| 从看雪论坛转载此文 【标题：用Import REConstructor v1.2 beta2修复输入表 --- 之HiClock Pro v2.2 及S-Spline 2.04】 作者：BestFont -------------------------------------------------------------------------------- 【下载处】 1)Import REConstructor v1.2 beta2 http://www.digitalrice.com/kaparo/files/utilities/imprec.zip (取自protoools) 以下两个程序皆用Asprotect1.2以后的版本加壳 2)HiClock Pro version 2.2 build 126 - released on April 9, 2001 http://www.downme.com/download/6815hiclockpro.zip http://www.kgsoft.com/ (官方网址) 3)S-Spline 2.04 http://202.108.252.24/stcsr/rj/txtx/S-Spline 2.04.zip (康乐园) http://www.shortcut.nl/S-Spline/Shortcut_S-SplineDemo.zip (官方下载) -------------------------------------------------------------------------------- 【前言】 本文只简述输入表的修复，没涉及软件的破解。 主角是ImpREC1.2 beta2, 目标软件是 HiClockPro v2.2 及 S-Spline2.04 。 其中， HiClockPro 2.2 可一次性修复完成，S-Spline 2.04 还需要手工修复/填补。 本文在win98se下完成，当然也适合在windows2k下做参考 【工具】 1) ImpREC1.2beta2(必须是beta2 或其最新版本) 2) SoftIce4.05build334 , icedump6.022 (《=必备!) 3) PE-Editor1.7 4) BW2000 v0.2 (for win9x only) 工具简述：ImpREC的说明文件指出，使用ImpREC时系统中最好已加载icedump。 这样建立的输入表比较少跨平台的问题。而运行icedump前，当然得先加 载Softice。 Softice + icedump：使用Icedump 的/tracex 命令可以找到可能 是OEiP 的地址。 PE-Editor 的dumpfixer可以使dump 出来的文件的 RS=VS, RO=VO BW2000 v0.2 是为了查找被加壳的程序的OEiP(ImpREC中需要此值) 若已经知道软件的OEiP,可省略。 -------------------------------------------------------------------------------- 【准备工作】 加载Softice 及 Icedump 。先追踪目标程序(使用/tracex命令)，得到OEiP， 并/dump出一个脱壳版本。使用 PE-Editor 的dumpfixer修正脱壳后的文件. ==》注意1：HiClockPro 2.2 的必须采取特别步骤脱壳，否则程序无法运行。 具体请参考以下两篇： 1) http://001.com.cn/forum/toye/14781.html 标 题:简述ICEDUMP中/tracex命令在HiClock脱壳中的应用(1千字) 发信人:henryw 2) http://www.001.com.cn/forum/toye/14335.html 标 题:不是不愿写，我真的是只知其然而不知其所以然。 我那样改的原因如内。 (690字) 发信人:hying ==》注意2: S-Spline 必须是未注册的，否则脱壳后的程序将无法正常运行。 S-Spline的破解可以参考下面这篇： http://001.com.cn/forum/toye/14799.html 标 题:v2.04的 (9千字) 发信人:blowfish 附：这里有一篇ImpRECT 1.2 beta1 (不是beta2!!) 的使用方法。 http://001.com.cn/forum/toye/14358.html (本文参考这篇) 标 题:这样试试...... (1011字) 发信人:ljtt 【修复HiClockPro 2.2】 --------------------- 0.运行HiClockPro 2.2 及 ImpRECT 1.在ImpRECT下拉列表框中选择HiClock.exe进程； 2.在左下角的OEP添入BF260 (即这个程序的OEP) 3.按IAT AutoSearch，让其自动检测IAT位置； 出现对话框Found Something!=》 “Found address which may be in the Original IAT.Try 'GetImport'” 这表示我们输入的OEP发挥作用了。 4.按Get Import，让其分析IAT结构得到基本信息； 5.按Show Invalids 按钮。 在Imported Function Found栏中点击鼠标右键，选择"Trace Level1(Disasm)" 再按Show Invalids 按钮。如果成功，可以看到所有的dll都为valid:YES字样； 6. (很明显第5步时，这个程序的输入表已经完全修复好了) 7.现在我们要修复已脱壳的程序HiClock.exe。选择Add new section (缺省是选上的) 来 为Dump出来的文件加一个Section(虽然文件比较大，但避免了许多不必要的麻烦) 8.按Fix Dump，并选择你Dump出来的文件； 9.ImpRECT 会在该文件所在目录生成一个新的文件：HiClock_.exe ,这就是修复后的文件。 TIPS1: 在Imported Function Found栏中点击鼠标右键，可以选择"Expand all nodes" 及 "Collapse all nodes" 来打开/关闭所有节点。 TIPS2: 若因操作上的错误需要重新按GetImport钮, 最好先按程序右边的ClearImports 及 Clear Logs 按钮。否则，Imported Functions Found栏可能会出现奇怪的现象。 修复前 - ?Fthunk:000C317C NbFunc:2E (decimal:46) valid:NO -rva:00000000 ptr:00505A4D -rva:00000004 ptr:00000002 -rva:00000008 ptr:000F0004 -..... 修复后 - KERNEL32.dll FThunk:000C317C NbFunc:2E (decimal:46) valid:YES <===[看这个YES] -rva:000C317C mod:KERNEL32.dll ord:015D name:GetCurrentThreadId -rva:000C3180 mod:KERNEL32.dll ord:00D6 name:DeleteCriticalSection -rva:000c3184 mod:KERNEL32.dll ord:0228 name:LeaveCriticalSection -..... 【修复S-Spline 2.04】 --------------------- 0.运行S-Spline 及 ImpRECT 1.在ImpRECT下拉列表框中选择S-Spline.exe进程； 2.在左下角的OEP添入7E910 3.按IAT AutoSearch，让其自动检测IAT位置； 出现对话框Found Something!=》 “Found address which may be in the Original IAT.Try 'GetImport'” 这表示我们输入的OEP发挥作用了。 4.按Get Import，让其分析IAT结构得到基本信息； 4.1.发现只有一个dll的 valid 为NO 5.按Show Invalids 按钮。 在Imported Function Found栏中点击鼠标右键，选择"Trace Level1 (Disasm)" 再按Show Invalids 按钮。如果成功，可以看到所有的dll都为valid:YES字样； 5.1.看到长长的一堆函数名，我们知道至少有一个dll未修复。故使用 鼠标右键”Collapse all nodes"，发现只剩下一个dll未完成。 从Log栏中可以看到有一个地址修复失败。 6.按Show Invalids 按钮 在Imported Function Found栏中点击鼠标右键选择"Trace Level2 (Hook)"。 再按Show Invalids 按钮。如果成功，可以看到所有的dll都为valid:YES字样； 若还不成功，目前只能手工修复了(Trace Level3 这个功能还没开发完成)。 6.1.从Log栏可以看到”Tracer failed in 008927E4 “修复失败。 我们找到那个修复失败的是 rva:0009C2AC (到此，这个程序的输入表还没修复完成，我们必须手工修复这两个地址) 6.2.在Imported Function Found栏,找 rva:0009C2AC ,并用鼠标左键双击它。 在Module中选 KERNEL32.dll 在Function中选 ord:032C name:WinExec 按OK (至于这个函数名如何获得？看看下面) 6.3按Show Invalids 按钮, 都为valid:YES字样，输入表到此完成。 7.现在我们要修复已脱壳的程序S-Spline.exe。选择Add new section (缺省是选上的) 来 为Dump出来的文件加一个Section(虽然文件比较大，但避免了许多不必要的麻烦) 8.按Fix Dump，并选择你Dump出来的文件； 9.ImpRECT 会在该文件所在目录生成一个新的文件：S-Spline_.exe ,这就是修复后的文件。 《找rva:0009C2AC 的函数名》 --------------------------- 以下方法只是一个参考，它不是万能的。另一方面，以后的Asprotect 的小小改变足 以使它失效，诸位姑且看之。。。 此时Softice已经运行. 1.进入S-Spline 领空(不知道这样说对不对 ) : 我们只需CTRL+D ,用bpx getwindowtexta 设拦, F5 。 在S-Spline 的Serial Number 栏中添入任何资料。 程序就会被拦。此时已进入S-Spline 领空^_^ 2.寻找函数名: 此时下指令 dd 49c2ac (= 9c2ac + ImageBase) , 看见该数据区显示8972B4 。 再 u 8972B4 , 看见代码区显示 PUSH EDX JMP C0188DC2 再 u C00188DC2 , 看见代码区显示 MOV EDX,C0197490 (<==注意这里!!!) JMP C0188DD 再 dd C0197490 , 看见该数据区显示 C0197327 。 最后 db C0197327 就可以看到我们的函数名了 (注：这里是用db 不是dd) bc * 再 F5 回到程序。 ----作者：BestFont ------------【全文完】------------------------------------ -------------------------------------------------------------------------------- 《加密及解密技术交流站》由ljtt 制作 版权所有 ©2000 -2001 All Rights Reserved 转载本站所有文章请注明出处，尊重作者的劳动也是尊重你自己。让我们一同撑起绿色的天空！ |
