forgot/hexer变形telock

【目    标】: forgot/hexer做的变形telock

【工    具】:Olydbg1.1

【任    务】:当然是要脱光它的衣服了:D

【操作平台】:WINXP pro sp1

【作    者】:loveboom[DFCG][FCG]

【相关链接】: 附件就是了

【简要说明】:呵呵，前几天看看forgot在做"某护肤产品的公告",所以就进去看看，不看可能还没事，一看我的机子就重启了N次，晕呀!

【详细过程】:

      既然搞得我的机子重启这么多次不脱他个光光就太对不起我电脑吧，打开OD设置一下:

 忽略异常里除了'Invalid or privileged instruction'和最下面的一个，其它的全钩上，不用隐身你的OD的，因为壳里"忘记?"了

 还好forgot这次没有清DRX要不，可能就更难了。

先在peid的userdb里加上标志先，这样下次见到好有个照应.

在userdb里加上:

[TElock v0.98b1<->Modifly by forgot/hexer]

signature = 9C 6A 03 73 0B EB 02 75 75

ep_only=false

这样以后和forgot又亲了一点:)

 用OD载入后停在入口:

 

00462862 >^/E9 99D7FFFF     JMP d1.00460000             ;ep

00462867    0000            ADD BYTE PTR DS:[EAX],AL

 

按F9出现异常了:

 

004607E5    8DC0            LEA EAX,EAX                              ; 这里异常了

004607E7    74 03           JE SHORT d1.004607EC

 

异常后我们下断bp GetModuleHandleA,呵呵，他这时还没有检查这里有没有CC呢.下断-->shift+f9断下:

 

77E5AD86 >  837C24 04 00    CMP DWORD PTR SS:[ESP+4],0        ;断在这里

77E5AD8B    0F84 37010000   JE kernel32.77E5AEC8

 

断下来了就先"还东西"(取消断点),再按alt+f9执行到用户代码:

 

00460E97    0BC0            OR EAX,EAX                               ; 回到程序了地盘咯

00460E99    75 07           JNZ SHORT d1.00460EA2

 

回到用户代码后，按CTRL+B找85FF74也就是找:

 

004617E4    85FF            TEST EDI,EDI    ;找的就是这里

004617E6    74 0F           JE SHORT d1.004617F7

 

在4617E4处下he 4617E4(硬件访问断点),下断完毕f9运行一下又异常了.

 

77E53887    5E              POP ESI                                 

77E53888    C9              LEAVE

 

在77E53887处会异常三次，第四次到就了我们刚才下硬件断点的地方:

 

004617E4    85FF            TEST EDI,EDI                             ; ntdll.ZwSetInformationThread

004617E6    74 0F           JE SHORT d1.004617F7

004617E8    FF95 191F4000   CALL DWORD PTR SS:[EBP+401F19]

 

呵呵，看到了吧，壳想搞破坏了，这里我们就把edi给填0，这样的话，不用再担心有效验。

同样，还东西后，走下一步，再次按ctrl+B查找61C685:

 

00461EF7    61              POPAD

00461EF8    C685 E1314000 0>MOV BYTE PTR SS:[EBP+4031E1],0

00461EFF    74 24           JE SHORT d1.00461F25     ;这就是我们要找的，这里一改就会有全部的IAT

 

把00461EFF改成EB24也就是jmp 00461F25,改完后接f9又出现一次异常，这时先不要急着按shift+f9再按程序就跑了.

 

00462336    8DC0            LEA EAX,EAX               ; 异常在这里

00462338    EB 01           JMP SHORT d1.0046233B

 

异常后有两种方法可以很快到程序的OEP的.

第一种 ESP的方法:

异常后下断hr 12ffa4,这样中断在这里:

 

004623B0    874424 FC       XCHG DWORD PTR SS:[ESP-4],EAX            ; 这里断下

004623B4    83EC 04         SUB ESP,4

 

断后取消断点按ctrl+f9执行到返回，然后按一次f8到了入口:

 

00462422    5F              POP EDI

00462423    C3              RETN

......

0044CA98    55              PUSH EBP                                 ; OEP!

0044CA99    8BEC            MOV EBP,ESP

0044CA9B    83C4 F0         ADD ESP,-10

 

第二种 段断点:

    打开内存页,在下面的段上按f2:

   Memory map, item 18

     Address=00401000

     Size=0004C000 (311296.)

    Owner=d1       00400000

     Section=.BJFnt

     Contains=code

    Type=Imag 01001004

    Access=RW

    Initial access=RWE

    然后shift+f9就到入口了:

    0044CA98    55              PUSH EBP                                 ; OEP!

    0044CA99    8BEC            MOV EBP,ESP

 

到了这里就dump+fixdump我就不再多说了，介于这个壳对我的电脑打击过于"利害",所以决定来个"脱壳机器人".哈哈!

code:

   msgyn "设置:按ALT+O打开异常项，除倒数第一和第三项外，其它全部打钩,这个脚本只对forgot/hexer的修改版telock有用,要继续吗?"

   cmp $RESULT,0

   je lblret

 

var addr

var cbase

var csize

gmi eip,CODEBASE

mov cbase,$RESULT

gmi eip,CODESIZE

mov csize,$RESULT

 

start:

   run

 

lbl1:

   gpa "GetModuleHandleA","kernel32.dll"

   bp $RESULT

   esto

 

lbl2:

   bc $RESULT

   rtu

   find eip,#85FF74??FF95#

   cmp $RESULT,0

   je lblabort

   mov addr,$RESULT

   bphws addr,"x"

  

lbl3:

   eob lbl4

   run

   esto

   esto

   esto

 

lbl4:

   bphwc addr

   mov edi,0

   find eip,#61C685#

   cmp $RESULT,0

   je lblabort

   mov addr,$RESULT

   add addr,8

   mov [addr],#EB#

lbl5:

   run

lbl6:

   bprm cbase,csize

   esto

 

end:

   bpmc

   cmt eip,"OEP!"

   msg "Script by loveboom[DFCG][FCG],Thank you for using my script!"

  

lblret:

   ret

 

lblabort:

   msg "出错，脚本将会结束，可能目标程序不是forgot/hexer的变形telock加的壳:(!"

   ret

 

Greetz:

 

Fly,Jingulong,yock,tDasm,David,ahao,vcasm,UFO(brother),alan(sister),all of my friends and you!

                           

                            By loveboom[DFCG][FCG]

                            Email:bmd2chen@tom.com