|
 | 作者: mmzz321 [mmzz321]
 论坛用户 |
登录 |
| ---------------------------------------------------------------------------------------- 【文章标题】: Themida/WinLicense V1.8.2.0 +脱壳 FOR PcShare远程控制会员版本20070826 【文章作者】: 冰橙子 【作者邮箱】: hackroad@gmail.com 【作者QQ号】: 13680582 blog:http://hi.baidu.com/hacktear 【软件名称】: PcShare远程控制会员版本20070826 【编写语言】: Microsoft Visual C++ 6.0 【使用工具】: OllyICE、LoadPE、ImportREC、Hidetools 【操作平台】: Win9x/NT/2000/XP 【软件介绍】: 国内知名木马 【作者声明】: 我是菜鸟我怕谁！！！ ------------------------------------------------------------------------------------------ 【详细过程】 今天拿到PcShare远程控制会员版本20070826，看看说明 一、加了插默认浏览器的功能 二、重新修改了文件下载,一目了然,肉机不上线也可以管理。 三、加了窗口管理的功能、 四、加了群发消息的功能 五、加了强制肉机访问网页的功能 六、增加代理(不完善测试阶段) 七、增加了记录系统登录密码功能 看着看着 就想破解，说干就干，不管是不是菜鸟，还是先查壳把， 用PEID查壳： Themida/WinLicense V1.8.2.0 + -> Oreans Technologies * Sign.By.fly * 如果你的查不到，可以下载最新的特征库 由于是Themida壳，1.9版本的后反OD的插件，只能用工具隐藏，PEID分辨不是很好，所以干脆就用HideToolz.exe 把OD隐藏起来 在HideToolz.exe里添加上你的OD的目录，在隐藏选项里选上： Hide process Protect process Hide windows Protect form windows Anti-anti debug Auto Start 设置好后打开OD， 1、设置OllyDBG忽略所有异常选项。 2、用HideOD插件: 勾选Auto Run HideOD、HideNtdebugBit。 勾选ZwQueryInformationProcess-->method2。 OD载入后，到这里： 00556014 P> B8 00000000 mov eax,0 00556019 60 pushad 0055601A 0BC0 or eax,eax 0055601C 74 68 je short 00556086 ; PcShare.00556086 0055601E E8 00000000 call 00556023 ; PcShare.00556023 00556023 58 pop eax ; kernel32.7C816FD7 00556024 05 53000000 add eax,53 00556029 8038 E9 cmp byte ptr ds:[eax],0E9 0055602C 75 13 jnz short 00556041 ; PcShare.00556041 0055602E 61 popad 0055602F EB 45 jmp short 00556076 ; PcShare.00556076 00556031 DB2D 37605500 fld tbyte ptr ds:[556037] 00556037 FFFF ??? ; Unknown command 00556039 FFFF ??? ; Unknown command 0055603B FFFF ??? ; Unknown command 0055603D FFFF ??? ; Unknown command 0055603F 3D 40E80000 cmp eax,0E840 00556044 0000 add byte ptr ds:[eax],al 00556046 58 pop eax ; kernel32.7C816FD7 00556047 25 00F0FFFF and eax,FFFFF000 0055604C 33FF xor edi,edi ; ntdll.7C930738 接着运行okdodo大侠的Themida脚本后： 运行完成后有提示： 脚本执行完毕，请注意OEP是否被偷代码！ 点确定，来到这里： 00422C05 50 push eax 00422C06 64:8925 00000000 mov dword ptr fs:[0],esp 00422C0D 83EC 68 sub esp,68 00422C10 53 push ebx 00422C11 56 push esi ; PcShare.0067B539 00422C12 57 push edi 00422C13 8965 E8 mov dword ptr ss:[ebp-18],esp 00422C16 33DB xor ebx,ebx 00422C18 895D FC mov dword ptr ss:[ebp-4],ebx 00422C1B 6A 02 push 2 00422C1D FF15 4C0D4800 call dword ptr ds:[480D4C] ; msvcrt.__set_app_type 00422C23 59 pop ecx ; PcShare.00422D5A 00422C24 830D 34EA4900 FF or dword ptr ds:[49EA34],FFFFFFFF 被偷了OEP。 拿一个VC++的程序来参考下： 00401F10 D> 55 push ebp 00401F11 8BEC mov ebp,esp 00401F13 6A FF push -1 00401F15 68 E8394000 push 4039E8 00401F1A 68 96204000 push 402096 00401F1F 64:A1 00000000 mov eax,dword ptr fs:[0] 00401F25 50 push eax 00401F26 64:8925 00000000 mov dword ptr fs:[0],esp 00401F2D 83EC 68 sub esp,68 00401F30 53 push ebx 00401F31 56 push esi 00401F32 57 push edi ; ntdll.7C930738 00401F33 8965 E8 mov dword ptr ss:[ebp-18],esp 00401F36 33DB xor ebx,ebx 00401F38 895D FC mov dword ptr ss:[ebp-4],ebx 00401F3B 6A 02 push 2 00401F3D FF15 4C334000 call dword ptr ds:[40334C] ; msvcrt.__set_app_type 00401F43 59 pop ecx ; kernel32.7C816FD7 00401F44 830D 6C514000 FF or dword ptr ds:[40516C],FFFFFFFF 00401F4B 830D 70514000 FF or dword ptr ds:[405170],FFFFFFFF 00401F52 FF15 48334000 call dword ptr ds:[403348] ; msvcrt.__p__fmode 为了防止代码混淆，点分析代码，向上看 ： 00422BEA . C3 retn 00422BEB > E9 70010000 jmp 00422D60 ; jmp to msvcrt.terminate 00422BF0 96 db 96 00422BF1 85 db 85 00422BF2 CB db CB 00422BF3 1B db 1B 00422BF4 1D db 1D 00422BF5 . A6 cmps byte ptr ds:[esi],byte ptr es:[e> 00422BF6 . AD lods dword ptr ds:[esi] 00422BF7 . 9B wait 00422BF8 . DDD0 fst st 00422BFA . A9 7B8C7D46 test eax,467D8C7B 00422BFF . 2AF8 sub bh,al 00422C01 . 4C dec esp 00422C02 . 014E 2B add dword ptr ds:[esi+2B],ecx 00422C05 . 50 push eax 00422C06 . 64:8925 00000000 mov dword ptr fs:[0],esp 00422C0D . 83EC 68 sub esp,68 00422C10 . 53 push ebx 00422C11 . 56 push esi ; PcShare.0067B539 00422C12 . 57 push edi 00422C13 . 8965 E8 mov dword ptr ss:[ebp-18],esp 00422C16 . 33DB xor ebx,ebx 00422C18 . 895D FC mov dword ptr ss:[ebp-4],ebx 00422C1B . 6A 02 push 2 00422C1D . FF15 4C0D4800 call dword ptr ds:[480D4C] ; msvcrt.__set_app_type 确定OEP：00422BF0 并补上OEP： 00422BF0 55 push ebp 00422BF1 8BEC mov ebp,esp 00422BF3 6A FF push -1 00422BF5 68 E8394000 push 4039E8-------------------------① 00422BFA 68 96204000 push 402096-------------------------② 00422BFF 64:A1 00000000 mov eax,dword ptr fs:[0] 00422C05 . 50 push eax 00422C06 . 64:8925 00000000 mov dword ptr fs:[0],esp 00422C0D . 83EC 68 sub esp,68 00422C10 . 53 push ebx 00422C11 . 56 push esi ; PcShare.0067B539 00422C12 . 57 push edi 00422C13 . 8965 E8 mov dword ptr ss:[ebp-18],esp 00422C16 . 33DB xor ebx,ebx 00422C18 . 895D FC mov dword ptr ss:[ebp-4],ebx 00422C1B . 6A 02 push 2 其中①和②处的数据可以看考堆栈里的数据 在堆栈里找到： 0012FF7C 00000212 0012FF80 00422C05 PcShare.00422C05 0012FF84 00422D5A jmp to msvcrt._except_handler3----------------------------③ 0012FF88 004873E8 PcShare.004873E8------------------------------------------④ 0012FF8C FFFFFFFF 0012FF90 79ED1599 0012FF94 5300CF5B 0012FF98 006CB800 PcShare.006CB800 0012FF9C 0012FFE0 0012FFA0 006BF644 PcShare.006BF644 0012FFA4 7C930738 ntdll.7C930738 0012FFA8 FFFFFFFF 0012FFAC 0012FFF0 0012FFB0 0012FFC4 0012FFB4 7FFDC000 0012FFB8 0012FFC4 0012FFBC 0012FFB0 0012FFC0 745438A6 0012FFC4 7C816FD7 RETURN to kernel32.7C816FD7 0012FFC8 7C930738 ntdll.7C930738 0012FFCC FFFFFFFF 0012FFD0 7FFDC000 0012FFD4 8054BB38 0012FFD8 0012FFC8 0012FFDC FEFE6D78 0012FFE0 FFFFFFFF End of SEH chain 0012FFE4 7C839AA8 SE handler 0012FFE8 7C816FE0 kernel32.7C816FE0 0012FFEC 00000000 0012FFF0 00000000 0012FFF4 00000000 0012FFF8 00556014 offset PcShare.<ModuleEntryPoint> 0012FFFC 00000000 ④处的数据就是①，③处的数据就是② 补好OEP后 把EIP指针改到OEP处 用LordPE_fix.EXE脱壳 打开ImportREC 填上OEP后自动查找IAT，获取函数输入表 如果有无效的就剪切掉。 到此脱壳完成， PEID 查壳：Microsoft Visual C++ 6.0 脱壳后3.85 MB 运行程序，程序有时候提示操作系统错误，原因我不是很清楚，用OD载入 F9运行， 找到出错的地方 修改下跳转就可以了，不过后来没修改的也可以运行了。 --------------------------------------------------------------------------------------- 【经验总结】 写文章好累，尤其本人打字慢，真是累煞我也…… 我脱壳也是个菜鸟，参考了看雪的好多大侠的文章，还用了大侠的脚本，留个脱文，做个纪念， 作为一段记忆碎片把。最后还是非常非常的感谢您看完本文！谢谢啊！ -------------------------------------------------------------------------------- [此贴被 逝风残梦(mmzz321) 在 09月12日16时31分 编辑过] |
| 地主 发表时间: 07-09-12 16:30 |
|
20CN网络安全小组版权所有
Copyright © 2000-2010 20CN Security Group. All Rights Reserved.
论坛程序编写：NetDemon
粤ICP备05087286号
论坛: 编程破解
标题: Themida/WinLicenseV1.8.2.0+脱壳FORPcShare远程控制会员版20070826