開(kāi)始打算寫個(gè)inline-patch:

用同樣的查表動(dòng)作,把對(duì)應(yīng)的變形碼copy出來(lái),得到對(duì)應(yīng)的API地址,與跳過(guò)加密而得到的干凈IAT對(duì)比。查到匹配值后,修改對(duì)應(yīng)的opcode,使其直接call到IAT中的地址。

用OllyScript腳本跳過(guò)IAT加密,得不到變形碼（此時(shí)從變形碼地址表中得到的就是API的真正地址,有46項(xiàng)指針無(wú)效,為0xCCCCCCCC）。

另一個(gè)問(wèn)題卻是難以解決的,replaced code只有5字節(jié):

這里的call是0xE8,調(diào)用殼中的絕對(duì)地址。InlinePatch寫到一定程度才發(fā)現(xiàn),如果要修復(fù)代碼,使其調(diào)用到IAT,需要相對(duì)地址調(diào)用6 bytesL。真是個(gè)低級(jí)錯(cuò)誤。

現(xiàn)在patch的結(jié)果:


真正需要的是:



這樣只有保留變形碼。把殼中對(duì)應(yīng)的代碼copy過(guò)來(lái),OEP前生成正確的變形碼。而且脫殼后的程序不能直接看到API名字,很不舒服。

只好把殼的相應(yīng)代碼搬過(guò)來(lái)。再次修改dumped_.exe入口處代碼,在把loader空間中的IAT填好后,跳到處理變形碼的位置:



loader在處理IAT時(shí)需要調(diào)用幾個(gè)API,及判斷dll的映射地址、API地址等,先保存需要的數(shù)據(jù)(我們有干凈的IATJ):



由于在前面避開(kāi)了IAT加密,生成變形碼需要的數(shù)據(jù)已經(jīng)被正確的API地址覆蓋了。用LoadPE把ACProtect的idata section存到文件,然后加到dumped_.exe。



把這個(gè)section的密文數(shù)據(jù)copy到dumped_.exe的idata section,覆蓋掉干凈的IAT,我們已經(jīng)不需要它了?，F(xiàn)在只要偽造好現(xiàn)場(chǎng)J。



往下執(zhí)行l(wèi)oader的IAT處理代碼,做幾處小小的修改,使其使用剛才保存的API地址等數(shù)據(jù)。


IAT及變形碼處理結(jié)束后回到OEP。



執(zhí)行。又掛了L。這次是內(nèi)存訪問(wèn)異常。跟一跟可以知道,是在Hooked MessageBoxA中。這里面的代碼還沒(méi)有仔細(xì)看,有幾個(gè)switch-case分枝。第1次eax為5。



進(jìn)去后有幾個(gè)查表動(dòng)作:



用調(diào)用Hooked MessageBoxA的返回地址查表。這張表在721F25處,dumped_.exe中有,共21項(xiàng)。
注意查表時(shí)不是找相等值,而是找大于返回地址值且最接近的值。



繼續(xù)->



這里出現(xiàn)了另外2張表。7220B5的表中數(shù)據(jù)為size。Dumped_.exe中有:



問(wèn)題出在第3張表:



dump出的數(shù)據(jù)為0。這段代碼要把主程序中的一段數(shù)據(jù)copy到這張表中數(shù)據(jù)所指的地址。在loader中執(zhí)行時(shí),這里填入了指向動(dòng)態(tài)分配內(nèi)存的指針。



顯然不能直接復(fù)制這些值。有個(gè)簡(jiǎn)單的辦法可以騙過(guò)loader。從那張size表中可以看到,最大的數(shù)據(jù)FD5D。用LoadPE再次增加1個(gè)section,size為FFFF即可。



修改dumped_.exe,設(shè)置21項(xiàng)數(shù)據(jù),使其全部指向該地址。



在W2K下運(yùn)行,顯示窗口,但不能響應(yīng)輸入。在WinXP下運(yùn)行什么也不顯示。
下面該與主程序交手了,這需要把板凳坐穿的耐心L。

最新評(píng)論