亚洲aⅴ永久无码天堂网,91香蕉appios下载免费

ODbgScrip(OllyDbg插件的編寫(xiě))V1.65.2 中文綠色版

類型：反編譯(譯逆工程)大小：304KB語(yǔ)言：中文評(píng)分：8.7
標(biāo)簽：

立即下載

【調(diào)試環(huán)境】：WinXP、Ollydbg V1.10、PEiD、LordPE、WinHex、ReloX

―――――――――――――――――――――――――――――――――
【脫殼過(guò)程】：

某些殼保護(hù)的DLL脫殼時(shí)重定位表修復(fù)讓人頭痛，偶然發(fā)現(xiàn)了ReloX修復(fù)重定位表的工具，試驗(yàn)了幾次居然成功了，所以寫(xiě)個(gè)簡(jiǎn)單的過(guò)程加以推廣這個(gè)工具。由于比較忙，所以只測(cè)試了Neolite和UPX加殼DLL的重定位表修復(fù)，其它殼大家再多測(cè)試吧。
EdrLib.dll是Neolite V2.0最大比例壓縮，加密了重定位表，無(wú)法自動(dòng)脫殼。
―――――――――――――――――――――――――――――――――
一、Entry Point

Neolite是壓縮殼，OEP非常容易走到。

003D710F E9 A6000000 jmp EdrLib.003D71BA
//進(jìn)入Ollydbg后暫停在這
003D71BA 8B4424 04 mov eax,dword ptr ss:[esp+4]
003D71BE 2305 20713D00 and eax,dword ptr ds:[3D7120]
003D71C4 E8 ED040000 call EdrLib.003D76B6
003D71C9 FE05 B9713D00 inc byte ptr ds:[3D71B9]
003D71CF FFE0 jmp eax
//這里就是跳向OEP的地方！:-) 在這里“埋伏”個(gè)斷點(diǎn)，開(kāi)始第二步操作

―――――――――――――――――――――――――――――――――
二、適當(dāng)?shù)腄ump時(shí)機(jī)：搞定輸入表

下斷：BP VirtualProtect
中斷后取消斷點(diǎn)，Alt+F9返回

003D7B22 FF55 7A call dword ptr ss:[ebp+7A]; kernel32.VirtualProtect
003D7B25 FF75 66 push dword ptr ss:[ebp+66]
003D7B28 8D55 A2 lea edx,dword ptr ss:[ebp-5E]
003D7B2B 8D85 5EFDFFFF lea eax,dword ptr ss:[ebp-2A2]
003D7B31 FF75 5A push dword ptr ss:[ebp+5A]
003D7B34 8B4F 0C mov ecx,dword ptr ds:[edi+C]
003D7B37 E8 B4030000 call EdrLib.003D7EF0
//區(qū)段解壓
003D7B3C 8B55 0A mov edx,dword ptr ss:[ebp+A]
003D7B3F 8B47 04 mov eax,dword ptr ds:[edi+4]
003D7B42 8B52 24 mov edx,dword ptr ds:[edx+24]
003D7B45 25 00000080 and eax,80000000
003D7B4A 81E2 00000080 and edx,80000000
003D7B50 39D0 cmp eax,edx
003D7B52 0F84 60FFFFFF je EdrLib.003D7AB8
003D7B58 F647 04 20 test byte ptr ds:[edi+4],20
003D7B5C 0F84 4FFFFFFF je EdrLib.003D7AB1
003D7B62 C745 AA 20000000 mov dword ptr ss:[ebp-56],20
003D7B69 E9 4AFFFFFF jmp EdrLib.003D7AB8
//循環(huán)
003D7B6E 837E 24 00 cmp dword ptr ds:[esi+24],0
//F4到這里 [esi+24]＝[003E4024]=0000442C 輸入表的RVA！ ★
003D7B72 0F84 1D010000 je EdrLib.003D7C95

現(xiàn)在程序代碼已經(jīng)解開(kāi)，API函數(shù)的系統(tǒng)地址還沒(méi)有填充進(jìn)IAT，也沒(méi)有重定位，還等什么？運(yùn)行LordPE完全Dump出這個(gè)dll。

―――――――――――――――――――――――――――――――――
三、飛向光明之巔

Dump完畢之后直接F9運(yùn)行，中斷在我們首先“埋伏”的斷點(diǎn)處。
003D71CF FFE0 jmp eax ; EdrLib.003D11C9
//飛向光明之巔！:-)

003D11C9 55 push ebp
//OEP
003D11CA 8BEC mov ebp,esp
003D11CC 53 push ebx
003D11CD 8B5D 08 mov ebx,dword ptr ss:[ebp+8]

―――――――――――――――――――――――――――――――――
四、PE修正

用LordPE修正dumped.dll的OEP RVA=000011C9，Import Table RVA=0000442C，IAT RVA可以清零。
刪除Oreloc、.neolit、.reloc三個(gè)區(qū)段，用WinHex移除00006000至末尾的殼數(shù)據(jù)。

輸出表沒(méi)有加密，可以用LordPE來(lái)察看。RVA=000070A2 Size=6D
WinHex打開(kāi)EdrLib.dll，把偏移0X10A2處的06D字節(jié)復(fù)制出來(lái)；在dumped.dll中找一點(diǎn)空地，把其挪至4900處吧
修正dumped.dll的Export Table RVA=00004900，Size一樣。
當(dāng)然要修正相關(guān)數(shù)據(jù)了：
->Export Table
Characteristics: 0x00000000
TimeDateStamp: 0x3DC70847 (GMT: Mon Nov 04 23:52:39 2002)
MajorVersion: 0x0000
MinorVersion: 0x0000 -> 0.00
Name: 0x000070DE ("EdrLib.dll") ==>修改為：0x0000493C
Base: 0x00000001
NumberOfFunctions: 0x00000002
NumberOfNames: 0x00000002
AddressOfFunctions: 0x000070CA ==>修改為：0x00004928
AddressOfNames: 0x000070D2 ==>修改為：0x00004930
AddressOfNameOrdinals: 0x000070DA ==>修改為：0x00004938

Ordinal RVA Symbol Name
------- ---------- ----------------------------------
0x0001 0x00001010 "_EdrCenterTextA@12"
0x0002 0x00001080 "_EdrCenterTextW@12""

可以直接用WinHex修改：

Offset 0 1 2 3 4 5 6 7 8 9 A B C D E F //原來(lái)的輸出表
000010A0 00 00 00 00 47 08 C7 3D 00 00 00 00 DE 70 ....G.?....摒
000010B0 00 00 01 00 00 00 02 00 00 00 02 00 00 00 CA 70 ..............署
000010C0 00 00 D2 70 00 00 DA 70 00 00 10 10 00 00 80 10 ..茵..陴......?
000010D0 00 00 E9 70 00 00 FC 70 00 00 00 00 01 00 45 64 ..軻..?......Ed
000010E0 72 4C 69 62 2E 64 6C 6C 00 5F 45 64 72 43 65 6E rLib.dll._EdrCen
000010F0 74 65 72 54 65 78 74 41 40 31 32 00 5F 45 64 72 terTextA@12._Edr
00001100 43 65 6E 74 65 72 54 65 78 74 57 40 31 32 00 CenterTextW@12.

Offset 0 1 2 3 4 5 6 7 8 9 A B C D E F //修改的輸出表
00004900 00 00 00 00 47 08 C7 3D 00 00 00 00 3C 49 00 00 ....G.?....<I..
00004910 01 00 00 00 02 00 00 00 02 00 00 00 28 49 00 00 ............(I..
00004920 30 49 00 00 38 49 00 00 10 10 00 00 80 10 00 00 0I..8I......?..
00004930 47 49 00 00 5A 49 00 00 00 00 01 00 45 64 72 4C GI..ZI......EdrL
00004940 69 62 2E 64 6C 6C 00 5F 45 64 72 43 65 6E 74 65 ib.dll._EdrCente
00004950 72 54 65 78 74 41 40 31 32 00 5F 45 64 72 43 65 rTextA@12._EdrCe
00004960 6E 74 65 72 54 65 78 74 57 40 31 32 00 nterTextW@12.

只保留LordPE的“Validate PE”選項(xiàng)，對(duì)dumped.dll重建PE。

―――――――――――――――――――――――――――――――――
五、ReloX：修復(fù)重定位表的“通用”簡(jiǎn)便方法

ReloX V1.0的作者是牛人MackT/uCF2000，即Import REConstructor的作者。
ReloX可以通過(guò)比較不同基址的Dump文件,確定重定位表。

感謝好友WiNroot，特地寫(xiě)了個(gè)DLL_LoadEX。用看雪老大的DLL_Loader也可以。
http://bbs.pediy.com/upload/image/2004/DLL_LoadEX.gif_697.gif
把EdrLib.dll復(fù)制一份，然后用DLL_LoadEX載入EdrLib.dll和復(fù)制EdrLib.dll，注意兩個(gè)進(jìn)程的基址。

用LordPE直接把這2個(gè)DLL進(jìn)程Dump出來(lái)，另存為1.dll（ImageBase=01040000）和2.dll（ImageBase=01060000）
http://bbs.pediy.com/upload/image/2004/LordPE.gif_776.gif
為了減小體積，刪除1.dll和2.dll的Oreloc、.neolit、.reloc三個(gè)區(qū)段，用WinHex移除00006000至末尾的數(shù)據(jù)

運(yùn)行ReloX，選擇1.dll和2.dll，分別填入其相應(yīng)的基址，點(diǎn)ComPare，稍等，分析完畢。
http://bbs.pediy.com/upload/image/2004/ReloX.gif_822.gif
Fix PE Module,提示dumped_.dll保存成功。ReloX已經(jīng)自動(dòng)修正了Relocation RVA和Size！

―――――――――――――――――――――――――――――――――
六、尾聲

現(xiàn)在脫殼后的DLL已經(jīng)可以運(yùn)行了。但是用Ollydbg載入時(shí)會(huì)彈出“Module EdrLib has empty code section”的提示，感謝超人heXer，指教是BaseOfCode的緣故，00007000已經(jīng)被刪掉了，所以提示錯(cuò)誤�？梢园袯aseOfCode修正為00001000，這樣就不會(huì)提示了。如果想做的完美點(diǎn)，還可以把BaseOfData、SizeOfCode等修正。