吾爱汇编

 找回密码
 立即注册

QQ登录

绑定QQ避免忘记帐号

查看: 12218|回复: 92

[原创逆向视频] Themida或WinLicense中解码表及DLL基址表的获取

  [复制链接]
zhaohj999 发表于 2015-5-21 15:41 | 显示全部楼层 |阅读模式

本帖最后由 zhaohj999 于 2015-5-21 18:20 编辑

ThemidaWinLicense中解码表及DLL基址表的获取
壳只会对导入表中来自kernel32.dlluser32.dlladvapi32.dll 三个dll中的函数作加密变形.外壳程序会把要执行的代码变在VirtualAlloc 分配的地址空间去执行,执行完了再VirtualFree
壳初始化的时候会申请很多的临时内存空间,从这点可以肯定它会调用VirtualAlloc函数,我们现在先对这个函数下断点:bp VirtualAlloc+19,下断在函数返回处。
Od载入程序,CTRL+G,输入:VirtualAlloc+19F2下断,F9运行。eax得到的VirtualAlloc 分配的地址。ALT+M看一下
alloc.jpg
F9连续3次,ALT+M,连续分配的3块内存就是壳加载的kernel32.dlluser32.dlladvapi32.dll
我们用LordPE的“区域转存”功能dump下来看一下
kernel32.jpg
LordPE打开刚转存的文件
kernel32-1.jpg
看到VirtualAlloc的偏移是0x8ef1
也就是说壳先加载了自己的3dll文件,以后对VirtualAlloc的访问将使用壳自己加载的api函数。这就是0x8ef1偏移数据的来源。
下面就在壳的VirtualAlloc下硬件执行断点(取消原来的F2断点),F9,直到EAX返回一个PE的前一个断点,就是最佳返回时机。
其它两个内存分配区域转存的dump文件
user32.jpg
ADVAPI32.JPG

【视频】下载地址:
游客,如果您要查看本帖隐藏内容请回复






评分

参与人数 35威望 +1 HB +88 THX +28 收起 理由
zxjzzh + 2 [吾爱汇编论坛52HB.COM]-软件反汇编逆向分析,软件安全必不可少!
虚心学习 + 1 [吾爱汇编论坛52HB.COM]-软件反汇编逆向分析,软件安全必不可少!
temp + 1
lies + 1
别管我了行 + 2
消逝的过去 + 2
饭饭烦 + 2 + 1
agan8888 + 1 [快捷评语]--吃水不忘打井人,给个评分懂感恩!
liu6617243 + 1
www1230 + 2 + 1 [快捷评语]--你将受到所有人的崇拜!
pizazzboy + 1 + 1 [快捷评语] - 吃水不忘打井人,给个评分懂感恩!
zcc0077 + 1 [快捷评语] - 评分=感恩!简单却充满爱!感谢您的作品!
xcxxg + 1 + 1 [快捷评语] - 分享精神,是最值得尊敬的!
风动鸣 + 1 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
danielwood + 1 + 1 评分=感恩!简单却充满爱!感谢您的作品!
小明 + 4 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
逍遥枷锁 + 4 + 1 评分=感恩!简单却充满爱!感谢您的作品!
菜鸟中的菜鸟 + 5 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
duanbin109 + 1 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
mjsz + 1 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
sndncel + 4 + 1 好人有好报!你的热心我永远不忘!谢谢!
kangda666 + 1 + 1 好人有好报!你的热心我永远不忘!谢谢!
lin83732703 + 1 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
白狼 + 1 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
yyjpcx + 1 + 1 评分=感恩!简单却充满爱!感谢您的作品!
yuzhiboqianyuan + 2 + 1 评分=感恩!简单却充满爱!感谢您的作品!
虚竹 + 5 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
哎呦呦 + 5 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
LCC + 2 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
凌云 + 6 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
lucious + 10 + 1 激动的我差点加错分了。。
宁静致远 + 1 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!
雪里红 + 2 + 1 评分=感恩!简单却充满爱!感谢您的作品!
Shark恒 + 1 + 10 + 1 评分=感恩!简单却充满爱!感谢您的作品!
Mrsin + 4 + 1 ★★★★★ 热心人,佛祖保佑你事事顺利 ,财源滚滚!!!

查看全部评分

吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
Shark恒 发表于 2015-5-21 17:51 | 显示全部楼层

zhaohj999 发表于 2015-5-21 17:02
感谢版主!文档中插入图片还是没学会。

这是因为你的上传方式错了,不应该上传附件,而是上传图片,然后在文字中(想插入图片的位置)点击上传的图片,就可以插入到对应位置了。
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
fy88 发表于 2015-5-21 15:43 | 显示全部楼层

图片是不是没弄好。前面的链接是什么
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
北丶Coi7 发表于 2015-5-21 15:44 | 显示全部楼层
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
 楼主| zhaohj999 发表于 2015-5-21 15:46 | 显示全部楼层

本帖最后由 zhaohj999 于 2015-5-21 16:13 编辑

竟然不会排版,看附件的文档及录像吧。也不知道怎么取消下载附件需要的积分,请版主处理一下吧。

Themida或WinLicense所有版本,只要获取了这两张表,并理解解码表格式中每个DWORD的含义,脱壳就很简单了。只要在这两张表下“内存访问断点”及代码段下“内存写入断点”,根据我上一篇的脚本修改一下数据就可以跑完。

吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
Shark恒 发表于 2015-5-21 16:54 | 显示全部楼层

zhaohj999 发表于 2015-5-21 15:46
竟然不会排版,看附件的文档及录像吧。也不知道怎么取消下载附件需要的积分,请版主处理一下吧。

Themid ...

OK啦,我已经帮你重新上传附件了,导出了视频教程,转移到了视频区
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
 楼主| zhaohj999 发表于 2015-5-21 17:02 | 显示全部楼层

Shark恒 发表于 2015-5-21 16:54
OK啦,我已经帮你重新上传附件了,导出了视频教程,转移到了视频区

感谢版主!文档中插入图片还是没学会。
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
gujin162 发表于 2015-5-21 17:18 | 显示全部楼层


向楼主学习,像楼主致敬~
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
钢棍泄师傅 发表于 2015-5-21 17:42 来自手机端 | 显示全部楼层

虽然不懂什么意思,但是很喜欢这样的技术帖子,非常感谢
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
 楼主| zhaohj999 发表于 2015-5-21 18:21 | 显示全部楼层

学会了插图,谢谢恒大版主!
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

警告:本站严惩灌水回复,尊重自己从尊重他人开始!

1层
赞帖
2层
3层
4层
5层
6层
7层
8层
10层

免责声明

吾爱汇编(www.52hb.com)所讨论的技术及相关工具仅限用于研究学习,皆在提高软件产品的安全性,严禁用于不良动机。任何个人、团体、组织不得将其用于非法目的,否则,一切后果自行承担。吾爱汇编不承担任何因为技术滥用所产生的连带责任。吾爱汇编内容源于网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑中彻底删除。如有侵权请邮件或微信与我们联系处理。

站长邮箱:SharkHeng@sina.com
站长QQ:1140549900


QQ|RSS|手机版|小黑屋|帮助|吾爱汇编 ( 京公网安备11011502005403号 , 京ICP备20003498号-6 )|网站地图

Powered by Discuz!

吾爱汇编 www.52hb.com

快速回复 返回顶部 返回列表