初破ExeCryptor 2.XX 笔记

brantjun

天天ASP,UPX做了N多了,今天换手,来试试ExeCryptor,呵呵.
首先看了很多大大的破文.收获颇多。但还有很多没搞清楚的。还请各位大大指点:loveliness:

首先按老规矩，OD载入，停系统断点。


运行ByPass AntiDBG OEP 1.1 成功完成，如下图

伪OPE  00731BBA

接下来，解密IAT
1.Ctrl+G:401000,新建EIP
2.确定加密IAT表地址：LordPE查看区段表

虚拟偏移：229000+400000＝629000
在数据框内确定IAT表开始和结束位置。
00629AA0  00000000                                  IAT 开始
00629AA4  770F4880  oleaut32.SysFreeString
00629AA8  771244AD  oleaut32.SysReAllocStringLen
00629AAC  770F4BA7  oleaut32.SysAllocStringLen
00629AB0  00000000
00629AB4  00630C8E  Main.00630C8E
00629AB8  0063A6D2  Main.0063A6D2
00629ABC  007354F8  Main.007354F8
00629AC0  00000000
00629AC4  0064586B  Main.0064586B
00629AC8  0062F651  Main.0062F651
00629ACC  0073663A  ASCII "QhN3r"
。。。。。。。。。。。。。。。。。。
。。。。。。。。。。。。。。。。。。
0062A350  71A24519  WS2_32.ioctlsocket
0062A354  71A22BF4  WS2_32.inet_addr
0062A358  71A22B66  WS2_32.ntohs
0062A35C  71A2406A  WS2_32.connect
0062A360  71A29639  WS2_32.closesocket
0062A364  00000000
0062A368  770FAB11  oleaut32.SafeArrayCreate
0062A36C  770FABCC  oleaut32.SafeArrayPtrOfIndex
0062A370  770FACF5  oleaut32.SafeArrayPutElement
0062A374  770FAC4F  oleaut32.SafeArrayGetElement
0062A378  00000000                                 IAT 结束

3.运行IAT Rebuilder PE-Kill脚本，
IAT解密完成。

4.用PETools转存为：dumped.exe
用importREC,OEP=0331BBA  RVA=00229AA4
保存为dumped_.exe
修复转存结束。

5.还原TLS：（这里还是不清楚哦）
先确定原来TLS表地址：0022E000,
修改TLS表如图

（感觉这里好像不对。）

6.修复OEP
OD载入dumped_.exe
出错



请问大大，我是在那里出了错？？？

[ 本帖最后由 brantjun 于 2007-9-13 08:49 编辑 ]

machenglin

OEP=0331BBS//？？？？
RVA=29aa4 //？？？？
FOEP=00331BBA
RVA=00229AA4

yingfeng

还没有脱过ExeCryptor 2.X这壳.呵呵

brantjun

machenglin大大，不好意思，是笔误：
OEP＝00331BBA
RVA＝00229AA4

不过再往下，就感觉不对劲了，可又不知道是那里出了错？
还请大大指点！

[ 本帖最后由 brantjun 于 2007-9-13 08:48 编辑 ]

machenglin

1、给出连接地址。
2、换另一OD测试。
3、清除所有断点、UDD。

brantjun

已经清除所有断点，UDD。
根据大大的经典破文：http://www.0wei.com/viewthread.p ... ighlight=execryptor
用里面的 神机妙算钢筋 v8.7练手，脚本都无法根下去。

后换一个手头上有的EXE加密壳，脚本可以过，呵呵，还不清楚是那里问题
加密文件：http://www.lucoralmfr.com/123/main.rar
大大能否PM我你的QQ？呵呵

machenglin

要装的东西太多了，放弃。

xhn1002

没脱过这样的壳。。
这个月在实习 没带自己的本子出来
等国庆 脱了看看

brantjun

晕，看来会这种壳的确比较难脱。

machenglin

脱壳后可以运行，需要gds32.dll文件。
貌似OEP被VM了。

[ 本帖最后由 machenglin 于 2007-9-14 11:52 编辑 ]