久久天天躁夜夜躁狠狠_ 自寫(xiě)腳本脫Themida

大家好！我是風(fēng)動(dòng)鳴

教程分析原理難免會(huì )有紕漏請大家多多指教多多包涵

今天給大家帶來(lái)的教程是 自寫(xiě)腳本脫Themida_v2.3.5.10

脫殼環(huán)境是：學(xué)破解論壇VM XP虛擬機
http://www.xuepojie.com/thread-9253-1-1.html

做教程之前學(xué)習了sure 以下這篇教程非常感謝sure分享

http://www.xuepojie.com/thread-13373-1-1.html
本教程的課件跟他的一致

腳本是代替人工操作，節省時(shí)間，提高效率。
我們是怎么操作的，腳本就怎么操作。
代碼邏輯加入了各種判斷，以限制腳本按照我們的操作流程走，解放我們的雙手。

腳本展示：

每個(gè)腳本寫(xiě)了實(shí)現原理，和適當的代碼注釋。
只要你懂原理，知道操作流程，你也一樣能寫(xiě)出自己的腳本！

詳細的代碼賞析回復可見(jiàn)

本帖隱藏的內容

// OEP找法 //
// 下斷點(diǎn)bp ZwFreeVirtualMemory //
// F9 N次直到edi反復的出現一個(gè)值。 //
// 斷在ZwFreeVirtualMemory，刪除斷點(diǎn)。 //
// 在代碼段（.code）下內存訪(fǎng)問(wèn)斷點(diǎn) //
// F9運行-到達OEP 記錄下eip //
///////////////////////////////////////////
// www.xuepojie.com //
// //
// by 風(fēng)動(dòng)鳴 //
// //
// 2015年11月17日 //
// //
//---------------定義變量----------------//
var temp
//用來(lái)保存edi的值
var CODE
//代碼段首地址
var SIZE
//代碼段大小
var OEP
//OEP地址
//-----------清除所有斷點(diǎn)--------------- //
bc
//清除所有斷點(diǎn)
bpmc
//清除內存斷點(diǎn)
bphwcall
//清除硬斷點(diǎn)
//-------------初始化斷點(diǎn)-------------//
bp 7C92D38E
// xp下 bp ZwFreeVirtualMemory
jmp going
// 跳到going 執行
going:
//初始化次數
esto
//Shift+F9 忽略所有異常運行代替F9
cmp edi,0
//相等
je going
//否則
mov temp,edi
//保存edi的值
esto
//再運一次
cmp temp,edi
//如果變化了就跳
jnz going
//否則 edi到了關(guān)鍵地址
msg "edi反復不變到了關(guān)鍵地址了"
bc
//清除所有斷點(diǎn)
//---------根據實(shí)際情況替換代碼段首地址和大小-------------//
mov CODE,00401000
//代碼段首地址
mov SIZE,F7000
//代碼段大小
bprm CODE,SIZE
//代碼段下內存寫(xiě)入斷點(diǎn)
esto
mov OEP,eip
bpmc
//清除內存斷點(diǎn)
msg OEP
ret

復制代碼

// AB特征找法 //
// 重載代碼段下內存寫(xiě)入斷點(diǎn) //
// F9 F7 F8 //
// F9 直到AB出現記錄下EIP地址 //
// //
// API賦值代碼地址找法 //
// 我已經(jīng)定位好特特征碼了 //
// 12D200FB4140FF31 //
///////////////////////////////////////////
// www.xuepojie.com //
// //
// by 風(fēng)動(dòng)鳴 //
// //
// 2015年11月17日 //
// //
///////////////////////////////////////////
//---------------定義變量----------------//
var CODE
//代碼段首地址
var SIZE
//代碼段大小
var ONLYONEAB
//AB特征地址
VAR API
//賦值真實(shí)API的代碼地址
//-----------清除所有斷點(diǎn)-------------//
bc
//清除所有斷點(diǎn)
bpmc
//清除內存斷點(diǎn)
bphwcall
//清除硬斷點(diǎn)
//---------根據實(shí)際情況替換代碼段首地址和大小-------------//
mov CODE,00401000
//代碼段首地址
mov SIZE,F7000
//代碼段大小
//-------------初始化斷點(diǎn)-------------//
bpwm CODE,SIZE
//代碼段下內存寫(xiě)入斷點(diǎn)
esto
//Shift+F9 忽略所有異常運行代替F9
sti
//F7 單步步入
sto
//F8 單步步過(guò)
findAB:
cmp [eip],#AB#,1
//當前將要執行的代碼地址的開(kāi)頭一個(gè)字節是否為 AB
je goOk
esto
jmp findAB
//跳到findAB開(kāi)頭繼續向入執行
goOk:
mov ONLYONEAB,eip
bpmc
//清除內存斷點(diǎn)
msg ONLYONEAB
find eip,#12D200FB4140FF31# //搜索上面那段代碼
mov API,$RESULT //將搜索的eip地址給aa，也就是圖上的771f9處
sub API,12
bp API
//賦值的代碼地址處下斷
esto
bc
//清除所有斷點(diǎn)
msg API
ret

復制代碼

// 原理： //
// 殼把真實(shí)的API函數代碼寫(xiě)入到自己申請的 //
// 地址再在代碼段里自己來(lái)調用 //
// 所以我們要做的就是： //
// 在殼在代碼段里寫(xiě)入調用自己函數調用后 //
// 替換回真實(shí)的調用地址 //
// 替換后的兩種情況： //
// call dword ptr ds:[IAT表函數地址] //
// jmp dword ptr ds:[IAT表函數地址] //
// //
// www.xuepojie.com //
// //
// by 風(fēng)動(dòng)鳴 //
// //
// 2015年11月17日 //
// //
//---------------定義變量----------------//
var REALAPI
//真實(shí)的API函數地址
var IATAPI
//IAT表函數地址
var REPLACE
//替換代碼的地址
var RECALL
//替換成 call dword ptr ds:[地址] 的特征碼
var REJMP
//修改成 jmp dword ptr ds:[地址] 的特征碼
var API
//賦值API的代碼地址
var CODE
//代碼段首地址
var SIZE
//代碼段大小
var ONLYONEAB
//AB特征地址
var OEP
//OEP地址
//-----------清除所有斷點(diǎn)-------------//
bc
//清除所有斷點(diǎn)
bpmc
//清除內存斷點(diǎn)
bphwcall
//清除硬斷點(diǎn)
//------------替換實(shí)際的地址-------------//
mov API,00709E7C
//賦值API的代碼地址
mov CODE,00401000
//代碼段首地址
mov SIZE,F7000
//代碼段大小
mov ONLYONEAB,00709C55
//獨一無(wú)二AB特征地址
mov OEP,00466C98
//OEP地址
//-------替換的特征碼-------------//
mov RECALL,15FF
mov REJMP,25FF
//-------------初始化斷點(diǎn)-------------//
bphws API,"x"
//賦值api真實(shí)地址下硬件斷點(diǎn)
bphws OEP,"x"
//程序入口OEP下硬件斷點(diǎn)
bpwm CODE,SIZE
//代碼段下內存寫(xiě)入斷點(diǎn)
//-------------開(kāi)始修復----------------//
esto
//Shift+F9 忽略所有異常運行
//異常界面設置好可以用 run F9 運行代替】
sti
//F7 單步步入
sto
//F8 單步步過(guò)
esto
strat:
mov [IATAPI],REALAPI
//把真實(shí)的API地址寫(xiě)入 IAT表函數地址
jmp strat2
strat2:
mov REALAPI,eax
//記錄下一個(gè) 真實(shí)的API地址
esto
cmp eip,API
//當前要執行的代碼地址與將要賦值API的代碼地址做比較
je strat2
//相等就跳
mov IATAPI,edx
//IAT表函數地址
esto
mov [IATAPI],REALAPI
//在 IAT表函數地址里填充真實(shí)的API地址
cmp eip,API
je strat
cmp [eip],AA,1
je foriat
cmp eip,OEP
je end
jmp foriat
//循環(huán)修復IAT
foriat:
cmp [eip],#880B#,2
je foriat2
cmp eip,OEP
je end
cmp al,e9
je foriate9
cmp al,e8
je foriate8
mov REPLACE,edi
//下一個(gè) 替換代碼的地址 = edi
esto
cmp al,e8
//修復FF15標簽
je foriate8x
//修復FF25標簽
jmp foriate9x
foriat2:
mov REPLACE,ebx
cmp al,e8
je iat1
cmp al,e9
je iat2
cmp cl,e8
je iat1
jmp iat2
//修復FF15
iat1:
esto
//運行之后填充了 E8
esto
//運行之后填充了 call的地址
//綜合效果是殼生成了自己的函數代碼后在代碼段來(lái)調用
//下面就到我們來(lái)修復了
mov [REPLACE],RECALL
//往替換代碼的地址(目標地址) 替換兩字節為 FF15
add REPLACE,2
//向后移兩位
mov [REPLACE],IATAPI
//替換為 IAT函數表的地址
//修改完后的效果為：call dword ptr ds:[0x487600]
cmp eip,API
je strat
cmp eip,OEP
je end
jmp foriat
//同修復FF25
iat2:
esto
esto
mov [REPLACE],REJMP
add REPLACE,2
mov [REPLACE],IATAPI
cmp eip,API
je strat
cmp eip,OEP
je end
jmp foriat
foriate8:
mov REPLACE,edi
esto
esto
mov [REPLACE],RECALL
//替換成 FF 15
//等價(jià)于call dword ptr ds:[IAT表函數地址]
add REPLACE,2
//替換代碼的地址加2（就是向后移兩位）
mov [REPLACE],IATAPI
//替換為IAT表函數的地址
cmp eip,API
je strat
jmp foriat
//循環(huán)修復FF15標簽修改完后的效果為：call dword ptr ds:[0x487600]
foriate8x:
esto
//運行之后殼已經(jīng)把 E8 寫(xiě)入代碼段指定地址如：【E8 90909090】
esto
//運行之后殼已經(jīng)把真實(shí)的API地址填充到代碼段指定地址
//如：【E8 BB087076】就是 call 76B2A4EE = call winmm.midiStreamOut
//下面就到我們來(lái)修復了
mov [REPLACE],RECALL
//往替換代碼的地址(目標地址) 替換兩字節為 FF15
add REPLACE,2
//向后移兩位
mov [REPLACE],IATAPI
//替換為 IAT函數表的地址
//修改完后的效果為：call dword ptr ds:[0x487600]
cmp eip,API
je strat
jmp foriat
foriate9:
mov REPLACE,edi
esto
jmp doiate9
doiate9:
esto
cmp eip,ONLYONEAB
jnz doiate9
esto
mov [REPLACE],REJMP
add REPLACE,2
mov [REPLACE],IATAPI
jmp strat
//循環(huán)修復FF25標簽
foriate9x:
esto
//運行之后殼已經(jīng)把 E9 寫(xiě)入代碼段指定地址如：【E9 90909090】
esto
//運行之后殼已經(jīng)把真實(shí)的API地址填充到代碼段指定地址
//如：【E9 A7915F71】就是 jmp 71A23FED
//下面就到我們來(lái)修復了
mov [REPLACE],REJMP
//往替換代碼的地址(目標地址) 替換兩字節為 FF25
add REPLACE,2
//向后移兩位
mov [REPLACE],IATAPI
//替換為 IAT函數表的地址
//修改完后的效果為：jmp dword ptr ds:[0x487660]
cmp eip,API
je strat
cmp [eip],AA,1
je foriat
cmp eip,OEP
je end
jmp strat
end:
bc
bpmc
bphwcall
MSG "到達OEP IAT修復完畢"
ret

復制代碼

具體脫殼流程：

總結：學(xué)脫殼，先學(xué)寫(xiě)腳本——這是我的見(jiàn)解
許多大牛都分享了各種脫殼腳本，腳本是脫殼全過(guò)程的體現，濃縮了作者的脫殼思路，對殼的實(shí)現原理的理解。
所以要重視腳本，別把大牛分享的腳本只當成脫殼工具。
腳本適用范圍小，而讀懂腳本原理你就能脫它不能脫的殼，你才是腳本的創(chuàng )作者！

腳本代碼我是一步一步跟的，通過(guò)耐心跟蹤觀(guān)察各種數據，總結經(jīng)驗。

希望對大家有所啟發(fā)。

不怎么會(huì )表達請大家見(jiàn)諒。

課件工具和腳本分享：

本帖隱藏的內容

鏈接：http://pan.baidu.com/s/1hqlTiAC 密碼：tm9j

自寫(xiě)腳本脫Themida_v2.3.5.10.rar(7.93 MB, 下載次數: 53)

本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請點(diǎn)擊舉報。

欧美性猛交XXXX免费看蜜桃,成人网18免费韩国,亚洲国产成人精品区综合,欧美日韩一区二区三区高清不卡,亚洲综合一区二区精品久久

本帖隱藏的內容

本帖隱藏的內容