CSDN博客

img Inf

如何跟踪ASProtect外壳加密过的程序?

发表于2001/8/14 22:06:00  793人阅读

如何跟踪ASProtect外壳加密过的程序?

【声明】
我写文章以交流为主,希望大家在转载时能保持文章的完整性。

【前言】
由于ASProtect外壳加密过的程序中运用了很多反跟踪的技术,所以说起来实在是件费事的事情。我实在担心自己水平有限,无法把它们说得明白。不过想想我又不是权威,错误在所难免。既然我办的是"技术交流站",不一定要保证每句话都是正确的,也不是写出来就要做什么教程之类的。既是"交流",那么应该大家都在"交流"中提高,而不是我象个传教士一样永远给大家念着一百年不变的经文。所以我希望不光我说,大家也说。怎么说都行,每个人都可以有每个人的风格。:-) 希望我的想法不是梦想。

作者:        ljtt
写作日期:    2001-04-10

【开始】
你跟踪过ASProtect外壳加密过的程序吗?如果你说跟踪过,是否有过这样的经历?

015F:012803D9 E3 33 C0 5A 59 59 64 89-10 68 F7 03 28 01 45  .3.ZYYd..h..(..E
015F:012803E9 FC E8 A1 2D FF FF C3 E9-F3 29 FF FF EB F0 5F 5E  ...-.....)...._^
015F:012803F9 5B 59 5D C3 00 00 00 FF-FF FF FF 02 00 00 00 0D  [Y].............
015F:01280409 0A 00 00 55 8B EC 53 56-8B DA 8B F0 8B 45 08 8B  ...U..SV.....E..
哪哪腒ERNEL32!FindClose+0386哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪腜ROT32
015F:BFF768C6  FF5518              CALL      [EBP+18]
015F:BFF768C9  83C410              ADD       ESP,10
015F:BFF768CC  648F0500000000      POP       DWORD PTR FS:[00000000]
015F:BFF768D3  C9                  LEAVE
015F:BFF768D4  C3                  RET

你时常会被带到如上图所示的 FindClose 的领空,然后在系统内核里转悠了大半个世纪,才好不容易回到程序的领空。
呵呵,我就曾有过这样的经历。正当我暗自窃喜时,却发现跟踪没多长时间又一次来到了老地方,昏倒.....。

看来这其中有蹊跷,我们不妨从当前的堆栈入手。看看有什么发现?
我们下指令:
D ESP

显示如下结果:

哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪byte哪哪哪哪哪哪哪PROT哪?0)哪
0167:0081FB10 D8 FB 81 00 D0 FC 81 00-F4 FB 81 00 B0 FB 81 00  ................
             ^^^^^^^^^^^ ^^^^^^^^^^^ ^^^^^^^^^^^ ^^^^^^^^^^^

我们一一显示 0081FBD8 、0081FCD0 、0081FBF4 、0081FBB0 的内容。终于你会发现一点线索。

我们下指令:
D 81FBF4

显示如下结果:
哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪byte哪哪哪哪哪哪哪PROT哪?0)哪
0167:0081FBF4 1F 00 01 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
0167:0081FC04 00 00 00 00 00 00 00 00-55 01 00 00 7F 02 FF FF  ........U......
0167:0081FC14 00 00 FF FF FF FF FF FF-00 00 00 00 00 00 00 00  ................
0167:0081FC24 00 00 00 00 00 00 FF FF-00 00 00 00 00 00 00 00  ................

呵呵,正好我学习过一点SEH的知识,了解CONTEXT结构,看到这......不再犹豫..... 81FBF4 可能是 _CONTEXT 结构的指针。

我们先来了解一下 _CONTEXT 结构的定义:
_CONTEXT             STRUC
cx_ContextFlags     DD ?

;CONTEXT_DEBUG_REGISTERS
cx_Dr0                DD ?         ;04
cx_Dr1                DD ?         ;08
cx_Dr2                DD ?         ;0C
cx_Dr3                DD ?         ;10
cx_Dr6                DD ?         ;14
cx_Dr7                DD ?         ;18

;CONTEXT_FLOATING_POINT
cx_ControlWord            DD ?
cx_StatusWord            DD ?
cx_TagWord                DD ?
cx_ErrorOffset            DD ?
cx_ErrorSelector        DD ?
cx_DataOffset            DD ?
cx_DataSelector         DD ?
SIZE_OF_80387_REGISTERS         EQU 80
cx_RegisterArea         DB SIZE_OF_80387_REGISTERS DUP (?)
cx_Cr0NpxState            DD ?

;CONTEXT_SEGMENTS
cx_SegGs            DD ?         ;8C
cx_SegFs            DD ?         ;90
cx_SegEs            DD ?         ;94
cx_SegDs            DD ?         ;98

;CONTEXT_INTEGER
cx_Edi                DD ?         ;9C
cx_Esi                DD ?         ;A0
cx_Ebx                DD ?         ;A4
cx_Edx                DD ?         ;A8
cx_Ecx                DD ?         ;AC
cx_Eax                DD ?         ;B0

;CONTEXT_CONTROL
cx_Ebp                DD ?         ;B4
cx_Eip                DD ?         ;B8
cx_SegCs            DD ?         ;BC
cx_EFlags            DD ?         ;C0
cx_Esp                DD ?         ;C4
cx_SegSs            DD ?         ;C8
_CONTEXT             ENDS
;size of CONTEXT is 0CCH bytes


从上面的定义中我们可以知道 _CONTEXT 结构偏移 B8 处保存的是 EIP 的值。我们来看一下 81FBF4 + B8 的值:

我们下指令:
D 81FBF4+B8
显示如下结果:

哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪byte哪哪哪哪哪哪哪PROT哪?0)哪
0167:0081FCAC 4A FF 27 01 5F 01 00 00-46 02 00 00 D0 FC 81 00  J.'._...F.......
             ^^^^^^^^^^^

我们设下断点:
BPX 127FF4A

然后,按F5键,果然程序在我们设下的断点处停了下来。:-)

显示如下结果:
015F:0127FF4A  648F0500000000      POP       DWORD PTR FS:[00000000]           <---停在此处
015F:0127FF51  58                  POP       EAX
015F:0127FF52  E84127FFFF          CALL      01272698
015F:0127FF57  A154352801          MOV       EAX,[01283554]
015F:0127FF5C  83E80D              SUB       EAX,0D
015F:0127FF5F  8B1554352801        MOV       EDX,[01283554]

看来我们已经掌握了它的一点规律。但我们不能只满足于此,我们来看一下程序是如何做的?

我取了程序即将设下这个小圈套的一段代码。由于其中使用了花指令,所以我稍微做了点改动,使SoftICE能正确显示汇编代码。

015F:0127FEFB  90                  NOP
015F:0127FEFC  64FF30              PUSH      DWORD PTR FS:[EAX]
015F:0127FEFF  EB01                JMP       0127FF02
015F:0127FF01  90                  NOP
015F:0127FF02  648920              MOV       FS:[EAX],ESP                       <---建立SEH链
015F:0127FF05  3100                XOR       [EAX],EAX
015F:0127FF07  EB01                JMP       0127FF0A
015F:0127FF09  90                  NOP
015F:0127FF0A  648F0500000000      POP       DWORD PTR FS:[00000000]
015F:0127FF11  EB02                JMP       0127FF15
015F:0127FF13  90                  NOP
015F:0127FF14  90                  NOP
015F:0127FF15  58                  POP       EAX
015F:0127FF16  E825000000          CALL      0127FF40
015F:0127FF1B  8B44240C            MOV       EAX,[ESP+0C]                       <---EAX此时即为 CONTEXT 的指针
015F:0127FF1F  8380B800000002      ADD       DWORD PTR [EAX+000000B8],02        <---修改 CONTEXT.EIP
015F:0127FF26  51                  PUSH      ECX
015F:0127FF27  31C9                XOR       ECX,ECX                            <---ECX = 0
015F:0127FF29  894804              MOV       [EAX+04],ECX                       <---修改 CONTEXT.Dr0 = 0
015F:0127FF2C  894808              MOV       [EAX+08],ECX                       <---修改 CONTEXT.Dr1 = 0
015F:0127FF2F  89480C              MOV       [EAX+0C],ECX                       <---修改 CONTEXT.Dr2 = 0
015F:0127FF32  894810              MOV       [EAX+10],ECX                       <---修改 CONTEXT.Dr3 = 0
015F:0127FF35  C7401855010000      MOV       DWORD PTR [EAX+18],00000155        <---修改 CONTEXT.Dr7 = 155
015F:0127FF3C  59                  POP       ECX
015F:0127FF3D  31C0                XOR       EAX,EAX
015F:0127FF3F  C3                  RET                                          <---在此处就将进入 FindClose 的领空了

原来程序在反跟踪时,不但用 SEH 的方式使得不知其所以的人跟踪时陷入了设下的圈套;而且,还使得我们以前设下的断点失效。
(Dr0、Dr1、Dr2、Dr3与断点有关,Dr7与断点的控制有关,至于这方面的内容如果你不清楚,那么你可以选择看一些比较专业的书籍来理解,我无法把它说得清楚。)

从这里我们更加可以肯定我们先前的判断了。以后我们再跟踪时,就不会再在这个小圈套里出不来了。如果你再总结一下规律,也许会发现更多,这就留给大家了。:-) 。
比如,我发现其实程序每次使用这种方法时,真正要跳到的地方就在 RET 指令后面不远处的指令。所以每当我遇到花指令开始的地方,就会明白程序又要给我开开玩笑了,我会在 RET 指令处停下来,然后在后面不远处的指令设下新断点,然后按 F5 键,呵呵,平稳落地。

【后记】
由于本站的主题为"技术研习",所以我想改变以前只写"如何做"的方式,而尽量以我所知加上以"为何如此做"的方式写。这样我将选择性地在某些难点上费些口水,而不再写如何完整的脱某个程序的壳了。当然另外的原因就是现在的手动脱壳越来越繁锁,虽然外壳加密程序本身可能只是添加了一些新的反跟踪/反破解的手法而已,但只写"如何做"的方式是无法使人明白这些变化的。


--------------------------------------------------------------------------------

《加密及解密技术交流站》由 ljtt 制作 版权所有
&copy;2000 -2001 All Rights Reserved
 
转载本站所有文章请注明出处,尊重作者的劳动也是尊重你自己。让我们一同撑起绿色的天空!


阅读全文
0 0

相关文章推荐

img
取 消
img