设为首页收藏本站每日签到
切换到宽版

宝峰科技

 找回密码
 注册

QQ登录

只需一步，快速开始

宝峰科技»网站 › 安全技术 › 脱壳破解 › 个人总结的一个VMP脱壳步骤
智能终端设备维修查询系统注册会员邮箱认证须知！
返回列表 发新帖
查看: 2155|回复: 1

[原创] 个人总结的一个VMP脱壳步骤

[复制链接]

该用户从未签到
mythhack 发表于 2010-10-13 19:56:11 | 显示全部楼层 |阅读模式

欢迎您注册加入！这里有您将更精采！

您需要 登录 才可以下载或查看，没有账号？注册

x
个人总结的一个VMP脱壳步骤
    个人在学习脱VMP加壳的过程中总结的一个步骤。按照这个步骤，包括VMP1.6—2.0在内应该有70%-80%能脱壳。脱不了的也别问我，我也刚开始学习。我还想找人问呢。
    想要脱VMP的壳，首要工作当然是要找一个强OD啦！至于是什么版本的OD自己多试验几个，网上大把大把的，一般来说只要加载了你想脱的VMP加壳程序不关闭都可以。
    其次就是StrongOD.dll这个插件了，现在用的比较多的就是海风月影，同样网上也是大把大把的。下载回来后复制到你的OD程序所在的文件夹里面的plugin里。StrongOD的设置选项搞不懂就全部打钩。
    接下来要做的工作就是搞清楚我们要脱壳的程序编程的语言了，可以用PEID或者fastscanner查看,如果在这里看不到也可以在OD载入以后通过里面的字符串判断了。例如VB的程序会出现MSVB----/VC的会出现MSVC---等等。这些都是程序运行所需要的windows链接文件。
    做完这些预备工作接下来当然是用OD载入文件啦。文件载入后在反汇编窗口CTRL+G搜索VirtualProtect(注意V跟P要大写，至于为什么要搜索这个别问我)。一般来说搜索的结果会出现以下的类似：
  1. 7C801AE3    E8 75FFFFFF     call kernel32.VirtualProtectEx
复制代码
我们在这里下F2断点。然后F9运行到我们下的这个断点。接下来我们就要注意观察堆栈窗口了。一般来说当我们F9运行到我们上面下的断点的时候在堆栈窗口会出现以下类似：
  1. 0012F66C   00401000  |Address = TradeCen.00401000
  2. 0012F670   000280D1  |Size = 280D1 (164049.)
  3. 0012F674   00000004  |NewProtect = PAGE_READWRITE
  4. 0012F678   0012FF98  \pOldProtect = 0012FF98
复制代码
我们要注意观察的就是在接下来我们F9运行的时候，ADDRESS和NEWPROTECT这两行的变化。按F9-速度别太快，直到NewProtect项变为PAGE_READONLY，这时候程序就释放完毕了。
  1. 0012F66C   0042A000  |Address = TradeCen.0042A000
  2. 0012F670   000069DE  |Size = 69DE (27102.)
  3. 0012F674   00000002  |NewProtect = PAGE_READONLY
  4. 0012F678   0012FF98  \pOldProtect = 0012FF98
复制代码
现在可以取消刚才我们下的断点了。接下来就是找OEP了。找OEP的时候我个人的一个经验就是OEP一般就在接近上面的ADDRESS地址的附近。例如上面的地址是0042A000，我一般就在这个基础上减到420000搜索程序的特征段，当然我们也可以直接跳到401000开始搜索。虽然我们搜索的范围比较大，但是因为我们搜索的是命令序列，所以工作量还不是很大。
     废话不多说，CTRL+G--上面的地址，然后CTRL+S 查找命令序列。命令序列的内容就是我们用查到的编程语言的特征段。我们可以在特征段里面选择两三句固定不变的命令查找。例如VC++6.0的特征段是
  1. 0046C07B U>  55                push ebp
  2. 0046C07C     8BEC              mov ebp,esp
  3. 0046C07E     6A FF             push -1
  4. 0046C080     68 18064C00       push UltraSna.004C0618
  5. 0046C085     68 F8364700       push UltraSna.004736F8
  6. 0046C08A     64:A1 00000000    mov eax,dword ptr fs:[0]
  7. 0046C090     50                push eax
  8. 0046C091     64:8925 00000000  mov dword ptr fs:[0],esp
  9. 0046C098     83EC 58           sub esp,58
  10. 0046C09B     53                push ebx
  11. 0046C09C     56                push esi
  12. 0046C09D     57                push edi
复制代码
我们可以只搜索前三条命令。找到符合前三条命令的，我们在对照接下来的命令。只要命令相符那这个地址八九不离十就是OEP了。如果在ADDRESS地址附近找不到OEP，那就只好用笨办法，从401000开始找吧。
    找到OEP地址后，我们在OEP处点鼠标右键《此处为新EIP》。接下来就可以dump啦。通常选择OD的dump插件脱壳要好点，用loadpe脱壳后要么程序不运行要么干脆没脱。用OD的dump插件脱壳的时候，脱壳窗口下面的（重建输入表）项前面的勾一定要去掉，这个也是前辈总结的经验。
    到此脱壳就结束了。可以试验一下脱壳后的程序了。能运行说明它在70-80%的范围，不能运行的话那也是我还在学习的内容，大家共同探讨！
    以下是主要几种编程语言的OEP特征段：
  1. Borland C++
  2. 0040163C B> /EB 10             jmp short Borland_.0040164E
  3. 0040163E    |66:623A           bound di,dword ptr ds:[edx]
  4. 00401641    |43                inc ebx
  5. 00401642    |2B2B              sub ebp,dword ptr ds:[ebx]
  6. 00401644    |48                dec eax
  7. 00401645    |4F                dec edi
  8. 00401646    |4F                dec edi
  9. 00401647    |4B                dec ebx
  10. 00401648    |90                nop
  11. 00401649   -|E9 98E04E00       jmp SHELL32.008EF6E6
  12. 0040164E    \A1 8BE04E00       mov eax,dword ptr ds:[4EE08B]
  13. 00401653     C1E0 02           shl eax,2
  14. 00401656     A3 8FE04E00       mov dword ptr ds:[4EE08F],eax
  15. 0040165B     52                push edx
  16. 0040165C     6A 00             push 0
  17. 0040165E     E8 DFBC0E00       call <jmp.&KERNEL32.GetModuleHandleA>
复制代码
  1. **********************************************************************************
  2. Delphi
  3. 00458650 D>  55                push ebp
  4. 00458651     8BEC              mov ebp,esp
  5. 00458653     83C4 F0           add esp,-10
  6. 00458656     B8 70844500       mov eax,Delphi.00458470
  7. 0045865B     E8 00D6FAFF       call Delphi.00405C60
  8. 00458660     A1 58A14500       mov eax,dword ptr ds:[45A158]
  9. 00458665     8B00              mov eax,dword ptr ds:[eax]
  10. 00458667     E8 E0E1FFFF       call Delphi.0045684C
  11. 0045866C     A1 58A14500       mov eax,dword ptr ds:[45A158]
  12. 00458671     8B00              mov eax,dword ptr ds:[eax]
  13. 00458673     BA B0864500       mov edx,Delphi.004586B0
  14. 00458678     E8 DFDDFFFF       call Delphi.0045645C
  15. 0045867D     8B0D 48A24500     mov ecx,dword ptr ds:[45A248]            ; Delphi.0045BC00
  16. 00458683     A1 58A14500       mov eax,dword ptr ds:[45A158]
  17. 00458688     8B00              mov eax,dword ptr ds:[eax]
  18. 0045868A     8B15 EC7D4500     mov edx,dword ptr ds:[457DEC]            ; Delphi.00457E38
  19. 00458690     E8 CFE1FFFF       call Delphi.00456864
  20. 00458695     A1 58A14500       mov eax,dword ptr ds:[45A158]
  21. 0045869A     8B00              mov eax,dword ptr ds:[eax]
  22. 0045869C     E8 43E2FFFF       call Delphi.004568E4
复制代码
  1. **********************************************************************************
  2. Visual C++ 6.0
  3. 0046C07B U>  55                push ebp
  4. 0046C07C     8BEC              mov ebp,esp
  5. 0046C07E     6A FF             push -1
  6. 0046C080     68 18064C00       push UltraSna.004C0618
  7. 0046C085     68 F8364700       push UltraSna.004736F8
  8. 0046C08A     64:A1 00000000    mov eax,dword ptr fs:[0]
  9. 0046C090     50                push eax
  10. 0046C091     64:8925 00000000  mov dword ptr fs:[0],esp
  11. 0046C098     83EC 58           sub esp,58
  12. 0046C09B     53                push ebx
  13. 0046C09C     56                push esi
  14. 0046C09D     57                push edi
  15. 0046C09E     8965 E8           mov dword ptr ss:[ebp-18],esp
  16. 0046C0A1     FF15 74824A00     call dword ptr ds:[<&KERNEL32.GetVersion>]  ; kernel32.GetVersion
  17. 0046C0A7     33D2              xor edx,edx
  18. 0046C0A9     8AD4              mov dl,ah
  19. 0046C0AB     8915 403F4F00     mov dword ptr ds:[4F3F40],edx
  20. 0046C0B1     8BC8              mov ecx,eax
  21. 0046C0B3     81E1 FF000000     and ecx,0FF
  22. 0046C0B9     890D 3C3F4F00     mov dword ptr ds:[4F3F3C],ecx
复制代码
  1. **********************************************************************************
  2. Visual C++ 7.0
  3. 0100739D > $  6A 70         push 0x70
  4. 0100739F   .  68 98180001   push NOTEPAD.01001898
  5. 010073A4   .  E8 BF010000   call NOTEPAD.01007568
  6. 010073A9   .  33DB          xor ebx,ebx
复制代码
  1. **********************************************************************************
  2. 汇编
  3. 00401000 汇>  6A 00            push 0
  4. 00401002     E8 C50A0000       call <jmp.&KERNEL32.GetModuleHandleA>
  5. 00401007     A3 0C354000       mov dword ptr ds:[40350C],eax
  6. 0040100C     E8 B50A0000       call <jmp.&KERNEL32.GetCommandLineA>
  7. 00401011     A3 10354000       mov dword ptr ds:[403510],eax
  8. 00401016     6A 0A             push 0A
  9. 00401018     FF35 10354000     push dword ptr ds:[403510]
  10. 0040101E     6A 00             push 0
  11. 00401020     FF35 0C354000     push dword ptr ds:[40350C]
  12. 00401026     E8 06000000       call 汇编.00401031
  13. 0040102B     50                push eax
  14. 0040102C     E8 8F0A0000       call <jmp.&KERNEL32.ExitProcess>
  15. 00401031     55                push ebp
  16. 00401032     8BEC              mov ebp,esp
  17. 00401034     83C4 B0           add esp,-50
  18. 00401037     C745 D0 30000000  mov dword ptr ss:[ebp-30],30
  19. 0040103E     C745 D4 0B000000  mov dword ptr ss:[ebp-2C],0B
  20. 00401045     C745 D8 37114000  mov dword ptr ss:[ebp-28],汇编.00401137
复制代码
  1. **********************************************************************************
  2. VB
  3. 0040116C V>/$  68 147C4000     push VB.00407C14
  4. 00401171   |.  E8 F0FFFFFF     call <jmp.&MSVBVM60.#100>
  5. 00401176   |.  0000            add byte ptr ds:[eax],al
  6. 00401178   |.  0000            add byte ptr ds:[eax],al
  7. 0040117A   |.  0000            add byte ptr ds:[eax],al
  8. 0040117C   |.  3000            xor byte ptr ds:[eax],al
复制代码

评分

参与人数 1威望 +20 收起 理由
潇潇 + 20 支持原创！

查看全部评分

回复

使用道具 举报

该用户从未签到
huaimaoer 发表于 2010-10-19 00:13:27 | 显示全部楼层
内容很详细
回复 支持 反对

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册

本版积分规则

免责声明

本站中所有被研究的素材与信息全部来源于互联网，版权争议与本站无关。本站所发布的任何软件编程开发或软件的逆向分析文章、逆向分析视频、补丁、注册机和注册信息，仅限用于学习和研究软件安全的目的。全体用户必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。学习编程开发技术或逆向分析技术是为了更好的完善软件可能存在的不安全因素，提升软件安全意识。所以您如果喜欢某程序，请购买注册正版软件，获得正版优质服务！不得将上述内容私自传播、销售或者用于商业用途！否则，一切后果请用户自负！

QQ|Archiver|手机版|小黑屋|联系我们|宝峰科技 ( 滇公网安备 53050202000040号 | 滇ICP备09007156号-2 )

Copyright © 2001-2023 Discuz! Team. GMT+8, 2024-12-22 21:04 , File On Powered by Discuz! X3.49

快速回复 返回顶部 返回列表