第55章-EXECryptor v2.2.50.a脱壳-Part21

第五十四章-ExeCryptor v2.2.50.a-Part2

本章我们将编写一个脚本来修复 ExeCryptor 的 IAT。可能很多童鞋一听到脚本这个词就有一种头皮发麻的感觉。(嘿嘿),因为一

般来说人家编写好的脚本通常都比较长,看起来非常复杂的样子,当然会感觉到头皮发麻撒。但是我这里换一种方法,我不是直接拿

一个现成的脚本给大家,而是带着大家从零开始编写这个脚本,逐步添砖加瓦,这样大家接受起来就容易的多。

我的想法很简单,就是遍历 IAT,看哪一个 IAT项被重定向了,如果被重定向了的话,就修复之,我们首先来构建这个脚本的基本框架。

首先我们要定义一个变量,用它来作为 IAT 项的指针。

var table

首先我们将 IAT 的起始地址保存到该 table 变量中

mov table,460818

log table

end

ToSkip:

add table,4

jmp start

这是一个基本框架-遍历 IAT 中的每一项,依次判断 IAT 项中的值是否大于 50000000(一般来说大于 50000000 的话,就属于是 DLL

中的地址,即为正常的 API 函数地址,没有被重定向)如果大于 50000000 的话,就直接跳过该项,继续遍历下一项。

如果是小于等于 50000000 的话,说明是被重定向过的,则进行下面的操作:

----------------------------------------------------------------------------------------------------------------------------------------------------------------------

var table

mov table,460818

start:

cmp [table],50000000

ja ToSkip

log table

ret

ToSkip:

add table,4

我们可以看到这次没有报错,并且第一个重定向的 IAT 项的地址成功被记录到日志中了。

----------------------------------------------------------------------------------------------------------------------------------------------------------------------

var table

var content

mov table,460818

start:

cmp [table],50000000

ja ToSkip:

log table

mov content,[table]

log content

ret

我们可以看到执行完该脚本以后,日志中记录了 460818 这个 IAT 项中的值为 47FCA8,接下来我们需要将 ret 命令去掉,循环遍历所

有项。不知道大家知不知道其实 ODbgScript 这个插件是可以对脚本进行单步跟踪的,以便脚本出错的时候方便我们调试。我们来

看一看这个功能如何使用:

这里我们可以看到单步跟踪的快捷键为 S,给指定行设置断点的快捷键为 F2,有了这两个命令就足够我们对脚本进行跟踪排错了。