首页
论坛
专栏
课程

[讨论]关于最新TMD/WL 2120 壳的分析(更新)

2010-7-2 14:27 15612

[讨论]关于最新TMD/WL 2120 壳的分析(更新)

2010-7-2 14:27
15612
由于TMD/VM 1.x,2.x 脱壳脚本无法成功经行脱壳,通过对 2120 与 2100 壳的比较发现,脚本问题出在 查询内存 #00063006D1C846# 这里
0086FF89    0006            add     byte ptr [esi], al
0086FF8B    3006            xor     byte ptr [esi], al
0086FF8D    D1C8            ror     eax, 1
0086FF8F    46              inc     esi
(0080F000 内存基址 为WL/TMD 核心加载段)
在TMD核心段中,老2120前的版本 可以找到2处,但是新版本没有第一处,
一下为新版的第一处内存
008FA5BF    60              pushad
008FA5C0    E9 10000000     jmp     008FA5D5
008FA5C5    4A              dec     edx
008FA5C6    85D9            test    ecx, ebx
008FA5C8  ^ 76 AA           jbe     short 008FA574
008FA5CA    43              inc     ebx
008FA5CB    EA B9687B70 27E>jmp     far EC27:707B68B9
008FA5D2    94              xchg    eax, esp
008FA5D3    2878 80         sub     byte ptr [eax-80], bh
008FA5D6    CE              into
008FA5D7    90              nop
008FA5D8    B8 01000000     mov     eax, 1
008FA5DD    6A 00           push    0
008FA5DF    53              push    ebx
008FA5E0    E8 03000000     call    008FA5E8

以下为老版本第一处内存

0086FF70   /E9 87000000     jmp     0086FFFC
0086FF75   |52              push    edx
0086FF76   |8BD4            mov     edx, esp
0086FF78   |60              pushad
0086FF79   |8B72 08         mov     esi, dword ptr [edx+8]
0086FF7C   |8B7A 0C         mov     edi, dword ptr [edx+C]
0086FF7F   |B8 B2CA45A9     mov     eax, A945CAB2
0086FF84   |E9 07000000     jmp     0086FF90
0086FF89   |0006       add     byte ptr [esi], al  ---》查找此处以后 + F 达到 0086FF98
0086FF8B   |3006            xor     byte ptr [esi], al
0086FF8D   |D1C8            ror     eax, 1
0086FF8F   |46              inc     esi
0086FF90   |3BF7            cmp     esi, edi
0086FF92  ^|0F82 F1FFFFFF   jb      0086FF89
0086FF98   |61              popad                      ---》目的就是为了查找此处做硬件断点
0086FF99   |5A              pop     edx
0086FF9A   |C2 0800         retn    8

老版本在断下以后 会获取 EDI 寄存器后查找 000a0a0a ,查到后方能继续脱壳,新版本的壳去掉了第一处,就无法继续脱壳了,第二次做硬件断点是无效的。望高手能分析一下。。。时间紧迫,难道这就是更改授权方式的后果?

----------------------------------
对TMD壳也没多少时间去脱他,就用了偷懒的办法,结果还真脱出来了,惭愧的很。
由于能力有限只能针对 delphi 程序的 TMD/WL 2120 来了一次另类脱壳,载入OD 以后 断点 GetModuleHandleA,由于该API 位于 delphi 程序加载前首要位置,断下他就意味着在壳部分已经全部过完,除了偷去的代码以外其他全部载入代码段中,断此API 需要一边看CODE 节,一边按 CTRL+F9 ,CODE 段写完了 delphi 的 GetModuleHandleA 就差不多到了,具体需要看情况而定,无需任何脚本就能让你达到这里,当然确保你的OD是 noody 的,不会被壳发现。到了此处以后可以通过堆栈查看返回地址,返回到代码段,你可以暂时返回过来的函数地址作为OEP进行脱壳,此时就按照 TMD/WL 的传统脱壳大法了,需要找真的OEP,其实DELPHI 的OEP 很有特点的,对比没有壳的代码就可以造出新OEP,因为TMD通常会偷取OEP代码,这里就需要你重新脱一次。

00406FE0  /$  53            PUSH EBX                       《----脱壳位置
00406FE1  |.  8BD8          MOV EBX,EAX
00406FE3  |.  33C0          XOR EAX,EAX
00406FE5  |.  A3 A4F05000   MOV DWORD PTR DS:[50F0A4],EAX
00406FEA  |.  6A 00         PUSH 0                                   ; /pModule = NULL
00406FEC  |.  E8 13FFFFFF   CALL <JMP.&kernel32.GetModuleHandleA>    ; \GetModuleHandleA //断点
00406FF1  |.  A3 68765100   MOV DWORD PTR DS:[517668],EAX //堆栈返回
00406FF6  |.  A1 68765100   MOV EAX,DWORD PTR DS:[517668]
00406FFB  |.  A3 B0F05000   MOV DWORD PTR DS:[50F0B0],EAX
00407000  |.  33C0          XOR EAX,EAX
00407002  |.  A3 B4F05000   MOV DWORD PTR DS:[50F0B4],EAX
00407007  |.  33C0          XOR EAX,EAX
00407009  |.  A3 B8F05000   MOV DWORD PTR DS:[50F0B8],EAX
0040700E  |.  E8 C1FFFFFF   CALL login_du.00406FD4
00407013  |.  BA ACF05000   MOV EDX,login_du.0050F0AC
00407018  |.  8BC3          MOV EAX,EBX
0040701A  |.  E8 11D9FFFF   CALL login_du.00404930
0040701F  |.  5B            POP EBX
00407020  \.  C3            RETN //运行到这里以后,会返回到 TMD VMP CALL

返回到 VMP
0075E33F    68 858FEE0D     PUSH 0DEE8F85
0075E344  ^ E9 E113F1FF     JMP login_du.0066F72A
0075E349    68 CA90EE0D     PUSH 0DEE90CA                  ---》会返回到这样的地方,然后 代码段下内存读取断点 F9 过去,每F9 一次记录 注解和寄存器 通常 EAX EDX ECX EBX 就够,几次以后就能回到 下一个CALL 位置
0075E34E  ^ E9 D713F1FF     JMP login_du.0066F72A
0075E353    68 5492EE0D     PUSH 0DEE9254
0075E358  ^ E9 CD13F1FF     JMP login_du.0066F72A
0075E35D    68 6E93EE0D     PUSH 0DEE936E

几次下来所有记录好以后,可以对照无壳的DELPHI 来进行修复OEP了。下面我给大家做了一个 修复偷代码用的记录脚本,很多工作都傻瓜化了。

var findbase
var sizebase
var tempbase
var count
var index

mov findbase, 401000                 //代码段基地址
mov sizebase, 12d000                //代码段长度
mov tempbase, findbase            
add tempbase, sizebase            //代码段的下一节基地址

mov index, 0                               //记录
mov count, 2B                             //VMP CALL 的次数

TMD_START:
add index, 1
log index
log "vmp call start {"  // 一次 VMP CALL 调用的开始

TMD_IMAGE:
bprm findbase, sizebase            // 下代码段读取断点
esto
bpmc
cmp eip, tempbase
jb STD_IMAGE
log "vmp execute start{" // 这里记录着在VMP中所执行的过程,记录多次
log eip
log eax
log ecx
log edx
log ebx
log esp
log ebp
log esi
log edi
log "} vmp execute over"
jmp TMD_IMAGE

STD_IMAGE:
log "} vmp call over" // 一次 VMP CALL 调用的结束
log "std call start {" //这里就意味着返回到代码段中 再记录一次
log eip
log eax
log ecx
log edx
log ebx
log esp
log ebp
log esi
log edi
log "} std call over"

OEP_IMAGE:
cmp index, count
je END                        // stop !!!
rtr
find eip, #68??????0DE9??????FF# // VMP CALL
cmp $RESULT, 0
je OEP_IMAGE
jmp TMD_START

END:
bpmc
ret

执行完以后OD脚本记录器里记录下内容就可以去修复了,此脚本一般用于达到 VMP CALL 之前执行使用所有偷代码的修复工作,修复起来还是很辛苦的。

下一节 我会讲一下 TMD/WL VM 1.X 2.X 脚本修复 TMD/WL 2120 API 的另类修复大法

2020安全开发者峰会(2020 SDC)议题征集 中国.北京 7月!

最新回复 (8)
hyperchem 1 2010-7-3 05:06
2
0
这段代码是用来解密字符串,新版可能多加了一层smc,导致搜索不到。。
没有新版的bin和样品 无法下结论
晕仙同志 2010-7-7 19:41
3
0
哎呀强人啊   tmd和vmp的听说是强壳啊
nevsayno 2010-7-12 02:37
4
0
关注   tmd2.1.2
CHYX 2010-10-23 13:06
5
0
哥哥,等待你出:
下一节 我会讲一下 TMD/WL VM 1.X 2.X 脚本修复 TMD/WL 2120 API 的另类修复大法
中专学历 2011-1-15 10:56
6
0
楼主 能不能加个样本
这样没对比的看 不知道在说神马东西呀
weigz 2011-1-15 10:59
7
0
网上没找到此软件的破解,请高人出手,麻烦发至raslave@21cn.com
golden32 6.0.0.641

http://www.benthicsoftware.com/apps/goldensetup60641.exe

Golden is an ad-hoc query tool with many powerful features. It features close compatibility with SQLPLus' scripting conventions including variable prompting and script parameter passing. It is a 32 bit multi-threaded application allowing multiple scripts to be edited and run simultaneously. It is optimized to be quick and resource friendly. Some highlighted features are:
Supported Client Operating systems: Windows 2000, 2003, 2008, XP, Vista, Windows 7, Terminal Server/Citrix, 64bit (with 32bit Oracle Client Installed.)
Supports Oracle 8 - 11g, SQLNet 2.x - Net11 (including 'Instant Client')

wuyechen 2011-1-15 12:05
8
0
来参观一下了
cpfgf 2011-11-5 20:47
9
0
看看顶一下
游客
登录 | 注册 方可回帖
返回