轉貼一篇:FlashFXP v1.4.1 build 823 的脫殼與破解 (16千字)

看雪資料發表於2001-12-30

FlashFXP v1.4.1 build 823 的脫殼與破解           

軟體名稱:FlashFXP v1.4.1 build 823
下載:http://www.onlinedown.net/flashfxp
大小:828KB
工具:W32dasm+TRW2000
軟體評價:功能強大的FXP /FTP軟體,融合了一些其他優秀FTP軟體的優點。
          我認為它許多方面比cuteftp要好,所以才會有很多朋友喜歡它.


破解: moonlite\edea 聯合制作


脫殼爆破過程:

flashfxp1.4.1 823的殼是telock.它的主要特點是anti-debug太多,只要搞定anti-debug,脫殼就容易了。像類似下面的(1)、(2)兩段的程式碼有很多處。所以追蹤時要格外小心,最好用F8、F7。

(1)

0167:00583A12 60              PUSHA
0167:00583A13 E806000000      CALL    00583A1E
0167:00583A18 8B642408        MOV      ESP,[ESP+08]    《――――異常處理入口,此處下斷。F5一下。
0167:00583A1C EB0D            JMP      SHORT 00583A2B
0167:00583A1E 2BFF            SUB      EDI,EDI
0167:00583A20 64FF37          PUSH    DWORD [FS:EDI]
0167:00583A23 648927          MOV      [FS:EDI],ESP    《――――從這裡後不要往下F8了。
0167:00583A26 F1              INT1
0167:00583A27 FF07            INC      DWORD [EDI]
0167:00583A29 EBE8            JMP      SHORT 00583A13
0167:00583A2B 85E4            TEST    ESP,ESP
0167:00583A2D 7903            JNS      00583A32

(2)

0167:00583A3B F8              CLC
0167:00583A3C 0BC1            OR      EAX,ECX
0167:00583A3E 60              PUSHA
0167:00583A3F E806000000      CALL    00583A4A
0167:00583A44 8B642408        MOV      ESP,[ESP+08]        《――――異常處理入口
0167:00583A48 EB1A            JMP      SHORT 00583A64
0167:00583A4A 6467FF360000    PUSH    DWORD [WORD FS:00]
0167:00583A50 646789260000    MOV      [WORD FS:00],ESP
0167:00583A56 9C              PUSHF                        《――――從這裡開始不要走了,想圖方便的話,將eip改為583a48就行了。
0167:00583A57 810C2400010000  OR      DWORD [ESP],0100
0167:00583A5E 9D              POPF
0167:00583A5F F8              CLC
0167:00583A60 73DC            JNC      00583A3E
0167:00583A62 CD20            INT      20
0167:00583A64 64678F060000    POP      DWORD [WORD FS:00]
0167:00583A6A 58              POP      EAX
0167:00583A6B 61              POPA
0167:00583A6C F9              STC
0167:00583A6D 7202            JC      00583A71

(3)  這裡是整個殼中最精彩的(不知亂說沒有,請多多指教),


0167:00582078 7FE9            JG      00582063
0167:0058207A E800000000      CALL    0058207F
0167:0058207F 5D              POP      EBP
0167:00582080 8D4546          LEA      EAX,[EBP+46]
0167:00582083 50              PUSH    EAX
0167:00582084 33C0            XOR      EAX,EAX
0167:00582086 64FF30          PUSH    DWORD [FS:EAX]
0167:00582089 648920          MOV      [FS:EAX],ESP
0167:0058208C CC              INT3
0167:0058208D 90              NOP
0167:0058208E 8BC0            MOV      EAX,EAX
0167:00582090 F9              STC
0167:00582091 90              NOP
0167:00582092 8D045D34120000  LEA      EAX,[EBX*2+1234]
0167:00582099 F8              CLC
0167:0058209A 90              NOP
0167:0058209B C1EB05          SHR      EBX,05
0167:0058209E FC              CLD
0167:0058209F 90              NOP
0167:005820A0 C1C007          ROL      EAX,07
0167:005820A3 90              NOP
0167:005820A4 90              NOP
0167:005820A5 33DB            XOR      EBX,EBX
0167:005820A7 F7F3            DIV      EBX
0167:005820A9 64678F060000    POP      DWORD [WORD FS:00]
0167:005820AF 83C404          ADD      ESP,BYTE +04
0167:005820B2 66BE4746        MOV      SI,4647
0167:005820B6 66BF4D4A        MOV      DI,4A4D
0167:005820BA 8A8599000000    MOV      AL,[EBP+99]
0167:005820C0 E99C000000      JMP      00582161
0167:005820C5 8B442404        MOV      EAX,[ESP+04]
0167:005820C9 8B4C240C        MOV      ECX,[ESP+0C]
0167:005820CD FF81B8000000    INC      DWORD [ECX+B8]
0167:005820D3 8B00            MOV      EAX,[EAX]
0167:005820D5 3D940000C0      CMP      EAX,C0000094
0167:005820DA 7524            JNZ      00582100
0167:005820DC FF81B8000000    INC      DWORD [ECX+B8]
0167:005820E2 33C0            XOR      EAX,EAX
0167:005820E4 214104          AND      [ECX+04],EAX
0167:005820E7 214108          AND      [ECX+08],EAX
0167:005820EA 21410C          AND      [ECX+0C],EAX
0167:005820ED 214110          AND      [ECX+10],EAX
0167:005820F0 816114F00FFFFF  AND      DWORD [ECX+14],FFFF0FF0
0167:005820F7 81611800DC0000  AND      DWORD [ECX+18],DC00
0167:005820FE EB60            JMP      SHORT 00582160
0167:00582100 3D04000080      CMP      EAX,80000004
0167:00582105 740C            JZ      00582113
0167:00582107 3D03000080      CMP      EAX,80000003
0167:0058210C 7412            JZ      00582120
0167:0058210E 6A01            PUSH    BYTE +01
0167:00582110 58              POP      EAX
0167:00582111 EB4D            JMP      SHORT 00582160
0167:00582113 E801000000      CALL    00582119
0167:00582118 0058FE          ADD      [EAX-02],BL
0167:0058211B 002B            ADD      [EBX],CH
0167:0058211D C0EB40          SHR      BL,40
0167:00582120 8B81B4000000    MOV      EAX,[ECX+B4]
0167:00582126 8D4024          LEA      EAX,[EAX+24]
0167:00582129 894104          MOV      [ECX+04],EAX
0167:0058212C 8B81B4000000    MOV      EAX,[ECX+B4]
0167:00582132 8D401F          LEA      EAX,[EAX+1F]
0167:00582135 894108          MOV      [ECX+08],EAX
0167:00582138 8B81B4000000    MOV      EAX,[ECX+B4]
0167:0058213E 8D401A          LEA      EAX,[EAX+1A]
0167:00582141 89410C          MOV      [ECX+0C],EAX
0167:00582144 8B81B4000000    MOV      EAX,[ECX+B4]
0167:0058214A 8D4011          LEA      EAX,[EAX+11]
0167:0058214D 894110          MOV      [ECX+10],EAX
0167:00582150 33C0            XOR      EAX,EAX
0167:00582152 816114F00FFFFF  AND      DWORD [ECX+14],FFFF0FF0
0167:00582159 C7411855010000  MOV      DWORD [ECX+18],0155
0167:00582160 C3              RET
0167:00582161 2C04            SUB      AL,04
0167:00582163 888599000000    MOV      [EBP+99],AL
0167:00582169 8B95CF1B0000    MOV      EDX,[EBP+1BCF]
0167:0058216F 81E20000FFFF    AND      EDX,FFFF0000
0167:00582175 8BC4            MOV      EAX,ESP
0167:00582177 33E4            XOR      ESP,ESP
0167:00582179 8BE0            MOV      ESP,EAX
0167:0058217B 66813A4D5A      CMP      WORD [EDX],5A4D
0167:00582180 7408            JZ      0058218A


如果覺得麻煩,可跳過58208c int3,然後在5820c5處下斷。斷下後一路F8到達582160時(不要再走了),停下,下中斷bpx 5820ba.按一下F5,停在了5820ba處。走到582161時,快給al賦值4,好了,這一關算過去了。下面還有很多anti-debug,主要形式是 int1 、div ebx、inc [esi] 、pushf 等等,夠煩的,只要小心一些,都會過去的。
    當你走到這樣的程式碼:call 583145 時,停一下,為了偷懶,直接下中斷:bpx 583683. F5斷下後,一路又要小心了,還有anti-debug,還是那些東東。順利走過那些陷阱後,到達下面就是終點了:

167:005837AF  INT      20
0167:005837B1  POPA
0167:005837B2  JMP      NEAR [ESP-30]        《――――oep=[esp-30]==535334,
0167:005837B6  ADD      BYTE [EAX],00
0167:005837B9  ADD      [EAX],AL
0167:005837BB  JMP      SHORT 005837BE
0167:005837BD  MOV      EAX,6090C523
0167:005837C2  CALL    005837CD
0167:005837C7  MOV      ESP,[ESP+08]

到達535334後,pedump,得到脫殼檔案。用importREC 的 Auto trace一次,會發現有138個函式需修正,如果耐心好的話,那就一個一個的搞;不然,想想辦法,有竅門的。具體如何修復重建請參考那些高人的教程。





4)先用W32dasm反彙編脫殼檔案,在SDR中可以發現 " - Evaluation Copy"。雙擊它
會找到很多處。看一下這裡:

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00525E08(C)
|
:00525E1D 803DA0A0530000          cmp byte ptr [0053A0A0], 00 //比較
:00525E24 7411                    je 00525E37------------------>不要跳

* Possible StringData Ref from Code Obj ->"FlashFXP"
                                  |
:00525E26 BAA0615200              mov edx, 005261A0
:00525E2B A120C05300              mov eax, dword ptr [0053C020]
:00525E30 E87F21F2FF              call 00447FB4
:00525E35 EB0F                    jmp 00525E46

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00525E24(C)
|

* Possible StringData Ref from Code Obj ->"FlashFXP - Evaluation Copy"
                                  |
:00525E37 BAB4615200              mov edx, 005261B4
:00525E3C A120C05300              mov eax, dword ptr [0053C020]
:00525E41 E86E21F2FF              call 00447FB4

啊,很明顯,[0053A0A0]這個記憶體地址中的值與註冊關係滿密切的,查詢文字
"cmp byte [00533ec0],00"這樣的地方好像有48處之多!!

5)好,開始吧!

執行flashfxp.exe,註冊的nag視窗出來了!填入build 819的key

退出後,用TRW載入,下斷bpm 53A0A0 W,F5來到:

:0050C55F E82079EFFF              call 00403E84
:0050C564 83F811                  cmp eax, 00000011 <------------------此時 查eax=11
:0050C567 0F9405A0A05300          sete byte ptr [0053A0A0]<------------置1
:0050C56E 803DA0A0530000          cmp byte ptr [0053A0A0], 00<---------游標
:0050C575 0F849A020000            je 0050C815
:0050C57B A188C25300              mov eax, dword ptr [0053C288]
:0050C580 3DCE7F210B              cmp eax, 0B217FCE
:0050C585 0F8F53010000            jg 0050C6DE
......

不用說,後面有暗樁了,往下追追看。。會來到:

* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:0050C58B(C), :0050C59C(C), :0050C5A9(C), :0050C5B6(C), :0050C5C1(C)
|:0050C5CC(C), :0050C5D7(C), :0050C5E7(C), :0050C5F2(C), :0050C604(C)
|:0050C60F(C), :0050C61A(C), :0050C62A(C), :0050C635(C), :0050C647(C)
|:0050C654(C), :0050C65F(C), :0050C66A(C), :0050C675(C), :0050C685(C)
|:0050C690(C), :0050C6A2(C), :0050C6AD(C), :0050C6B8(C), :0050C6C8(C)
|:0050C6D3(C), :0050C6E9(C), :0050C6F6(C), :0050C703(C), :0050C70E(C)
|:0050C719(C), :0050C724(C), :0050C734(C), :0050C73F(C), :0050C751(C)
|:0050C758(C), :0050C75F(C), :0050C76B(C), :0050C772(C), :0050C780(C)
|:0050C789(C), :0050C790(C), :0050C797(C), :0050C7A0(C), :0050C7A7(C)
|:0050C7B2(C), :0050C7B9(C), :0050C7C0(C), :0050C7C9(C)
|
:0050C7D2 C605A0A0530000          mov byte ptr [0053A0A0], 00<------置0後,當然是未註冊了!####
:0050C7D9 33C0                    xor eax, eax
:0050C7DB A334C05300              mov dword ptr [0053C034], eax
:0050C7E0 B828C05300              mov eax, 0053C028
:0050C7E5 8B15FCA55300            mov edx, dword ptr [0053A5FC]
....

這麼jump到0050C7D2,這真是“熱點”啊。還是改改吧,在0050C7D2 改為 jmp 0050C815後,往下走:

:0050C815 A188C25300              mov eax, dword ptr [0053C288]
:0050C81A 33D2                    xor edx, edx
:0050C81C 52                      push edx
:0050C81D 50                      push eax
:0050C81E 8D45F0                  lea eax, dword ptr [ebp-10]
:0050C821 E8AAC6EFFF              call 00408ED0
:0050C826 8B4DF0                  mov ecx, dword ptr [ebp-10]

* Possible StringData Ref from Code Obj ->"Main"
                                  |
:0050C829 BA40CE5000              mov edx, 0050CE40
:0050C82E A17CC05300              mov eax, dword ptr [0053C07C]
:0050C833 E87CFDFAFF              call 004BC5B4----------->進入
:0050C838 84C0                    test al, al<--------------------標誌測試
:0050C83A 7443                    je 0050C87F
:0050C83C C605A0A0530000          mov byte ptr [0053A0A0], 00<----注意這裡
。。。

call 004BC5B4--------->進入後來到

* Possible StringData Ref from Code Obj ->""
                                  |
:004BC5EE BA2CC64B00              mov edx, 004BC62C
:004BC5F3 E89C79F4FF              call 00403F94
:004BC5F8 0F95C0                  setne al<------置標誌 #####
:004BC5FB 8BD8                    mov ebx, eax
:004BC5FD 33C0                    xor eax, eax
:004BC5FF 5A                      pop edx
:004BC600 59                      pop ecx
:004BC601 59                      pop ecx
:004BC602 648910                  mov dword ptr fs:[eax], edx
:004BC605 681AC64B00              push 004BC61A

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004BC618(U)
|
:004BC60A 8D45FC                  lea eax, dword ptr [ebp-04]
:004BC60D E8F675F4FF              call 00403C08
:004BC612 C3                      ret

置標誌的地方,打補丁mov al,0 後繼續走來到:


:0050CA82 A354C25300              mov dword ptr [0053C254], eax
:0050CA87 8B45FC                  mov eax, dword ptr [ebp-04]
:0050CA8A E845810200              call 00534BD4----------->進入
:0050CA8F 84C0                    test al, al<--------------------標誌測試
:0050CA91 7443                    je 0050CAD6
:0050CA93 C605A0A0530000          mov byte ptr [0053A0A0], 00<----注意這裡
:0050CA9A 33C0                    xor eax, eax
...

call 00534BD4--------->進入後來到

:00534C5D 8B55F4                  mov edx, dword ptr [ebp-0C]
:00534C60 8B45F8                  mov eax, dword ptr [ebp-08]
:00534C63 E8F0CEF2FF              call 00461B58
:00534C68 84C0                    test al, al<------標誌測試 #####
:00534C6A 7504                    jne 00534C70<-----不要在這跳啊!

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00534C4A(C)
|
:00534C6C 33C0                    xor eax, eax
:00534C6E EB02                    jmp 00534C72

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00534C6A(C)
|
:00534C70 B001                    mov al, 01

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
......

在00534C68打補丁: xor al,al
之後, BD* 暫停所有斷點,F5。。。哇,註冊成功!


6)把key中的名字換成自己的又如何呢??(^_^畢竟我想註冊給自己啊)
好, 刪除原來的key檔案,執行flashfxp.exe,註冊的nag視窗出來了!填入build 819的key,
並改成自己的名字。填完後,OK,程式退出。用TRW重新載入flashfxp.exe,下bpm 53A0A0 W,
F5後來到:



:0050C550 E8A3CAEFFF              call 00408FF8
:0050C555 A388C25300              mov dword ptr [0053C288], eax
:0050C55A A128C05300              mov eax, dword ptr [0053C028]
:0050C55F E82079EFFF              call 00403E84
:0050C564 83F811                  cmp eax, 00000011 <-----------------在此eax=0  ###
:0050C567 0F9405A0A05300          sete byte ptr [0053A0A0]<-----------註冊標誌
:0050C56E 803DA0A0530000          cmp byte ptr [0053A0A0], 00<---------游標
:0050C575 0F849A020000            je 0050C815
:0050C57B A188C25300              mov eax, dword ptr [0053C288]
:0050C580 3DCE7F210B              cmp eax, 0B217FCE
:0050C585 0F8F53010000            jg 0050C6DE
:0050C58B 0F8441020000            je 0050C7D2
:0050C591 3D125EF9C9              cmp eax, C9F95E12
:0050C596 0F8FA4000000            jg 0050C640
:0050C59C 0F8430020000            je 0050C7D2
:0050C5A2 3DAB90A0A2              cmp eax, A2A090AB
:0050C5A7 7F54                    jg 0050C5FD
:0050C5A9 0F8423020000            je 0050C7D2

........後邊判斷很長呵......

反正得叫[0053A0A0]=1,聰明的你知道哪裡打補丁了吧。我是在50C564處改:xor eax,eax

然後BD*, F5,哈哈,提示註冊的nag視窗沒有了,那個-Evaluation Copy的字樣也沒有了,點選Help->About,
竟然註冊給你了!不要高興的太早了,看看右下角的出錯視窗有

---
DEBUG VERSION
An internal error has occurred.
Access violation at address 0051293D in module 'FLASHFXP823.EXE'. Read of address FFFFFFFF
---
然後,你點選各個選單項,再上網試試它的各項功能,注意它的出錯視窗--還真有不少錯誤!一邊試,一邊把
出錯的地址記錄下來。(還真是debug,一點沒有錯。)開啟w32dasm,查詢出錯的地址,找到它上面的跳轉語句,
將其改為Jmp。直到Error/Transfer Window 沒有錯誤為止。大概有十來條跳轉該改啊。

另外,該程式執行出錯的話,會log到它所在目錄下的errorlog.txt,和debug.log中,根據它們除錯就可以了,
就看你的耐心了。反覆除錯,直到滿意為止。

7)結束了嗎? No,還有一項不要忘記測試,就是過期問題。將時間向後調2年,再執行程式。註冊視窗又來了!!

好,再下斷點bpm 53A0A0 W:

會來到:
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:005035AD(C)
|
:005035C6 8B45E8                  mov eax, dword ptr [ebp-18]
:005035C9 A394C05300              mov dword ptr [0053C094], eax
:005035CE 837DE820                cmp dword ptr [ebp-18], 00000020<--------使用天數比較
:005035D2 7C2E                    jl 00503602<---------------------------沒有過期就轉走!
:005035D4 A128C05300              mov eax, dword ptr [0053C028]
:005035D9 E8A608F0FF              call 00403E84
:005035DE 83F811                  cmp eax, 00000011

哈哈,知道怎麼打補丁了吧!好,收工!!!


8)小結:搞完這個鼕鼕後,頭昏腦脹的。盼望大客們拿出更聰明的辦法,小弟也學學。

最後,恭祝大家新年快樂!

作者:moonlite[bcg][fcg]    Edea
    22:31 01-12-26

相關文章