbsp; 83C4 0C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ADD ESP,0C<BR>00401473&nbsp; |.&nbsp; 5D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; POP EBP<BR>00401474&nbsp; \.&nbsp; C3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; RETN<BR>============<BR>00401460&nbsp; /$&nbsp; 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EBP&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 在这里，信息栏提示：Local Calls from 00401072, &lt;ModuleEntryPoint&gt;+11A<BR>00401461&nbsp; |.&nbsp; 8BEC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV EBP,ESP<BR>00401463&nbsp; |.&nbsp; 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; /Arg3 = 00000000<BR>00401465&nbsp; |.&nbsp; 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; |Arg2 = 00000000<BR>在Local Calls from 00401072上右击，前往CALL来自00401072：<BR>00401048&nbsp; |.&nbsp; E8 BDFFFFFF&nbsp;&nbsp; CALL sample2-.0040100A<BR>0040104D&nbsp; |.&nbsp; 85C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; TEST EAX,EAX<BR>0040104F&nbsp; |.&nbsp; 74 1F&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JE SHORT sample2-.00401070&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 是从这里跳过去的，NOP掉<BR>00401051&nbsp; |.&nbsp; 8BF4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV ESI,ESP<BR>00401053&nbsp; |.&nbsp; 6A 30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; /Style = MB_OK|MB_ICONEXCLAMATION|MB_APPLMODAL<BR>00401055&nbsp; |.&nbsp; 68 28004200&nbsp;&nbsp; PUSH sample2-.00420028&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; |Title = "提示"<BR>0040105A&nbsp; |.&nbsp; 68 1C004200&nbsp;&nbsp; PUSH sample2-.0042001C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; |Text = "正常运行!"<BR>0040105F&nbsp; |.&nbsp; 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; |hOwner = NULL<BR>00401061&nbsp; |.&nbsp; FF15 B4524200 CALL DWORD PTR DS:[&lt;&amp;USER32.MessageBoxA&gt;&gt;; \MessageBoxA<BR>00401067&nbsp; |.&nbsp; 3BF4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CMP ESI,ESP<BR>00401069&nbsp; |.&nbsp; E8 82050000&nbsp;&nbsp; CALL sample2-.004015F0<BR>0040106E&nbsp; |.&nbsp; EB 07&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JMP SHORT sample2-.00401077<BR>00401070&nbsp; |&gt;&nbsp; 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 0<BR>00401072&nbsp; |.&nbsp; E8 E9030000&nbsp;&nbsp; CALL sample2-.00401460&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 就是这里了，最终会调用ExitProcess，向上看是从哪里跳过来<BR>00401077&nbsp; |&gt;&nbsp; 33C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; XOR EAX,EAX</P>
<P>可以看出，00401072处的CALL最终呼叫ExitProcess退出，所以只要使0040104F处的跳转失效即可，将0040104F的跳转NOP掉后保存，测试运行正常。</P>
<P>三、利用第三方软件辅助查找关键的地方。很多软件利用CRC或者MD5实现磁盘文件校验或者内存映像校验等，对此类软件我们可以利用算法识别工具找到密码学算法和核心，然后层层向上，找到最初的调用地方更改其流程方向。还是附件中的sample1.EXE，脱壳的文件为dumped.EXE，我们来解决这个软件的自校检。先用PEID的插件kanal分析dumped.EXE所采的密码学算法，如图，</P>
<P>可以看出，软件采用了CRC算法，算法特征码出现在0040131C，就从这里入手，OD载入dumped.EXE，CTRL+G搜索0040131C：<BR>0040131C&nbsp; |?&nbsp; 2083 B8ED898D AND BYTE PTR DS:,AL&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 找到的地方在这里，上拉找到这个CALL的首部<BR>00401322&nbsp; |?&nbsp; FC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; CLD<BR>00401323&nbsp; |?&nbsp; FB&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; STI<BR>00401324&nbsp; |?&nbsp; FFFF&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ???&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 未知命令<BR>00401326&nbsp; |.&nbsp; EB 0E&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ||JMP SHORT crcdumpe.00401336<BR>00401328&nbsp; |&gt;&nbsp; 8B95 FCFBFFFF ||MOV EDX,DWORD PTR SS:<BR>0040132E&nbsp; |.&nbsp; D1EA&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ||SHR EDX,1<BR>00401330&nbsp; |.&nbsp; 8995 FCFBFFFF ||MOV DWORD PTR SS:,EDX<BR>00401336&nbsp; |&gt;^ EB B5&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; |\JMP SHORT crcdumpe.004012ED<BR>00401338&nbsp; |&gt;&nbsp; 8B85 F8FBFFFF |MOV EAX,DWORD PTR SS:<BR>0040133E&nbsp; |.&nbsp; 8B8D FCFBFFFF |MOV ECX,DWORD PTR SS:<BR>00401344&nbsp; |.&nbsp; 898C85 00FCFF&gt;|MOV DWORD PTR SS:,ECX<BR>0040134B&nbsp; |.^ E9 6AFFFFFF&nbsp;&nbsp; \JMP crcdumpe.004012BA<BR>============================<BR>00401290&nbsp; /&gt; \55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EBP&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 到这里，看OD的提示栏：Jump from 00401005，从00401005跳转来的<BR>00401291&nbsp; |.&nbsp; 8BEC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV EBP,ESP<BR>00401293&nbsp; |.&nbsp; 81EC 50040000 SUB ESP,450<BR>00401299&nbsp; |.&nbsp; 53&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EBX<BR>0040129A&nbsp; |.&nbsp; 56&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH ESI</P>
<P>在Jump from 00401005上右击，“前往JMP 来自00401005”<BR>00401005&nbsp;&nbsp; $ /E9 86020000&nbsp;&nbsp; JMP crcdumpe.00401290&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 到这里，看信息栏内容：Local Call from 00401201，00401201处的CALL调用这里<BR>0040100A&nbsp;&nbsp; $ |E9 B1000000&nbsp;&nbsp; JMP crcdumpe.004010C0<BR>在Local Call from 00401201上右击，“前往CALL 来自00401201”<BR>00401201&nbsp; |.&nbsp; E8 FFFDFFFF&nbsp;&nbsp; CALL crcdumpe.00401005&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 到这里，再向上找到这个CALL的顶部<BR>00401206&nbsp; |.&nbsp; 83C4 08&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ADD ESP,8<BR>==================<BR>004010C0&nbsp; /&gt; \55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EBP&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 到这里，看任务栏信息：Jump from 0040100A<BR>004010C1&nbsp; |.&nbsp; 8BEC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV EBP,ESP<BR>004010C3&nbsp; |.&nbsp; 81EC 64010000 SUB ESP,164<BR>在Jump from 0040100A上右击，“前往JMP 来自0040100A”<BR>0040100A&nbsp;&nbsp; $ /E9 B1000000&nbsp;&nbsp; JMP crcdumpe.004010C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 到这里，继续根据任务栏信息向上找：Local Call from 00401048<BR>0040100F&nbsp;&nbsp; $ |E9 1C000000&nbsp;&nbsp; JMP crcdumpe.00401030<BR>在Local Call from 00401048上右击，“前往CALL 来自00401048”<BR>00401048&nbsp; |.&nbsp; E8 BDFFFFFF&nbsp;&nbsp; CALL crcdumpe.0040100A&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 就是这里了，计算CRC并进行对比的CALL<BR>0040104D&nbsp; |.&nbsp; 85C0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; TEST EAX,EAX<BR>0040104F&nbsp; |.&nbsp; 74 1F&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JE SHORT crcdumpe.00401070&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 这里就是关键跳转了，NOP掉<BR>00401051&nbsp; |.&nbsp; 8BF4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV ESI,ESP<BR>00401053&nbsp; |.&nbsp; 6A 30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 30&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; /Style = MB_OK|MB_ICONEXCLAMATION|MB_APPLMODAL<BR>00401055&nbsp; |.&nbsp; 68 40004200&nbsp;&nbsp; PUSH crcdumpe.00420040&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; |Title = "提示"<BR>0040105A&nbsp; |.&nbsp; 68 34004200&nbsp;&nbsp; PUSH crcdumpe.00420034&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; |Text = "正常运行!"<BR>0040105F&nbsp; |.&nbsp; 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; |hOwner = NULL<BR>00401061&nbsp; |.&nbsp; FF15 B4524200 CALL DWORD PTR DS:[&lt;&amp;user32.MessageBoxA&gt;&gt;; \MessageBoxA<BR>更改0040104F处的跳转后保存为dumpedFIX，运行正常。</P>
<P>四、对付校检自身大小的软件的一般方法。也有许多软件，利用CHECKSUM、FILELEN等在代码中对本身的大小做了标记，如果发现大小变了就自动退出。附件中的FILELEN就是这样的，FILELEN-UNPACK.EXE是脱壳后的软件，由于脱壳后软件大小发生了变化，所以FILELEN-UNPACK运行后就自动退出。对付这种校检，我们有个简单的方法，就是将脱壳后的软件中检测自身大小的部分改为脱壳后文件的大小。我们看一下FILELEN的大小为：10752字节转16进制为2A00，再看看脱壳后的文件FILELEN-UNPACK.EXE的大小30208字节，即7600，关键是如何找到对自身大小进行对比的语句，我们知道一般的形式都是CMP EAX，2A00，但是到底是哪个寄存器呢？EAX，EBX、ECX....，寄存器种类比较多，我们不可能每个去找，这时W32Dasm派上用场。用W32Dasm载入FILELEN-UNPACK，我们只要搜索00002A00即可，前面的部分不管它，找到在这里：<BR>:00401B8F 81FE002A0000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmp esi, 00002A00<BR>右击-“HEX”，更改代码002A00为脱壳后的大小007600即可，再搜索，发现该例只有一个对比的地方，保存后运行正常。<BR>对于VB检测自身大小的软件我们还可以跟踪FileLen函数，因为VB一般都用FileLen检测自身的大小，用OD载入FILELEN-UNPACK.EXE，下断BP rtcFileLen，F9后断下，ALT+F9返回：<BR>00401B5E&nbsp;&nbsp; .&nbsp; 8BF0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; MOV ESI,EAX&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 这里EAX的值就是FILELEN取得的自身的大小，EAX=00007600<BR>00401B60&nbsp;&nbsp; .&nbsp; 8D55 D4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LEA EDX,DWORD PTR SS:<BR>00401B63&nbsp;&nbsp; .&nbsp; 8D45 D8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LEA EAX,DWORD PTR SS:<BR>00401B66&nbsp;&nbsp; .&nbsp; 52&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EDX<BR>00401B67&nbsp;&nbsp; .&nbsp; 8D4D E0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LEA ECX,DWORD PTR SS:<BR>00401B6A&nbsp;&nbsp; .&nbsp; 50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EAX<BR>00401B6B&nbsp;&nbsp; .&nbsp; 8D55 DC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LEA EDX,DWORD PTR SS:<BR>00401B6E&nbsp;&nbsp; .&nbsp; 51&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH ECX<BR>00401B6F&nbsp;&nbsp; .&nbsp; 8D45 E4&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LEA EAX,DWORD PTR SS:<BR>00401B72&nbsp;&nbsp; .&nbsp; 52&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EDX<BR>00401B73&nbsp;&nbsp; .&nbsp; 50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EAX<BR>00401B74&nbsp;&nbsp; .&nbsp; 6A 05&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 5<BR>00401B76&nbsp;&nbsp; .&nbsp; FF15 70104000 CALL DWORD PTR DS:[&lt;&amp;msvbvm60.__vbaFreeS&gt;;&nbsp; msvbvm60.__vbaFreeStrList<BR>00401B7C&nbsp;&nbsp; .&nbsp; 8D4D CC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LEA ECX,DWORD PTR SS:<BR>00401B7F&nbsp;&nbsp; .&nbsp; 8D55 D0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; LEA EDX,DWORD PTR SS:<BR>00401B82&nbsp;&nbsp; .&nbsp; 51&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH ECX<BR>00401B83&nbsp;&nbsp; .&nbsp; 52&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH EDX<BR>00401B84&nbsp;&nbsp; .&nbsp; 6A 02&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; PUSH 2<BR>00401B86&nbsp;&nbsp; .&nbsp; FF15 14104000 CALL DWORD PTR DS:[&lt;&amp;msvbvm60.__vbaFreeO&gt;;&nbsp; msvbvm60.__vbaFreeObjList<BR>00401B8C&nbsp;&nbsp; .&nbsp; 83C4 24&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ADD ESP,24<BR>00401B8F&nbsp;&nbsp; .&nbsp; 81FE 002A0000 CMP ESI,2A00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ;&nbsp; 这里就是利用FILELEN取得的大小与原来做的标记对比，可以改这里的2A00为7600或者更改下面的跳转<BR>00401B95&nbsp;&nbsp; .&nbsp; 75 6E&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; JNZ SHORT FILELEN-.00401C05<BR>00401B97&nbsp;&nbsp; .&nbsp; B9 04000280&nbsp;&nbsp; MOV ECX,80020004<BR></P>

txen548 发表于 2013-1-5 16:38:47

樓主這是什麼東東

zhaoyun 发表于 2013-7-10 09:24:51

谢谢楼主分享
页: [1]
查看完整版本: 常见自校检分析实例(转)