VMP脱壳技术.doc

下载文档 降价啦

171
0
约6.61千字
约 6页
2017-11-18 发布于江西
举报
版权申诉
保障服务

VMP脱壳技术.doc

1、本文档共6页，可阅读全部内容。
2、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击这里二次下载。
4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。

VMP脱壳技术

Winlicense v记事本脱壳(图) Winlicense v记事本脱壳By VirusWizard今天第一次接触Themida/Winlicense，基本上都是脚本，算不上什么技术，但作为实验，记录一下。总体流程：使用Nooby的脚本跑到FakeOEP，然后修复StolenCode。首先使用Winlicense v调了不少高级属性给WindowsXP的记事本加个壳。然后调整脚本中的Base记事本的WinLicen的Base。我这里的Base所以对应的代码修改成：mov tmdbase,接下来用StrongOD，选项全部勾上，开始跑脚本。跑完脚本之后，来到这里：???68 BA750001???? push????010075BA0100756D????64:A1mov???? eax, dword ptr fs:[0]???50??????????????push????eax???8B4424 10?????? mov???? eax, dword ptr [esp+10]???896C24 10?????? mov???? dword ptr [esp+10], ebp0100757C????8D6C24 10?????? lea???? ebp, dword ptr [esp+10]???2BE0????????????sub???? esp, eax???53??????????????push????ebx???56??????????????push????esi???57??????????????push????edi???8B45 F8???????? mov???? eax, dword ptr [ebp-8]???8965 E8???????? mov???? dword ptr [ebp-18], esp0100758B????50??????????????push????eax0100758C????8B45 FC???????? mov???? eax, dword ptr [ebp-4]0100758F????C745 FC FFFFFFFmov???? dword ptr [ebp-4], -1???8945 F8???????? mov???? dword ptr [ebp-8], eax???8D45 F0???????? lea???? eax, dword ptr [ebp-10]0100759C????64:A3mov???? dword ptr fs:[0], eax010075A2????C3??????????????retn观察堆栈，发现这个：0006FF8C?? 011ABF9B NOTEPAD_.011ABF9B0006FF90??NOTEPAD_0006FF94??70有些眼熟，用OD打开原记事本，看到头两行：0100739D $ 6A 70???????? push????70?????????????????????????????? ; (initial cpu selection)0100739F?? . 68? push???然后F4到011ABF9B，这个时候会进入VM，我暂时还没那技术去分析。参考了网上别人的文章，方法是：Alt+M，然后在.code段F2下断，然后F9。第一次来到这里：010E567F????FF32????????????push????dword ptr [edx]??????????????????; kernel32.GetModuleHandleA010E5681 ^ E9 60ECFFFF???? jmp???? 010E42E6010E5686????81C4? add???? esp, 4010E568C????E9 A05F0000???? jmp???? 010EB631显然还在VM中，重复一遍，来到这里：010073F2????8379 74 0E??????cmp???? dword ptr [ecx+74], 0E010073F6 ^ 76 E2?????????? jbe???? short 010073DA01