欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  网络运营

UPX脱壳全程分析

程序员文章站 2022-04-02 10:22:37
【文章标题】: UPX脱壳全程分析 【保护方式】: 本地验证 【使用工具】: OllyDBG 【作者声明】: 只是感兴趣,没有其他目的。失误之处敬请诸位大侠赐教! ----------...
【文章标题】: UPX脱壳全程分析

【保护方式】: 本地验证

【使用工具】: OllyDBG

【作者声明】: 只是感兴趣,没有其他目的。失误之处敬请诸位大侠赐教!

--------------------------------------------------------------------------------


         004629D0         > 60                 pushad                                                     //保存现场(pushad 相当于 push 所有的寄存器)
  004629D1         BE 00F04300         mov esi, 0043F000                                         //把代码段放到esi寄存器
  004629D6         8DBE 0020FCFF         lea edi, dword ptr [esi+FFFC2000]                         //得到基址
  004629DC         C787 9CC00400 7>    mov dword ptr [edi+4C09C], 46CD167B                     //将第一个函数的地址放到[edi+ 4C09C]
  004629E6         57 push edi                                                                 //将基址压栈
  004629E7         83CD FF or ebp, FFFFFFFF                                                     //将0012FFC0与 FFFFFFFF或
  004629EA         EB 0E jmp short 004629FA
  004629EC         90 nop
  004629ED         90 nop
  004629EE         90 nop
  004629EF         90 nop
  004629F0         8A06                 mov al, byte ptr [esi]                                     //取出0043F004的一个字节
  004629F2         46                     inc esi                                                 //指向下一个字节
  004629F3         8807                 mov byte ptr [edi], al                                     //从00401000开始,开始还原代码
  004629F5         47                     inc edi                                                 //指向下一个地址
  004629F6         01DB                 add ebx, ebx                                             //ebx + ebx,当ebx不等于零的时候跳转,下面的adc如果为,就取出下一个地址,并放到ebx中
  004629F8         75 07                 jnz short 00462A01
  004629FA         8B1E                 mov ebx, dword ptr [esi]                                 //将0043F000放到ebx中
  004629FC         83EE FC             sub esi, -4                                             //0043F000加4
  004629FF         11DB                 adc ebx, ebx                                             //进位加法器
  00462A01         ^ 72 ED             jb short 004629F0                                         // 向上跳转,ebx做为是否回跳的标志,循环处理代码
  00462A03         B8 01000000         mov eax, 1                                                 // eax = 1
  00462A08         01DB                 add ebx, ebx                                             // ebx依然作为循环的标志
  00462A0A         75 07                 jnz short 00462A13
  00462A0C         8B1E                 mov ebx, dword ptr [esi]                                 //esi指向的地址放到ebx里面
  00462A0E         83EE FC             sub esi, -4                                             //esi + 4
  00462A11         11DB                 adc ebx, ebx                                             //进位加法
  00462A13         11C0                 adc eax, eax                                             //进位加法
  00462A15         01DB                 add ebx, ebx                                             //ebx + ebx
  00462A17         73 0B                 jnb short 00462A24
  00462A19         75 28                 jnz short 00462A43                                         //跳到下面

  00462A95         81FD 00FBFFFF         cmp ebp, -500                                             //迷惑指令
  00462A9B         83D1 02             adc ecx, 2                                                 //进位加法
  00462A9E         8D142F                 lea edx, dword ptr [edi+ebp]                             //edi + ebp的地址装载到edx,即原来的代码段的地址
  00462AA1         83FD FC             cmp ebp, -4                                             //判断跳转标志,EBP小于等于-4就跳
  00462AA4         76 0E                 jbe short 00462AB4
  00462AA6         8A02                 mov al, byte ptr [edx]                                     //取出代码段的一字节
  00462AA8         42                     inc edx                                                 //指向下一个地址
  00462AA9         8807                 mov byte ptr [edi], al                                     //取出的代码放到edi里面
  00462AAB         47                     inc edi                                                 //指向下一个代码
  00462AAC         49                     dec ecx                                                 //计数器
  00462AAD         ^ 75 F7             jnz short 00462AA6                                         //关于计数器(ecx)的跳转
  00462AAF         ^ E9 42FFFFFF         jmp 004629F6                                             //向上面跳,跳到add ebx,ebx
  00462AB4         8B02                 mov eax, dword ptr [edx]                                 //处理输入表
  00462AB6         83C2 04             add edx, 4                                                 //edx + 4,指向下一个地址
  00462AB9         8907                 mov dword ptr [edi], eax                                 //将代码放到edi
  00462ABB        83C7 04             add edi, 4                                                 // edi + 4, 存放代码的地址
 
  00462AC3         01CF                 add edi, ecx                                             //edi + ecx,指向接收代码的地址的最后一个字节
  00462AC5         ^ E9 2CFFFFFF         jmp 004629F6                                             //跳到 add ebx,ebx

  00462AD2         8A07                 mov al, byte ptr [edi]                                     //指向我们原来代码段的代码,取出到AL里面
  00462AD4         47                     inc edi                                                 //指向下一个字节
  00462AD5        2C E8                 sub al, 0E8                                             //处理CALL
  00462AD7         3C 01                 cmp al, 1                                                 //判断al是否大于1
  00462AD9         ^ 77 F7             ja short 00462AD2                                        //循环,到下一个CALL的第一个字节为止

  00462AE0         8B07                 mov eax, dword ptr [edi]                                 //取出里面的地址,里面的地址是定位CALL的绝对地址要用到的
  00462AE2         8A5F 04             mov bl, byte ptr [edi+4]                                 //得到下条地址的开始字节放到AL里面,CALL绝对地址就是下条指令开始+刚才上面取出的那个数字
  00462AE5        66:C1E8 08             shr ax, 8                                                 //ax右移8位
  00462AE9         C1C0 10             rol eax, 10                                             //eax算术左移 8位
  00462AEC         86C4                xchg ah, al                                             //交换内容
  00462AEE         29F8                 sub eax, edi                                             //eax - edi
  00462AF0         80EB E8             sub bl, 0E8                                                //再减去E8
  00462AF3         01F0                 add eax, esi                                             //eax + esi,其中 esi是代码段开始的地方
  00462AF5         8907                 mov dword ptr [edi], eax                                 //这里处理CALL的地址,算出CALL的偏移到EDI里面
  00462AF7         83C7 05             add edi, 5                                                 //edi + 5,指向call的后面
  00462AFA         88D8                 mov al, bl                                                 //bl的内容放到al中
  00462AFC         ^ E2 D9             loopd short 00462AD7                                     //循环处理CALL,其中ecx作为计数器
  00462AFE         8DBE 00F00500         lea edi, dword ptr [esi+5F000]                             //代码段的起始地址 + 5F000
  00462B04         8B07                 mov eax, dword ptr [edi]                                 //现在EDI指向我们的代码的输入表
  00462B06         09C0                 or eax, eax                                             //eax 或 eax ,判断eax是否为零
 
  00462B0A         8B5F 04             mov ebx, dword ptr [edi+4]                                 //取得这个地址的数据放到ebx
  00462B0D         8D8430 AC2D0600     lea eax, dword ptr [eax+esi+62DAC]                         // 取得外壳段的KERNEL32.DLL的地址放eax
  00462B14         01F3                 add ebx, esi                                             //我们代码段的起始地址加上刚才取出的那个数据
  00462B16         50                     push eax                                                 //kernel32.dll的地址
  00462B17         83C7 08             add edi, 8                                                 //edi + 8
  00462B1A         FF96 4C2E0600         call dword ptr [esi+62E4C]                                 //装载kernel32.dll
  00462B20         95                     xchg eax, ebp                                             //交换数据,即eax指向kernel32.dll的地址
  00462B21         8A07                 mov al, byte ptr [edi]                                     //取得现在的EDI的地址指向的数据放到AL
  00462B23         47                     inc edi                                                 //指向下一个函数
  00462B24         08C0                 or al, al                                                 //al 或 al,判断al是否为零
  00462B26         ^ 74 DC             je short 00462B04
  00462B28         89F9                 mov ecx, edi                                             //取出的函数的名字放到ecx里面
  00462B2A         57                     push edi                                                 //函数名字压栈
  00462B2B         48                     dec eax                                                 //eax - 1
  00462B2C         F2:AE                 repne scas byte ptr es:[edi]
  00462B2E         55                     push ebp                                                 //kernel32.dll的基址
  00462B2F         FF96 502E0600         call dword ptr [esi+62E50]                                 //外壳的GetProcaddress
  00462B35         09C0                 or eax, eax                                             //eax或eax,得到函数的地址
  00462B37         74 07                 je short 00462B40
  00462B39         8903                 mov dword ptr [ebx], eax                                 //处理输入表
  00462B3B         83C3 04             add ebx, 4                                                 //ebx + 4,指向下一个输入表的地址
 
  00462B46         8BAE 542E0600         mov ebp, dword ptr [esi+62E54]                             //VirtualProtect的地址放到ebp
  00462B4C         8DBE 00F0FFFF         lea edi, dword ptr [esi-1000]                             //指向PE头,即映像基址
  00462B52         BB 00100000         mov ebx, 1000                                             //把1000放到ebx,即ebx = 1000

  00462B5D         FFD5                 call ebp                                                 //改变属性
  00462B5F         8D87 1F020000         lea eax, dword ptr [edi+21F]                             //现在eax指向PE头中区段的偏移起始位置
  00462B65         8020 7F             and byte ptr [eax], 7F                                     //改写区段名字
  00462B68         8060 28 7F             and byte ptr [eax+28], 7F                                 //改写区块属性第一个区块的属性

  00462B75         61                     popad                                                     //恢复现场
  00462B76         8D4424 80             lea eax, dword ptr [esp-80]
  00462B7A         6A 00                 push 0
  00462B7C         39C4                 cmp esp, eax
  00462B7E         ^ 75 FA             jnz short 00462B7A
  00462B80         83EC 80             sub esp, -80
  00462B83         ^ E9 109FFEFF         jmp 0044CA98                                             //跨区段的转移,跳到OEP


提供一份附件,看起来可能更直观:

http://up.2cto.com/2012/1202/20121202072155254.zip