脱壳入门----脱ASPack壳保护的DLL

前言

结合脱dll壳的基本思路，对看雪加密解密里的一个ASPack壳保护的dll进行脱壳分析。

脱壳详细过程

寻找程序的OEP

先将目标DLL拖入OD，来到壳的入口处。

然后利用堆栈平衡原理在pushad后，对栈顶下硬件访问断点。

之后我们直接运行程序，当程序popad后会被断下，观察得出OEP的RVA为0x1240。

找到壳的重定位代码

我们在来到程序真正的入口点后可以看到一些会被重定位的代码，我们选择最近的一个会进行重定位的代码记住其RVA。

本例子中我们选的是RVA为0x1253的代码。

然后我们重新加载dll，我们先对刚刚记住的那个RVA下内存写入断点，程序会先断在壳代码解压区块处我们需要在壳代码将所有的区段解压缩后对刚刚记住的那个RVA再下内存访问断点，然后程序会断在壳的重定位代码处。

跳过重定位代码并dump程序

我们只需要将修正重定位数据的代码nop去就可以让重定位代码无法发挥作用。



nop去重定位代码后我们继续运行程序，程序会停在我们寻找OEP时设置的断点处。然后我们就可以用LordPE来dump文件了，将dump的文件命名为ASP.dll

重建输入表

在重建输入表前我们需要知道原程序IAT表的位置，我们可以在OD中Alt + M查看内存然后我们在主模块可以看到各个区块，一般IAT表都是在.rdata区块处。我们在此处右击然后选择在cpu数据窗口查看，然后将cpu数据窗口的显示形式调为地址。我们可以看到在区块一开始就是IAT表。此IAT表的RVA为0x7000。

在查找IAT表示还要注意，不要将原程序的IAT表与壳的IAT表搞混。在区块.aspack处也存在一个IAT，这个IAT是壳代码的。

获取IAT的RVA后我们可以打开ImportRE工具重建输入表，我们在OEP处填写1240，在IAT 的RVA处填写7000，大小尽量填大点。然后点击获取输入表。

获取输入表后我们发现有好多无效的这是因为我们IAT的大小填的过大，我们只需点击显示无效函数，然后右击剪切/删除指针数据即可去除无效数据。





接着我们点击修复转存文件，并选择我们刚刚转存的ASP.dll即可生成名为ASP_.dll的文件。

修复重定位数据

如果把刚刚我们修复了输入表的dll加载到OD中我们可以看到需要重定位的数据还是按照基地址为0x400000的数据，而此时的基地址为0x220000其数据并没有被修正，这是因为windows加载器在加载的时候并没有找到重定位表，所以我们需要修复重定位表。

我们重新加载加壳的dll，来到我们刚刚找到的壳的重定位代码处，分析程序可得0x22d247地址处edi+ebx即为对应需要重定位的数据的地址。我们需要在此处打补丁获取所有需要重定位的数据的RVA地址。我们在0x22d598处写补丁程序，此处跳转到0x22d598处。

然后在0x22d598处打补丁程序，将获得的重定位数据地址存在0x229000处，0x22d600为其指针。

运行程序程序停在OEP跳转处，我们在数据窗口处可以看到重定位数据的RVA地址。（每一个dword是一个地址）

将这些二进制数据复制后用WinHex保存为bin文件。然后用拖入重定位重建工具ReloREC，然后选在重定位表存在RVA:9000处。点击Fix Dump选择我们重建了输入表的名为ASP_.dll的文件，其会生成一个名为ASP__.dll的文件。



这时在用OD加载此文件就会发现需要重定位数据处的数据已被修正。

优化PE文件

①将在壳空间中的资源数据都放到一个资源区段中，用工具DT_ResFix.exe选择对应的dll文件，然后直接重构资源。

②将壳代码的区段删除，利用pe编辑工具。

③查看pe文件头的一些数据是否有错误。（一般我们在前面重构输入表和重定位表的时候，相关工具都已经修改过了）

④在重建输入表是可以将输入表放在一个已存在的区块处，这里我们是新建了一个区块。

总结

脱dll壳的思路大致就是这样，当然各个步骤的方法不唯一，像寻找oep就有很多方法。需要根据对应的壳，灵活使用各种方法。