使用OllyDbg从零开始Cracking-57第五十七章-ExeCryptor v2.2.50.pdfVIP

第五十七章-ExeCryptor v2.2.50.c/d/ e/f/g脱壳 UnPackMe C : 本章我们继续加强ExeCryptor UnPackMe 的难度。UnPackMe C与UnPackMe B的难度 比较接近,只不过UnPackMe C在运行的时 候会检测是否存在注册表以及文件监视工 具,如果检测到了会将它们关闭。 由于这里我并没有开启注册表以及文件的 监视工具,所以UnPackMe C与UnPackMe B 的脱壳方法是一样的,我的机器上MOV EAX ,DWORD PTR SS:[EBP - C]这条指令的地 址为486DF7。 00486DF7 8B45 F4 MOV EAX,DWORD PTR S S:[EBP-C] 00486DFA E8CALL 0049D560 ; UnPackMe.0049D560 00486DFF 5B POP EBX 00486E00 8B0424 MOV EAX,DWORD PTR SS :[ESP] 00486E03 52 PUSH EDX 我们将脚本中硬件执行断点的地址修改为 486DFA。 脚本如下: var table var content mov table,460818 start: cmp table,460F28 ja final cmp [table] ja ToSkip mov content,[table] cmp content,0 je ToSkip log content log table mov eip,content bphws 486DFA,x mov [486DFA],0 mov [486DFB],0 cob ToRepair run ToRepair: cmp eip,486DFA jne ToSkip log eax mov [table],eax run ToSkip: add table,4 jmp start final: ret 到达OEP处以后别忘了删除掉break-on-ex ecute断点(PS:使用OllyBone插件设置了b reak-on-execute断点的话,记得要删除, 没有用到OllyBone插件的话,就不用管了) ,接着将监控线程挂起,然后在ZwTerminat eProcess这个API函数的入口处设置一个 硬件执行断点,接着执行该脚本修复IAT,I AT修复完毕以后就可以进行dump了,然后 打开IMP REC修复dump文件,这样UnPackMe C就搞定了。 UnPackMe D : 接下来我们来看看UnPackMe D,双击运行, 看看等级D的保护措施: 我们可以看到调试消息这个选项开启了, 也就是说会检测调试消息。不知道对我们 有没有影响,我们用OD加载UnPackMe D,还 是跟之前一样断在了系统断点处,我们删 除掉断点列表窗口中一次性断点,接着给 代码段设置break-on-execute断点,运行 起来就可以到达OEP处了。 到目前为止,我们还没有看到Debug Messa ges这个选项开启了对我们有什么实质上 的影响。下面我们来查看一下线程的情况 。 跟之前的一样,我们还是将除了主线程以 及线程函数入口地址为270000的这两个线 程以外的其他线程都挂起。 好,下面我们定位到OEP下方调用的第一个 API函数指令处,对其IAT项设置内存写入 断点,接着利用OD的Trace into进行自动 跟踪。 自动跟踪需要一段时间。 好了,自动跟踪结束了,断在了这里,我们 在跟踪 日志中定位到MOV EAX,DWORD PTR SS:[EBP -C]这条语句,我们可以看到它在 这里。 也就是说跟UnPackMe C并没有什么区别。 0046D8DC 8B45 F4 MOV EAX,DWORD PTR S