学习ximo老师课程的学习记录16

xi0405

16、脱ACProtect(存在Stolen Code)

通过吾爱破解的搜索，找到了ximo老师隐藏OD插件的平替，就是OD插件->StrongOD->skip Some Exceptions

1

  

一、环境

还是使用XP了，windows脱不了，无法到达OEP

二、案例程序

2

  

1.QQ....exe

2.notepad .exe

三、方法

最后一次异常法：

1.第一次先计数，shift+F9几次跑飞

2.第二次使用shift+F9，比第一次的次数少一次，后看堆栈窗口

一共得重新来三次

1.先到达OEP处发现丢失数据

2.找到丢失的数据，二进制复制

3.到达OEP补充丢失的数据

四、工具

1.OD

2.Scylla

3.PEiD(Die看不明白，难受)

五、脱壳

1.notepad

查壳

3

  

OD载入，需要进行前置配置的，按下面图示来

4

  

4

  

4

  

4

  

1.1、第一次

开始脱壳（最后一次异常法）

5

  

5

  

5

  

5

  

第二次shift+F9

6

  

6

  

6

  

6

  

6

  

6

  

6

  

6

  

6

  

6

  

6

  

6

  

6

  

6

  

6

  

第一次到达OEP，VC++OEP的特征是push ebp

[Asm] 纯文本查看 复制代码

VC++:

0040A41E >  55              push ebp
0040A41F    8BEC            mov ebp,esp
0040A421    6A FF           push -1
0040A423    68 C8CB4000     push 跑跑排行.0040CBC8
0040A428    68 A4A54000     push <jmp.&MSVCRT._except_handler3>
0040A42D    64:A1 00000000  mov eax,dword ptr fs:[zxsq-anti-bbcode-0]
0040A433    50              push eax
0040A434    64:8925 0000000>mov dword ptr fs:[zxsq-anti-bbcode-0],esp
0040A43B    83EC 68         sub esp,68
0040A43E    53              push ebx
0040A43F    56              push esi
0040A440    57              push edi

6

  

1.2、第二次

和前面一样到达retn处，就是下一步就到OEP的那个地方，跟着图示来

7

  

7

  

7

  

7

  

7

  

1.3、第三次

和第一次一样来到OEP

8

  

8

  

8

  

右键->二进制->二进制粘贴

9

  

9

  

9

  

该使用Scylla脱壳了

10

  

10

  

修复IAT

11

  

11

  

11

  

11

  

11

  

11

  

11

  

结束，脱壳运行成功

11

  

2.QQ。。。.exe

这里就不查壳和脱壳，只是演示使用异常法到OEP

OD载入，调好前置配置

12

  

这里使用分析->从模块中删除分析，数据就显示出来了

12

  

堆栈窗口在SE处右键->转到数据窗口

12

  

数据窗口->断点->内存访问断点

12

  

12

  

12

  

12

  

12

  

12

  

到达OEP

13