手动脱PECompact 1.68 - 1.84 -> Jeremy Collake的壳

moyer

【破文标题】手动脱PECompact 1.68 - 1.84 -> Jeremy Collake的壳
【破文作者】老怪物MOYER
【作者邮箱】moyerwonder@163.com
【作者主页】
【破解工具】PEiD,OD
【破解平台】Windows 2K&XP
【软件名称】
【软件大小】
【原版下载】
【保护方式】PECompact 1.68 - 1.84 -> Jeremy Collake
【软件简介】
【破解声明】我是一只小菜鸟，偶得一点心得，愿与大家分享：）
------------------------------------------------------------------------
用PEID查壳 PECompact 1.68 - 1.84 -> Jeremy Collake
OD载入，异常全部打钩。
到这里
00404C00 > /EB 06           JMP SHORT ex3.00404C08  //跳
00404C02   |68 00100000     PUSH 1000
00404C07   |C3              RETN
00404C08   \9C              PUSHFD
00404C09    60              PUSHAD
00404C0A    E8 02000000     CALL ex3.00404C11   //F7过,F8会运行
00404C0F    33C0            XOR EAX,EAX
00404C11    8BC4            MOV EAX,ESP
。。。。一路的F8，到这里
004062AE    5E              POP ESI
004062AF    5F              POP EDI
004062B0  ^ EB 9B           JMP SHORT ex3.0040624D    //这里我们跳上去。
004062B2    B9 E8000000     MOV ECX,0E8
004062B7    005D 81         ADD BYTE PTR SS:[EBP-7F],BL

。。。。。。
到了这里
0040624D    57              PUSH EDI
0040624E    AD              LODS DWORD PTR DS:[ESI]
0040624F    85C0            TEST EAX,EAX
00406251    0F84 9B000000   JE ex3.004062F2     //在这里ENTER，跟过去
00406257    8BD0            MOV EDX,EAX
00406259    0395 E6904000   ADD EDX,DWORD PTR SS:[EBP+4090E6]
0040625F    AD              LODS DWORD PTR DS:[ESI]

。。。。。。
到这里
004062F1    24 5F           AND AL,5F       //F4，运行到所选
004062F3    8BB5 E2904000   MOV ESI,DWORD PTR SS:[EBP+4090E2]        ; ex3.004090E8
004062F9    AD              LODS DWORD PTR DS:[ESI]
004062FA    83F8 FF         CMP EAX,-1
004062FD   /74 74           JE SHORT ex3.00406373     //这里ENTER，跟进
004062FF   |0385 E6904000   ADD EAX,DWORD PTR SS:[EBP+4090E6]
00406305   |8BD8            MOV EBX,EAX

。。。。。
到这里
00406373    68 00400000     PUSH 4000   //停在这里了，F4运行到所选
00406378    6A 00           PUSH 0
0040637A    57              PUSH EDI
0040637B    FF95 45974000   CALL DWORD PTR SS:[EBP+409745]
00406381    8BBD 3C964000   MOV EDI,DWORD PTR SS:[EBP+40963C]
00406387    03BD E6904000   ADD EDI,DWORD PTR SS:[EBP+4090E6]
0040638D    8B8D 40964000   MOV ECX,DWORD PTR SS:[EBP+409640]
00406393    51              PUSH ECX
00406394    57              PUSH EDI
一路的F8到这里

0040639D    03DE            ADD EBX,ESI
0040639F    49              DEC ECX
004063A0    74 72           JE SHORT ex3.00406414   //ENTER,跟进
004063A2    78 70           JS SHORT ex3.00406414
004063A4    66:8B07         MOV AX,WORD PTR DS:[EDI]
004063A7    2C E8           SUB AL,0E8
到这里
00406414    5F              POP EDI     //F4，运行到所选
00406415    59              POP ECX
00406416    33C0            XOR EAX,EAX
00406418    85C9            TEST ECX,ECX
0040641A    74 3B           JE SHORT ex3.00406457
0040641C    8BF7            MOV ESI,EDI
。。。。一路F8到这里
00406435    83D3 01         ADC EBX,1
00406438    33C3            XOR EAX,EBX
0040643A    83C6 04         ADD ESI,4
0040643D    83E9 04         SUB ECX,4
00406440    74 15           JE SHORT ex3.00406457   //ENTER跟进
00406442    83F9 04         CMP ECX,4
00406445  ^ 73 E8           JNB SHORT ex3.0040642F
00406447    BA 04000000     MOV EDX,4
0040644C    2BD1            SUB EDX,ECX
0040644E    2BF2            SUB ESI,EDX
00406450    B9 04000000     MOV ECX,4
00406455  ^ EB D8           JMP SHORT ex3.0040642F
00406457    3B85 67974000   CMP EAX,DWORD PTR SS:[EBP+409767]  //到这里啦，F4运行到所选
0040645D    74 4D           JE SHORT ex3.004064AC   //这里我们跳走
0040645F  ^ E9 4FFEFFFF     JMP ex3.004062B3
。。。。。。
一路的F8，到达这里
00406523    80BD 6B9F4000 C>CMP BYTE PTR SS:[EBP+409F6B],0C3  //接着F8，呵呵。。。
0040652A    74 22           JE SHORT ex3.0040654E            //跳走
0040652C    8D95 6BA14000   LEA EDX,DWORD PTR SS:[EBP+40A16B]
00406532    6A 40           PUSH 40
00406534    52              PUSH EDX
00406535    FFB5 3D974000   PUSH DWORD PTR SS:[EBP+40973D]
0040653B    FFB5 39974000   PUSH DWORD PTR SS:[EBP+409739]
00406541    E8 F40A0000     CALL ex3.0040703A
00406546    85C0            TEST EAX,EAX
00406548  ^ 0F85 9DFDFFFF   JNZ ex3.004062EB
0040654E    61              POPAD       //到这里啦，看到个了吧，就要解压完毕啦
0040654F    9D              POPFD        // 还是F8
00406550    50              PUSH EAX
00406551    68 00104000     PUSH ex3.00401000
00406556    C2 0400         RETN 4      //F8，就到OEP啦，然后就DUMP吧。

不用修复，呵呵。。。。


------------------------------------------------------------------------
这个壳和一般的压缩壳不太一样，有很多不能实现的跳，不是什么都向下F4，我只是练练手，给大家做个

参考吧。这个壳用ESP定律很简单，用字节方式跟踪入口点也行的。(我是菜鸟，我怕谁~!)呵呵。。。
------------------------------------------------------------------------
【版权声明】本破文纯属技术交流, 转载请注明作者并保持文章的完整, 谢谢!

[ 本帖最后由 moyer 于 2006-6-22 01:39 编辑 ]

zhimingcom

学习学习,谢谢指导

味道

汗 很难啊!