飘云阁安全网

 找回密码
 加入我们

QQ登录

只需一步,快速开始

查看: 6855|回复: 15

[原创] VMP 1.6-1.7脱壳记录(淘淘文件时间修改之星1.4)

[复制链接]
  • TA的每日心情
    奋斗
    2020-5-23 16:17
  • 签到天数: 32 天

    [LV.5]常住居民I

    发表于 2015-8-7 17:04:54 | 显示全部楼层 |阅读模式
    论坛脱壳这块比较冷清,刚好本人在学这方面的,于是把过程写了下,菜鸟文章,大牛路过。VMP版本很老了,主要为练手。

    最近在看天草的VMP和他乡的VMP教程,感觉都是脚本党啊,看了只能明白一些东西,有很多很模糊的概念,他乡这个纯碎是只讲操作不讲原理,坑爹,幸好没买他的教程,不然亏死。
    因为想练习一下脱这壳,于是上菲凡下了这个东西练手:
    EP:
    007C3B5E >  68 394693A7     PUSH    0xA7934639
    007C3B63    E8 D3541900     CALL    PhotoDat.0095903B
    007C3B68    68 7C3C930F     PUSH    0xF933C7C
    007C3B6D    E8 C9541900     CALL    PhotoDat.0095903B
    007C3B72    82EB 7A         SUB     BL, 0x7A
    007C3B75    C2 F0A7         RETN    0xA7F0

    不确定是哪个版本,先尝试一下:
    virtualProtect 下断点(这个断点教程都有,但为什么用这个却没一个说明。。{:soso_e101:}),具体找这个的理由我分析有2个:
    1.因为原来的代码段是只读,但是由於VMP把代码压缩到另一个位置,要还原这些代码,必须先把代码段变成可读写
    2.我用ollydbg的TC命令,第一个调用API的地方也是VirtualProtect,但也有可能是GetModuleHande
    利用vritualprotect,然后看看保护的地方,当代码段还原为readonly,则是返回时机了,这时对.text下内存访问断点,然后F9几下,直到来到.text段的位置(或者是代码像OEP的地方,代码会很整齐的)

    这里找到的OEP的RVA是:0019F46C,看到入口是DELPHI,没被抽取,庆幸。
    于是,到这里看看第一调用CALL,发现第一个API是GetModuleHande,被处理成jmp xxxx,xxxx是VMP段的位置了。
    因为在之前看过kissy的脚本,于是改了下,将入口点和生成API地址的地方记下来,跑脚本修复。
    这个过程中因为有好些地址出现了JMP 到一些并没有意义的指令里,于是,个人调了很多次,将无意义的地方记下来,如果找到这些地方就不执行。
    后面终於修复成功.
    调试了下,发现是网络验证,暂时没能破解,待后面有时间再爆它菊花吧。{:soso_e113:}
    看了后续版本的VMP脱壳教程,感觉难了不少,不过继续努力吧,相信能脱掉它的外衣。
    附上脚本



  • TA的每日心情
    难过
    2021-1-6 11:45
  • 签到天数: 121 天

    [LV.7]常住居民III

    发表于 2015-8-31 10:56:23 | 显示全部楼层
    没有视频啊?
  • TA的每日心情
    难过
    2022-7-7 17:41
  • 签到天数: 15 天

    [LV.4]偶尔看看III

    发表于 2015-9-14 06:46:59 | 显示全部楼层
    附上脚本    脚本在那下载
  • TA的每日心情
    难过
    2021-1-6 11:45
  • 签到天数: 121 天

    [LV.7]常住居民III

    发表于 2015-9-23 11:56:00 | 显示全部楼层
    这个壳有点难度啊
  • TA的每日心情
    奋斗
    2015-12-29 09:19
  • 签到天数: 7 天

    [LV.3]偶尔看看II

    发表于 2015-12-18 09:25:36 | 显示全部楼层
    vmp的最烦,请教楼主,dll怎么破解?无论加壳或者裸体,怎么跟进去?
  • TA的每日心情
    开心
    2016-4-1 13:26
  • 签到天数: 4 天

    [LV.2]偶尔看看I

    发表于 2016-3-31 14:40:04 | 显示全部楼层
    看着还不错啊
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2021-1-19 22:10
  • 签到天数: 11 天

    [LV.3]偶尔看看II

    发表于 2016-10-9 07:24:59 | 显示全部楼层
    学习了 谢谢
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    奋斗
    前天 08:12
  • 签到天数: 1226 天

    [LV.10]以坛为家III

    发表于 2017-1-18 21:49:10 | 显示全部楼层
    我也不会破解,望有大神师傅教
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2019-11-22 08:59
  • 签到天数: 5 天

    [LV.2]偶尔看看I

    发表于 2017-9-12 20:21:25 | 显示全部楼层
    说了半天一个毛都没见到在哪下载
    回复 支持 反对

    使用道具 举报

  • TA的每日心情
    开心
    2019-8-2 10:00
  • 签到天数: 2 天

    [LV.1]初来乍到

    发表于 2019-8-2 10:01:14 | 显示全部楼层
    最近遇到双壳,超搞怪
    回复 支持 反对

    使用道具 举报

    您需要登录后才可以回帖 登录 | 加入我们

    本版积分规则

    小黑屋|手机版|Archiver|粤公网安备 44010602010026号|飘云阁安全网 ( 粤ICP备15107817号-2 )

    Powered by Discuz! Copyright © 2001-2022, Tencent Cloud.

    快速回复 返回顶部 返回列表