搜索

[12611] 2018-04-21_ESP技巧：教你如何解包可执行文件

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-04-21_ESP技巧：教你如何解包可执行文件 E S P 技 巧 ： 教 你 如 何 解 包 可 执 行 文 件 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 4 - 2 1 恶 意 软 件 开 发 者 会 使 用 各 种 方 法 绕 过 反 病 毒 产 品 ， 他 们 可 以 对 字 符 串 进 行 混 淆 处 理 ， 或 者 使 用 其 他 软 件 的 证 书 恶 意 软 件 开 发 者 会 使 用 各 种 方 法 绕 过 反 病 毒 产 品 ， 他 们 可 以 对 字 符 串 进 行 混 淆 处 理 ， 或 者 使 用 其 他 软 件 的 证 书 来 对 恶 意 软 件 进 行 签 名 。 其 中 最 常 用 的 一 种 方 法 就 是 利 用 封 装 器 来 对 恶 意 软 件 进 行 压 缩 ， 并 让 反 病 毒 软 件 无 法 来 对 恶 意 软 件 进 行 签 名 。 其 中 最 常 用 的 一 种 方 法 就 是 利 用 封 装 器 来 对 恶 意 软 件 进 行 压 缩 ， 并 让 反 病 毒 软 件 无 法 检 测 到 它 们 ， 这 也 就 是 俗 称 的 检 测 到 它 们 ， 这 也 就 是 俗 称 的 “ 加 壳 加 壳 ” 。 因 此 ， 作 为 一 名 恶 意 软 件 分 析 人 员 来 说 ， 我 们 应 该 了 解 加 壳 机 制 ， 并 清 。 因 此 ， 作 为 一 名 恶 意 软 件 分 析 人 员 来 说 ， 我 们 应 该 了 解 加 壳 机 制 ， 并 清 楚 如 何 解 包 可 执 行 文 件 。 楚 如 何 解 包 可 执 行 文 件 。 加 壳 与 解 包 加 壳 与 解 包 加 壳 软 件 可 以 帮 助 你 对 可 执 行 文 件 进 行 压 缩 ， 就 跟 z i p 文 件 差 不 多 。 一 般 来 说 ， 当 你 在 使 用 z i p 文 件 时 ， 需 要 手 动 进 行 解 压 缩 。 但 是 对 于 加 壳 来 说 ， 它 会 在 可 执 行 文 件 的 代 码 中 添 加 一 部 分 不 会 被 压 缩 的 “ 运 行 时 封 装 器 ” 代 码 。 当 你 运 行 这 个 可 执 行 文 件 时 ， 这 部 分 未 被 封 装 的 代 码 将 会 对 可 执 行 文 件 中 其 他 已 被 封 装 的 恶 意 代 码 进 行 解 包 并 运 行 。 识 别 加 壳 识 别 加 壳 如 何 识 别 这 种 加 壳 的 恶 意 软 件 呢 ？ 其 中 一 种 方 法 就 是 检 查 其 中 的 字 符 串 信 息 ， 但 是 加 壳 后 的 可 执 行 文 件 中 并 没 有 大 量 字 符 串 可 以 查 看 。 你 也 可 以 对 代 码 中 i m p o r t 的 类 和 库 进 行 分 析 ， 但 加 了 壳 的 可 执 行 文 件 并 不 会 显 示 这 部 分 内 容 ， 这 样 可 以 增 加 逆 向 分 析 的 难 度 。 因 此 ， 为 了 对 加 壳 的 恶 意 软 件 成 功 进 行 逆 向 分 析 ， 我 们 需 要 对 其 一 直 调 试 直 到 发 现 了 未 压 缩 的 代 码 为 止 ， 然 后 对 导 出 的 可 执 行 文 件 代 码 进 行 分 析 。 这 里 可 以 使 用 “ E S P 技 巧 ” ， 也 就 是 E S P 寄 存 器 。 我 们 可 以 利 用 这 种 技 术 在 E S P 寄 存 器 中 设 置 硬 件 断 点 ， 当 我 们 转 移 到 改 断 点 时 ， 也 就 是 到 达 了 程 序 的 入 口 点 （ O E P ） 。 接 下 来 ， 我 们 就 可 以 将 剩 下 的 可 执 行 文 件 导 出 ， 并 得 到 解 包 后 的 可 执 行 文 件 代 码 了 。 解 包 夺 旗 游 戏 解 包 夺 旗 游 戏 我 们 专 门 开 发 了 一 个 小 程 序 来 演 示 如 何 手 动 解 包 可 执 行 文 件 ， 你 可 以 点 击 【 这 里 】 获 取 。 其 实 这 就 是 一 个 夺 旗 小 游 戏 ， 当 你 找 到 了 正 确 的 密 码 之 后 ， 你 需 要 输 入 并 尝 试 拿 到 F l a g 。 你 可 以 在 R a d a r e 2 中 通 过 比 对 字 符 串 数 据 来 寻 找 到 密 码 ， 或 者 你 也 可 以 直 接 使 用 “ s t r i n g s ” 命 令 来 搜 索 ， 但 如 果 程 序 加 了 壳 的 话 ， 又 该 怎 么 办 呢 ？ 因 此 ， 我 们 这 里 使 用 了 免 费 的 U P X 封 装 器 来 对 代 码 进 行 封 装 加 壳 ， 它 的 解 包 过 程 也 比 较 简 单 ， 所 以 它 是 一 款 非 常 适 合 学 习 的 工 具 。 祝 大 家 好 运 ！
过 程 分 析 过 程 分 析 当 我 们 使 用 r a b i n 2 运 行 封 装 的 可 执 行 程 序 并 查 看 i m p o r t 信 息 时 ， 我 们 可 以 看 到 这 里 几 乎 没 有 什 么 信 息 ， 而 且 字 符 串 也 看 不 出 什 么 字 面 意 思 ： 很 明 显 ， 这 是 一 个 经 过 封 装 的 程 序 。 我 们 可 以 P E i D 工 具 来 查 看 它 所 使 用 的 封 装 器 信 息 ： 你 可 以 看 到 ， 这 里 使 用 的 是 U P X 封 装 器 。 当 然 了 ， 这 种 封 装 器 拆 封 起 来 非 常 简 单 ， 你 也 可 以 直 接 下 载 U P X 拆 封 程 序 来 进 行 解 包 。 但 我 们 这 里 要 演 示 的 是 如 何 手 动 实 现 这 个 过 程 ， 所 以 接 下 来 我 们 在 x 6 4 d b g 中 启 动 程 序 ， 然 后 按 下 F 9 ， 直 到 我 们 到 达 应 用 程 序 的 入 口 点 位 置 。 X 6 4 d b g 会 直 接 用 “ E n t r y P o i n t ” 对 入 口 点 进 行 标 记 ， 这 里 我 们 使 用 了 p u s h a l 指 令 对 入 口 点 设 置 识 别 符 。 下 一 步 ， 我 们 需 要 按 下 F 8 或 F 7 键 ， 或 者 按 下 “ s t e p   o v e r ” 或 “ s t e p   i n t o ” 按 钮 。 然 后 需 要 右 键 点 击 右 侧 的 E S P 寄 存 器 ， 并 选 择 “ F o l l o w   i n   D u m p ” 。 接 下 来 ， 我 们 需 要 选 择 x 6 4 d b g 底 部 导 出 数 据 的 前 四 个 字 节 ， 然 后 在 D W o r d 中 设 置 一 个 硬 件 访 问 断 点 。
接 下 来 ， 我 们 就 可 以 按 下 F 9 键 来 重 新 运 行 应 用 程 序 了 ， 当 运 行 到 硬 件 端 点 位 置 时 ， 程 序 将 暂 停 运 行 。 我 们 在 断 点 后 设 置 了 一 个 p o p a l 指 令 ， 并 用 它 来 表 示 我 们 仍 在 正 确 的 执 行 路 径 上 。 我 们 还 可 以 看 到 ， 结 尾 部 分 跳 转 到 的 0 x 0 0 4 0 c 4 8 3 就 是 解 包 后 可 执 行 文 件 的 结 尾 部 分 。 跳 过 j m p 指 令 之 后 ， 我 们 就 到 达 了 程 序 的 入 口 点 位 置 。 下 一 步 就 是 要 对 导 出 的 应 用 程 序 进 行 分 析 了 ， 按 下 C T R L + A 键 并 开 始 分 析 汇 编 代 码 ， 这 样 可 以 确 保 到 处 的 汇 编 代 码 不 会 出 现 错 误 。 现 在 ， 我 们 可 以 按 下 C T R L + I 键 或 在 插 件 栏 选 择 S c y l l a 来 开 始 导 出 程 序 。
现 在 ， 点 击 “ I A T   A u t o s e a r c h ” 按 钮 来 让 程 序 自 动 帮 我 们 找 出 可 执 行 程 序 的 导 入 地 址 表 （ I A T ） 。 点 击 了 “ G e t I m p o r t s ” 按 钮 之 后 ， 我 们 将 会 得 到 这 个 可 执 行 文 件 引 用 的 第 三 方 库 。 现 在 ， 点 击 “ D u m p ” 按 钮 并 保 存 导 出 的 可 执 行 程 序 。 但 是 当 我 们 运 行 这 个 可 执 行 文 件 时 ， 却 出 现 了 下 图 所 示 的 错 误 ：
这 是 因 为 解 包 后 的 可 执 行 文 件 中 不 包 含 之 前 可 执 行 文 件 中 的 I A T ， 所 以 我 们 还 需 要 对 其 进 行 修 复 。 返 回 S c y l l a 界 面 ， 点 击 “ F i x   D u m p ” 按 钮 ， 选 择 刚 才 导 出 的 可 执 行 文 件 ， 并 点 击 确 定 。 修 复 成 功 后 ， 可 执 行 文 件 的 文 件 名 后 面 会 加 上 一 个 “ S C Y ” ， 现 在 它 就 可 以 正 常 运 行 了 。 然 后 重 新 在 R a b i n 2 中 打 开 这 个 解 包 后 的 可 执 行 程 序 ， 并 尝 试 导 出 其 中 的 设 置 信 息 。 如 果 你 使 用 密 码 “ t h i s _ i s _ p a s s w o r d ” 来 运 行 我 们 的 应 用 程 序 ， 你 将 会 看 到 如 下 所 示 的 界 面 ： 恭 喜 你 成 功 拿 到 了 F l a g ！ 资 源 获 取 资 源 获 取
U P X _ P r o j _ P a c k e d . e x e ： 【 点 击 阅 读 原 文 获 取 】 *   参 考 来 源 ： g o g g l e h e a d e d h a c k e r ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理