PECompact 2.70加壳后手动脱壳技巧

admin

【 标题 】 PECompact2.70脱壳
【 作者 】 linxer
* s  P( G/ R* P+ I. `【破解平台】 Win2k3 English Version
+ I6 a: j& M( v1 ^8 ~- p8 H【脱壳工具】 OllyDbg v1.10 + OllyDump插件
5 ~; z& g, i1 U7 r' y  w【待脱软件】 Win2k3自带NOTEPAD(用PECompact2.70加壳)
【 声明 】 初学脱壳，只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教！
+ c5 @7 E* N; O
0 P" @. ^/ f" U5 @& {6 y, o1 G1 TOD异常设置忽略所有异常

3 O* V0 P0 d3 z, N- ?01001000 N> B8 64BA0101 mov eax,NOTEPAD.0101BA64 //OD载入后停于此处
01001005 50 push eax //向堆栈中压入一个异常处理回调函数地址(底下发生内存访问异常，将会调用这个函数)
01001006 64:FF35 00000000 push dword ptr fs:[0]
0100100D 64:8925 00000000 mov dword ptr fs:[0],esp //向SEH链中插入一个异常处理项
01001014 33C0 xor eax,eax
6 W( D4 p+ x6 O/ j1 U01001016 8908 mov dword ptr ds:[eax],ecx //内存访问异常
- e! G( P+ W& H9 a6 G. g
5 x4 u0 A# h* d5 j( V) K由上面的代码知，bp 0x0101BA64，F9运行到该断点
6 u9 G5 B$ ]2 _. ]# d
4 m& D0 S3 u( [$ h. _底下就是异常处理回调函数的代码了
# P& o3 k; F0 K- z) d0101BA64 B8 2EA801F1 mov eax,F101A82E
0101BA69 8D88 59120010 lea ecx,dword ptr ds:[eax+10001259] //此指令执行后ecx为0x0101ba87,注意这是retn指令后的第一条指令地址
0101BA6F 8941 01 mov dword ptr ds:[ecx+1],eax //修改0x0101ba87处mov指令的操作数
0101BA72 8B5424 04 mov edx,dword ptr ss:[esp+4] //取EXCEPTION_RECORD结构地址
0101BA76 8B52 0C mov edx,dword ptr ds:[edx+C] //取发生异常指令的地址(就是上面的0x01001016)
0101BA79 C602 E9 mov byte ptr ds:[edx],0E9 //修改引发异常处指令的opcode为jmp(0xe9,它的操作数是四字节的)
% w# s- z0 z/ C" x1 W0 r2 x( C0 l0101BA7C 83C2 05 add edx,5 //edx是引发异常处的下条指令地址
0101BA7F 2BCA sub ecx,edx //计算相对偏移
0101BA81 894A FC mov dword ptr ds:[edx-4],ecx //修改引发异常处指令的操作数(它将使程序跳到0x0101ba87处)
0101BA84 33C0 xor eax,eax
0101BA86 C3 retn
, \$ Y/ u# z) g. Y, r6 i. d0101BA87 B8 78563412 mov eax,12345678

4 x, Q# g+ s) n; S通过对异常处理回调函数的分析，知道程序流程在异常处理结束后会来到0x0101ba87处，bp 0x0101ba87,F9到该断点处

9 X& P1 w; l9 D4 G1 L* @" u0101BA87 B8 2EA801F1 mov eax,F101A82E
0101BA8C 64:8F05 00000000 pop dword ptr fs:[0]
0101BA93 83C4 04 add esp,4 //删除刚才插入的异常处理项
0101BA96 55 push ebp
7 Y% F/ a; r$ B  t% C+ ?0101BA97 53 push ebx
! p* q+ s9 _. j; x/ \' P2 A: B+ l0101BA98 51 push ecx
0101BA99 57 push edi
0101BA9A 56 push esi
0101BA9B 52 push edx //这片是真正的解压代码了，往下找对应的pop系列指令
4 t, i& x1 |  W# ~! O( ^4 n/ ?! x* y2 J4 e. L0101BA9C 8D98 12120010 lea ebx,dword ptr ds:[eax+10001212]
0101BAA2 8B53 18 mov edx,dword ptr ds:[ebx+18]
" X* h8 n' m' |* w0101BAA5 52 push edx
* Z0 c- L7 @6 |. {9 P0101BAA6 8BE8 mov ebp,eax
0101BAA8 6A 40 push 40
7 T5 g9 Y' Z! E8 a6 R0101BAAA 68 00100000 push 1000
2 ^6 G0 Y" Y0 z6 d* G0 i  N. k. i- |0101BAAF FF73 04 push dword ptr ds:[ebx+4]
0101BAB2 6A 00 push 0
0101BAB4 8B4B 10 mov ecx,dword ptr ds:[ebx+10]
0101BAB7 03CA add ecx,edx
0101BAB9 8B01 mov eax,dword ptr ds:[ecx]
0101BABB FFD0 call eax
; B: w/ l" K# Y, E  y0101BABD 5A pop edx
* W. ~/ i( h* t7 E0101BABE 8BF8 mov edi,eax
0101BAC0 50 push eax
0101BAC1 52 push edx
0101BAC2 8B33 mov esi,dword ptr ds:[ebx]
0101BAC4 8B43 20 mov eax,dword ptr ds:[ebx+20]
0101BAC7 03C2 add eax,edx
0101BAC9 8B08 mov ecx,dword ptr ds:[eax]
0 r' m$ _4 R. K* n! ^3 W! ^0101BACB 894B 20 mov dword ptr ds:[ebx+20],ecx
0101BACE 8B43 1C mov eax,dword ptr ds:[ebx+1C]
0101BAD1 03C2 add eax,edx
0101BAD3 8B08 mov ecx,dword ptr ds:[eax]
0101BAD5 894B 1C mov dword ptr ds:[ebx+1C],ecx
0101BAD8 03F2 add esi,edx
0101BADA 8B4B 0C mov ecx,dword ptr ds:[ebx+C]
/ L4 o+ q5 T! h- J, R; |; O/ O0101BADD 03CA add ecx,edx
0101BADF 8D43 1C lea eax,dword ptr ds:[ebx+1C]
1 m% S6 [- N+ A* j0101BAE2 50 push eax
. l( \6 G; j1 d0101BAE3 57 push edi
0101BAE4 56 push esi
0101BAE5 FFD1 call ecx
0101BAE7 5A pop edx
0101BAE8 58 pop eax
0101BAE9 0343 08 add eax,dword ptr ds:[ebx+8]
0101BAEC 8BF8 mov edi,eax
  E" P2 V% ^8 v. V7 f( \, n0101BAEE 52 push edx
. K5 ?& U+ z! T+ G2 h0101BAEF 8BF0 mov esi,eax
$ g' r. ~  {# ~8 d7 S) l: m# V0101BAF1 8B46 FC mov eax,dword ptr ds:[esi-4]
0101BAF4 83C0 04 add eax,4
# m+ H0 J6 ~# W9 X% t0101BAF7 2BF0 sub esi,eax
0101BAF9 8956 08 mov dword ptr ds:[esi+8],edx
0101BAFC 8B4B 0C mov ecx,dword ptr ds:[ebx+C]
( i3 Q- U5 {- {0101BAFF 894E 14 mov dword ptr ds:[esi+14],ecx
% D& e: {2 e5 m5 K8 j# @' U0101BB02 FFD7 call edi
0 B/ Y* s! c% h4 d0101BB04 8985 FA120010 mov dword ptr ss:[ebp+100012FA],eax
$ p4 L/ v8 W1 f* z( Z0101BB0A 8BF0 mov esi,eax
0101BB0C 8B4B 14 mov ecx,dword ptr ds:[ebx+14]
5 _2 }& _' e3 a8 A0101BB0F 5A pop edx
0101BB10 EB 0C jmp short NOTEPAD.0101BB1E
/ y: g. ]6 a3 T! }1 v, E, |, f% c0101BB12 03CA add ecx,edx
# E0 c, p6 |7 C& {& V- c0101BB14 68 00800000 push 8000
0101BB19 6A 00 push 0
$ d: I& g. m4 C; u# e0101BB1B 57 push edi
  `( D8 ]7 T% W: }2 `0101BB1C FF11 call dword ptr ds:[ecx]
0101BB1E 8BC6 mov eax,esi
+ C1 X$ n' x" c3 Q0101BB20 5A pop edx
0101BB21 5E pop esi
8 c# w, B4 q" s& _: I8 B0101BB22 5F pop edi
0101BB23 59 pop ecx
0101BB24 5B pop ebx
" u) z1 a$ V' S0101BB25 5D pop ebp //到这里真实的NOTEPAD代码被释放出来
% I5 @& V" Z2 }$ A4 ]) W  i! x0101BB26 FFE0 jmp eax //F4运行到该处
& K( h. a/ z; }7 ?) M. C- s
到这里只要在F7一下就到了真正的NOTEPAD程序了，dump下来，就OK了。
" S  z% s+ Y- V" _( O0 G' L

【 总结 】PECompact2.70脱壳步骤：
5 V3 _/ @) I( j* a" _( _. a1.OD加载程序，记下OD停处指令的第二个操作数xxxxxxxx,Ctrl + G到xxxxxxxx处
1 c5 A2 B  a6 |1 f* f2.从xxxxxxxx处Ctrl + F查找jmp eax指令
- d2 ~1 v0 m" f8 U9 J$ M! V3.F4运行到jmp eax处
: E3 d3 S6 b- @9 N  \+ X4.F7步过一条指令
( D6 W  O$ ^$ ?& u3 x0 K7 }) ]5.Dump内存镜像
# _" v! O8 j1 e. Q$ h6.完事收工