岁月联盟 - 技术社区 - BBS.SYUE.COM » [ Hacking & Defence ] 黑客攻击与防范 » 手脱啊拉QQ大盗060505版（超详细版）

叛逆少爷 发表于 2006-5-10 18:25

手脱啊拉QQ大盗060505版（超详细版）

<p>跟着冰雨学了几天脱壳！~~今天自己试手！拿啊拉开刀吧！~~~呵呵<br/>啊拉的作者主页<a href="http://www.tmdqq.com">www.tmdqq.com</a>大家自己下 工具peid09.4&nbsp;&nbsp; OD&nbsp;&nbsp; &nbsp;ImportREC&nbsp;&nbsp;&nbsp; 开工</p><p>PEID查壳<br/>ASPack 2.12 -&gt; Alexey Solodovnikov<br/>因为是手动脱 我们直接用OD载入<br/>004AE001 a&gt;&nbsp; 60&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pushad<br/>004AE002&nbsp;&nbsp;&nbsp;&nbsp; E8 03000000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call alaqq050.004AE00A（近CALL，F7步过）<br/>004AE007&nbsp;&nbsp; - E9 EB045D45&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jmp 45A7E4F7<br/>004AE00C&nbsp;&nbsp;&nbsp;&nbsp; 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push ebp<br/>004AE00D&nbsp;&nbsp;&nbsp;&nbsp; C3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; retn<br/>晕&nbsp; 一进来就有CALL。</p><p><br/>004AE00A&nbsp;&nbsp;&nbsp;&nbsp; 5D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pop ebp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; alaqq050.004AE007<br/>004AE00B&nbsp;&nbsp;&nbsp;&nbsp; 45&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; inc ebp<br/>004AE00C&nbsp;&nbsp;&nbsp;&nbsp; 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push ebp<br/>004AE00D&nbsp;&nbsp;&nbsp;&nbsp; C3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; retn<br/>来到入口点！~~~~~</p><p><br/>004AE008&nbsp;&nbsp;&nbsp; /EB 04&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jmp short alaqq050.004AE00E<br/>004AE00A&nbsp;&nbsp;&nbsp; |5D&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pop ebp<br/>004AE00B&nbsp;&nbsp;&nbsp; |45&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; inc ebp<br/>004AE00C&nbsp;&nbsp;&nbsp; |55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push ebp<br/>004AE00D&nbsp;&nbsp;&nbsp; |C3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; retn<br/>004AE00E&nbsp;&nbsp;&nbsp; \E8 01000000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call alaqq050.004AE014 （近CALL，F7继续步过）<br/>又一个CALL</p><p>004AE03C&nbsp;&nbsp;&nbsp;&nbsp; FF95 4D0F0000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call dword ptr ss:[ebp+F4D]&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; ; kernel32.GetModuleHandleA（第一个远CALL，F8步过去）<br/>004AE042&nbsp;&nbsp;&nbsp;&nbsp; 8985 26040000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov dword ptr ss:[ebp+426],eax<br/>004AE048&nbsp;&nbsp;&nbsp;&nbsp; 8BF8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov edi,eax<br/>004AE04A&nbsp;&nbsp;&nbsp;&nbsp; 8D5D 5E&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; lea ebx,dword ptr ss:[ebp+5E]<br/>004AE04D&nbsp;&nbsp;&nbsp;&nbsp; 53&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push ebx<br/>004AE04E&nbsp;&nbsp;&nbsp;&nbsp; 50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push eax<br/>004AE04F&nbsp;&nbsp;&nbsp;&nbsp; FF95 490F0000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call dword ptr ss:[ebp+F49] （第二个远CALL，F8步过）<br/>004AE055&nbsp;&nbsp;&nbsp;&nbsp; 8985 4D050000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov dword ptr ss:[ebp+54D],eax<br/>004AE05B&nbsp;&nbsp;&nbsp;&nbsp; 8D5D 6B&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; lea ebx,dword ptr ss:[ebp+6B]<br/>004AE05E&nbsp;&nbsp;&nbsp;&nbsp; 53&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push ebx<br/>004AE05F&nbsp;&nbsp;&nbsp;&nbsp; 57&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push edi<br/>004AE060&nbsp;&nbsp;&nbsp;&nbsp; FF95 490F0000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call dword ptr ss:[ebp+F49] （第三个远CALL，F8不过）<br/>004AE066&nbsp;&nbsp;&nbsp;&nbsp; 8985 51050000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov dword ptr ss:[ebp+551],eax<br/>004AE06C&nbsp;&nbsp;&nbsp;&nbsp; 8D45 77&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; lea eax,dword ptr ss:[ebp+77]<br/>连续的3个远CALL<br/>F8走到</p><p>004AE0BB&nbsp;&nbsp;&nbsp;&nbsp; FF95 4D050000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call dword ptr ss:[ebp+54D]（远CALL第一个，F8）<br/>004AE0C1&nbsp;&nbsp;&nbsp;&nbsp; 8985 56010000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov dword ptr ss:[ebp+156],eax<br/>004AE0C7&nbsp;&nbsp;&nbsp;&nbsp; 8B46 04&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov eax,dword ptr ds:[esi+4]<br/>004AE0CA&nbsp;&nbsp;&nbsp;&nbsp; 05 0E010000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; add eax,10E<br/>004AE0CF&nbsp;&nbsp;&nbsp;&nbsp; 6A 04&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push 4<br/>004AE0D1&nbsp;&nbsp;&nbsp;&nbsp; 68 00100000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push 1000<br/>004AE0D6&nbsp;&nbsp;&nbsp;&nbsp; 50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push eax<br/>004AE0D7&nbsp;&nbsp;&nbsp;&nbsp; 6A 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push 0<br/>004AE0D9&nbsp;&nbsp;&nbsp;&nbsp; FF95 4D050000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call dword ptr ss:[ebp+54D]（第二个在这里）<br/>004AE0DF&nbsp;&nbsp;&nbsp;&nbsp; 8985 52010000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov dword ptr ss:[ebp+152],eax<br/>004AE0E5&nbsp;&nbsp;&nbsp;&nbsp; 56&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push esi<br/>004AE0E6&nbsp;&nbsp;&nbsp;&nbsp; 8B1E&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov ebx,dword ptr ds:[esi]<br/>004AE0E8&nbsp;&nbsp;&nbsp;&nbsp; 039D 22040000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; add ebx,dword ptr ss:[ebp+422]<br/>004AE0EE&nbsp;&nbsp;&nbsp;&nbsp; FFB5 56010000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push dword ptr ss:[ebp+156]<br/>004AE0F4&nbsp;&nbsp;&nbsp;&nbsp; FF76 04&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push dword ptr ds:[esi+4]<br/>004AE0F7&nbsp;&nbsp;&nbsp;&nbsp; 50&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push eax<br/>004AE0F8&nbsp;&nbsp;&nbsp;&nbsp; 53&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push ebx<br/>004AE0F9&nbsp;&nbsp;&nbsp;&nbsp; E8 6E050000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call alaqq050.004AE66C（这是第三个）<br/>又是三个连续的远CALL，F8过了走到下面</p><p>004AE12F&nbsp;&nbsp;&nbsp; /74 2E&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; je short alaqq050.004AE15F<br/>004AE131&nbsp;&nbsp;&nbsp; |78 2C&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; js short alaqq050.004AE15F<br/>004AE133&nbsp;&nbsp;&nbsp; |AC&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; lods byte ptr ds:[esi]<br/>004AE134&nbsp;&nbsp;&nbsp; |3C E8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmp al,0E8<br/>004AE136&nbsp;&nbsp;&nbsp; |74 0A&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; je short alaqq050.004AE142<br/>004AE138&nbsp;&nbsp;&nbsp; |EB 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jmp short alaqq050.004AE13A<br/>004AE13A&nbsp;&nbsp;&nbsp; |3C E9&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmp al,0E9<br/>004AE13C&nbsp;&nbsp;&nbsp; |74 04&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; je short alaqq050.004AE142<br/>004AE13E&nbsp;&nbsp;&nbsp; |43&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; inc ebx<br/>004AE13F&nbsp;&nbsp;&nbsp; |49&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; dec ecx<br/>004AE140&nbsp;&nbsp; ^|EB EB&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jmp short alaqq050.004AE12D 像这样这样的跳就是往回跳的我们在下面F4<br/>004AE142&nbsp;&nbsp;&nbsp; |8B06&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; mov eax,dword ptr ds:[esi]这里F4，或者右键→段点→运行到所选<br/>004AE144&nbsp;&nbsp;&nbsp; |EB 00&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jmp short alaqq050.004AE146<br/>004AE146&nbsp;&nbsp;&nbsp; |803E 14&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; cmp byte ptr ds:[esi],14<br/>004AE149&nbsp;&nbsp; ^|75 F3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; jnz short alaqq050.004AE13E</p><p>连续的跳转，注意只要不往回跳就成 向下跳就让他跳吧！~~HOHO</p><p>再次来到一个远<br/>CALL004AE191&nbsp;&nbsp;&nbsp;&nbsp; FFB5 52010000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push dword ptr ss:[ebp+152]（这儿是远CALL）<br/>004AE197&nbsp;&nbsp;&nbsp;&nbsp; FF95 51050000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; call dword ptr ss:[ebp+551]</p><p>N多步过 其中过程大家见招封招吧&nbsp; 呵```</p><p>来到</p><p>004AE3BA&nbsp;&nbsp;&nbsp;&nbsp; 68 E4394700&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push alaqq050.004739E4<br/>004AE3BF&nbsp;&nbsp;&nbsp;&nbsp; C3&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; retn</p><p>是不是有点熟悉呢？</p><p>呵呵再次F8来到<br/>004739E4&nbsp;&nbsp;&nbsp;&nbsp; 55&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; push ebp<br/>出来咯！~~~~~</p><p>右键脱壳在当前进程用调试！~~~</p><p>记住OEP：739E4</p><p><br/>ImportREC修复<br/>输入OEP：739E4，有一个指针无效，而且修复不起！~~直接删除</p><p>修复下文件再次运行脱好的啊啦</p><p>恭喜&nbsp; 您成功了！~~~~HOHO&nbsp;&nbsp;&nbsp;&nbsp; 这样啊啦就被脱了啦！~~好了&nbsp; 大家拜拜~~~~</p><p>写的太多了&nbsp; 呵呵 不过早说了超详细版</p>

Taboo 发表于 2006-5-10 23:44

顶......上去....

龍啸ヤ无奈 发表于 2006-5-11 09:35

<p>。。。。。这个我都米学懂。。。。</p><p></p>

龍啸ヤ无奈 发表于 2006-5-11 09:36

<p>懂是懂了点但是不是很明白。。。。</p>

黑冰 发表于 2006-5-11 09:52

[QUOTE]。。。。。[/QUOTE]

hack_k 发表于 2006-5-11 10:13

不错啊

hxx1994 发表于 2006-5-12 20:57

用esp 定律比较快一点

zxwbj 发表于 2006-5-13 17:48

顶上去

skyxiao 发表于 2006-5-14 07:33

<p>看不懂啊</p><p></p>

查看完整版本: 手脱啊拉QQ大盗060505版（超详细版）