Armadillo v4.x COPYMEM II Code Injection(2)

【目     标】:在DFCG里下了一个别人加壳后的CRACKME
【工     具】:OllyDbg v1.1(DIY Version)
【任     务】:不脱壳通过注入代码，破程序。
【操作平台】:Windows 2003 server
【作     者】: LOVEBOOM[DFCG][FCG][US]
【相关链接】: 自己去上网搜搜

【简要说明】： 这次挑了个别人加壳后的目标来操作，这样做可以防止我知道代码而去直接定位到相关位置进行修改。这个CrackME加上了全部的保护选项,这也算是ARM里很好的保护，我个人认为如果没有用个SDK话，这种保护是最强的了。

【详细过程】:

       因为之前我已经写过了一篇这样的文章，所以我这次不会写的那么详细。如果你想了解更多，可以先看看我的上一篇文章。载入目标通过copymem2的脱壳方法，可以定位到程序的关键代码，把代码改为NOP就可以破解成功。

003A2AF6    90              NOP

003A2AF7    90              NOP

此时计算从起始位置到003a2af6处距离为：B86

记下PATCH ①为:003a2af6    

重新有Copmem2脱壳的方法可以很快定位到关键代码：

0041ABFA   .  8945 E0       MOV DWORD PTR SS:[EBP-20],EAX

0041ABFD   >  837D E0 00    CMP DWORD PTR SS:[EBP-20],0

0041AC01   .  75 11         JNZ SHORT 0041AC14

 

ECX=00019C06

 

0041ABFA    E8 014C0200     CALL 0043F800

加密后为:97 96 8F 8D CA

记下PATCH ②为:41ABFA

通过SetFilePointer的方法定位到：

00AA0877    3341 24         XOR EAX,DWORD PTR DS:[ECX+24]

00AA087A    3345 DC         XOR EAX,DWORD PTR SS:[EBP-24]

 

Stack SS:[0012D6F4]=A5989495     ;crc 值

 

记下CRC值：A5989495,起始处的距离为：20877

记下PATCH ③为:00aa0877

通过搜索定位到可以patch 3的地址，因为patch 3是动态申请和动态解压出来的代码。

搜索到以下地址：

00408334  |.  833D A0524400>CMP DWORD PTR DS:[4452A0],0

0040833B  |.  0F85 54010000 JNZ 00408495

 

记下PATCH ④为:00408334

第一个patch 点在以下代码处已经解压出来：

004238C1   .  50            PUSH EAX                                 ; |Buffer => 003A1F70

004238C2   .  8B4D EC       MOV ECX,DWORD PTR SS:[EBP-14]            ; |

004238C5   .  51            PUSH ECX                                 ; |Address

 

ECX==00010F3F

 

004238C1  - E9 7ABF0100     JMP 0043F840

加密后为:33 3D 46 D8 5C

 

第5 个patch点已经出来了，因为这里有几次还原数据，所以要加条进行判断。

记下PATCH ⑤为:004238c0

分析完，开始写代码：

0043F7EE    0000            ADD BYTE PTR DS:[EAX],AL

0043F7F0    0000            ADD BYTE PTR DS:[EAX],AL                  ; 这里保存动态申请的地址

0043F7F2    0000            ADD BYTE PTR DS:[EAX],AL

0043F7F4    0000            ADD BYTE PTR DS:[EAX],AL

0043F7F6    0090 90909090   ADD BYTE PTR DS:[EAX+90909090],DL

0043F7FC    90              NOP

0043F7FD    90              NOP

0043F7FE    90              NOP

0043F7FF    90              NOP

0043F800    50              PUSH EAX                                  ; Patch 2 处的代码

0043F801    A3 F0F74300     MOV DWORD PTR DS:[43F7F0],EAX             ; 保存地址信息

0043F806    B8 34834000     MOV EAX,00408334

0043F80B    53              PUSH EBX

0043F80C    BB 65F84300     MOV EBX,0043F865

0043F811    2BD8            SUB EBX,EAX

0043F813    83EB 05         SUB EBX,5

0043F816    C600 E8         MOV BYTE PTR DS:[EAX],0E8                 ; 修改 patch 4的代码

0043F819    8958 01         MOV DWORD PTR DS:[EAX+1],EBX

0043F81C    5B              POP EBX

0043F81D    8D4424 04       LEA EAX,DWORD PTR SS:[ESP+4]

0043F821    8328 05         SUB DWORD PTR DS:[EAX],5

0043F824    8B00            MOV EAX,DWORD PTR DS:[EAX]                ; 还原并执行原代码

0043F826    C700 8945E083   MOV DWORD PTR DS:[EAX],83E04589

0043F82C    C640 04 7D      MOV BYTE PTR DS:[EAX+4],7D

0043F830    58              POP EAX

0043F831    C3              RETN

0043F832    90              NOP

0043F833    90              NOP

0043F834    90              NOP

0043F835    90              NOP

0043F836    90              NOP

0043F837    90              NOP

0043F838    90              NOP

0043F839    90              NOP

0043F83A    90              NOP

0043F83B    90              NOP

0043F83C    90              NOP

0043F83D    90              NOP

0043F83E    90              NOP

0043F83F    90              NOP

0043F840    817D EC 0010400>CMP DWORD PTR SS:[EBP-14],00401000        ; patch 5处的代码

0043F847    75 0C           JNZ SHORT 0043F855                        ; 这里判断是否解压出patch 1的正确代码

0043F849    50              PUSH EAX

0043F84A    05 860B0000     ADD EAX,0B86

0043F84F    66:C700 9090    MOV WORD PTR DS:[EAX],9090                ; 如果代码已经完全解码了，那么patch 1

0043F854    58              POP EAX

0043F855    50              PUSH EAX                                  ; 执行壳代码

0043F856    8B4D EC         MOV ECX,DWORD PTR SS:[EBP-14]

0043F859    51              PUSH ECX

0043F85A  - E9 6740FEFF     JMP 004238C6

0043F85F    90              NOP

0043F860    90              NOP

0043F861    90              NOP

0043F862    90              NOP

0043F863    90              NOP

0043F864    90              NOP

0043F865    50              PUSH EAX                                  ; patch 4处的代码

0043F866    A1 F0F74300     MOV EAX,DWORD PTR DS:[43F7F0]

0043F86B    05 77080200     ADD EAX,20877

0043F870    53              PUSH EBX

0043F871    BB 9AF84300     MOV EBX,0043F89A                          ; 修改patch 3

0043F876    2BD8            SUB EBX,EAX

0043F878    83EB 05         SUB EBX,5

0043F87B    C600 E8         MOV BYTE PTR DS:[EAX],0E8

0043F87E    8958 01         MOV DWORD PTR DS:[EAX+1],EBX

0043F881    5B              POP EBX

0043F882    8D4424 04       LEA EAX,DWORD PTR SS:[ESP+4]

0043F886    8328 05         SUB DWORD PTR DS:[EAX],5

0043F889    8B00            MOV EAX,DWORD PTR DS:[EAX]                ; 还原并执行原代码

0043F88B    C700 833DA052   MOV DWORD PTR DS:[EAX],52A03D83

0043F891    C640 04 44      MOV BYTE PTR DS:[EAX+4],44

0043F895    58              POP EAX

0043F896    C3              RETN

0043F897    90              NOP

0043F898    90              NOP

0043F899    90              NOP

0043F89A    50              PUSH EAX                                  ; patch 3处的代码

0043F89B    C745 DC 959498A>MOV DWORD PTR SS:[EBP-24],A5989495        ; 写入原CRC值

0043F8A2    8D4424 04       LEA EAX,DWORD PTR SS:[ESP+4]

0043F8A6    8328 05         SUB DWORD PTR DS:[EAX],5

0043F8A9    8B00            MOV EAX,DWORD PTR DS:[EAX]

0043F8AB    C700 33412433   MOV DWORD PTR DS:[EAX],33244133           ; 还原并执行原壳代码

0043F8B1    C640 04 45      MOV BYTE PTR DS:[EAX+4],45

0043F8B5    58              POP EAX

0043F8B6    C3              RETN

写完后保存再运行就成功了。这篇文章写的很简单，很乱，其实这个壳的code injection也就是这么简单容易的:-)

Greetz:

 Fly.Jingulong,yock,tDasm.David.hexer,hmimys,ahao.UFO(brother).alan(sister).all of my friends and you!

By loveboom[DFCG][FCG][US]

Email:loveboom#163.com

Date:2005-5-12 16:25