/////////////////////////////////////////////////////////////////////
//
// 目标软件:PECompact
//
// 软件版本:1.80 Build 2
//
// 官方网站:http://www.CollakeSoftware.com/
//
// 软件授权:共享软件
//
// 操作系统:Win95/98/ME、WinNT/2000
//
// 软件简介:知名的PE格式文件压缩工具...
//
// 软件保护:PECompact壳保护
//
/////////////////////////////////////////////////////////////////////
//
// 使用工具:TRW2000 v1.22 娃娃修改版
//
(主要用于调试分析)
//
//
LordPE Armageddon by y0da
// (Dump
& PE文件分析修改)
//
// WinHEX
v10.4 SR-3
// (用于PE文件的16进制修改)
//
// Hiew v6.70
//
(用于添加SMC代码)
//
//
Our Brain...:-)
//
/////////////////////////////////////////////////////////////////////
//
// 关于本文:本文主要目的在于教学,研究PECompact壳的分析及多重SMC解
//
密方法...请勿将此教程用于商业目的。
//
//
Always Your Best Friend: FiNALSErAPH
//
// 水平有限,难免疏漏...
//
// Any Question?
// Mail To: FiNALSErAPH@yahoo.com.cn
//
//
2002-05-10
//
/////////////////////////////////////////////////////////////////////
//
// 第1步:得到可正确执行的脱壳文件(其实只要DUMP就行,没必要可执行)
//
/////////////////////////////////////////////////////////////////////
这一步比较简单,我就不详细叙述...详细过程可参看以前的文章。关于OEP可
参看DiKeN的“快速找到PECompact加壳文件的OEP”
/////////////////////////////////////////////////////////////////////
//
// 第2步:分析脱壳后的文件,找到我们要修改的地方
//
//
这里比较有意思的是对于PE文件控件的屏蔽...
//
// 这是最近研究ViRiLiTY做的破解才注意到的。
//
/////////////////////////////////////////////////////////////////////
对于解决日期限制问题就不多说了,比较简单。
pec1:004011E9
call sub_40542F
pec1:004011EE
mov ds:dword_40D69D,
eax
//返回值是剩余的使用时间
//修改方法是将0040542F的指令变为ret
pec1:0040542F enter
30h, 0
//MOV b,[0040542F],0C3
/////////////////////////////////////////////////////////////////////
对于显示Unregister! 我找到以下关键点:
pec1:004053A5
push offset aUnregistered ; lpString
//->"Unregistered!"
//这里的代码要改为我们想保存自己姓名信息
//的地址。(这个地址可稍后确定)
//MOV
d,[004053A6],????????
pec1:004053AA
push 434h
; nIDDlgItem
pec1:004053AF
push [ebp+hDlg] ; hDlg
pec1:004053B2
call SetDlgItemTextA
/////////////////////////////////////////////////////////////////////
找到控件的属性值,做相应修改...这里主要依靠Unicode的特殊性加快速度
1)P.L.E.A.S.E. .R.E.G.I.S.T.E.R.!
注意前面最近的P(0x50)(文件偏移0x13017),我想实际应该是0x50 02 00 00
是指这个控件的属性。根据查到的WINDOWS.INC知道WS_VISIBLE
= 0x10 00 00 00。
所以将0x50 -> 0x40将会使这个控件不可见
经过对脱壳文件的修改(我实际是动态调试的),可以确定这个结论...
注意:这里为了做SMC补丁必须计算修改的地方位于内存的地址
使用LordPE查看SECTION:
VOffset VSize ROffset
RSize
.src 00014000 00003000 00012400
00002128
Memory Address = Imagebase + 0x00014000 + (0x00013017
- 0x00012400) = 0x00414C17
得到:MOV b,[00414C17],40
2)S.T.A.T.I.C
Memory Address = Imagebase + 0x00014000 + (0x000131EB - 0x00012400)
= 0x00414DEB
得到:MOV b,[00414DEB],40
3)...这个特征不明显,我是根据R.e.s.t.r.a.t.i.o.n.
.I.n.f.o.m.a.t.i.o.n
相对位置推的。准确定位我还不会...:)
Memory Address = Imagebase
+ 0x00014000 + (0x000132D7 - 0x00012400) = 0x00414ED7
得到:MOV b,[00414ED7],40
/////////////////////////////////////////////////////////////////////
//
// 第3步:在即将进入OEP前的地方加上自己的补丁代码
//
/////////////////////////////////////////////////////////////////////
即将转入OEP的代码,可是直接在PECOMPACT.EXE里找不到哦...:)(多重的...)
00441551 6800E04300
PUSH DWORD 0043E000
00441556 C204
RET 04
BPM 00441551...看看这里的代码是什么时候放进来的
0044119E F3A5 REP MOVSD
执行完后就...不用想了,追ESI->...查到004425FC是这段代码。接着下BPM
004425FC
这里具体怎么传数据我倒不用管(我可以在传输完整片数据后补),F12到了以下
片段:
004442AF 5D
POP EBP
004442B0 2B7D0C
SUB EDI, [EBP+0C]
004442B3 8BC7
MOV EAX, EDI
004442B5 C9
LEAVE
004442B6 C208
RET 08
注意:这里你会发现所处位置"PECOMPACT!.rsrc"...而且底下一片0000...000
呵呵,还不偷着乐?
00441551 6800E04300 PUSH DWORD 0043E000
//我要改这条指令,转向我要补的修改代码
//留些余地,暂时改为JMP 004442D0(E97A2D0000)
//最后可修正为JMP 004442C3(E96D2D0000)
00441556 C204 RET 04
/////////////////////////////////////////////////////////////////////
004442AF
5D POP EBP
004442B0
2B7D0C SUB EDI, [EBP+0C]
004442B3
8BC7 MOV EAX, EDI
//MOV d,[00441551],002D7AE9
//MOV b,[00441555],00 -> 本无必要,但...我在修
//改1.68版时发现这里移的数据在后面会加上ImageBase
//所以要进行修正(因为会是个负数,所以这里要留着)
//呵呵,这个版本还方便些...不过知道思想就好
004442B5 C9
LEAVE
004442B6 C208 RET 08
/////////////////////////////////////////////////////////////////////
//
// 小结一下修改的代码
//
/////////////////////////////////////////////////////////////////////
004442B5 MOV
d,[00441551],002D6DE9
004442BF
LEAVE
004442C0 RET
08
004442C3 MOV
b,[00414C17],40
004442CA
MOV b,[00414DEB],40
004442D1
MOV b,[00414ED7],40
004442D8
MOV b,[0040542F],C3
004442DF
MOV d,[004053A6],00444300
//位于文件偏移12900处,写上大名啊
004442E9
PUSH 0043E000
004442EE
RET 04
/////////////////////////////////////////////////////////////////////
呵呵,拙文...是分析ViRiLiTY的解密文件整理而成的。One Lamer more...:)
/////////////////////////////////////////////////////////////////////
//
// 谨以此文献给茁壮成长的iPB(inside Pandora's Box - 原OCG)...
//
// Personal Greeting To: [AFO] [CCG] [BCG] Members & All My Friends
//
/////////////////////////////////////////////////////////////////////
- 标 题:PECompact.v1.80.b2解密分析(SMC) - By A Lamer...:) (6千字)
- 作 者:FiNALSErAPH
- 时 间:2002-5-9 21:24:20
- 链 接:http://bbs.pediy.com