[原创] 某某云网络验证脱壳

a1辅助网提供[原创] 某某云网络验证脱壳的下载地址,长期提供破解软件,各种线报福利等,27419是一个很好的福利资源网站

[原创] 某某云网络验证脱壳这个帖子关键在于分析提取授权文件和源程序,脱壳是其次……wl脚本论坛都有的。另外,一般情况下,论坛的那个脚本通杀1.8-2.4的wl壳。
顺带一提……如果是wl3.0的壳,就不好说了……原作者不确定是否更新脱wl3.0的脚本。
lz分析的是卓越云???这会是谁的小号呢[原创] 某某云网络验证脱壳
我学不会  大姑
#0x00 狭路相逢
"偶然"碰到了一个网络验证,广告语写着"全新的虚拟机架构,虚拟机超强变异,让您的软件难以分析", 看上去好像很好玩, 于是我(emmm)就弄了几个极速模式的样本分析看看, 见识一下这个全新的虚拟机架构, 至于是啥网络验证,这次我就不点名了, 本文也不提供样本。

**以下讨论的是该网络验证基于极速模式加密的样本**

#0x01 猫捉老鼠
根据描述,还可以加密64位文件,但是加密后的文件打开运行却是32位程序,猜测有把原程序写到硬盘的操作。由于其严酷的拉黑机制(反调试 – -!)(你干点啥它都拉黑你, 这就是所谓的超强的反调试, 但其实根本没啥用),考虑先不用调试器,绕路走,用某剑监视其程序操作,部分关键操作如下。

写出Registration.tmp 猜测跟解密相关

写出exe,猜测是登录后释放的原exe

转到目录下查看,发现一个43k大小的exe,不符合加密前exe大小。

但是,在…目录下发现了一个很可疑的exe

复制出来运行提示未经授权运行,估计它就是我们要找的原程序了。

#0x02 林中小屋


监控发现原程序读取了Registration.tmp

用x32dbg看一下,发现这入口一股浓浓的ThemIDA味(这网络验证是Themida的作者写的?)

运行起来CE搜一遍字符串,这确实是WinLicense没错,

把Registration.tmp和原程序复制出来,回滚虚拟机快照后,再把Registration.tmp放回去,发现可以直接运行原程序。(但是无法再次运行,会提示未经授权运行。并且更换机器做同样的操作也无法运行。

根据以上行为特征,可以大致猜出该网络验证的流程:
**发送卡号并上传机器码 -> 验证通过 -> 下发锁定机器码以及运行次数为1的key ->释放原程序(WL授权加密) -> 运行原程序**
虽然下发的key回滚快照可以一直使用,用监控程序监视它读写了哪些注册表和文件,再统统删掉也可以无限使用,但是它锁定了机器码,总归是不方便。为了速战速决, 考虑脱壳。

#0x03 旧事重提


到达OEP以后修一下IAT,处理下虚拟机内部的pause就能脱下来了。这里不提供脚本,只讲下到达OEP和修IAT的思路。
OEP的话,用祖传VirtualProtect大法。VirtualProtect下断,运行,看到代码段(401000)出现两次后,执行到返回,取消断点。

对代码段下内存执行断点。

再运行一次就到OEP了。

OEP虽然被虚拟化了,但是可以不修。
WL没有抹掉原来的IAT表,而是随机将部分IAT填充到自己的壳代码了,图中下划线为白色的就是被壳抽取的IAT。

这里使用的是x32dbg,撸脚本也方便。修复脚本基本思路为:
逐个获取IAT表里的pointer,用mod.isexport判断是否为1,不为1说明被抽取或者为该pointer为0,如果是被抽取,记录当前cip和csp,将cip设置为取得的pointer,并且对csp-4设置硬件写断点,run 3-5次并判断mod.isexport,为1则将[csp-4]写到IAT表对应的位置,并将cip和csp设置回去。
需要注意,ExitProcess貌似被WL特殊照顾,无法用这种办法取得,没想到修复办法,就只能手动填充了。暂时没发现其他的IAT有这种问题,图中47C294处就是脚本无法修复的ExitProcess。

修复完IAT,记得扫描一遍内存,处理掉所有的pause,jmp或者全部nop都可以,特征如图

全部处理完,就能运行了。

**以下讨论的是该网络验证基于极限模式加密的样本**

#0x04 黑洞的极限运动

上面说的是极速模式下的样本,那极限模式的样本呢?尝试按照以上方法脱下来以后,跨平台运行会崩溃。
推测极限模式是WinLicense的全保护,不过问题不大。多分析分析也能脱下来。
该极限模式样本有两种防dump(不知道有没有更多防dump,只加了两个虚拟化水印)

一种是在到达OEP前加密存储kernel32.dll的基址,然后虚拟化水印会读取基址+随机偏移,因为不同机子以及重启后系统dll基址会改变的关系,程序会崩溃。OEP虚拟化也会用这种防dump。

另外一种是运行到该处水印代码后,虚拟机将代码解密写回原来的位置。

虚拟机运行完毕后。

过kernel32基址的防dump,可以分配一块跟当时一样地址的内存,WL只读取,并没有对里面的值做校验,如果有其他dll占用了也可以直接过。
另一种防dump,可以把存放在WL区段的VirtualProtect 地址,修改到自己代码的FF25 ,如果不巧,程序IAT没有VirtualProtect,就得自己加上了。


#0x05 梦一场

!!!!所以这里根本没有什么所谓的超强虚拟机, 全新的虚拟机架构?搞半天就是用WinLicense做了个授权, 我好像是来找自写虚拟壳来着,怎么最后在脱WinLicense了。

后续将会提供脱壳脚本以及特征,方便大家研究学习。

部分文章来自互联网,侵权删除www.a1fz.com/

www.a1fz.com A1fz网专注于福利分享,各种破解软件学习资料,视频教程等等,如有侵权告知管理员删除
A1fz.com,福利吧,宅男福利,宅男,福利社,福利,有福利 » [原创] 某某云网络验证脱壳

发表评论