Themida 1.8.X 脱壳之泡泡堂不死外挂3.16

a__p

Themida 1.8.X 脱壳之泡泡堂不死外挂3.16

首先用PEID查下壳：什么也没发现，看区段名有Themida 字样，初步估计应该是1.8.X的。

载入后隐藏我们的OD，在代码段下内存写入断点

0041D014 >  B8 00000000     MOV EAX,0                                    ；载入点。注意看这些代码
0041D019    60              PUSHAD                                                
0041D01A    0BC0            OR EAX,EAX                                        ；明眼的就看出是Themida 壳了
0041D01C    74 68           JE SHORT 无敌外挂.0041D086
0041D01E    E8 00000000     CALL 无敌外挂.0041D023
0041D023    58              POP EAX
0041D024    05 53000000     ADD EAX,53
0041D029    8038 E9         CMP BYTE PTR DS:[EAX],0E9
0041D02C    75 13           JNZ SHORT 无敌外挂.0041D041
0041D02E    61              POPAD
0041D02F    EB 45           JMP SHORT 无敌外挂.0041D076

===============================================================================

SHIFT+F9运行，第一次中断在下面：

004F14A2    F3:A4           REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[>       ；F7一次后F8一次
004F14A4    C685 CD2A1B07 5>MOV BYTE PTR SS:[EBP+71B2ACD],56
004F14AB    68 396D1FD4     PUSH D41F6D39
004F14B0    FFB5 FD051B07   PUSH DWORD PTR SS:[EBP+71B05FD]
004F14B6    8D85 E87C1E07   LEA EAX,DWORD PTR SS:[EBP+71E7CE8]
004F14BC    FFD0            CALL EAX
004F14BE    68 00800000     PUSH 8000
004F14C3    6A 00           PUSH 0
004F14C5    52              PUSH EDX
004F14C6    FFD0            CALL EAX

===============================================================================

SHIFT+F9继续运行，断在下面：

004F52E1    8908            MOV DWORD PTR DS:[EAX],ECX              ；中断在这里，往上面找代码

===============================================================================

004F4A80   /0F84 17000000   JE 无敌外挂.004F4A9D
004F4A86   |83BD 310E1B07 0>CMP DWORD PTR SS:[EBP+71B0E31],0
004F4A8D   |0F85 0A000000   JNZ 无敌外挂.004F4A9D     《====改成JMP  004F4A9D ==========
004F4A93   |C785 410C1B07 0>MOV DWORD PTR SS:[EBP+71B0C41],1
004F4A9D   \61              POPAD
004F4A9E    B9 46A60308     MOV ECX,803A646
004F4AA3    BA 9AD13616     MOV EDX,1636D19A

。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。

004F4BC4    5E              POP ESI
004F4BC5    83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],1
004F4BCC    0F84 39000000   JE 无敌外挂.004F4C0B    《====改成JMP  004F4BF6 ===========
004F4BD2    3B8D 29081B07   CMP ECX,DWORD PTR SS:[EBP+71B0829]
004F4BD8    0F84 2D000000   JE 无敌外挂.004F4C0B
004F4BDE    3B8D 1D171B07   CMP ECX,DWORD PTR SS:[EBP+71B171D]
004F4BE4    0F84 21000000   JE 无敌外挂.004F4C0B
004F4BEA    3B8D 552A1B07   CMP ECX,DWORD PTR SS:[EBP+71B2A55]
004F4BF0    0F84 15000000   JE 无敌外挂.004F4C0B
004F4BF6    8D9D E2FD2107   LEA EBX,DWORD PTR SS:[EBP+721FDE2]
004F4BFC    FFD3            CALL EBX
004F4BFE    8BF8            MOV EDI,EAX
004F4C00    8985 1D2F1B07   MOV DWORD PTR SS:[EBP+71B2F1D],EAX
004F4C06    E9 B4060000     JMP 无敌外挂.004F52BF
004F4C0B    8D9D E2FD2107   LEA EBX,DWORD PTR SS:[EBP+721FDE2]
004F4C11    FFD3            CALL EBX
004F4C13    83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],0

===============================================================================

改好上面2处跳转（目的是避开加密）后返回中断处，用HideOD申请一段内存地址（我的是2A30000）

004F52E1    8908            MOV DWORD PTR DS:[EAX],ECX              ；中断处，改成 JMP 2A30000
004F52E3    AD              LODS DWORD PTR DS:[ESI]
004F52E4    C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0   
004F52EB    89B5 6D301B07   MOV DWORD PTR SS:[EBP+71B306D],ESI           ；地址A，记下来
004F52F1    83F8 FF         CMP EAX,-1
004F52F4    0F85 20000000   JNZ 无敌外挂.004F531A
004F52FA    813E DDDDDDDD   CMP DWORD PTR DS:[ESI],DDDDDDDD
004F5300    0F85 14000000   JNZ 无敌外挂.004F531A
004F5306    C706 00000000   MOV DWORD PTR DS:[ESI],0
004F530C    83C6 04         ADD ESI,4
004F530F    89B5 6D301B07   MOV DWORD PTR SS:[EBP+71B306D],ESI
004F5315  ^ E9 E6F6FFFF     JMP 无敌外挂.004F4A00
004F531A    C1C0 03         ROL EAX,3
004F531D    0385 11171B07   ADD EAX,DWORD PTR SS:[EBP+71B1711]
004F5323    83BD 99221B07 0>CMP DWORD PTR SS:[EBP+71B2299],1
004F532A    0F84 9D000000   JE 无敌外挂.004F53CD
004F5330    813E AAAAAAAA   CMP DWORD PTR DS:[ESI],AAAAAAAA
004F5336    0F85 12000000   JNZ 无敌外挂.004F534E
004F533C    83C6 04         ADD ESI,4
004F533F    C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0
004F5346    97              XCHG EAX,EDI
004F5347    B0 E9           MOV AL,0E9
004F5349    E9 03000000     JMP 无敌外挂.004F5351
004F534E    97              XCHG EAX,EDI
004F534F    B0 E8           MOV AL,0E8
004F5351    50              PUSH EAX
004F5352    83BD 31011B07 0>CMP DWORD PTR SS:[EBP+71B0131],1
004F5359    0F84 3E000000   JE 无敌外挂.004F539D
004F535F    B8 00010000     MOV EAX,100
004F5364    83BD C7E82107 0>CMP DWORD PTR SS:[EBP+721E8C7],0
004F536B    0F84 08000000   JE 无敌外挂.004F5379
004F5371    8D9D 61712107   LEA EBX,DWORD PTR SS:[EBP+7217161]
004F5377    FFD3            CALL EBX
004F5379    803F 90         CMP BYTE PTR DS:[EDI],90
004F537C    0F84 08000000   JE 无敌外挂.004F538A
004F5382    83C7 05         ADD EDI,5
004F5385    E9 43000000     JMP 无敌外挂.004F53CD
004F538A    83F8 50         CMP EAX,50
004F538D    0F82 0A000000   JB 无敌外挂.004F539D
004F5393    B0 90           MOV AL,90
004F5395    AA              STOS BYTE PTR ES:[EDI]
004F5396    58              POP EAX
004F5397    AA              STOS BYTE PTR ES:[EDI]
004F5398    E9 24000000     JMP 无敌外挂.004F53C1                              ；改成 JMP 2A30014
004F539D    58              POP EAX
004F539E    AA              STOS BYTE PTR ES:[EDI]
004F539F    807F FF E9      CMP BYTE PTR DS:[EDI-1],0E9
004F53A3    0F85 18000000   JNZ 无敌外挂.004F53C1                            ；改成 JMP 2A30036
004F53A9    83BD C7E82107 0>CMP DWORD PTR SS:[EBP+721E8C7],0     ；地址C，记下来
004F53B0    0F84 08000000   JE 无敌外挂.004F53BE
004F53B6    8D9D 31712107   LEA EBX,DWORD PTR SS:[EBP+7217131]
004F53BC    FFD3            CALL EBX
004F53BE    8847 04         MOV BYTE PTR DS:[EDI+4],AL                                ；这里NOP掉
004F53C1    8B85 1D2F1B07   MOV EAX,DWORD PTR SS:[EBP+71B2F1D]    ；地址B，记下来
004F53C7    2BC7            SUB EAX,EDI
004F53C9    83E8 04         SUB EAX,4
004F53CC    AB              STOS DWORD PTR ES:[EDI]                                      ；这里NOP掉
004F53CD    AD              LODS DWORD PTR DS:[ESI]
004F53CE    C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0
004F53D5  ^ E9 11FFFFFF     JMP 无敌外挂.004F52EB                            ；改成 JMP 02A3005F
004F53DA    89B5 6D301B07   MOV DWORD PTR SS:[EBP+71B306D],ESI
004F53E0    52              PUSH EDX
004F53E1    68 00800000     PUSH 8000
004F53E6    6A 00           PUSH 0
004F53E8    FFB5 F5211B07   PUSH DWORD PTR SS:[EBP+71B21F5]
004F53EE    FF95 49131B07   CALL DWORD PTR SS:[EBP+71B1349]
004F53F4    5A              POP EDX
004F53F5    8B8D 9D121B07   MOV ECX,DWORD PTR SS:[EBP+71B129D]
004F53FB    C701 00000000   MOV DWORD PTR DS:[ECX],0
004F5401    83C1 04         ADD ECX,4
004F5404    898D 9D121B07   MOV DWORD PTR SS:[EBP+71B129D],ECX
004F540A  ^ E9 10F5FFFF     JMP 无敌外挂.004F491F
004F540F    E9 A4060000     JMP 无敌外挂.004F5AB8                                  ；这里F2下个断点
004F5414    60              PUSHAD
004F5415    8B8D 9D121B07   MOV ECX,DWORD PTR SS:[EBP+71B129D]
004F541B    8B09            MOV ECX,DWORD PTR DS:[ECX]
004F541D    898D C3E82107   MOV DWORD PTR SS:[EBP+721E8C3],ECX
004F5423    8138 4E54444C   CMP DWORD PTR DS:[EAX],4C44544E

。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。

CTRL+G 来到2A30000处，写如下代码：

02A30000    A3 0004A302     MOV DWORD PTR DS:[2A30400],EAX
02A30005    8908            MOV DWORD PTR DS:[EAX],ECX
02A30007    AD              LODS DWORD PTR DS:[ESI]
02A30008    C746 FC 0000000>MOV DWORD PTR DS:[ESI-4],0
02A3000F  - E9 D752ACFD     JMP 无敌外挂.004F52EB                             ；地址A
02A30014    50              PUSH EAX
02A30015    A1 0004A302     MOV EAX,DWORD PTR DS:[2A30400]
02A3001A    8907            MOV DWORD PTR DS:[EDI],EAX
02A3001C    807F FF E8      CMP BYTE PTR DS:[EDI-1],0E8
02A30020    75 08           JNZ SHORT 02A3002A
02A30022    66:C747 FE FF15 MOV WORD PTR DS:[EDI-2],15FF
02A30028    EB 06           JMP SHORT 02A30030
02A3002A    66:C747 FE FF25 MOV WORD PTR DS:[EDI-2],25FF
02A30030    58              POP EAX
02A30031  - E9 8B53ACFD     JMP 无敌外挂.004F53C1                             ；地址B
02A30036    50              PUSH EAX
02A30037    A1 0004A302     MOV EAX,DWORD PTR DS:[2A30400]
02A3003C    8947 01         MOV DWORD PTR DS:[EDI+1],EAX
02A3003F    807F FF E8      CMP BYTE PTR DS:[EDI-1],0E8
02A30043    75 08           JNZ SHORT 02A3004D
02A30045    66:C747 FF FF15 MOV WORD PTR DS:[EDI-1],15FF
02A3004B    EB 06           JMP SHORT 02A30053
02A3004D    66:C747 FF FF25 MOV WORD PTR DS:[EDI-1],25FF
02A30053    58              POP EAX
02A30054  - 0F85 6753ACFD   JNZ 无敌外挂.004F53C1                           ；地址B
02A3005A  - E9 4A53ACFD     JMP 无敌外挂.004F53A9                            ；地址C
02A3005F    83C7 04         ADD EDI,4
02A30062  - E9 8452ACFD     JMP 无敌外挂.004F52EB                            ；地址A
02A30067    90              NOP


（二进制代码）

A3 00 04 A3 02 89 08 AD C7 46 FC 00 00 00 00 E9 D7 52 AC FD 50 A1 00 04 A3 02 89 07 80 7F FF E8
75 08 66 C7 47 FE FF 15 EB 06 66 C7 47 FE FF 25 58 E9 8B 53 AC FD 50 A1 00 04 A3 02 89 47 01 80
7F FF E8 75 08 66 C7 47 FF FF 15 EB 06 66 C7 47 FF FF 25 58 0F 85 67 53 AC FD E9 4A 53 AC FD 83
C7 04 E9 84 52 AC FD 90

================================================================================

写好代码后,删除先前在代码段下的内存写入断点,shift+F9,中断在004F540F,到这里已经获得了IAT,现在

找OEP.，在这里我采用世面上流传的找THEMIDA OEP方法：

取消004F540F处断点,ALT+M打开内存察看窗口，直接在代码段F2下断点。Shift+F9就中断在OEP处了

004013A8  - FF25 DC104000   JMP DWORD PTR DS:[4010DC]                ; MSVBVM60.ThunRTMain
004013AE    0000            ADD BYTE PTR DS:[EAX],AL
004013B0    DA00            FIADD DWORD PTR DS:[EAX]
004013B2    5C              POP ESP
004013B3    A7              CMPS DWORD PTR DS:[ESI],DWORD PTR ES:[ED>
004013B4    9E              SAHF
004013B5    D20F            ROR BYTE PTR DS:[EDI],CL
004013B7    EE              OUT DX,AL                                ; I/O 命令
004013B8    8BED            MOV EBP,EBP
004013BA    0000            ADD BYTE PTR DS:[EAX],AL
004013BC    0000            ADD BYTE PTR DS:[EAX],AL
004013BE    0000            ADD BYTE PTR DS:[EAX],AL
004013C0    3000            XOR BYTE PTR DS:[EAX],AL
004013C2    0000            ADD BYTE PTR DS:[EAX],AL
004013C4    3800            CMP BYTE PTR DS:[EAX],AL
004013C6    0000            ADD BYTE PTR DS:[EAX],AL
004013C8    0000            ADD BYTE PTR DS:[EAX],AL
004013CA    0000            ADD BYTE PTR DS:[EAX],AL
004013CC    D9F2            FPTAN

通过上面的代码，我们很明显发现程序是用VB编译的，而且OEP已经被THEMIDA偷掉了，让我们来

手动修复他的OEP吧。我们先找一个没加壳的VB程序用OD载入进行对比一下就明白了。

004011D0   $- FF25 80104000 JMP DWORD PTR DS:[<&MSVBVM60.#100>]      ;  MSVBVM60.ThunRTMain
004011D6      00            DB 00
004011D7      00            DB 00
004011D8 > $  68 7C184000   PUSH Variant.0040187C                    ；注意这里，（搜索VB5！）
004011DD   .  E8 EEFFFFFF   CALL <JMP.&MSVBVM60.#100>        ；这个CALL是指向上面的JMP
004011E2   .  0000          ADD BYTE PTR DS:[EAX],AL
004011E4   .  0000          ADD BYTE PTR DS:[EAX],AL
004011E6   .  0000          ADD BYTE PTR DS:[EAX],AL
004011E8   .  3000          XOR BYTE PTR DS:[EAX],AL
004011EA   .  0000          ADD BYTE PTR DS:[EAX],AL
004011EC   .  40            INC EAX
004011ED   .  0000          ADD BYTE PTR DS:[EAX],AL
004011EF   .  0000          ADD BYTE PTR DS:[EAX],AL
004011F1   .  0000          ADD BYTE PTR DS:[EAX],AL
004011F3   .  0058 2C       ADD BYTE PTR DS:[EAX+2C],BL
004011F6   .  114A DB       ADC DWORD PTR DS:[EDX-25],ECX
004011F9   .  43            INC EBX
004011FA   .  8645 BA       XCHG BYTE PTR SS:[EBP-46],AL
004011FD   .  1822          SBB BYTE PTR DS:[EDX],AH
004011FF   .  6D            INS DWORD PTR ES:[EDI],DX                ;  I/O 命令
00401200   .  CE            INTO
00401201   .  C3            RETN

。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。

改成如下代码就手动修复OEP了：

004013A8  - FF25 DC104000   JMP DWORD PTR DS:[4010DC]                ; MSVBVM60.ThunRTMain
004013AE    0000            ADD BYTE PTR DS:[EAX],AL
004013B0    68 D07E4000     PUSH 无敌外挂.00407ED0                       ; ASCII "VB5!6&vb6chs.dll"
004013B5    E8 EEFFFFFF     CALL 无敌外挂.004013A8                       ; JMP 到 MSVBVM60.ThunRTMain
004013BA    0000            ADD BYTE PTR DS:[EAX],AL
004013BC    0000            ADD BYTE PTR DS:[EAX],AL
004013BE    0000            ADD BYTE PTR DS:[EAX],AL
004013C0    3000            XOR BYTE PTR DS:[EAX],AL
004013C2    0000            ADD BYTE PTR DS:[EAX],AL
004013C4    3800            CMP BYTE PTR DS:[EAX],AL
004013C6    0000            ADD BYTE PTR DS:[EAX],AL
004013C8    0000            ADD BYTE PTR DS:[EAX],AL
004013CA    0000            ADD BYTE PTR DS:[EAX],AL
004013CC    D9F2            FPTAN

===============================================================================

到这里修复后就可以用LOAD PE 脱壳，ImportREC修复输入表

OEP：000013AE

RVA：00001000

大小：00000118

剪取掉一个无效指针后修复。试运行一下脱壳修复好的程序，正常。

PEID查壳 Microsoft Visual Basic 5.0 / 6

发现脱壳后的文件巨大，用LOAD PE 清除 Themida 这个区段，保存，在用LOAD PE 重建。

再次打开重建后的程序，运行正常，文件大小98.1KB 到这里就脱壳+修复+优化完毕了。

附脱壳优化后文件：http://www.live-share.com/files/182814/___.rar.html

glts

/:08 感谢分享!

a__p

没什么技术含量，在前辈们的肩膀上走过来的，正向FLY大侠讲的那样：多练多得

playboyjin

讲的还是不错的哦,,谢谢分享,,,,

rayicy

学习...

wan

专搞Themida/:08

mulonggu

游戏外挂的要好好学的

杜杜哎哟

/:08 只能用这个形容，呵呵

crack小菜

谢谢LZ分享,我正需要这中壳的文章~

绝恋风尘

高手,学习了~