吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 27152|回复: 70
收起左侧

[第四届(2015)] 【吾爱第四届动画大赛参赛作品】带狗脱阿拉丁加密狗hasp hl(srm)

  [复制链接]
zhaohj 发表于 2015-1-18 16:27
【吾爱第四届动画大赛参赛作品】带狗脱阿拉丁加密狗hasp hl(srm)的壳

Hi,大家好,我是zhaohj
今天做的录像用BB做的,录像文件已在附件下载地址中。因为是商业软件,下面的文件名用xxxx代替。

codelivehttp://www.52pojie.cn/thread-258182-1-1.html发表了以色列Aladdin HASP SRM(AES-128)加密狗破解经验分享
受到启发,他是用API HOOK的方法来破解的,本人菜鸟对hook技术不熟悉,只好用老方法脱壳
使用工具:
od,peid,LordPE,ImportREC,CFF Explorer,Dll_LoadEx.exe,ReloX
大致流程:
1:代码段内存法到OEP,记录OEP、IAT地址
2:数据段内存法观察IAT未加密部分与加密部分,在适当的时候复制未加密的IAT到加密的IAT
3:找到关键的跳转
4:修复API及DLL文件的重定位修复

【吾爱第四届动画大赛参赛作品】带狗脱阿拉丁加密狗hasp hl(srm)的壳
by zhaohj
2015-01-18

====================
部分记录:到达OEP后,IAT部分加密的。
我们的目的是把IAT加密部分还原。
查壳:HASP HL Protection 1.X -> Aladdin *
先OD加载dll
1:先到OEP后看一下
   ALT+M ,代码段下内存访问断点,到达OEP了,并打开ImportREC,查看一下IAT表
   做一下记录,我这里已经做好了:
oep:  10061539    8BFF            mov edi,edi
IAT:
      10069000 size=A40
      10069000 ~ 10069A40
看到了有很多无效的API
复制一份到文本
我们找一下另一方加密的IAT
ctrl_f12重启,在数据段下内存访问断点,数据窗口转IAT开头
这个时候IAT是未加密的,我们在10069410下硬件写入断点,记得删除内存访问断点,F9运行
看到了吗,这个时候是正常的,我们复制IAT到第二个加密的IAI
怎么找呢?
10069414对应1007B0BC,相差11CA8
另一份IAT:
      10069034  0007C382 => 1007ACDC  0007C382 相差=11CA8
      10069000+11CA8=1007ACA8
      1007ACA8 ~ 1007B6E8 找到另一方加密的IAT,我们把未加密的数据复制到加密的地方。

下面的图是另一个版本的对照图,两个IAT表对应关系,FFFFFFFF表示加密的
Snap8.jpg

二进制复制
记得删除内存访问断点
1032763E怎么来的,我后面讲,这里也是重点。
2:做好数据复制,并关键地址1032763E test eax,eax改成xor eax,eax后
   直接在OEP下断点,F9运行
   看到了吗,api基本修复了,还有3个未修复
3:lorepe,dumped
4: CFF Explorer.exe,删除壳段
   打开节头部,删除.protect,删除节(头部和数据),保存
   来到重建器,点重建,点保存
5:ImportREC.exe
   修复3个API
   GetProcAddress     
   GetCurrentProcessId
   GetCurrentProcess

修复保存为xxxxdll-dumped_.dll
好了,关闭od,lorepe,ImportREC

6: 修复DLL重定位

a)未脱壳的dll复制两份为 “复件1 xxxxDLL.dll”、“复件2 xxxxDLL.dll”
Dll_LoadEx.exe打开“复件1 xxxxDLL.dll”、“复件2 xxxxDLL.dll”
b)lorepe,分别dumped为01.dll、02.dll,注意现在不要关闭
c)ReloX.exe,选择4个节,其余两个节取消
  fix后保存为xxxxdll-dumped__.dll
7:ok啦,把xxxxdll-dumped__.dll改为原来的名字,工具可以全部关闭了。
   看到成功了。

8:现在讲一下1032763E怎么来的,
   到OEP后,我们看到很多加密的API,我们的想法是:
   让  一个OD写入正确的API时下断进入正常的api,
   让另一个od写入正确的API时下断进入错误的api,
看左边:
100690F8    7C92FE21  ntdll.RtlGetLastWin32Error
100690FC    7C92FE30  ntdll.RtlSetLastWin32Error
10069100    009F1C90
od1在100690F8下硬件写入断点,因为断下后下面是进入正常的api
od2再100690FC下硬件写入断点,因为断下后下面是进入错误的api
下好断点后,这时需要复制未加密的iat到加密的iat,再进行跟踪
简单演示一下,就这样跟踪下去,我直接1032763E
看到了吗,就是这个关键点。
好啦,教程结束,谢谢观看!
oep:  10061539    8BFF            mov edi,edi
IAT:
      10069000 size=A40
      10069000 ~ 10069A40
另一份IAT:
      10069034  0007C382 => 1007ACDC  0007C382 相差=11CA8
      10069000+11CA8=1007ACA8
      1007ACA8 ~ 1007B6E8
关键代码修改:
10327624    BA 01000000     mov edx,0x1
10327629    D3E2            shl edx,cl
1032762B    8B04B5 F83E3310 mov eax,dword ptr ds:[esi*4+0x10333EF>
10327632    66:3BF6         cmp si,si
10327635    23C2            and eax,edx
10327637    0F82 43B10000   jb TssdMfcD.10332780
1032763D    F8              clc
1032763E    85C0            test eax,eax   //改成xor eax,eax
10327640    0F82 85B30000   jb TssdMfcD.103329CB
10327646  ^ 0F85 9ADCFFFF   jnz TssdMfcD.103252E6
1032764C    66:C1EF 40      shr di,0x40
10327650    8D6D 00         lea ebp,dword ptr ss:[ebp]
10327653    74 02           je short TssdMfcD.10327657
10327655    091E            or dword ptr ds:[esi],ebx
10327657    68 74F93210     push TssdMfcD.1032F974
1032765C    C3              retn













下载地址.txt

50 Bytes, 下载次数: 462, 下载积分: 吾爱币 -1 CB

参赛作品

原始视频.txt

48 Bytes, 阅读权限: 80, 下载次数: 43, 下载积分: 吾爱币 -1 CB

原始视频

点评

明天才评分 今天分数用完了@@  发表于 2015-1-19 16:54

免费评分

参与人数 17热心值 +17 收起 理由
bubblej + 1 谢谢@Thanks!
w小杰 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
isdowen + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!
xjfree + 1 感谢发布原创作品,吾爱破解论坛因你更精彩.
vigers + 1 热心回复!
jack0323 + 1 我很赞同!
ljrlove2008 + 1 谢谢@Thanks!
FreeColour + 1 我们是爱你们的!
codelive + 1 感谢发布原创作品,吾爱破解论坛因你更精彩.
缸神 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩.
sndncel + 1 都是些牛人呀。。。。你们技术为何这么叼呀.
思の凡 + 1 谢谢@Thanks!
低调(d-iao) + 1 感谢发布原创作品,吾爱破解论坛因你更精彩.
tian073 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩.
小生我怕怕 + 1 感谢发布原创作品,吾爱破解论坛因你更精彩.
lcylcyll + 1 感谢发布原创作品,吾爱破解论坛因你更精彩.
逍遥枷锁 + 1 谢谢@Thanks!

查看全部评分

本帖被以下淘专辑推荐:

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

 楼主| zhaohj 发表于 2015-1-19 08:13
本帖最后由 zhaohj 于 2015-1-19 08:23 编辑
Hmily 发表于 2015-1-18 22:18
帖子不用加权限,你要把视频原始的单独保存上传加80阅读权限(主要防止原始视频泄漏),然后用原始视频文件 ...

我没有找到附件设置权限的功能,可能我的权限不够临时把原始视频文件删除

点评

你上传完附件,附件显示的右侧,就有权限设置啦!  详情 回复 发表于 2015-1-19 10:01
 楼主| zhaohj 发表于 2015-1-18 16:34
本帖最后由 zhaohj 于 2015-1-19 10:59 编辑

原始视频(.fbr)下载地址,见一楼附件。
Hmily 发表于 2015-1-18 22:18
帖子不用加权限,你要把视频原始的单独保存上传加80阅读权限(主要防止原始视频泄漏),然后用原始视频文件导出一个exe视频和那些文件放一起直接上传不用设置权限。
Hmily 发表于 2015-1-19 10:01
zhaohj 发表于 2015-1-19 08:13
我没有找到附件设置权限的功能,可能我的权限不够临时把原始视频文件删除

你上传完附件,附件显示的右侧,就有权限设置啦!


1.png
 楼主| zhaohj 发表于 2015-1-19 10:51
Hmily 发表于 2015-1-19 10:01
你上传完附件,附件显示的右侧,就有权限设置啦!

难道论坛的问题,或者权限的问题?没地方设置。

Snap1.jpg

点评

哦,你这么一说我看了下确实是,这样吧,你把2个分开上传,然后我帮你设置权限吧。  详情 回复 发表于 2015-1-19 10:52
Hmily 发表于 2015-1-19 10:52
zhaohj 发表于 2015-1-19 10:51
难道论坛的问题,或者权限的问题?没地方设置。

哦,你这么一说我看了下确实是,这样吧,你把2个分开上传,然后我帮你设置权限吧。
 楼主| zhaohj 发表于 2015-1-19 10:56
本帖最后由 zhaohj 于 2015-1-19 10:58 编辑
Hmily 发表于 2015-1-19 10:52
哦,你这么一说我看了下确实是,这样吧,你把2个分开上传,然后我帮你设置权限吧。

已经上传到一楼,谢谢版主!帮我加点分吧!
Hmily 发表于 2015-1-19 11:01
zhaohj 发表于 2015-1-19 10:56
已经上传到一楼,谢谢版主!帮我加点分吧!

设置好了,看到了!
bigharvest 发表于 2015-1-19 12:15
支持下   牛掰  没热心 捧个人场
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-3-29 21:15

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表