手动脱壳“ASProtect 1.2x - 1.3x”(1/2)

 

文件名称：手动脱壳“ASProtect 1.2x - 1.3x”
目标程序：病毒样本
操作环境：Windows XP-SP2
使用工具：Ollydbg 1.10版
编写作者：Coderui
编写时间：2009年01月05日
联系方式：coderui@163.com
作者博客：http://hi.baidu.com/coderui
---------------------------------------------------------------------------------------------
介绍：

    “ASProtect”加密壳是一款商业壳，由于版本和其中的设置众多，所以加壳后的样本总是五花八门，都不好脱。最近准备利用工作之余把“ASProtect”加密壳的所有版本都试着脱一下(从低版本开始)，顺便记点笔记以备后期查阅时使用！下文如有表达错误的地方还请多多指正，谢谢！
---------------------------------------------------------------------------------------------
OD设置：(OD设置为不忽略任何异常。[F2]：下软断点、[F4]：执行到当前代码处、[F7]：单步步入、[F8]单步步过、[F9]运行。)
请按照注解顺序观看(00)-(01)-(02)…(99)，不然很容易混乱。

; (00) 病毒样本载入后，OD提示错误“不知如何继续,因为内存地址 E072C4B2 不可读. 请尝试更改 EIP 或忽略程序异常.”
; (01) 我们使用[Shift+F9]忽略异常。

10034000 > 68 01500610     PUSH virus.10065001                      ; (02) OD停在这里，我们[F9]运行。
10034005    E8 01000000     CALL virus.1003400B
1003400A    C3              RETN
1003400B    C3              RETN
            .
            .
            .
00D3FF66    0000            ADD BYTE PTR DS:[EAX],AL                 ; (03) OD停在这里，提示“内存访问”异常。我们使用[Shift+F9]忽略异常，并继续运行。
00D3FF68    E8 33C05A59     CALL 5A2EBFA0
00D3FF6D    59              POP ECX
00D3FF6E    64:8910         MOV DWORD PTR FS:[EAX],EDX
00D3FF71    EB 0F           JMP SHORT 00D3FF82
00D3FF73 ^ E9 F02EFCFF     JMP 00D02E68
00D3FF78    E8 67FBFFFF     CALL 00D3FAE4
00D3FF7D    E8 4232FCFF     CALL 00D031C4
00D3FF82    E8 05E9FFFF     CALL 00D3E88C
00D3FF87    33C0            XOR EAX,EAX
00D3FF89    5A              POP EDX
00D3FF8A    59              POP ECX
00D3FF8B    59              POP ECX
00D3FF8C    64:8910         MOV DWORD PTR FS:[EAX],EDX
00D3FF8F    68 A4FFD300     PUSH 0D3FFA4
00D3FF94    8D45 F4         LEA EAX,DWORD PTR SS:[EBP-C]
00D3FF97    E8 5C37FCFF     CALL 00D036F8
00D3FF9C    C3              RETN
            .
            .
            .
00D3E2BB    90              NOP                                      ; (04) OD停在这里，提示“INT3”异常。我们使用[Shift+F9]忽略异常，并继续运行。
00D3E2BC    EB 01           JMP SHORT 00D3E2BF
00D3E2BE    6966 81 FE47467>IMUL ESP,DWORD PTR DS:[ESI-7F],744647FE
00D3E2C5    05 31C040EB     ADD EAX,EB40C031
00D3E2CA    0231            ADD DH,BYTE PTR DS:[ECX]
00D3E2CC    C031 DB         SAL BYTE PTR DS:[ECX],0DB                ; 移位常量超出 1..31 的范围
00D3E2CF    64:8F03         POP DWORD PTR FS:[EBX]
00D3E2D2    83C4 04         ADD ESP,4
00D3E2D5    EB 01           JMP SHORT 00D3E2D8
            .
            .
            .
00D3F004    0000            ADD BYTE PTR DS:[EAX],AL                 ; (05) OD停在这里，提示“内存访问”异常。我们使用[Shift+F9]忽略异常，并继续运行。
00D3F006    E8 33C05A59     CALL 5A2EB03E
00D3F00B    59              POP ECX
00D3F00C    64:8910         MOV DWORD PTR FS:[EAX],EDX
00D3F00F    EB 0F           JMP SHORT 00D3F020
00D3F011 ^ E9 523EFCFF     JMP 00D02E68
00D3F016    E8 A5FEFFFF     CALL 00D3EEC0
00D3F01B    E8 A441FCFF     CALL 00D031C4
00D3F020    A1 9C2BD400     MOV EAX,DWORD PTR DS:[D42B9C]
00D3F025    C600 CF         MOV BYTE PTR DS:[EAX],0CF
00D3F028    EB 7E           JMP SHORT 00D3F0A8
00D3F02A    E8 1D35FCFF     CALL 00D0254C
            .
            .
            .
00D3F382    0000            ADD BYTE PTR DS:[EAX],AL                 ; (06) OD停在这里，提示“内存访问”异常。我们使用[Shift+F9]忽略异常，并继续运行。
00D3F384    E8 33C05A59     CALL 5A2EB3BC
00D3F389    59              POP ECX
00D3F38A    64:8910         MOV DWORD PTR FS:[EAX],EDX
00D3F38D    EB 2F           JMP SHORT 00D3F3BE
00D3F38F ^ E9 D43AFCFF     JMP 00D02E68
00D3F394    8B45 F8         MOV EAX,DWORD PTR SS:[EBP-8]
00D3F397    50              PUSH EAX
00D3F398    8B45 FC         MOV EAX,DWORD PTR SS:[EBP-4]
00D3F39B    50              PUSH EAX
00D3F39C    A1 242BD400     MOV EAX,DWORD PTR DS:[D42B24]
00D3F3A1    8B00            MOV EAX,DWORD PTR DS:[EAX]
00D3F3A3    E8 B45DFFFF     CALL 00D3515C
            .
            .
            .
00D3E2BB    90              NOP                                      ; (07) OD停在这里，提示“INT3”异常。这里是最后一处异常，也是一处反调试的暗桩。这里不能使用[Shift+F9]去忽略异常，那样会使程序退出。这里我们应该单步[F8]直接走过去。
00D3E2BC    EB 01           JMP SHORT 00D3E2BF                       ; (08) 跳。
00D3E2BE    6966 81 FE47467>IMUL ESP,DWORD PTR DS:[ESI-7F],744647FE
00D3E2C5    05 31C040EB     ADD EAX,EB40C031
00D3E2CA    0231            ADD DH,BYTE PTR DS:[ECX]
00D3E2CC    C031 DB         SAL BYTE PTR DS:[ECX],0DB                ; 移位常量超出 1..31 的范围
00D3E2CF    64:8F03         POP DWORD PTR FS:[EBX]
00D3E2D2    83C4 04         ADD ESP,4
00D3E2D5    EB 01           JMP SHORT 00D3E2D8
            .
            .
            .
00D3E2BF    66:81FE 4746    CMP SI,4647                              ; (09) 跳到这里后，[F8]单步向下走。
00D3E2C4    74 05           JE SHORT 00D3E2CB                        ; (10) 跳。
00D3E2C6    31C0            XOR EAX,EAX
00D3E2C8    40              INC EAX
00D3E2C9    EB 02           JMP SHORT 00D3E2CD
00D3E2CB    31C0            XOR EAX,EAX                              ; (11) 跳到这里后，[F8]单步向下走。
00D3E2CD    31DB            XOR EBX,EBX
00D3E2CF    64:8F03         POP DWORD PTR FS:[EBX]
00D3E2D2    83C4 04         ADD ESP,4
00D3E2D5    EB 01           JMP SHORT 00D3E2D8                       ; (12) 跳。
            .
            .
            .
00D3E2D8    5F              POP EDI                                  ; (13) 跳到这里后，[F8]单步向下走。
00D3E2D9    5E              POP ESI
00D3E2DA    5B              POP EBX
00D3E2DB    C3              RETN                                     ; (14) 返回。
            .
            .
            .
00D3E48C    84C0            TEST AL,AL                               ; (15) 返回到这里，[F8]单步向下走。
00D3E48E    74 1B           JE SHORT 00D3E4AB
00D3E490    45              INC EBP
00D3E491    EB 18           JMP SHORT 00D3E4AB
00D3E493    8B45 F4         MOV EAX,DWORD PTR SS:[EBP-C]
00D3E496    8A00            MOV AL,BYTE PTR DS:[EAX]
00D3E498    84C0            TEST AL,AL
00D3E49A    74 04           JE SHORT 00D3E4A0
00D3E49C    3C 02           CMP AL,2
00D3E49E    75 0B           JNZ SHORT 00D3E4AB
00D3E4A0    8B5D F4         MOV EBX,DWORD PTR SS:[EBP-C]
00D3E4A3    FF53 FC         CALL DWORD PTR DS:[EBX-4]
00D3E4A6    84C0            TEST AL,AL
00D3E4A8    74 01           JE SHORT 00D3E4AB
00D3E4AA    45              INC EBP
00D3E4AB    33C0            XOR EAX,EAX
00D3E4AD    5A              POP EDX
00D3E4AE    59              POP ECX
00D3E4AF    59              POP ECX
00D3E4B0    64:8910         MOV DWORD PTR FS:[EAX],EDX
00D3E4B3    EB 2E           JMP SHORT 00D3E4E3
00D3E4B5 ^ E9 AE49FCFF     JMP 00D02E68
00D3E4BA    8D55 EC         LEA EDX,DWORD PTR SS:[EBP-14]
00D3E4BD    8B45 FC         MOV EAX,DWORD PTR SS:[EBP-4]
00D3E4C0    E8 E78BFCFF     CALL 00D070AC
00D3E4C5    8B4D EC         MOV ECX,DWORD PTR SS:[EBP-14]
00D3E4C8    8D45 F0         LEA EAX,DWORD PTR SS:[EBP-10]
00D3E4CB    BA 28E5D300     MOV EDX,0D3E528                          ; ASCII "90_"
00D3E4D0    E8 CB54FCFF     CALL 00D039A0
00D3E4D5    8B45 F0         MOV EAX,DWORD PTR SS:[EBP-10]
00D3E4D8    50              PUSH EAX
00D3E4D9    E8 F277FDFF     CALL 00D15CD0
00D3E4DE    E8 E14CFCFF     CALL 00D031C4
00D3E4E3    FF45 FC         INC DWORD PTR SS:[EBP-4]
00D3E4E6    8345 F4 08      ADD DWORD PTR SS:[EBP-C],8
00D3E4EA    837D FC 05      CMP DWORD PTR SS:[EBP-4],5
00D3E4EE ^ 0F85 71FFFFFF   JNZ 00D3E465                             ; (16) 这里是循环，可以不去重复跟。
00D3E4F4    33C0            XOR EAX,EAX                              ; (17) 直接[F4]执行到这里。
00D3E4F6    5A              POP EDX
00D3E4F7    59              POP ECX
00D3E4F8    59              POP ECX
00D3E4F9    64:8910         MOV DWORD PTR FS:[EAX],EDX
00D3E4FC    68 16E5D300     PUSH 0D3E516
00D3E501    8D45 EC         LEA EAX,DWORD PTR SS:[EBP-14]
00D3E504    BA 02000000     MOV EDX,2
00D3E509    E8 0E52FCFF     CALL 00D0371C
00D3E50E    C3              RETN                                     ; (18) 返回。
            .
            .
            .
00D3E516    5F              POP EDI                                  ; (19) 返回到这里，[F8]单步向下走。
00D3E517    5E              POP ESI
00D3E518    5B              POP EBX
00D3E519    8BE5            MOV ESP,EBP
00D3E51B    5D              POP EBP
00D3E51C    C3              RETN                                     ; (20) 返回。
            .
            .
            .
00D401AB    E8 CCF6FFFF     CALL 00D3F87C                            ; (21) 返回到这里，[F8]单步向下走。
00D401B0    A3 88B6D400     MOV DWORD PTR DS:[D4B688],EAX
00D401B5    E8 8EABFFFF     CALL 00D3AD48
00D401BA    E8 D55CFEFF     CALL 00D25E94
00D401BF    59              POP ECX
00D401C0    5A              POP EDX
00D401C1    5B              POP EBX
00D401C2    C3              RETN                                     ; (22) 返回。
            .
            .
            .
00D0ED08    68 1F8724DD     PUSH DD24871F                            ; (23) 返回到这里，[F8]单步向下走。
00D0ED0D    68 2C2A0000     PUSH 2A2C
00D0ED12    68 900A0200     PUSH 20A90
00D0ED17    68 C0200000     PUSH 20C0
00D0ED1C    68 44CC0000     PUSH 0CC44
00D0ED21    68 00F00400     PUSH 4F000
00D0ED26    FF35 D434D400   PUSH DWORD PTR DS:[D434D4]
00D0ED2C    E8 23D1FFFF     CALL 00D0BE54
00D0ED31    310424          XOR DWORD PTR SS:[ESP],EAX
00D0ED34    8B05 D434D400   MOV EAX,DWORD PTR DS:[D434D4]
00D0ED3A    010424          ADD DWORD PTR SS:[ESP],EAX
00D0ED3D    C3              RETN                                     ; (24) 返回。
00D0ED3E    C3              RETN
            .
            .
            .
00D401D8    68 E1288508     PUSH 88528E1                             ; (25) 返回到这里，[F8]单步向下走。
00D401DD    68 E0020000     PUSH 2E0
00D401E2    68 04590100     PUSH 15904
00D401E7    68 C4170000     PUSH 17C4
00D401EC    68 10EA0300     PUSH 3EA10
00D401F1    68 00F00400     PUSH 4F000
00D401F6    FF35 D434D400   PUSH DWORD PTR DS:[D434D4]
00D401FC    E8 01000000     CALL 00D40202                            ; (26) 这个CALL要[F7]单步步入。
00D40201    8183 C404E84A B>ADD DWORD PTR DS:[EBX+4AE804C4],E8FFFCBC
00D4020B    0100            ADD DWORD PTR DS:[EAX],EAX
00D4020D    0000            ADD BYTE PTR DS:[EAX],AL
00D4020F    8183 C4043104 2>ADD DWORD PTR DS:[EBX+43104C4],1E824
00D40219    0000            ADD BYTE PTR DS:[EAX],AL
00D4021B    68 83C4048B     PUSH 8B04C483
00D40220    05 D434D400     ADD EAX,0D434D4
00D40225    E8 02000000     CALL 00D4022C
00D4022A    E8 6883C404     CALL 05988597
00D4022F    010424          ADD DWORD PTR SS:[ESP],EAX
00D40232    C3              RETN
00D40233    C3              RETN
            .
            .
            .
00D40202    83C4 04         ADD ESP,4                                ; (27) 步入后来到这里。[F8]单步向下走。
00D40205    E8 4ABCFCFF     CALL 00D0BE54                            ; (28) [F8]单步步过。
00D4020A    E8 01000000     CALL 00D40210                            ; (29) 这个CALL要[F7]单步步入。
00D4020F    8183 C4043104 2>ADD DWORD PTR DS:[EBX+43104C4],1E824
00D40219    0000            ADD BYTE PTR DS:[EAX],AL
00D4021B    68 83C4048B     PUSH 8B04C483
00D40220    05 D434D400     ADD EAX,0D434D4
00D40225    E8 02000000     CALL 00D4022C
00D4022A    E8 6883C404     CALL 05988597
00D4022F    010424          ADD DWORD PTR SS:[ESP],EAX
00D40232    C3              RETN
00D40233    C3              RETN
            .
            .
            .
00D40210    83C4 04         ADD ESP,4                                ; (30) 步入后来到这里。[F8]单步向下走。
00D40213    310424          XOR DWORD PTR SS:[ESP],EAX
00D40216    E8 01000000     CALL 00D4021C                            ; (31) 这个CALL要[F7]单步步入。
00D4021B    68 83C4048B     PUSH 8B04C483
00D40220    05 D434D400     ADD EAX,0D434D4
00D40225    E8 02000000     CALL 00D4022C
00D4022A    E8 6883C404     CALL 05988597
00D4022F    010424          ADD DWORD PTR SS:[ESP],EAX
00D40232    C3              RETN
            .
            .
            .
00D4021C    83C4 04         ADD ESP,4                                ; (32) 步入后来到这里。[F8]单步向下走。
00D4021F    8B05 D434D400   MOV EAX,DWORD PTR DS:[D434D4]
00D40225    E8 02000000     CALL 00D4022C                            ; (33) 这个CALL要[F7]单步步入。
00D4022A    E8 6883C404     CALL 05988597
00D4022F    010424          ADD DWORD PTR SS:[ESP],EAX
00D40232    C3              RETN
00D40233    C3              RETN
            .
            .
            .
00D4022C    83C4 04         ADD ESP,4                                ; (34) 步入后来到这里。[F8]单步向下走。
00D4022F    010424          ADD DWORD PTR SS:[ESP],EAX
00D40232    C3              RETN                                     ; (35) 返回。
00D40233    C3              RETN
            .
            .
            .
00D3FADC    E8 E7FEFFFF     CALL 00D3F9C8                            ; (36) 返回到这里。这个CALL要[F7]单步步入。
00D3FAE1    C3              RETN
            .
            .
            .
00D3F9C8    53              PUSH EBX                                 ; (37) 步入后来到这里。[F8]单步向下走。
00D3F9C9    56              PUSH ESI
00D3F9CA    57              PUSH EDI
00D3F9CB    83C4 DC         ADD ESP,-24
00D3F9CE    A1 9C2BD400     MOV EAX,DWORD PTR DS:[D42B9C]
00D3F9D3    C600 DF         MOV BYTE PTR DS:[EAX],0DF
00D3F9D6    A1 50B6D400     MOV EAX,DWORD PTR DS:[D4B650]
00D3F9DB    894424 14       MOV DWORD PTR SS:[ESP+14],EAX
00D3F9DF    B8 34E8D300     MOV EAX,0D3E834
00D3F9E4    894424 18       MOV DWORD PTR SS:[ESP+18],EAX
00D3F9E8    BA C8F9D300     MOV EDX,0D3F9C8
00D3F9ED    2BD0            SUB EDX,EAX
00D3F9EF    895424 1C       MOV DWORD PTR SS:[ESP+1C],EDX
00D3F9F3    B8 40E6D300     MOV EAX,0D3E640
00D3F9F8    8B15 F02BD400   MOV EDX,DWORD PTR DS:[D42BF0]
00D3F9FE    8B12            MOV EDX,DWORD PTR DS:[EDX]
00D3FA00    2B02            SUB EAX,DWORD PTR DS:[EDX]
00D3FA02    894424 20       MOV DWORD PTR SS:[ESP+20],EAX
00D3FA06    EB 06           JMP SHORT 00D3FA0E
00D3FA08    FF25 C3EB01E8   JMP DWORD PTR DS:[E801EBC3]
00D3FA0E    68 A7E8D300     PUSH 0D3E8A7
00D3FA13    58              POP EAX
00D3FA14    40              INC EAX
00D3FA15    68 1DFAD300     PUSH 0D3FA1D
00D3FA1A    50              PUSH EAX
00D3FA1B ^ EB ED           JMP SHORT 00D3FA0A                       ; (38) 跳。