原文地址：

http://bbs.pediy.com/showthread.php?t=155381

1、 分析环境
硬件：CPU: Pentium(R) Dual-Core CPU  E5300@2.60GHZ  ,内存： 2G
    操作系统:  Microsoft Windows XP Professional 2002  Service Pack 3
    分析的软件：威步CodeMeter保护的WupiCalculator.exe。
    分析工具：
OllyICE v1.10[汉化第二版]，LordPE(LordPE Deluxe by youda),
Import REConstructor v1.7c，ResHacker V3.5,UltraEdit v 9.0.1.0，
CFFExplorer v7.2.0.1
2、 待分析程序
分析程序WupiCalculator.exe，程序的默认安装路径为
“C:\Documents and Settings\All Users\Documents\WIBU-SYSTEMS\Software Protection\C++\WupiCalculatorIndex\Protected\CodeMeter\WupiCalculator.exe”，该程序通过AxProtector和Ixprotector来进行保护。
AxProtector版本为8.0。
加密时采用的工程文件的默认安装路径为：C:\Documents and Settings\All Users\Documents\WIBU-SYSTEMS\Software Protection\C++\WupiCalculatorIndex\WupiCalculator-CodeMeter.WibuAxProject，该工程文件的主要的保护选项设置如图1，图2，图3，图4所示：

图 1

图 2


图 3


图 4





3、 分析过程
1. 保护前后程序的区段结构对比
原始程序的区段如图5所示。

图 5
被保护后程序的区段如图6所示。

图 6
2. 寻找OEP

程序用OD载入后报错，换了几个版本的OD均报错,报错的情况如图7所示。



图 7

     用LordPE查看PE结构，没有发现异常。
     用CFFExplorer查看PE文件结构，发现数据目录不能正常显示，原来被保护后的PE文件中的IMAGE_OPTIONAL_HEADER中的NumberofRvaAndSizes字段，修改为2200C4E7，如图8所示，该字段表示数据目录的项数，这个字段从WindowsNT发布以来一直是16，用CFFExplorer把这个字段修改为0x10，如图9所示。然后进行保存。
此时保存后的文件可以用OD打开。



图 8


图 9

直接运行修改后的程序报错，如图10所示，应该是有自校验功能。

图 10

    用OD打开程序后，用HideOD插件将该插件提供的所有选项选中，然后重新启动程序，采用单步跟踪的方法，，在005186A3处的代码修改为jmp，如图11所示。


图 11

    继续跟踪来到0051873A处，将代码修改为jmp，如图12所示。

图 12

    直接运行，如图13所示。



图 13

    单击确定后继续运行出错，如图14所示。




图 14



    重新载入，单步跟踪来到005139DC处，修改为jmp。


图 15

    后台检测功能会开新线程，为了避免在CreatehThread处下段点会被检测到，因此在call CreateRemoteThread处下断点，如图16所示。


图 16


    继续运行中断后，堆栈数据如图17所示。



图 17


    来到地址00514DC0处，005CCCBC地址存放校验值，将005CCCBC地址处的值修改为800000，如图18所示，这样可以跳过校验。


图 18
    在OD中利用"Alt+M"打开内存映射，在区段__wibu00处下断点，如图19所示，下段后的结果如图20所示。


图 19

图 20

    直接运行来到OEP处，如图21所示。


图 21

    用lordpe完整转存，如图22所示，名称为dump.exe


图 22


3. 修复IAT
    用Import Rec附加到WupiCalculator.exe进程，OEP处填入0002096B，依次单击AutoSearch和GetImports按钮，获取到的IAT如图23所示，从图中可以看出部分IAT被加密了。





图 23

    重新载入程序，在地址0043B000处下硬件访问断点，如图24所示。


图 24

    在硬件断点第二次中断后，数据窗口的数据如图25所示。

图 25

    此时的EIP为0052A575，此地址的函数开头地址为00529FB0。
    重新载入程序，在00529Fb0处下断点，分析IAT的处理过程。经过多次调试后，找到处理IAT加密的地方。
    将0052A525处修改为jmp，禁止该处断点后，继续运行，如图26所示。


    在地址0052A8BB处会将空的数据修改为005160B0，将0052A8B9处修改为jmp，如图27所示，此时已经避开IAT加密。


图 26


图 27


    在函数的末尾0052A905处下断点，如图28所示。运行到此处时，还原图26和27处的magic jmp的修改，并去掉0052A905的断点。
    注：修复输入表完毕后需要恢复修复IAT部分的代码中的断点，否则会被后面的自校验检测到。


图 28

    继续在内存镜像的第一个区段处下断点，来到OEP处，用Import  Rec获取输入表，如图29所示。单击Fix Dump按钮来修复脱壳后的数据。


图 29




4. 修复代码替换

运行修复输入表后的程序会出错，如图30所示。


图 30

运行出错地址。
00509E95   .  8B46 4C       mov     eax, dword ptr [esi+4C]

    通过跟踪加壳后的程序和脱壳后的程序，出错的地方为0040101078，如图31所示。
通过反复跟踪加壳后的程序，壳代码中自己实现了GetProcAddress函数，此处为对InitCommonCtrolsEx的调用，分析其他调用输入表函数的地方，没有进行替换，只替换了此处。可以将00401077和00401078处的汇编语句先用NOP填充，然后修改为
call    dword ptr [43B028],
修改后用OD保存修改，文件名称为dumped_fixcode.exe。


图 31


图 32






5. 修复加密的资源
    运行程序继续出错。
    通过单步跟踪的方法来对比加壳后的程序和脱壳后的程序，来到地址00407768处，如图33所示。
    加壳后程序对话框资源0x66的的内存地址为00C0A6F0，如图34所示，脱壳后的程序的对话框资源地址为004DC620，如图35所示，该地址处的数据为加密后的资源数据。



图 33



图 34


图 35

    用LordPE查看加壳后程序的对话框102资源大小为0x66E，如图36所示。

图 36

用解密后的数据替换加密后的数据。
用LordPe部分转存加壳后程序内存中的102对话框的资源数据，如图37所示。将转存的数据保存为102dlg.dmp



图 37

脱壳后程序的对话框资源102的文件偏移为0x00DC620,大小为0x66E，如图38所示。


图 38

    用UltraEdit打开102dlg.dmp和脱壳后的程序，用102dlg.dmp中的数据替换掉脱壳后的程序从偏移0x00DC620到偏移0x000DCC8D处的数据，将脱壳后的程序保存为dumped_fixcode_fixres.exe。

    此时可以用ResHacker打开修复好资源对话框102资源的程序，可以正确查看对话框资源，如图39所示。

图 39



附注：bp  FindResourceW [esp + C]==05寻找对话框的Handle，LoadResource后就会返回对话框资源在内存中的位置。其他的资源可以利用上面的方法进行修复。


6. 处理浮点数错误
    运行修复资源后的程序，报浮点数错误，如图40所示。

    R6002错误原因：程序启动阶段___tmainCRTStartup函数中调用了__cinit函数，在这个函数的第一个判断是校验浮点运算初始化函数指针所处的section是否为可写，如果可写的话就跳过浮点运算初始化函数。该函数指针一般位于.rdata段。脱壳后程序的区段如图41所示，此处段名称修改为__wibu01。修改__wibu01区段的标志，将可写属性去掉，如图42所示，保存可执行文件。

图 40

图 41



图 42
    运行可执行文件继续报错，如图43所示。此时可以用upx壳压缩一下，这里利用CFFExplorer自带的upx工具，如图44所示，文件保存为dumped_fixcode_fixres_upx.exe。由UPX临时将__wibu01区段改为可写，压缩后的程序可以正常运行，如图45所示。但是单击On按钮后程序会直接退出。


图 43


图 44



图 45

7. 处理按钮的代码
    下面继续用OD调试用UPX加壳后的程序。
    载入dumped_fixcode_fixres_upx.exe，停在EP处，单步跟踪来到00616591，如图46所示。
在OD的命令行插件处下hr esp断点，如图47所示。单击运行程序会中断在006166F3处，此时取消硬件断点，在00616700处下断点，执行完该语句会停在OEP处，如图48所示。


图 46


图 47



图 48


    查找On按钮的处理事件的方法；采用查找特征码的方法，在OD中快捷键"Ctrl+S"调出查找命令序列，在其中输入"call            dword ptr [ebp+14]"，如图49所示。


图 49

    在所有查找到的地方采用F2快捷键下断点。如图50所示(部分截图)。


图 50


    单击On按钮后，程序中断在00407AEB处，在此处跟进，即为On按钮的代码。可以同时单步跟踪加壳后的程序和此处的程序，找到处理license等和加密锁相关的函数。

    将dumped_fixcode_fixres.exe程序中的__wibu01区段的可写属性加上，然后用OD载入，并修改On按钮处钮处理license相关的调用全部修改为Nop，并且修改相关的跳转。下面图中为一系列的修改，这个可以根据调试加壳后程序的运行情况来修改。



图 51



图 52




图 53

图 54

图 55


图 56


图 57

图 58

图 59


图 60

图 61


图 62


    保存后dumped_fixcode_fixres_on.exe，修改__wibu01的节属性后采用upx加壳，运行效果如图63所示。


图 63



    处理+按钮的代码，去掉license和修改相关跳转，对加壳后的程序调试过程中得到加密后的代码，直接粘贴到脱壳后的程序里面去。
    +按钮的代码地址为0x00402CE0,给dumped_fixcode_fixres_on.exe区段__wibu01的添加可写属性后继续用OD进行修改，修改如下面一系列图表示所示。

图 64


图 65


图 66


图 67


图 68


图 69


图 70

    通过调试可知地址00402B50处的代码运行时解密，运行后加密。


图 71
    将文件保存为dumped_fixcode_fixres_on_+.exe。

    继续跟踪加壳后的程序，地址00402D4E处下断点后，用LordPE部分转存地址00402B50，大小为16A的代码部分的数据，如图72所示，保存为00402b50.dmp。

图 72

    用UltraEdit 修改dumped_fixcode_fixres_on_+.exe程序的代码，地址偏移为00002B50,如图73所示，大小为16A，结束偏移为00002CBA，采用00402b50.dmp的代码替换。


图 73
    =按钮的代码地址为00403050，之前的00402B50的地址处的代码已经解密。
用OD打开dumped_fixcode_fixres_on_+.exe，继续处理=按钮的代码


图 74
  


图 75



图 76
xx
图 77


图 78


图 79

修改完后可以将程序保存为dumped_fixcode_fixres_on_+=.exe，修改__wibu01区段标志后，继续用upx加壳后保存为dumped_fixcode_fixres_on_+=upx.exe。
现在就可以拔掉加密锁，无限制使用加法运算了。其他的算法如减法，乘法等可以采用相同的方法来去掉，实现完整破解。

四：总结
优点：
AxProtector和Ixprotector两种方式保护后的程序可以使程序的授权粒度细化到函数级别，修改数据目录项会使OD载入程序出错，反调试部分会对函数下断点及部分代码下断点的情况进行检查，资源加密，代码替换，浮点运算给分析过程带来不少的麻烦，函数运行时解密，运行后加密的方式，需要对加密后的函数一个一个进行转储，增加了分析的时间。
在没有加密锁的情况下无法进行脱壳。
缺点：
HideOD插件可以屏蔽一部分反调试手段，没有进行检查。
相对于基于代码移植的保护，CodeMeter这种基于授权的保护方式，无论在软件层面使用什么样的保护方法，代码总会在PC机的内存中出现，让分析人员有机可乘。

本文链接：https://my.lmcjl.com/post/7489.html