如何跟蹤ASProtect外殼加密過的程式？ (7千字)

看雪資料發表於2001-04-13
加密

如何跟蹤ASProtect外殼加密過的程式？

【宣告】
我寫文章以交流為主，希望大家在轉載時能保持文章的完整性。

【前言】
由於ASProtect外殼加密過的程式中運用了很多反跟蹤的技術，所以說起來實在是件費事的事情。我實在擔心自己水平有限，無法把它們說得明白。不過想想我又不是權威，錯誤在所難免。既然我辦的是"技術交流站"，不一定要保證每句話都是正確的，也不是寫出來就要做什麼教程之類的。既是"交流"，那麼應該大家都在"交流"中提高，而不是我象個傳教士一樣永遠給大家念著一百年不變的經文。所以我希望不光我說，大家也說。怎麼說都行，每個人都可以有每個人的風格。:-) 希望我的想法不是夢想。

作者：        ljtt
寫作日期：    2001-04-10

【開始】
你跟蹤過ASProtect外殼加密過的程式嗎？如果你說跟蹤過，是否有過這樣的經歷？

015F:012803D9 E3 33 C0 5A 59 59 64 89-10 68 F7 03 28 01 8D 45  .3.ZYYd..h..(..E
015F:012803E9 FC E8 A1 2D FF FF C3 E9-F3 29 FF FF EB F0 5F 5E  ...-.....)...._^
015F:012803F9 5B 59 5D C3 00 00 00 FF-FF FF FF 02 00 00 00 0D  [Y].............
015F:01280409 0A 00 00 55 8B EC 53 56-8B DA 8B F0 8B 45 08 8B  ...U..SV.....E..
哪哪KERNEL32!FindClose+0386哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪PROT32
015F:BFF768C6  FF5518              CALL      [EBP+18]
015F:BFF768C9  83C410              ADD      ESP,10
015F:BFF768CC  648F0500000000      POP      DWORD PTR FS:[00000000]
015F:BFF768D3  C9                  LEAVE
015F:BFF768D4  C3                  RET

你時常會被帶到如上圖所示的 FindClose 的領空，然後在系統核心裡轉悠了大半個世紀，才好不容易回到程式的領空。
呵呵，我就曾有過這樣的經歷。正當我暗自竊喜時，卻發現跟蹤沒多長時間又一次來到了老地方，昏倒.....。

看來這其中有蹊蹺，我們不妨從當前的堆疊入手。看看有什麼發現？
我們下指令：
D ESP

顯示如下結果：

哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪byte哪哪哪哪哪哪哪PROT哪?0)哪
0167:0081FB10 D8 FB 81 00 D0 FC 81 00-F4 FB 81 00 B0 FB 81 00  ................
              ^^^^^^^^^^^ ^^^^^^^^^^^ ^^^^^^^^^^^ ^^^^^^^^^^^

我們一一顯示 0081FBD8 、0081FCD0 、0081FBF4 、0081FBB0 的內容。終於你會發現一點線索。

我們下指令：
D 81FBF4

顯示如下結果：
哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪byte哪哪哪哪哪哪哪PROT哪?0)哪
0167:0081FBF4 1F 00 01 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
0167:0081FC04 00 00 00 00 00 00 00 00-55 01 00 00 7F 02 FF FF  ........U......
0167:0081FC14 00 00 FF FF FF FF FF FF-00 00 00 00 00 00 00 00  ................
0167:0081FC24 00 00 00 00 00 00 FF FF-00 00 00 00 00 00 00 00  ................

呵呵，正好我學習過一點SEH的知識，瞭解CONTEXT結構，看到這......不再猶豫..... 81FBF4 可能是 _CONTEXT 結構的指標。

我們先來了解一下 _CONTEXT 結構的定義：
_CONTEXT            STRUC
cx_ContextFlags    DD ?

;CONTEXT_DEBUG_REGISTERS
cx_Dr0                DD ?        ;04
cx_Dr1                DD ?        ;08
cx_Dr2                DD ?        ;0C
cx_Dr3                DD ?        ;10
cx_Dr6                DD ?        ;14
cx_Dr7                DD ?        ;18

;CONTEXT_FLOATING_POINT
cx_ControlWord            DD ?
cx_StatusWord            DD ?
cx_TagWord                DD ?
cx_ErrorOffset            DD ?
cx_ErrorSelector        DD ?
cx_DataOffset            DD ?
cx_DataSelector        DD ?
SIZE_OF_80387_REGISTERS        EQU 80
cx_RegisterArea        DB SIZE_OF_80387_REGISTERS DUP (?)
cx_Cr0NpxState            DD ?

;CONTEXT_SEGMENTS
cx_SegGs            DD ?        ;8C
cx_SegFs            DD ?        ;90
cx_SegEs            DD ?        ;94
cx_SegDs            DD ?        ;98

;CONTEXT_INTEGER
cx_Edi                DD ?        ;9C
cx_Esi                DD ?        ;A0
cx_Ebx                DD ?        ;A4
cx_Edx                DD ?        ;A8
cx_Ecx                DD ?        ;AC
cx_Eax                DD ?        ;B0

;CONTEXT_CONTROL
cx_Ebp                DD ?        ;B4
cx_Eip                DD ?        ;B8
cx_SegCs            DD ?        ;BC
cx_EFlags            DD ?        ;C0
cx_Esp                DD ?        ;C4
cx_SegSs            DD ?        ;C8
_CONTEXT            ENDS
;size of CONTEXT is 0CCH bytes


從上面的定義中我們可以知道 _CONTEXT 結構偏移 B8 處儲存的是 EIP 的值。我們來看一下 81FBF4 + B8 的值：

我們下指令：
D 81FBF4+B8
顯示如下結果：

哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪byte哪哪哪哪哪哪哪PROT哪?0)哪
0167:0081FCAC 4A FF 27 01 5F 01 00 00-46 02 00 00 D0 FC 81 00  J.'._...F.......
              ^^^^^^^^^^^

我們設下斷點：
BPX 127FF4A

然後，按F5鍵，果然程式在我們設下的斷點處停了下來。:-)

顯示如下結果：
015F:0127FF4A  648F0500000000      POP      DWORD PTR FS:[00000000]          <---停在此處
015F:0127FF51  58                  POP      EAX
015F:0127FF52  E84127FFFF          CALL      01272698
015F:0127FF57  A154352801          MOV      EAX,[01283554]
015F:0127FF5C  83E80D              SUB      EAX,0D
015F:0127FF5F  8B1554352801        MOV      EDX,[01283554]

看來我們已經掌握了它的一點規律。但我們不能只滿足於此，我們來看一下程式是如何做的？

我取了程式即將設下這個小圈套的一段程式碼。由於其中使用了花指令，所以我稍微做了點改動，使SoftICE能正確顯示彙編程式碼。

015F:0127FEFB  90                  NOP
015F:0127FEFC  64FF30              PUSH      DWORD PTR FS:[EAX]
015F:0127FEFF  EB01                JMP      0127FF02
015F:0127FF01  90                  NOP
015F:0127FF02  648920              MOV      FS:[EAX],ESP                      <---建立SEH鏈
015F:0127FF05  3100                XOR      [EAX],EAX
015F:0127FF07  EB01                JMP      0127FF0A
015F:0127FF09  90                  NOP
015F:0127FF0A  648F0500000000      POP      DWORD PTR FS:[00000000]
015F:0127FF11  EB02                JMP      0127FF15
015F:0127FF13  90                  NOP
015F:0127FF14  90                  NOP
015F:0127FF15  58                  POP      EAX
015F:0127FF16  E825000000          CALL      0127FF40
015F:0127FF1B  8B44240C            MOV      EAX,[ESP+0C]                      <---EAX此時即為 CONTEXT 的指標
015F:0127FF1F  8380B800000002      ADD      DWORD PTR [EAX+000000B8],02        <---修改 CONTEXT.EIP
015F:0127FF26  51                  PUSH      ECX
015F:0127FF27  31C9                XOR      ECX,ECX                            <---ECX = 0
015F:0127FF29  894804              MOV      [EAX+04],ECX                      <---修改 CONTEXT.Dr0 = 0
015F:0127FF2C  894808              MOV      [EAX+08],ECX                      <---修改 CONTEXT.Dr1 = 0
015F:0127FF2F  89480C              MOV      [EAX+0C],ECX                      <---修改 CONTEXT.Dr2 = 0
015F:0127FF32  894810              MOV      [EAX+10],ECX                      <---修改 CONTEXT.Dr3 = 0
015F:0127FF35  C7401855010000      MOV      DWORD PTR [EAX+18],00000155        <---修改 CONTEXT.Dr7 = 155
015F:0127FF3C  59                  POP      ECX
015F:0127FF3D  31C0                XOR      EAX,EAX
015F:0127FF3F  C3                  RET                                          <---在此處就將進入 FindClose 的領空了

原來程式在反跟蹤時，不但用 SEH 的方式使得不知其所以的人跟蹤時陷入了設下的圈套；而且，還使得我們以前設下的斷點失效。
（Dr0、Dr1、Dr2、Dr3與斷點有關，Dr7與斷點的控制有關，至於這方面的內容如果你不清楚，那麼你可以選擇看一些比較專業的書籍來理解，我無法把它說得清楚。）

從這裡我們更加可以肯定我們先前的判斷了。以後我們再跟蹤時，就不會再在這個小圈套裡出不來了。如果你再總結一下規律，也許會發現更多，這就留給大家了。:-) 。
比如，我發現其實程式每次使用這種方法時，真正要跳到的地方就在 RET 指令後面不遠處的指令。所以每當我遇到花指令開始的地方，就會明白程式又要給我開開玩笑了，我會在 RET 指令處停下來，然後在後面不遠處的指令設下新斷點，然後按 F5 鍵，呵呵，平穩落地。

【後記】
由於本站的主題為"技術研習"，所以我想改變以前只寫"如何做"的方式，而儘量以我所知加上以"為何如此做"的方式寫。這樣我將選擇性地在某些難點上費些口水，而不再寫如何完整的脫某個程式的殼了。當然另外的原因就是現在的手動脫殼越來越繁鎖，雖然外殼加密程式本身可能只是新增了一些新的反跟蹤/反破解的手法而已，但只寫"如何做"的方式是無法使人明白這些變化的。

相關文章