手脱ASProtect v1.23 RC1(有Stolen Code)之以壳解壳

1.载入PEID

ASProtect v1.23 RC1

2.载入OD，不勾选内存访问异常，其他异常全部勾选

00401000 >  68 01C06D00     push SoWorker.006DC001                   ; //入口点
00401005    E8 01000000     call SoWorker.0040100B
0040100A    C3              retn
0040100B    C3              retn
0040100C    74 23           je short SoWorker.00401031
0040100E    C039 74         sar byte ptr ds:[ecx],74
00401011    0FD19CA4 0599E0>psrlw mm3,qword ptr ss:[esp+CFE09905]
00401019    AA              stos byte ptr es:[edi]

 

3.最后一次异常法运行到最后一次，应该是第26次，第27次跑飞

00C339EC    3100            xor dword ptr ds:[eax],eax               ; //最后一次异常法落脚点
00C339EE    64:8F05 0000000>pop dword ptr fs:[0]
00C339F5    58              pop eax
00C339F6    833D B07EC300 0>cmp dword ptr ds:[C37EB0],0
00C339FD    74 14           je short 00C33A13
00C339FF    6A 0C           push 0C
00C33A01    B9 B07EC300     mov ecx,0C37EB0
00C33A06    8D45 F8         lea eax,dword ptr ss:[ebp-8]
00C33A09    BA 04000000     mov edx,4
00C33A0E    E8 2DD1FFFF     call 00C30B40
00C33A13    FF75 FC         push dword ptr ss:[ebp-4]
00C33A16    FF75 F8         push dword ptr ss:[ebp-8]
00C33A19    8B45 F4         mov eax,dword ptr ss:[ebp-C]
00C33A1C    8338 00         cmp dword ptr ds:[eax],0
00C33A1F    74 02           je short 00C33A23
00C33A21    FF30            push dword ptr ds:[eax]
00C33A23    FF75 F0         push dword ptr ss:[ebp-10]
00C33A26    FF75 EC         push dword ptr ss:[ebp-14]
00C33A29    C3              retn                                     ; //运行到最近的retn
00C33A2A    5F              pop edi

 

4.先记录假的OEP，运行到最近的retn处(不能使用F4，用F2，SHIFT+F9,F2)后打开内存窗口在00401000处下断然后shift+F9运行一次来到假的OEP

004F27CF    FF15 9CC25200   call dword ptr ds:[52C29C]               ; //假的OEP
004F27D5    33D2            xor edx,edx
004F27D7    8AD4            mov dl,ah
004F27D9    8915 34306900   mov dword ptr ds:[693034],edx
004F27DF    8BC8            mov ecx,eax
004F27E1    81E1 FF000000   and ecx,0FF
004F27E7    890D 30306900   mov dword ptr ds:[693030],ecx
004F27ED    C1E1 08         shl ecx,8
004F27F0    03CA            add ecx,edx
004F27F2    890D 2C306900   mov dword ptr ds:[69302C],ecx

 

5.重新载入程序，运行步骤1-3，让程序落在最近的retn处，此时查看堆栈窗口，在命令行下硬件断点，地址填堆栈窗口第四行(程序名下的第二行)的地址或者是值都可以，上一个教程是使用的值，这个教程使用下地址，下硬件断点”hr 0012ff68”，然后shift+F9运行一次

0012FF5C   00C45340
0012FF60   00400000  SoWorker.00400000
0012FF64   E3DE7228
0012FF68   0012FFA4
0012FF6C   00C20000

 

6.落脚点在这个位置，然后删除硬件断点单步跟两步

00C454BB   /EB 44           jmp short 00C45501                       ; //落脚点
00C454BD   |EB 01           jmp short 00C454C0
00C454BF   |9A 51579CFC BF0>call far 00BF:FC9C5751
00C454C6   |0000            add byte ptr ds:[eax],al
00C454C8   |00B9 00000000   add byte ptr ds:[ecx],bh
00C454CE   |F3:AA           rep stos byte ptr es:[edi]
00C454D0   |9D              popfd
00C454D1   |5F              pop edi
00C454D2   |59              pop ecx

 

7.单步两步之后程序应该是运行到了注释的地方，按照ximo大神视频中的讲解，这里应该是最佳以壳脱壳的位置。

00C46519    03C3            add eax,ebx
00C4651B    BB A2000000     mov ebx,0A2                              ; //以壳脱壳最佳位置
00C46520    0BDB            or ebx,ebx
00C46522    75 07           jnz short 00C4652B
00C46524    894424 1C       mov dword ptr ss:[esp+1C],eax
00C46528    61              popad

 

8.到了这里之后，我们就可以使用loadPE先完整转存下来，然后查看程序现在运行到位置的地址，是00C4651B，我们使用loadPE部分转存，区段就选择包含了这个地址的区段。也就是00C40000这个区段，把这个区段给转存下来先，这里需要注意的是不同的PC或者是系统可能显示的地址是不同的，所以不要太过于死板。一定要按照视频教程走，其实你仔细看会发现我的教程里的地址跟ximo大神视频教程里的地址是不一样的。不过这并不影响。

9.完整转存和区域转存都执行完毕之后我们使用loadPE载入完整转存的文件，也就是点[PE编辑器]按钮，选中完整转存的那个文件；然后点击[区段]按钮，在最后一个区段右键—从磁盘载入—选中我们不分转存的那个区段。载入后我们右键选中我们载入的这个区段，然后点[编辑区段]，名称我们可以随意填，虚拟地址选项输入添加区段的起始地址-基质，也就是00C40000-00400000=00840000。填完之后点确定然后保存

10.执行完上面的步骤之后我们使用需要给添加好区段的程序重建PE，使用loadPE即可。这里要说明一下，重建选项只勾选[使PE有效]这一个选项即可，其他选项都不勾选。

11.重建PE完成后我们就可以使用ImportREC进行脱壳了。脱壳地址就填假的OEP地址-基质也就是F27CF，然后进行修复，修复的时候还是使用等级1+插件进行修复。修复完毕之后先不要转存，我们需要把ImportREC上OEP地址改为最佳脱壳位置OEP-基质也就是0084651B后再进行转存。至此我们的以壳脱壳算是搞完了

12.运行查壳

运行OK，查壳：Unknown

需要说明的是我个人认为用这种方法壳应该是没有脱掉的。不过这样操作之后我们就可以使用资源编辑器对资源进行编辑修改，这样也就达到了我们的破解目的。所以壳是不是真的脱掉了我们也就不要太在意了。毕竟我们学习脱壳只是为了破解嘛。