ASPR1.23RC4脱壳之advanced im password Recovery+简单MD5
【目 标】: advanced im password Recovery v2.31
【工 具】:Olydbg1.1(diy版)、LORDPE、ImportREC1.6F ASPRDBGR1.0,IDA
【任 务】:先脱马甲，然后hehe……
【操作平台】:WINXP pro sp1
【作 者】:loveboom[DFCG][FCG]
【相关链接】: www.elcomsoft.com
【简要说明】:也算有一段时间没有发破文了，因水平菜，时间等问题，所以难的搞不定，易的已经有很多朋友写了，这篇文章也算是搞一点积分吧，再则，很久没看见自己的贴有个精，所以想这篇文章看看能不能再混个精，其它就没多少研究价值了。
【详细过程】:
用PEID查一下发现是ASProtect 1.23 RC4 - 1.3.08.24 -> Alexey Solodovnikov,一开始还以为是ASPR1.3XXX的呢，所以有点想打道回府，但又想，既然来了，不管怎么样也要试上把，反正输了，也没有人知道，最多是“浪费”一点时间。还好有惊无险，跟到后面发现原来是个软柿子，让我占了个便宜。好了，留点口水到后面用。
打开OD设置为取消忽略内存异常，去掉RING3的检测,一路shift+f9飞到最后一次异常(我这里是第25次后到最后异常):
009C39EC 3100 XOR DWORD PTR DS:[EAX],EAX
009C39EE 64:8F05 0000000>POP DWORD PTR FS:[0]
009C39F5 58 POP EAX
009C39F6 833D B07E9C00 0>CMP DWORD PTR DS:[9C7EB0],0
009C39FD 74 14 JE SHORT 009C3A13
009C39FF 6A 0C PUSH 0C
009C3A01 B9 B07E9C00 MOV ECX,9C7EB0
009C3A06 8D45 F8 LEA EAX,DWORD PTR SS:[EBP-8]
009C3A09 BA 04000000 MOV EDX,4
009C3A0E E8 2DD1FFFF CALL 009C0B40
009C3A13 FF75 FC PUSH DWORD PTR SS:[EBP-4]
009C3A16 FF75 F8 PUSH DWORD PTR SS:[EBP-8]
009C3A19 8B45 F4 MOV EAX,DWORD PTR SS:[EBP-C]
009C3A1C 8338 00 CMP DWORD PTR DS:[EAX],0
009C3A1F 74 02 JE SHORT 009C3A23
009C3A21 FF30 PUSH DWORD PTR DS:[EAX]
009C3A23 FF75 F0 PUSH DWORD PTR SS:[EBP-10]
009C3A26 FF75 EC PUSH DWORD PTR SS:[EBP-14]
009C3A29 C3 RETN ;这里下断
看到了c3吧，对就这里下断,在009c3a29处下f2断点，然后shift+f9就会断下来。断下后取消该断点(怎么取消，晕倒,对没有一点基础知识的朋友，请去看相关文档，不用来问我了，因我没有这么多时间来回答，这里也随便回答一下，上次有朋友问我，用了我的幻影的脱壳脚本后如何dump+fixdump,这个问题我不好怎么讲，只能说你们自己去看看最基础的东西先)
唔，开小差就开到这里先，取消断点后下硬件访问断点hr [ESP+C](这里也就相当于hr 12ffa4),下断完毕当然是F9运行了，下面的东西要有一点基础，要不看那些代码就有点飞的感觉。
运行后这里断下，断下后取消硬件访问断点：
009D5CA3 F3: PREFIX REP: ; 这里断下
009D5CA4 EB 02 JMP SHORT 009D5CA8
下面就要小心点按F8来找到stolen code,
009D5CF5 BE C55C9D00 MOV ESI,9D5CC5
009D5CFA FF56 3F CALL DWORD PTR DS:[ESI+3F] ;这里F7跟进去，要不就真的飞了,进去后就按f8一直跟到stolen code处
009D5D67 896C24 00 MOV DWORD PTR SS:[ESP],EBP ;***** ;这里就是push ebp了
009D5D6B 8BEC MOV EBP,ESP ;*****
009D5D6D 6A FF PUSH –1 ;*****
009D5D6F 68 48A44200 PUSH 42A448 ;*****
009D5D74 68 F4514200 PUSH 4251F4 ;*****
009D5D79 64:A1 00000000 MOV EAX,DWORD PTR FS:[0] ;*****
009D5D7F 66:8105 895D9D0>ADD WORD PTR DS:[9D5D89],4916
……
009D5DBB 894424 00 MOV DWORD PTR SS:[ESP],EAX ;*****
009D5DBF 64:8925 0000000>MOV DWORD PTR FS:[0],ESP ;*****
009D5DC6 83EC 58 SUB ESP,58 ;*****
……
009D5E05 895C24 00 MOV DWORD PTR SS:[ESP],EBX ;*****
……
009D5E45 897424 00 MOV DWORD PTR SS:[ESP],ESI ;*****
……
009D5E85 897C24 00 MOV DWORD PTR SS:[ESP],EDI ;***** ; ntdll.77F944A8
009D5E89 8965 E8 MOV DWORD PTR SS:[EBP-18],ESP ;*****
009D5E8C F3: PREFIX REP:
009D5E95 68 F8FF4100 PUSH 41FFF8 ;看到这里，只要跟过aspr的朋友都知道下面就是清场代码，我们没必要去跟。
009D5E9A 68 015C9D00 PUSH 9D5C01
009D5E9F C3 RETN
现在我们直接执行g 41fff8，这样就到这里停下来了.
0041FFF8 FF15 C4914200 CALL DWORD PTR DS:[4291C4] ;到这里下车
0041FFFE 33D2 XOR EDX,EDX
00420000 8AD4 MOV DL,AH
00420002 8915 84BE4300 MOV DWORD PTR DS:[43BE84],EDX
00420008 8BC8 MOV ECX,EAX
好了，现在总结一下stolen code:
0041FFD2 55 PUSH EBP
0041FFD3 8BEC MOV EBP,ESP
0041FFD5 6A FF PUSH -1
0041FFD7 68 48A44200 PUSH AIMPR.0042A448
0041FFDC 68 F4514200 PUSH AIMPR.004251F4
0041FFE1 64:A1 00000000 MOV EAX,DWORD PTR FS:[0]
0041FFE7 50 PUSH EAX
0041FFE8 64:8925 0000000>MOV DWORD PTR FS:[0],ESP
0041FFEF 83EC 58 SUB ESP,58
0041FFF2 53 PUSH EBX
0041FFF3 56 PUSH ESI
0041FFF4 57 PUSH EDI
0041FFF5 8965 E8 MOV DWORD PTR SS:[EBP-18],ESP
补上这些代码后，打开asprdbgr 1.0并载入目标，加载后，出现对框就点yes直到目标程序运行：
AsprDbgr v1.0beta (:P) Made by me... Manko.
iEP=401000 (C:\Program Files\AIMPR\AIMPR.exe)
GST returns to: 9B2667
Trick aspr GST... (EAX=12121212h)
GV returns to: 9C1A61
IAT Start: 429000
End: 42938C
Length: 38C
IATentry 4290E4 = 9C1CF0 resolved as FreeResource
IATentry 4290E8 = 9C1C64 resolved as GetModuleHandleA
IATentry 4290F4 = 9C1CC8 resolved as LockResource
IATentry 42913C = 9C17A4 resolved as GetProcAddress
IATentry 4291A4 = 9C1CB8 resolved as GetCurrentProcess
IATentry 4291C4 = 9C1C8C resolved as GetVersion
IATentry 4291CC = 9C1CD8 resolved as GetCommandLineA
IATentry 4292C8 = 9C1D14 resolved as DialogBoxParamA
0 invalid entries erased.
Dip-Table at adress: 9C7AB4
0 0 0 0 0 0 0 0 0 0 41DA10 41DA00 41D9F0 0
Last SEH passed. Searching for signatures. Singlestepping to OEP!
Call + OEP-jump-setup at: 9D5E3F ( Code: E8000000 5D81ED )
Mutated, stolen bytes at: 9D5E8A ( Code: 61F3EB02 CD20F3EB )
Erase of stolen bytes at: 9D5DEE ( Code: 9CFCBF2D 5E9D00B9 )
Repz ... found. Skipping erase of stolen bytes. ;)
Dip from pre-OEP: 41FFF8 (Reached from: 9D5DFF)
现在打开imp设置OEP为1fff8,然后就可以得到全部的iat,真是好东西，给我等懒人用最好不过了.得到全部输入表后把oep改回1FFD2,当然，如果你喜欢的话也可以一开始就设OEP 为1FFD2。
现在DUMP+FIXDUMP后程序就能运行了，到此脱壳也就算完成了
衣服已经脱掉了，现在我们就要进行强暴(强力暴破,你可不要想坏了哦,本来想不脱衣服直接强暴，但又想一下，如果直接强暴的话，不就文字太少了，也就不能成为一篇文章嘛)了,
载入脱后的文件，运行之，打开注册对话框输入你的大名，然后下断bpx GetDlgitemTextA
这样断在这里:
lbl_GetSN: ; CODE XREF: seg000:0041DE61j
seg000:0041DE70 mov eax, ds:dword_43BE3C
seg000:0041DE75 xor ecx, ecx
seg000:0041DE77 mov cx, [eax+300h]
seg000:0041DE7E add eax, 200h
seg000:0041DE83 push ecx ; Count
seg000:0041DE84 push eax ; 缓冲区，等下会返回注册码的长度
seg000:0041DE85 push 0FFAh ; 这里就是ID了
seg000:0041DE8A push edi ; 这个就是句柄来的
seg000:0041DE8B call ds:GetDlgItemTextA
seg000:0041DE91 mov edx, ds:dword_43BE3C
seg000:0041DE97 add edx, 200h
seg000:0041DE9D push edx ; EDX保存了我们输入的注册码
seg000:0041DE9E call lbl_CheckSn ; 这里跟进，要不就over了
seg000:0041DEA3 add esp, 4
seg000:0041DEA6 test eax, eax
seg000:0041DEA8 jnz short loc_41DEB3 ; 这里要注意了，不要以为这里改成jmp就会ok
seg000:0041DEA8 ; 了，这里改是没有用的，因为后面还会进上面
seg000:0041DEA8 ; 那个CALL里检查是否正确
seg000:0041DEAA push edi
seg000:0041DEAB call sub_41DD80
seg000:0041DEB0 add esp, 4
进入上面的call到这里
lbl_CheckSn proc near ; CODE XREF: seg000:0041DE9Ep
seg000:0041DB90 ; sub_41E030+12p ...
seg000:0041DB90
seg000:0041DB90 var_6C = dword ptr -6Ch
seg000:0041DB90 var_5C = dword ptr -5Ch
seg000:0041DB90 arg_0 = dword ptr 4
seg000:0041DB90
seg000:0041DB90 sub esp, 6Ch
seg000:0041DB93 or ecx, 0FFFFFFFFh
seg000:0041DB96 xor eax, eax
seg000:0041DB98 push ebx
seg000:0041DB99 push ebp
seg000:0041DB9A mov ebp, [esp+74h+arg_0]
seg000:0041DB9E push edi
seg000:0041DB9F mov edi, ebp
seg000:0041DBA1 repne scasb ; 这里也就是得出注册码的长度
seg000:0041DBA3 not ecx
seg000:0041DBA5 dec ecx
seg000:0041DBA6 cmp ecx, 6 ; 比较注册长度是否大于六，不就是over了
seg000:0041DBA9 jge short lbl_Next1 ; 如果没问题的话，就跳去下一步
seg000:0041DBAB pop edi
seg000:0041DBAC pop ebp
seg000:0041DBAD pop ebx
seg000:0041DBAE add esp, 6Ch
seg000:0041DBB1 retn ; 如果到了这里的RET的话，就要重来了
seg000:0041DBB2 ; ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
seg000:0041DBB2
seg000:0041DBB2 lbl_Next1: ; CODE XREF: lbl_CheckSn+19j
seg000:0041DBB2 and ecx, 80000001h
seg000:0041DBB8 jns short loc_41DBBF ; 这里跳，
seg000:0041DBBA dec ecx
seg000:0041DBBB or ecx, 0FFFFFFFEh
seg000:0041DBBE inc ecx
seg000:0041DBBF
seg000:0041DBBF loc_41DBBF: ; CODE XREF: lbl_CheckSn+28j
seg000:0041DBBF jz short lbl_Next2 ; 这里也跳,这两个地方我们一般不用管它
seg000:0041DBC1 pop edi
seg000:0041DBC2 pop ebp
seg000:0041DBC3 xor eax, eax
seg000:0041DBC5 pop ebx
seg000:0041DBC6 add esp, 6Ch
seg000:0041DBC9 retn ; 到这里的话也是over哦
seg000:0041DBCA ; ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
seg000:0041DBCA
seg000:0041DBCA lbl_Next2: ; CODE XREF: lbl_CheckSn+2Fj
seg000:0041DBCA mov edi, ebp ; 注册码入edi
seg000:0041DBCC or ecx, 0FFFFFFFFh
seg000:0041DBCF xor eax, eax
seg000:0041DBD1 push esi
seg000:0041DBD2 repne scasb ; 这里再次计算注册码的长度
seg000:0041DBD4 not ecx
seg000:0041DBD6 dec ecx
seg000:0041DBD7 lea eax, [esp+7Ch+var_5C]
seg000:0041DBDB mov ebx, ecx ; 注册码长度入EBX
seg000:0041DBDD push eax
seg000:0041DBDE add ebx, 4
seg000:0041DBE1 shr ebx, 1 ; 如果没有什么意外的话就到这里
seg000:0041DBE3 call lbl_InitMD5 ; 这里跟进后可以看到是MD5算法来的
进来看看吧:
seg000:0041C7F0 ; 〓〓〓〓〓〓〓〓 S U B R O U T I N E 〓〓〓〓〓〓〓〓〓〓〓〓〓〓〓〓〓〓〓
seg000:0041C7F0
seg000:0041C7F0
seg000:0041C7F0 lbl_InitMD5 proc near ; CODE XREF: sub_409E20+128p
seg000:0041C7F0 ; sub_414D80+8p ...
seg000:0041C7F0
seg000:0041C7F0 arg_0 = dword ptr 4
seg000:0041C7F0
seg000:0041C7F0 mov eax, [esp+arg_0]
seg000:0041C7F4 xor ecx, ecx
seg000:0041C7F6 mov dword ptr [eax], 67452301h ;看到这些东西就不用我再说了吧
seg000:0041C7FC mov dword ptr [eax+4], 0EFCDAB89h
seg000:0041C803 mov dword ptr [eax+8], 98BADCFEh
seg000:0041C80A mov dword ptr [eax+0Ch], 10325476h
seg000:0041C811 mov [eax+10h], ecx
seg000:0041C814 mov [eax+14h], ecx
seg000:0041C817 mov [eax+58h], ecx
seg000:0041C81A retn
seg000:0041C81A lbl_InitMD5 endp
seg000:0041C81A
seg000:0041C81A ; ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
看完后，回到老地方:
seg000:0041DBE9 lea ecx, [esp+84h+var_5C]
seg000:0041DBED push ebp ; 注册码入栈
seg000:0041DBEE push ecx
seg000:0041DBEF call sub_41C820
seg000:0041DBF4 lea edx, [esp+8Ch+var_5C]
seg000:0041DBF8 lea eax, [esp+8Ch+var_6C]
seg000:0041DBFC push edx
seg000:0041DBFD push eax
seg000:0041DBFE call sub_41D8B0
seg000:0041DC03 add esp, 18h
seg000:0041DC06 mov ecx, 4
seg000:0041DC0B mov edi, offset unk_43714C
seg000:0041DC10 lea esi, [esp+7Ch+var_6C]
seg000:0041DC14 xor edx, edx
seg000:0041DC16 repe cmpsd
seg000:0041DC18 pop esi
seg000:0041DC19 jz short lbl_Next3 ; **** 看到MD5我就头疼，一疼就一直按f8跑到这里,
seg000:0041DC19 ; 这里一定要跳,
seg000:0041DC1B pop edi
seg000:0041DC1C pop ebp
seg000:0041DC1D xor eax, eax
seg000:0041DC1F pop ebx
seg000:0041DC20 add esp, 6Ch
seg000:0041DC23 retn
seg000:0041DC24 ; ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
seg000:0041DC24
seg000:0041DC24 lbl_Next3: ; CODE XREF: lbl_CheckSn+89j
seg000:0041DC24 lea eax, [esp+78h+var_5C]
seg000:0041DC28 push eax
seg000:0041DC29 call lbl_InitMD5
seg000:0041DC2E mov edi, ebp
seg000:0041DC30 or ecx, 0FFFFFFFFh
seg000:0041DC33 xor eax, eax
seg000:0041DC35 repne scasb
seg000:0041DC37 not ecx
seg000:0041DC39 dec ecx
seg000:0041DC3A push ecx
seg000:0041DC3B lea ecx, [esp+80h+var_5C]
seg000:0041DC3F push ebp ; 注册码入栈
seg000:0041DC40 push ecx
seg000:0041DC41 call sub_41C820
seg000:0041DC46 lea edx, [esp+88h+var_5C]
seg000:0041DC4A lea eax, [esp+88h+var_6C]
seg000:0041DC4E push edx
seg000:0041DC4F push eax
seg000:0041DC50 call sub_41D8B0
seg000:0041DC55 lea ecx, [esp+90h+var_6C]
seg000:0041DC59 push ecx
seg000:0041DC5A call sub_41DB20
seg000:0041DC5F add esp, 1Ch
seg000:0041DC62 test eax, eax
seg000:0041DC64 jnz short lbl_Next4 ; ***** 不一会按F8到了这里,这里也要跳哦.
seg000:0041DC66 pop edi
seg000:0041DC67 pop ebp
seg000:0041DC68 pop ebx
seg000:0041DC69 add esp, 6Ch
seg000:0041DC6C retn
seg000:0041DC6D ; ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
seg000:0041DC6D
seg000:0041DC6D lbl_Next4: ; CODE XREF: lbl_CheckSn+D4j
seg000:0041DC6D mov eax, ds:dword_43BE40
seg000:0041DC72 test eax, eax
seg000:0041DC74 jnz short lbl_RegOK ; ***** 呵呵一不小心就跳到光明之处了，这里也跳,不跳也完了
seg000:0041DC76 push ebx
seg000:0041DC77 push ebp
seg000:0041DC78 call sub_41DA80
seg000:0041DC7D add esp, 8
seg000:0041DC80 mov ds:dword_43BE40, 1
seg000:0041DC8A
seg000:0041DC8A lbl_RegOK: ; CODE XREF: lbl_CheckSn+E4j
seg000:0041DC8A pop edi
seg000:0041DC8B pop ebp ; 呵呵看到注册码出栈了吧
seg000:0041DC8C mov eax, 1 ; 这里赋eax为1，如果注册成功的话
seg000:0041DC91 pop ebx
seg000:0041DC92 add esp, 6Ch
seg000:0041DC95 retn
seg000:0041DC95 lbl_CheckSn endp
到这里就知道怎么强暴了吧,改那几个用*的地方，改成jmp XXX:
0041DC19 . EB 09 JMP SHORT dumped1_.0041DC24
0041DC64 . EB 07 JMP SHORT dumped1_.0041DC6D
0041DC74 . EB 14 JMP SHORT dumped1_.0041DC8A
改好后，保存一下，再运行看一下，是不是已经注册了，这样就收工了？你不觉得改三个地方，改的太多了点吗?既然是强暴，当然要怎么样快就改哪里了，
我的改法:
seg000:0041DB90
seg000:0041DB90 sub esp, 6Ch ;改这里
seg000:0041DB93 or ecx, 0FFFFFFFFh
seg000:0041DB96 xor eax, eax
seg000:0041DB98 push ebx
改为:
0041DB90 B8 01000000 MOV EAX,1
0041DB95 C3 RETN
这里够爽了吧，到了这里也就全部操作完成，因这个软件纯用来做教学的，所以不敢保证没有暗桩哦，如果你发现有暗桩或有什么别人好的方法或搞定了全部的算法，请告之本人，谢谢!
特别感谢老菜鸟给我一个好我武器IDA,没有他，可能我今天还是用w32dasm写文章给大家看.也算是我的IDA NO1 TUT吧!
Greetz:
Fly.Jingulong,yock,tDasm.David.ahao.vcasm.UFO(brother).alan(sister).all of my friends and you!
By loveboom[DFCG][FCG]
Email:bmd2chen@tom.com
