OD脫殼的基本方法

標籤：

一、概論

殼出於程式作者想對程式資源壓縮、註冊保護的目的，把殼分為壓縮殼和加密殼兩種 
UPX ASPCAK TELOCK PELITE NSPACK ... 
ARMADILLO ASPROTECT ACPROTECT EPE SVKP ... 
顧名思義，壓縮殼只是為了減小程式體積對資源進行壓縮，加密殼是程式輸入表等等進行加密保護。當然加密殼的保護能力要強得多！

二、常見脫殼方法 
預備知識

1.PUSHAD （壓棧） 代表程式的進入點, 
2.POPAD （出棧）代表程式的出口點，與PUSHAD想對應，一般找到這個OEP就在附近 
3.OEP：程式的進入點，軟體加殼就是隱藏了OEP（或者用了假的OEP/FOEP），只要我們找到程式真正的OEP，就可以立刻脫殼。

方法一：單步跟蹤法 
1.用OD載入，點“不分析代碼！” 
2.單步向下跟蹤F8，實現向下的跳。也就是說向上的跳不讓其實現！（通過F4） 
3.遇到程式往回跳的（包括迴圈），我們在下一句代碼處按F4（或者右健單擊代碼，選擇斷點——>運行到所選）
4.綠色線條表示跳轉沒實現，不用理會，紅色線條表示跳轉已經實現！ 
5.如果剛載入程式，在附近就有一個CALL的，我們就F7跟進去，不然程式很容易跑飛，這樣很快就能到程式的OEP 
6.在跟蹤的時候，如果運行到某個CALL程式就啟動並執行，就在這個CALL中F7進入 
7.一般有很大的跳轉（大跨段），比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN的一般很快就會到程式的OEP。

Btw:在有些殼無法向下跟蹤的時候，我們可以在附近找到沒有實現的大跳轉，右鍵-->“跟隨”,然後F2下斷，Shift+F9運行停在“跟隨”的位置，再取消斷點，繼續F8單步跟蹤。一般情況下可以輕鬆到達OEP！

方法二：ESP定律法 
ESP定理脫殼（ESP在OD的寄存器中，我們只要在命令列下ESP的硬體訪問斷點，就會一下來到程式的OEP了！） 
1.開始就點F8，注意觀察OD右上方的寄存器中ESP有沒突現（變成紅色）。（這隻是一般情況下，更確切的說我們選擇的ESP值是關鍵句之後的第一個ESP值） 
2.在命令列下：dd XXXXXXXX(指在當前代碼中的ESP地址，或者是hr XXXXXXXX)，按斷行符號！ 
3.選中下斷的地址，斷點--->硬體訪--->WORD斷點。 
4.按一下F9運行程式，直接來到了跳轉處，按下F8，到達程式OEP。

方法三：記憶體鏡像法 
1：用OD開啟軟體！ 
2：點擊選項——調試選項——異常，把裡面的忽略全部√上！CTRL+F2重載下程式！ 
3：按ALT+M,開啟記憶體鏡象，找到程式的第一個.rsrc.按F2下斷點，然後按SHIFT+F9運行到斷點，接著再按ALT+M,開啟記憶體鏡象，找到程式的第一個.rsrc.上面的.CODE（也就是00401000處），按F2下斷點！然後按SHIFT+F9（或者是在沒異常情況下按F9），直接到達程式OEP！

方法四：一步到達OEP 
1.開始按Ctrl+F,輸入：popad（只適合少數殼，包括UPX，ASPACK殼），然後按下F2，F9運行到此處 
2.來到大跳轉處，點下F8，到達OEP！

方法五：最後一次異常法 
1：用OD開啟軟體 
2：點擊選項——調試選項——異常，把裡面的√全部去掉！CTRL+F2重載下程式 
3：一開始程式就是一個跳轉，在這裡我們按SHIFT+F9，直到程式運行，記下從開始按SHIFT+F9到程式啟動並執行次數m！
4：CTRL+F2重載程式，按SHIFT+F9（這次按的次數為程式啟動並執行次數m-1次） 
5：在OD的右下角我們看見有一個"SE 控制代碼"，這時我們按CTRL+G，輸入SE 控制代碼前的地址！ 
6：按F2下斷點！然後按SHIFT+F9來到斷點處！ 
7：去掉斷點，按F8慢慢向下走！ 
8：到達程式的OEP！

方法六：類比跟蹤法 
1：先試運行，跟蹤一下程式，看有沒有SEH暗樁之類 
2：ALT+M開啟記憶體鏡像，找到（包含=SFX,imports,relocations）

記憶體鏡像，項目 30 
地址=0054B000 
大小=00002000 (8192.) 
Owner=check  00400000 
區段=.aspack 
包含=SFX,imports,relocations 
類型=Imag 01001002 
訪問=R 
初始訪問=RWE

3：地址為0054B000，如是我們在命令列輸入tc eip<0054B000,斷行符號，正在跟蹤ing。。

Btw:大家在使用這個方法的時候，要理解他是要在怎麼樣的情況下才可以使用

方法七：“SFX”法 
1：設定OD，忽略所有異常，也就是說異常選項卡裡面都打上勾 
2：切換到SFX選項卡，選擇“位元組模式跟蹤實際入口（速度非常慢）”，確定。 
3：重載程式（如果跳出是否“壓縮代碼？”選擇“否”，OD直接到達OEP） 
如何分辨加密殼和壓縮殼，通用特點，Od載入時有入口警告或詢問是壓縮程式嗎？普通壓縮殼Od調試時候沒有異常，加密殼全部有反跟蹤代碼，會有許多SEH陷阱使OD調試時產生異常。 
找OEP的一般思路如下： 
先看殼是加密殼還是壓縮殼，壓縮殼相對來說容易些，一般是沒有異常。 
外殼解壓代碼起始點如果是

pushfd 
pushad

跟蹤時如果有發現

popad 
popfd

對應 
有些殼只有

pushad

和

popad

相對應 
附近還有

retn 
jmp

等指令，發生跨斷跳躍一般就到了OEP處。 
當然也有其他的，如 je OEP等等，一般都是段之間的大跳轉，OD的反組譯碼視窗裡都是同一個段的內容，所以更好區別是否是段間跳轉。

找Oep時注意兩點。 
1、單步往前走，不要回頭。 
2、觀察。注意poshad、poshfd,popad、popfd等，和外殼代碼處對應，注意地址發生大的變化。單步跟蹤什麼時候F8走，F7,F4步過？

這裡我說說關於F8(Step Over)和F7(Step in)的一般方法，粗跟的時候一般都是常用F8走，但是有些call是變形的Jmp，此時就需要F7代過，區別是否是變形Jmp的一個簡單方法是比較call的目標地址和當前地址，如果兩者離的很近，一般就是變形Jmp了，用F7走。對於Call的距離很遠，可以放心用F8步過，如果你再用F7步過，只是浪費時間而已。F8步過對壓縮殼用的很多，F7步過加密殼用的很多，如果用F8一不小心就跑飛（程式運行），跟蹤失敗。

加密殼找Oep 
對於加密殼，我的方法一般是用OD載入，鉤掉所有異常（不忽略任何異常，除了忽略在KERNEL32 中的記憶體訪問異常打勾。有時由於異常過多可以適當忽略一些異常），運行，數著用了多少次Shift+F9程式運行，顯然最後一次異常後，程式會從殼跳到OEP開始執行，這就是我們尋找OEP的一個關鍵，如果程式 Shift+F9後直接退出，很明顯加密殼檢測調試器，最簡單的應付方法就是用OD外掛程式隱藏OD。 
單步異常是防止我們一步步跟蹤程式，即F8,F7，F4等，Int3中斷是檢測調試器用的，僅在Win9x系統中有效，2000/XP就會出現斷點異常,其它的異常主要是幹擾調試。這一系列的異常雖然幹擾我們調試，但也給我們指明了一條通路，就是Shift+F9略過所有異常，然後找到最後一處異常，再它的恢複異常處下斷點，跟蹤到脫殼進入點。 
確定從所有Seh異常中走出來，如果前面有大量迴圈，逐段解壓。 
**************************************************************************************** 
大家先細細品位下上面的“理論”！如果你弄懂了，那你應該高興下了。。

****************************************************************************************

好了，切入正題。。。。

OD載入，因為我一開始就不忽略所有的異常，所以一載入就提示有異常，我們shit+F9，點“否”，停在入口了。(不忽略所有的異常,請大家檢查一下自己的OD)

00401000 PEncryp>  FC  cld  //停在這裡了。 
00401001  FC  cld 
00401002  FC  cld 
00401003  90  nop 
00401004  - E9 BDBA0000  jmp PEncrypt.0040CAC6 
00401009  - E3 D5  jecxz short PEncrypt.00400FE0

下面就開始使用最後一次異常法了。。。

我們一直狂按shit+F9，心裡要數著按了多少次，程式就運行了:) 
我這裡按了3次

好，我們現在重新載入程式，到了入口之後，我們再次“狂”按shit+F9，多少次？2次（3-1=2）

0040CCD2  4B  dec ebx  //停在這裡了 
0040CCD3  6F  outs dx,dword ptr es:[edi] 
0040CCD4  6368 69  arpl word ptr ds:[eax+69],bp 
0040CCD7  8B4424 04  mov eax,dword ptr ss:[esp+4]

好了，我們先就停在這裡

看看轉存器視窗 
0012FFBC  0012FFE0  指標到下一個 SEH 記錄 
0012FFC0  0040CCD7  SE 控制代碼  //Ctrl+G，到0040CCD7 
0012FFC4  77E614C7  返回到 kernel32.77E614C7 
0012FFC8  00000000 
0012FFCC  00000000 
0012FFD0  7FFDF000

F2下斷，shit+F9運行，停到0040CCD7，取消斷點，單步F8

0040CCD7  8B4424 04  mov eax,dword ptr ss:[esp+4]  //停到這裡了 
0040CCDB  8B00  mov eax,dword ptr ds:[eax] 
0040CCDD  3D 04000080  cmp eax,80000004 
0040CCE2  74 06  je short PEncrypt.0040CCEA  //跳走

0040CCEA  /EB 02  jmp short PEncrypt.0040CCEE//跳到這裡，這裡又再次跳走 
0040CCEC  |49  dec ecx

0040CCEE  60  pushad  //跳到這裡了，關鍵提示 ，繼續F8 
0040CCEF  9C  pushfd  //關鍵提示 
0040CCF0  BE 00104000  mov esi,PEncrypt.<ModuleEntryPoin> 
0040CCF5  8BFE  mov edi,esi 
0040CCF7  B9 00100000  mov ecx,1000 
0040CCFC  BB 2B11D2BB  mov ebx,BBD2112B 
0040CD01  AD  lods dword ptr ds:[esi] 
0040CD02  33C3  xor eax,ebx 
0040CD04  AB  stos dword ptr es:[edi] 
0040CD05  ^ E2 FA  loopd short PEncrypt.0040CD01  //要回跳了 
0040CD07  9D  popfd //在這裡F4，繼續F8 
0040CD08  61  popad 
0040CD09  EB 02  jmp short PEncrypt.0040CD0D  //跳走

0040CD0D  60  pushad  //跳到這裡了，關鍵提示 ，繼續F8 
0040CD0E  9C  pushfd  //關鍵提示 
0040CD0F  BE 00504000  mov esi,PEncrypt.00405000 
0040CD14  8BFE  mov edi,esi 
0040CD16  B9 00040000  mov ecx,400 
0040CD1B  BB 2B11D2BB  mov ebx,BBD2112B 
0040CD20  AD  lods dword ptr ds:[esi] 
0040CD21  33C3  xor eax,ebx 
0040CD23  AB  stos dword ptr es:[edi] 
0040CD24  ^ E2 FA  loopd short PEncrypt.0040CD20  //要回跳了 
0040CD26  9D  popfd  //在這裡F4，繼續F8，關鍵提示 
0040CD27  61  popad  //關鍵提示 
0040CD28  BD CC104000  mov ebp,PEncrypt.004010CC  //看到這裡了沒？004010CC 
0040CD2D  FFE5  jmp ebp  //跳到OEP

。。。。。。。

004010CC  55  push ebp  ; PEncrypt.004010CC //OEP，DUMP 
004010CD  8BEC  mov ebp,esp 
004010CF  83EC 44  sub esp,44

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++ 
脫殼後發現程式不能運行,用Imprec修複引入函數表，在Oep處填10cc,點IT自動搜尋,然後點獲輸入資訊,看到輸入表全部有效,點修複抓取檔案按鈕,選擇Dump的檔案,修複它,運行後仍然不能運行。那我們還有Lordpe重建PE的功能！

OD脫殼的基本方法