PESPIN v0.7脱壳(完结篇)

 PESPIN v0.7脱壳(完结篇)

 

【目    标】: win98’s notepad和自己随便写的一个masm程序

【工    具】:Olydbg1.1

【任    务】:完成上篇文章里没有完成的任务脱壳and修复

【操作平台】:WINXP pro sp1

【作    者】:loveboom[DFCG][FCG]

【相关链接】: 见附见

【简要说明】:看过我上篇关于脱pespin 的文章就知道我上次只做了一半的工作，所以我们这次的任务是脱衣＋说服”她”(修复)。

【详细过程】:

上次我们说怎么到关键代码处，所以这里不再多讲了，如果你没看过的话，可以先去看看我的上篇文章，话说通过上一篇我们到了关键代码处(这次的程序和上次不同，不过关键代码是一样的,LoadLibraryA断后，来到了这里:

[CODE]

0040C887    60              PUSHAD        ;最后到了这里

0040C888    EB 04           JMP SHORT VC.0040C88E

0040C88A    CB              RETF                                     ; Far return

0040C88B    EB 04           JMP SHORT VC.0040C891

[/CODE]

现在清除一点垃圾代码,清理过后,向下看看这里的代码:

[CODE]

0040C918    8BBD 792B4000   MOV EDI,DWORD PTR SS:[EBP+402B79]

0040C91E    3BC7            CMP EAX,EDI

0040C920    76 35           JBE SHORT VC.0040C957              

;找到这里后，改成jmp xxxx

0040C922    03BD 7D2B4000   ADD EDI,DWORD PTR SS:[EBP+402B7D]

……

0040C950    50              PUSH EAX

0040C951    FF95 C4394000   CALL DWORD PTR SS:[EBP+4039C4]

0040C957    EB 01           JMP SHORT VC.0040C95A

0040C959    90              NOP

0040C95A    894424 1C       MOV DWORD PTR SS:[ESP+1C],EAX

;这里改成 mov ss:[edx],eax,移入正确的函数

0040C95E    61              POPAD

[/CODE]

上面的全部改完后，就要注意了，现在有两种情况，分别对应vc/Delphi,和masm两种情况(VB的就不用说了，相当简单，上面的都不用改).先说vc/delphi这种情况:

在第一个ret向下看不远处就会看到.

VC/delphi的解决方法:

[CODE]

0040C962    0BC0            OR EAX,EAX

0040C964    C3              RETN            ;这里就是Ret

0040C965    EB 01           JMP SHORT VC.0040C968

0040C967    90              NOP

0040C968    57              PUSH EDI

0040C969    51              PUSH ECX

0040C96A    90              NOP

0040C96B    90              NOP

0040C96C    90              NOP

0040C96D    90              NOP

0040C96E    90              NOP

0040C96F    90              NOP

0040C970    90              NOP

0040C971    90              NOP

0040C972    90              NOP

0040C973    BF 4FE24000     MOV EDI,VC.0040E24F

0040C978    EB 01           JMP SHORT VC.0040C97B

0040C97A    90              NOP

0040C97B    B9 7F020000     MOV ECX,27F

0040C980    EB 01           JMP SHORT VC.0040C983

0040C982    90              NOP

0040C983    3917            CMP DWORD PTR DS:[EDI],EDX

0040C985    74 0A           JE SHORT VC.0040C991

0040C987    47              INC EDI

0040C988  ^ E2 F9           LOOPD SHORT VC.0040C983

0040C98A    EB 01           JMP SHORT VC.0040C98D

0040C98C    90              NOP

0040C98D    8902            MOV DWORD PTR DS:[EDX],EAX

;这里就是进行搞破坏，所以这里要NOP它

0040C98F    EB 25           JMP SHORT VC.0040C9B6

0040C991    90              NOP

0040C992    90              NOP

0040C993    90              NOP

0040C994    90              NOP

0040C995    90              NOP

0040C996    90              NOP

0040C997    90              NOP

0040C998    90              NOP

0040C999    90              NOP

0040C99A    807F FF 00      CMP BYTE PTR DS:[EDI-1],0

0040C99E    74 11           JE SHORT VC.0040C9B1

0040C9A0    807F FF E9      CMP BYTE PTR DS:[EDI-1],0E9

;这里是判断是不是MASM的程序.后面再讲

0040C9A4  ^ 75 E7           JNZ SHORT VC.0040C98D

0040C9A6    83C7 04         ADD EDI,4

0040C9A9    2BC7            SUB EAX,EDI

0040C9AB    8947 FC         MOV DWORD PTR DS:[EDI-4],EAX

0040C9AE    EB 06           JMP SHORT VC.0040C9B6

0040C9B0    90              NOP              ;这里是花指令，nop掉

0040C9B1    8907            MOV DWORD PTR DS:[EDI],EAX

;对于VC/DELPHI加的壳的程序，这里是最重要的了

0040C9B3    EB 01           JMP SHORT VC.0040C9B6

0040C9B5    90              NOP

0040C9B6    59              POP ECX

[/CODE]

并且经过多次跟踪，每个跳去壳中的IAT里装的就是真正的iat位置，所以我们要想办法让它改回去，运行到0040C9B1处看看，刚好edi就是壳的iat，edx就是真正的iat，

得到这些信息后就好办很多，把0040C9B1这里改成跳到一个空闲的地方，写上我们自己的代码，我找的是4113F0，找到地方后，就把0040c9b1的代码改成:

[CODE]

0040C9B1   /E9 3A4A0000     JMP VC.004113F0

[/CODE]

在4113F0处写上几行代码:

[CODE]

004113F0    60              PUSHAD

004113F1    9C              PUSHFD

004113F2    BB 00104000     MOV EBX,VC.00401000                      ; CODEBASE

004113F7    B9 00400000     MOV ECX,4000                             ; CODESIZE

004113FC    8B13            MOV EDX,DWORD PTR DS:[EBX]

004113FE    3BD7            CMP EDX,EDI

00411400    75 0C           JNZ SHORT VC.0041140E

00411402    8B17            MOV EDX,DWORD PTR DS:[EDI]

00411404    8913            MOV DWORD PTR DS:[EBX],EDX

00411406    83C3 04         ADD EBX,4

00411409    83E9 03         SUB ECX,3

0041140C    EB 03           JMP SHORT VC.00411411

0041140E    83C3 01         ADD EBX,1

00411411  ^ E2 E9           LOOPD SHORT VC.004113FC

00411413    9D              POPFD

00411414    61              POPAD

00411415  ^ E9 9CB5FFFF     JMP VC.0040C9B6        ;找完后回去老地方

[/CODE]

上面这段代码的作用就是在code段里找跳到壳iat的那个地址，然后用那个地址里的值来替换它.好了，现在看看效果如何，在12ffa4处下断 hr 12ffa4,断下后，用imp填入oep为10cc,然后AUTOSEARCH-+Get一下看看，怎么样，可以自动找到,iat了吧，看看简单看一下stolen code:

[CODE]

0040D088    55              PUSH EBP             ;*****

0040D089    EB 01           JMP SHORT VC.0040D08C

0040D08B    90              NOP

0040D08C    8BEC            MOV EBP,ESP              ;*****

0040D08E    EB 01           JMP SHORT VC.0040D091

0040D090    90              NOP

0040D091    83EC 44         SUB ESP,44           ;*****

0040D094    EB 01           JMP SHORT VC.0040D097

0040D096    90              NOP

0040D097    56              PUSH ESI             ;*****

0040D098    EB 01           JMP SHORT VC.0040D09B

0040D09A    90              NOP

0040D09B    FF15 19E34000   CALL DWORD PTR DS:[40E319]        ;*****

; VC.004063E4 这里要注意一下，这里要改成 CALL DWORD PTR DS:[4063E4]

0040D0A1    EB 01           JMP SHORT VC.0040D0A4

0040D0A3    90              NOP

0040D0A4    8BF0            MOV ESI,EAX              ;*****

0040D0A6    EB 01           JMP SHORT VC.0040D0A9

0040D0A8    90              NOP

0040D0A9    8A00            MOV AL,BYTE PTR DS:[EAX]               ;*****

0040D0AB    EB 01           JMP SHORT VC.0040D0AE

0040D0AD    90              NOP

0040D0AE    3C 22           CMP AL,22            ;*****

0040D0B0    EB 01           JMP SHORT VC.0040D0B3

0040D0B2    90              NOP

0040D0B3  - E9 2740FFFF     JMP VC.004010DF ;抽的代码并不多，到这里总算把控制权交还回程序了.

[/CODE]

补上壳所抽代码，然后dump,fixdump就搞定了.。

好了，现在VC/DELPHI的已经搞定了，我们来看看masm的了。

[CODE]

00405918    8BBD 792B4000   MOV EDI,DWORD PTR SS:[EBP+402B79]

0040591E    3BC7            CMP EAX,EDI

00405920    76 35           JBE SHORT masm.00405957

;这里一样改成 jmp xxxx

00405922    03BD 7D2B4000   ADD EDI,DWORD PTR SS:[EBP+402B7D]

00405959    90              NOP

0040595A    894424 1C       MOV DWORD PTR SS:[ESP+1C],EAX

;这里改成 mov ss:[edx],eax

0040595E    61              POPAD

……

0040598D    8902            MOV DWORD PTR DS:[EDX],EAX

;这里也nop掉

[/CODE]

下面的就要注意了，MASM的就会走这条路:

[CODE]

0040599A    807F FF 00      CMP BYTE PTR DS:[EDI-1],0

0040599E    74 11           JE SHORT masm.004059B1

004059A0    807F FF E9      CMP BYTE PTR DS:[EDI-1],0E9

;如果是MASM的它的IAT又玩另外一种花样，MASM的程序它就变成了远程跳了

004059A4  ^ 75 E7           JNZ SHORT masm.0040598D

004059A6    83C7 04         ADD EDI,4   

;如果是 远程跳的话，就到这里，进行”解释”了

004059A9    2BC7            SUB EAX,EDI

004059AB    8947 FC         MOV DWORD PTR DS:[EDI-4],EAX

004059AE    EB 06           JMP SHORT masm.004059B6

004059B0    90              NOP

004059B1    8907            MOV DWORD PTR DS:[EDI],EAX

[/CODE]

看看上面的代码再分析分析，可以发现，其实 [edi-1]就是原程序的FF25的地址，[EDI+1]就是放正确iat的地址，所以我们又来写几行代码，这个就更容易的。

改成这样子:

[CODE]

004059A6    66:C747 FF FF25 MOV WORD PTR DS:[EDI-1],25FF

004059AC    8957 01         MOV DWORD PTR DS:[EDI+1],EDX

004059AF    EB 05           JMP SHORT masm.004059B6

004059B1    8907            MOV DWORD PTR DS:[EDI],EAX

004059B3    EB 01           JMP SHORT masm.004059B6

004059B5    90              NOP

004059B6    59              POP ECX

004059B7    5F              POP EDI

004059B8    C3              RETN

[/CODE]

呵呵，改好去用hr 12ffa4的方法到stolen code处:

[CODE]

00406088    6A 00           PUSH 0

0040608A    EB 01           JMP SHORT masm.0040608D

0040608C    90              NOP

0040608D    68 97604000     PUSH masm.00406097

00406092  - E9 2FB0FFFF     JMP masm.004010C6

00406097    A3 00304000     MOV DWORD PTR DS:[403000],EAX

0040609C    EB 01           JMP SHORT masm.0040609F

0040609E    90              NOP

0040609F    68 A9604000     PUSH masm.004060A9

004060A4  - E9 35B0FFFF     JMP masm.004010DE                        ; JMP to COMCTL32.InitCommonControls

004060A9    6A 00           PUSH 0

004060AB    EB 01           JMP SHORT masm.004060AE

004060AD    90              NOP

004060AE    68 962628E1     PUSH E1282696

004060B3    810424 98E9171F ADD DWORD PTR SS:[ESP],1F17E998

004060BA    6A 00           PUSH 0

004060BC    EB 01           JMP SHORT masm.004060BF

004060BE    90              NOP

004060BF    6A 65           PUSH 65

004060C1    EB 01           JMP SHORT masm.004060C4

004060C3    90              NOP

004060C4    FF35 00304000   PUSH DWORD PTR DS:[403000]

004060CA    EB 01           JMP SHORT masm.004060CD

004060CC    90              NOP

004060CD    68 D7604000     PUSH masm.004060D7

004060D2  - E9 F5AFFFFF     JMP masm.004010CC

004060D7    6A 00           PUSH 0

004060D9    EB 01           JMP SHORT masm.004060DC

004060DB    90              NOP

004060DC    68 E6604000     PUSH masm.004060E6

004060E1  - E9 DAAFFFFF     JMP masm.004010C0

[/CODE]

这里具体的代码我就不在多讲了，自己看也看得懂吧.

好了，到了这里也算是到了终点站吧，收工!

 

 

Greetz:

 

Fly,Jingulong,yock,tDasm,David,ahao,vcasm,UFO(brother),alan(sister),all of my friends and you!

                           

                            By loveboom[DFCG][FCG]

                            Email:bmd2chen@tom.com