OD 实验(十九) - 对多态和变形程序的逆向

程序：

这个窗口显示这是一个需要去除的 Nag 窗口

点击“确定”

用 PEiD 看一下

这是一个用汇编语言写的程序

逆向：

用 OD 载入程序

Nag 窗口的标题和文本

右键 -> 查找 -> 所有参考文本字串

只有这两条

下一个断点，跑一下程序

该 NAG 窗口还是弹出来了

点击“确定”

然后关掉程序，始终没有停在断点处

说明该处只是干扰项

往上拉

看到一些奇怪的字符，这些是 OD 识别不了的一些代码

右键 -> 分析 -> 从模块中删除分析

代码就变得正常了

第一个 call 语句获取模块的句柄

往下走

把 00401011 存在 edi 中

按 F7 步入该 call 语句

这是一个循环，循环结束后 retn 返回

mov eax,ReverseM.00401000 把 ReverseM.00401000 上的值赋值给 eax

xor byte ptr ds:[eax],0x5A 把 eax 的值按字节跟 0x5A 进行异或

看一下地址 00401000 上是什么内容

00401000 所处的位置为代码段，对它进行异或操作就是修改它的代码

在十六进制窗口看地址 00401000 的变化

按 F8 往下走，可以在十六进制窗口看 00401000 值的变化

inc eax 就是循环一次，递增 eax，也就是递增代码段的地址

直到代码段的地址为 00401218 的时候才结束循环

也就是对 00401000 到 00401218 这一段代码指令与 0x5A 按字节进行异或操作

而这段代码就是 OD 识别不出来的这段代码

所以该异或操作可能是对这段代码进行解密

F8 往下走，通过 retn 返回

然后按 F7 步入该 call 指令

xor eax,eax 将 eax 清零

将 0x6A 赋值给 edi

他修改了自己的代码，将 xor eax,eax 改为了 push 0x0

继续往下走

此时 edi 的值为 00401024

0x44EB 覆盖了 00401024 和 00401025，所以代码从 00401011 开始被改到 00401025

执行完 sub 指令后变为 00401000

右键 -> 分析 -> 分析代码

这里多出了个 MessageBox 函数，内容都是乱码

按 F7 步入那个 call edi 指令

这是一个循环

这段指令像刚才的指令一样，是一段解密代码，对从 00403000 到 00401005 的代码进行解密

当走完这个解密循环，刚才的乱码就变成了可以看懂的字符串

往下走，走到调用 MessageBox 函数处

弹出 NAG 窗口

接着往下走，是 jmp 指令

跳转到该处

add edi,0x11 使 edi 的值加 11

mov word ptr ds:[edi],0xA6A 对 edi 进行覆盖

接着往下走

0x2CEB 覆盖了 00401026 和 00401027，所以代码从 00401011 开始被改到 00401027

步入该 call 函数

往下走，调用 call

出现了 NAG 窗口

关掉 NAG 窗口后，程序到下一条语句

接着往下走

它会直接跳到该 call 指令上

按 F7 步入

这可能又是一个解密的过程

从 00403000 开始，00403000 是数据段区域

这些是 NAG 窗口的字符串

执行该过程

数据变为乱码，看来这是一个加密的过程

接着往下走，走出该 call 区域

步入该 call 指令

调用 ExitProcess 函数结束进程

走完程序就退出了

破解：

方法一：

修改 hOwner 的值，指定一个无效的父进程

运行完 call 语句之后不会弹出 NAG 窗口

重新载入程序，看一下程序在哪里修改了 0040101D 和 0040101E

步入该 call 指令

edi 从 00401011 开始

往下走，找到修改 0040101D 和 0040101E 的地方

在这里修改了 0040101D，mov word ptr ds:[edi],0x6A，这里的 0x6A 就是 6A00

在这里，要把 6A00 修改为 6A01

这里不能直接修改，因为这段代码要跟 0x5A 进行异或操作，所以 01 是跟 0x5A 进行异或后的结果

0x5A 跟 z 进行异或得到 1，那么 0x5A 跟 1 进行异或得到 z

5A xor 1 = 5B

要修改的 00 地址为 00401039

查找它在内存中的位置

改为 5B

点击“确定”

代码处也被修改了

保存程序，运行

程序只弹出了这个窗口

方法二：

将调用 MessageBox 函数之前的一条语句改为 jmp 跳转语句，直接跳过调用 MessageBox 函数，调转到原先需要跳转到的地方

执行

它直接跳转到该地方来了，没有弹出 NAG 窗口

机器码为 EB 57，地址为 00401011 和 00401012

重新载入程序，找到修改这两个地址的地方

这里需要对 6A00 进行修改，地址分别为 00401016 和 00401017

EB xor 5A = B1，57 xor 5A = 0D

修改完后为

保存程序，运行

程序报错

我们得在内存中修改

双击修改

分别改为 B1 0D

接下来保存程序

选中修改的地方，右键 -> 复制到可执行文件

右键 -> 保存文件

运行程序