《逆向工程核心原理》20章内嵌补丁

《逆向工程核心原理》20章内嵌补丁

内嵌补丁存在的原因

由于一些程序（运行时解压缩、加密文件）需要打补丁时，难以修改指定的代码

为了修改它们， 插入额外的“洞穴代码” （程序运行同时运行这个额外代码）， 来达到打补丁的效果

原理图：

书中示例的patchme程序

确定

调试分析

EP：

10E9是输出对话框的函数，跟进看看

同样跟进里面的call……9B函数

发现三个用于解码循环语句

是一个解密代码（A3~AD）

对4010f5 ~ 4010f5+154(40f1248) 的区域进行 xor 44 解密

第二个解码

401007 ~ 401085 区域的代码 进行 xor 44 操作

第三个解码

对 4010f5 ~ 4010f5+154(40f1248) 区域 xor 11解码

所以到这里就看出来 f5 ~ 1248 区域的代码是经过双重加密的

加密之后return到call下一条指令（B5 push eax）

接着调试进入到call……1039函数

看到又有一个循环，但这个并不是解码循环，而是 验证刚才 4010f5 ~ 40f1248 中的内容是否被修改 的代码 ：

eax 是 4010f5 ，mov 到 ebx 中，ebx = 4010f5 ，ecx 再赋值154，这就代表刚才的区域

add指令从 ebx （4010f5）地址中以四个字节读值，再将累加的结果保存到edx中

之后调试到这里

判断刚才用于验证的edx值是否等于上面的值，查看edx寄存器，没有修改字符串显然相等

之后jump到 1083 的位置再 jump 到OEP，用来运行对话框的

有一个关键函数，程序向其中传入了四个参数

INT_PTR DialogBoxParamA(
  HINSTANCE hInstance,
  LPCSTR    lpTemplateName,
  HWND      hWndParent,
  DLGPROC   lpDialogFunc,     //解码对话框程序什么什么玩意
  LPARAM    dwInitParam
);

所以push ……4010f5 是第四个参数，转到10f5，再往下看一些

显然经过刚才的过程，已经解码完毕

这便是我们要修改的字符串位置：

40110A
401123

进行内嵌补丁的操作

补丁设置的位置要求

• 文件的空白区域（补丁较少时）
• 扩展到节区后的部分
• 添加新节区存放”洞穴代码“

进行内嵌代码

通过了解上面的知识，在401280的后面添加洞穴代码：

copy书上的洞穴代码（ctrl+E 编辑)：

注意：修改A8后发现多了一堆指令，不用理会，那不是代码而代表着字符串ReverseCore.Unpacked

修改文件：

在本将跳转到OEP的代码处，将 JMP 40121E 更改为 JMP 401280（洞穴）；

但这样是不行的，因为这里的区域属于 ”A区“ （会进行解密（xor 7）的区域），我们修改的是加密后的指令，所以要将它加密回去：

E9 ^ 7 = EE
F8 ^ 7 = FF
01 ^ 7 = 06

不知道为什么不修改为加密前的指令也可以运行

到这里就成功了

但是我自己产生了几个无厘头的问题：

1. od怎样保存修改后的文件？
2. 还在调试的过程中想要将文件用HexEdior修改怎么办？