手工脱壳之AsPack压缩脱壳-随机基址

时间:2022-12-18 20:52:58

一、工具及壳介绍

  • 使用工具:Ollydbg、PEID、ImportREC、LoadPE、010 Editor
  • 查看待脱壳程序

手工脱壳之AsPack压缩脱壳-随机基址

  • 查看AsPack壳特有的区段信息

手工脱壳之AsPack压缩脱壳-随机基址

  • 小结:根据链接器版本推断待脱壳程序应该是VS 2013编写

二、脱壳

1、ESP定律脱壳

  • 使用OD加载程序,发现pushad指令,判断程序已加壳,这里可以采用ESP定律脱壳

手工脱壳之AsPack压缩脱壳-随机基址

  • 单步过pushad处指令后,在esp处下硬件断点

手工脱壳之AsPack压缩脱壳-随机基址

  • 让程序运行起来,程序中断的地方即为popad的地方,单步几次之后,一般就能找到原始OEP

手工脱壳之AsPack压缩脱壳-随机基址

  • 单步几次后发现CALL和JMP组合

手工脱壳之AsPack压缩脱壳-随机基址

  • 使用回车进入CALL后发现VS 2013 程序特有的几个函数,确认到达OEP处

手工脱壳之AsPack压缩脱壳-随机基址

  • 查看此时模块基址(exe的基址)

    注意:本次为11000000(每次重启系统有可能不相同)

手工脱壳之AsPack压缩脱壳-随机基址

  • 在原始OEP处dump文件,使用OD插件OllyDump

    修改起始地址为基址,入口地址为原始OEP地址并取消重建输入表选项

手工脱壳之AsPack压缩脱壳-随机基址

  • 转储文件后,使用导入表修复工具(ImportREC)对导入表进行修复

手工脱壳之AsPack压缩脱壳-随机基址

  • 转储文件后运行脱壳程序

    发现程序无法运行,并且导入表修复没有问题,那基本可以确定是随机基址的问题

手工脱壳之AsPack压缩脱壳-随机基址

  • 使用010 Editor找到特征(40 81)修改随即机制的标记位,在运行程序

手工脱壳之AsPack压缩脱壳-随机基址

手工脱壳之AsPack压缩脱壳-随机基址

2、单步跟踪脱壳

  • AsPack加壳之后的OEP处就存在花指令

手工脱壳之AsPack压缩脱壳-随机基址

  • 1117007处的代码第一个字节永远不会执行的指令,将其填充成nop指令可去除干扰

手工脱壳之AsPack压缩脱壳-随机基址

  • 重新加载待脱壳程序,当我们单步跟踪时,遇到的函数时GetModuleHandleA,而且我们发现参数是kernel32.dll,调用此函数获取的信息时kernel32.dll的基地址

手工脱壳之AsPack压缩脱壳-随机基址

  • 有了kernel32的基地址之后就可以获取这个模块的其他任意函数,接下来调用的应该是GetProcAddress

手工脱壳之AsPack压缩脱壳-随机基址

  • 继续单步跟踪,发现第三个函数调用

手工脱壳之AsPack压缩脱壳-随机基址

  • 在这里VirtualAlloc函数的出现,一般与解压解密代码有一定的关联,继续跟踪

手工脱壳之AsPack压缩脱壳-随机基址

  • 发现又有一个VirtualAlloc函数的调用,继续跟踪分析。发现一个函数调用,查看内部调用发现很繁琐,只能分析一下参数,分析之后发现这个函数大有文章。

手工脱壳之AsPack压缩脱壳-随机基址

  • 分析参数发现4个参数与我们想要找的解压代码函数很相似,有申请的内存地址,有代码段的大小(代码段大小的识别第一看数值大小,第二看调用完之后的情况,由于之前已经分析过,所以代码段大小非常容易确定),单步不过这个函数,分析缓冲区,发现190000中果然是解压的代码

手工脱壳之AsPack压缩脱壳-随机基址

  • 这个函数暂时不需要往里面跟踪,继续单步往下分析。能够看到有一段代码在寻找E8或E9,然后修复E8或E9后面的值,也就是说整个代码段CALL和JMP都将会被修复

手工脱壳之AsPack压缩脱壳-随机基址

  • 观察修复后的值和未修复的值,发现修复后的值是原先的代码,而未修复的值是经过转换的,这个值看起来是为了迎合压缩算法而进行的转换,分析到这,不需要在深入进行分析,总结一下,到目前为止我们分析的代码中最有价值的就是代码进行了解压,对代码进行了修正

手工脱壳之AsPack压缩脱壳-随机基址

  • 经过修正代码的循环,继续往下跟踪,可以发现将解压的代码拷贝到原始代码段的代码。

手工脱壳之AsPack压缩脱壳-随机基址

  • 拷贝完之后,申请的内存就没有用了,所以单步跟踪发现释放内存的函数

手工脱壳之AsPack压缩脱壳-随机基址

  • 继续单步跟踪,发现一个向上的跳转

手工脱壳之AsPack压缩脱壳-随机基址

  • 单步一下这段代码发现原来是在循环解压代码、数据等各区段

手工脱壳之AsPack压缩脱壳-随机基址

  • 继续跟踪,代码访问了重定位的区段,分析之后发现是在重定位代码

手工脱壳之AsPack压缩脱壳-随机基址

  • 其中有一行代码时清除重定位信息的,正是有了这行代码,我们脱壳之后,随机基址才无法支持,所以在脱壳时,应该将这行代码nop掉。
  • 重定位代码之后,继续单步跟踪分析,发现有这样的一组调用。

手工脱壳之AsPack压缩脱壳-随机基址

  • 修复IAT的时候才会有这样一组操作,继续往下分析

手工脱壳之AsPack压缩脱壳-随机基址

  • 找到了填充IAT的地方,到此为止shell部分的代码基本上分析的差不多了,我们可以查看一下代码段及数据段。
  • 代码段已经恢复

手工脱壳之AsPack压缩脱壳-随机基址

  • IAT函数调用也都恢复

手工脱壳之AsPack压缩脱壳-随机基址

  • 接着继续跟踪,最后就是修改各区段的内存属性,填充原始OEP地址,跳转到原始OEP

手工脱壳之AsPack压缩脱壳-随机基址

  • 最终跳转到原始OEP处,然后进行dump,修改等操作就可以了

手工脱壳之AsPack压缩脱壳-随机基址

3、基址重定位的修复

  • 在单步跟踪时我们注意到了有重定位相关的代码,并发现有对重定位表清除的操作

手工脱壳之AsPack压缩脱壳-随机基址

  • 我们能识别出内存中重定位表的信息,只要大片以3开头的word数据,一般都是基址重定位信息,基址的RVA是16000

手工脱壳之AsPack压缩脱壳-随机基址

  • 在清除重定位信息的地方下断点,观察寄存器的值和寄存器指向的内容

手工脱壳之AsPack压缩脱壳-随机基址

  • 可以看出是在清除重定位表中的数据,确定之后可以将其nop掉

手工脱壳之AsPack压缩脱壳-随机基址

  • 之后需要分析出基址重定位的总大小,查看内存之后发现最大应该是0xC72

手工脱壳之AsPack压缩脱壳-随机基址

  • 总结一下,基址重定位表的RVA是16000,大小是0xC72,将dump出的程序,使用LoadPE对数据目录表中基址重定位项进行修改

手工脱壳之AsPack压缩脱壳-随机基址

  • 完成修改,进行测试运行,程序完美支持随机基址

手工脱壳之AsPack压缩脱壳-随机基址

个人总结:ESP定律脱壳很简单,后边的使脱壳程序支持随机基址很重要。

附件:

AsPack.exe