pe格式文件压缩工具：pecompact 1.8壳分析及多重smc解密方法

目标软件：PECompact

软件版本：1.80 Build 2

官方网站：http:www.CollakeSoftware.com/

软件授权：共享软件

操作系统：Win95/98/ME、WinNT/2000

软件简介：知名的PE格式文件压缩工具...

软件保护：PECompact壳保护

使用工具：TRW2000 v1.22 娃娃修改版

(主要用于调试分析)

LordPE Armageddon by y0da

(Dump & PE文件分析修改)

WinHEX v10.4 SR-3

(用于PE文件的16进制修改)

Hiew v6.70

(用于添加SMC代码)

Our Brain...:-)

关于本文：本文主要目的在于教学，研究PECompact壳的分析及多重SMC解密方法...请勿将此教程用于商业目的。Always Your Best Friend: FiNALSErAPH

水平有限，难免疏漏...

Any Question?

Mail To: FiNALSErAPH@yahoo.com.cn

2002-05-10

第1步：得到可正确执行的脱壳文件(其实只要DUMP就行，没必要可执行)

这一步比较简单，我就不详细叙述...详细过程可参看以前的文章。关于OEP可参看DiKeN的“快速找到PECompact加壳文件OEP”

第2步：分析脱壳后的文件，找到我们要修改的地方

这里比较有意思的是对于PE文件控件的屏蔽...

这是最近研究ViRiLiTY做的破解才注意到的。

对于解决日期限制问题就不多说了，比较简单。

pec1:004011E9callsub_40542F

pec1:004011EEmovds:dword_40D69D, eax

返回值是剩余的使用时间

修改方法是将0040542F的指令变为ret

pec1:0040542Fenter30h, 0

MOV b,[0040542F],0C3

对于显示Unregister! 我找到以下关键点：

pec1:004053A5pushoffset aUnregistered ; lpString

->"Unregistered!"

这里的代码要改为我们想保存自己姓名信息

的地址。(这个地址可稍后确定)

MOV d,[004053A6],????????

pec1:004053AApush434h; nIDDlgItem

pec1:004053AFpush[ebp hDlg]; hDlg

pec1:004053B2callSetDlgItemTextA

找到控件的属性值，做相应修改...这里主要依靠Unicode的特殊性加快速度

1)P.L.E.A.S.E. .R.E.G.I.S.T.E.R.!

注意前面最近的P(0x50)(文件偏移0x13017)，我想实际应该是0x50 02 00 00

是指这个控件的属性。根据查到的WINDOWS.INC知道WS_VISIBLE = 0x10 00 00 00。

所以将0x50 ->0x40将会使这个控件不可见

经过对脱壳文件的修改(我实际是动态调试的)，可以确定这个结论...

注意：这里为了做SMC补丁必须计算修改的地方位于内存的地址

使用LordPE查看SECTION：

VOffsetVSizeROffsetRSize

.src00014000000030000001240000002128

Memory Address = Imagebase 0x00014000 (0x00013017 - 0x00012400) = 0x00414C17

得到：MOV b,[00414C17],40

2)S.T.A.T.I.C

Memory Address = Imagebase 0x00014000 (0x000131EB - 0x00012400) = 0x00414DEB

得到：MOV b,[00414DEB],40

3)...这个特征不明显，我是根据R.e.s.t.r.a.t.i.o.n. .I.n.f.o.m.a.t.i.o.n

相对位置推的。准确定位我还不会...:)

Memory Address = Imagebase 0x00014000 (0x000132D7 - 0x00012400) = 0x00414ED7

得到：MOV b,[00414ED7],40

第3步：在即将进入OEP前的地方加上自己的补丁代码

即将转入OEP的代码，可是直接在PECOMPACT.EXE里找不到哦...:)(多重的...)

00441551 6800E04300PUSHDWORD 0043E000

00441556 C204RET04

BPM 00441551...看看这里的代码是什么时候放进来的

0044119E F3A5REPMOVSD

执行完后就...不用想了，追ESI->...查到004425FC是这段代码。接着下BPM 004425FC

这里具体怎么传数据我倒不用管(我可以在传输完整片数据后补)，F12到了以下

片段：

004442AF 5DPOPEBP

004442B0 2B7D0CSUBEDI, [EBP 0C]

004442B3 8BC7MOVEAX, EDI

004442B5 C9LEAVE

004442B6 C208RET08

注意：这里你会发现所处位置"PECOMPACT!.rsrc"...而且底下一片0000...000

呵呵，还不偷着乐?

00441551 6800E04300PUSHDWORD 0043E000

我要改这条指令，转向我要补的修改代码

留些余地，暂时改为JMP 004442D0(E97A2D0000)

最后可修正为JMP 004442C3(E96D2D0000)

00441556 C204RET04

004442AF 5DPOPEBP

004442B0 2B7D0CSUBEDI, [EBP 0C]

004442B3 8BC7MOVEAX, EDI

MOV d,[00441551],002D7AE9

MOV b,[00441555],00 ->本无必要，但...我在修

改1.68版时发现这里移的数据在后面会加上ImageBase

所以要进行修正(因为会是个负数，所以这里要留着)

呵呵，这个版本还方便些...不过知道思想就好

004442B5 C9LEAVE

004442B6 C208RET08

小结一下修改的代码

004442B5MOVd,[00441551],002D6DE9

004442BFLEAVE

004442C0RET08

004442C3MOVb,[00414C17],40

004442CAMOVb,[00414DEB],40

004442D1MOVb,[00414ED7],40

004442D8MOVb,[0040542F],C3

004442DFMOVd,[004053A6],00444300

位于文件偏移12900处，写上大名啊

004442E9PUSH0043E000

004442EERET04

呵呵，拙文...是分析ViRiLiTY的解密文件整理而成的。One Lamer more...:)

谨以此文献给茁壮成长的iPB(inside Pandora’s Box - 原OCG)...

Personal Greeting To: [AFO] [CCG] [BCG] Members & All My Friends