【目 标】: forgot/hexer做的变形telock
【工 具】:Olydbg1.1
【任 务】:当然是要脱光它的衣服了:D
【操作平台】:WINXP pro sp1
【作 者】:loveboom[DFCG][FCG]
【相关链接】: 附件就是了
【简要说明】:呵呵，前几天看看forgot在做"某护肤产品的公告",所以就进去看看，不看可能还没事，一看我的机子就重启了N次，晕呀!
【详细过程】:
既然搞得我的机子重启这么多次不脱他个光光就太对不起我电脑吧，打开OD设置一下:
忽略异常里除了'Invalid or privileged instruction'和最下面的一个，其它的全钩上，不用隐身你的OD的，因为壳里"忘记?"了
还好forgot这次没有清DRX要不，可能就更难了。
先在peid的userdb里加上标志先，这样下次见到好有个照应.
在userdb里加上:
[TElock v0.98b1<->Modifly by forgot/hexer]
signature = 9C 6A 03 73 0B EB 02 75 75
ep_only=false
这样以后和forgot又亲了一点:)
用OD载入后停在入口:
00462862 >^\E9 99D7FFFF JMP d1.00460000 ;ep
00462867 0000 ADD BYTE PTR DS:[EAX],AL
按F9出现异常了:
004607E5 8DC0 LEA EAX,EAX ; 这里异常了
004607E7 74 03 JE SHORT d1.004607EC
异常后我们下断bp GetModuleHandleA,呵呵，他这时还没有检查这里有没有CC呢.下断-->shift+f9断下:
77E5AD86 > 837C24 04 00 CMP DWORD PTR SS:[ESP+4],0 ;断在这里
77E5AD8B 0F84 37010000 JE kernel32.77E5AEC8
断下来了就先"还东西"(取消断点),再按alt+f9执行到用户代码:
00460E97 0BC0 OR EAX,EAX ; 回到程序了地盘咯
00460E99 75 07 JNZ SHORT d1.00460EA2
回到用户代码后，按CTRL+B找85FF74也就是找:
004617E4 85FF TEST EDI,EDI ;找的就是这里
004617E6 74 0F JE SHORT d1.004617F7
在4617E4处下he 4617E4(硬件访问断点),下断完毕f9运行一下又异常了.
77E53887 5E POP ESI
77E53888 C9 LEAVE
在77E53887处会异常三次，第四次到就了我们刚才下硬件断点的地方:
004617E4 85FF TEST EDI,EDI ; ntdll.ZwSetInformationThread
004617E6 74 0F JE SHORT d1.004617F7
004617E8 FF95 191F4000 CALL DWORD PTR SS:[EBP+401F19]
呵呵，看到了吧，壳想搞破坏了，这里我们就把edi给填0，这样的话，不用再担心有效验。
同样，还东西后，走下一步，再次按ctrl+B查找61C685:
00461EF7 61 POPAD
00461EF8 C685 E1314000 0>MOV BYTE PTR SS:[EBP+4031E1],0
00461EFF 74 24 JE SHORT d1.00461F25 ;这就是我们要找的，这里一改就会有全部的IAT
把00461EFF改成EB24也就是jmp 00461F25,改完后接f9又出现一次异常，这时先不要急着按shift+f9再按程序就跑了.
00462336 8DC0 LEA EAX,EAX ; 异常在这里
00462338 EB 01 JMP SHORT d1.0046233B
异常后有两种方法可以很快到程序的OEP的.
第一种 ESP的方法:
异常后下断hr 12ffa4,这样中断在这里:
004623B0 874424 FC XCHG DWORD PTR SS:[ESP-4],EAX ; 这里断下
004623B4 83EC 04 SUB ESP,4
断后取消断点按ctrl+f9执行到返回，然后按一次f8到了入口:
00462422 5F POP EDI
00462423 C3 RETN
......
0044CA98 55 PUSH EBP ; OEP!
0044CA99 8BEC MOV EBP,ESP
0044CA9B 83C4 F0 ADD ESP,-10
第二种 段断点:
打开内存页,在下面的段上按f2:
Memory map, item 18
Address=00401000
Size=0004C000 (311296.)
Owner=d1 00400000
Section=.BJFnt
Contains=code
Type=Imag 01001004
Access=RW
Initial access=RWE
然后shift+f9就到入口了:
0044CA98 55 PUSH EBP ; OEP!
0044CA99 8BEC MOV EBP,ESP
到了这里就dump+fixdump我就不再多说了，介于这个壳对我的电脑打击过于"利害",所以决定来个"脱壳机器人".哈哈!
code:
msgyn "设置:按ALT+O打开异常项，除倒数第一和第三项外，其它全部打钩,这个脚本只对forgot/hexer的修改版telock有用,要继续吗?"
cmp $RESULT,0
je lblret
var addr
var cbase
var csize
gmi eip,CODEBASE
mov cbase,$RESULT
gmi eip,CODESIZE
mov csize,$RESULT
start:
run
lbl1:
gpa "GetModuleHandleA","kernel32.dll"
bp $RESULT
esto
lbl2:
bc $RESULT
rtu
find eip,#85FF74??FF95#
cmp $RESULT,0
je lblabort
mov addr,$RESULT
bphws addr,"x"
lbl3:
eob lbl4
run
esto
esto
esto
lbl4:
bphwc addr
mov edi,0
find eip,#61C685#
cmp $RESULT,0
je lblabort
mov addr,$RESULT
add addr,8
mov [addr],#EB#
lbl5:
run
lbl6:
bprm cbase,csize
esto
end:
bpmc
cmt eip,"OEP!"
msg "Script by loveboom[DFCG][FCG],Thank you for using my script!"
lblret:
ret
lblabort:
msg "出错，脚本将会结束，可能目标程序不是forgot/hexer的变形telock加的壳:(!"
ret
Greetz:
Fly,Jingulong,yock,tDasm,David,ahao,vcasm,UFO(brother),alan(sister),all of my friends and you!
By loveboom[DFCG][FCG]
Email:bmd2chen@tom.com
