Armadillo CopyMem-ll+Debug-Blocker脱壳过程

作者: 飞舞的T恤

菜鸟手动脱Armadillo CopyMem-ll +Debug-Blocker壳全过程，超详细。。。
【使用工具】 Ollydbg,Loadpe,Imprec1.6F
【脱壳平台】 Win2K
【软件名称】 按键精灵3 V3.11
【加壳方式】 Armadillo 3.00a - 3.60 -> Silicon Realms Toolworks
【保护方式】 Armadillo CopyMem-ll +Debug-Blocker
--------------------------------------------------------------------------------
小弟第一次手动脱壳就碰上了Armadillo CopyMem-ll +Debug-Blocker难缠的东东，所以整理了一下两个星期来脱Armadillo CopyMem-ll +Debug-Blocker的全过程，希望能给第一次脱Armadillo CopyMem-ll +Debug-Blocker新手们一点帮助，始大家少走点弯路（我的弯路走了不少）。

小弟第一次脱壳，本来想从简单的壳开始学习的，可像什么upx、aspack等壳都有工具脱，弄的一点兴趣都没有了（本来脱壳就是想在朋友面前炫一下，有工具脱的壳当然没有挑战性了）。这时忽然发现N久（多久记不到了，反正刚出我就下了，一直没用）前放在咱电脑里的按键精灵3 v3.11，哈哈，小样就从你入手当我脱壳的入门学习吧。

用PEiD.exe一看是Armadillo的壳，运行程序发现进程里有两个按键精灵3.exe，哈哈Armadillo 双进程标准壳。在这之前我先看了weiyi75、fly、csjwaman等大大们的双进程标准壳的脱文。最过选择了照着weiyi75大大的脱文《爱的中体验之Armadillo3.x双进程之Mr.Captor》按步就搬的开脱了。主要是weiyi75[Dfcg]的脱文里的脱法简单易学，对我这个新手来说比较直观简便。

OD载入程序，插件自动隐藏OD,忽略所有异常。

00485000 按> $Content$nbsp; 60               pushad    //外壳入口
00485001    .  E8 00000000       call 按键精灵.00485006
00485006    $Content$nbsp; 5D                pop ebp
00485007    .  50                push eax
00485008    .  51                push ecx
00485009    .  EB 0F             jmp short 按键精灵.0048501A
.....................................................................

命令行下断点 BP OpenMutexA,F9运行。

中断

77E6C503 K>  55                  push ebp
77E6C504     8BEC                mov ebp,esp
77E6C506     51                  push ecx
77E6C507     51                  push ecx
77E6C508     837D 10 00          cmp dword ptr ss:[ebp+10],0
77E6C50C     56                  push esi
77E6C50D     0F84 4AB90200       je KERNEL32.77E97E5D
.....................................................................

堆栈内容

0012F574    0045C5F1  /CALL 到 OpenMutexA
0012F578    001F0001  |Access = 1F0001
0012F57C    00000000  |Inheritable = FALSE
0012F580    0012FBB4  \MutexName = "2A8:AC7B8F140"   //注意MutexName 这个地址 每个机器不同，以看到的为主。

找一块程序领空空地址，写入一些欺骗Arm的代码。

Ctrl+G 401000

00401000    0000            ADD BYTE PTR DS:[EAX],AL  //都是空地址。
00401002    0000            ADD BYTE PTR DS:[EAX],AL
00401004    0000            ADD BYTE PTR DS:[EAX],AL
00401006    0000            ADD BYTE PTR DS:[EAX],AL
00401008    0000            ADD BYTE PTR DS:[EAX],AL
0040100A    0000            ADD BYTE PTR DS:[EAX],AL
0040100C    0000            ADD BYTE PTR DS:[EAX],AL
0040100E    0000            ADD BYTE PTR DS:[EAX],AL

OD直接双击修改,填入以下代码。

00401000     60                  pushad
00401001     9C                  pushfd
00401002     68 B4FB1200         push 12FBB4                       ; ASCII "2A8:AC7B8F140"
00401007     33C0                xor eax,eax
00401009     50                  push eax
0040100A     50                  push eax
0040100B     E8 6D97A677         call KERNEL32.CreateMutexA
00401010     9D                  popfd
00401011     61                  popad
00401012   - E9 ECB4A677         jmp KERNEL32.OpenMutexA
............................................................

将当前的 Eip 77E6C503 切换到 401000 来。

点右键 选在此处新建 Eip ,看到Eip 变为 401000

F9运行。

中断

77E6C503 K>  55                  push ebp  //双击它或F2清除断点。
77E6C504     8BEC                mov ebp,esp
77E6C506     51                  push ecx
77E6C507     51                  push ecx
77E6C508     837D 10 00          cmp dword ptr ss:[ebp+10],0
77E6C50C     56                  push esi
77E6C50D     0F84 4AB90200       je KERNEL32.77E97E5D
............................................................

找 magic jmp 命令行下断点，bp GetModuleHandleA

77E63DFC K>  55                  push ebp  //F2去掉断点，右键改为硬件执行。
77E63DFD     8BEC                mov ebp,esp
77E63DFF     837D 08 00          cmp dword ptr ss:[ebp+8],0
77E63E03     74 18               je short KERNEL32.77E63E1D
77E63E05     FF75 08             push dword ptr ss:[ebp+8]
77E63E08     E8 87FFFFFF         call KERNEL32.77E63D94
77E63E0D     85C0                test eax,eax
77E63E0F     74 08               je short KERNEL32.77E63E19
77E63E11     FF70 04             push dword ptr ds:[eax+4]
77E63E14     E8 3F240000         call KERNEL32.GetModuleHandleW
77E63E19     5D                  pop ebp
77E63E1A     C2 0400             retn 4
........................................................................

F9运行,多次硬件中断,注意堆栈值。

7次F9提示一个非法指令错误，Shift+F9忽略。
0012BEF8    00B1C807  /CALL 到 GetModuleHandleA 来自 00B1C801
0012BEFC    00B2D6C8  \pModule = "kernel32.dll"
0012BF00    00B2E67C  ASCII "VirtualAlloc"

0012BEF8    00B1C824  /CALL 到 GetModuleHandleA 来自 00B1C81E
0012BEFC    00B2D6C8  \pModule = "kernel32.dll"
0012BF00    00B2E670  ASCII "VirtualFree"

9次F9提示一个非法指令错误，Shift+F9忽略。

堆栈内容

0012BC70    00B0799B  /CALL 到 GetModuleHandleA 来自 00B07995
0012BC74    0012BDAC  \pModule = "kernel32.dll"

点调试菜单，里面清除硬件断点。

Ctrl+F9 返回。

00B07995     FF15 C480B200       call dword ptr ds:[B280C4]        ; KERNEL32.GetModuleHandleA
00B0799B     8B0D E011B300       mov ecx,dword ptr ds:[B311E0]
00B079A1     89040E              mov dword ptr ds:[esi+ecx],eax
00B079A4     A1 E011B300         mov eax,dword ptr ds:[B311E0]
00B079A9     393C06              cmp dword ptr ds:[esi+eax],edi
00B079AC     75 16               jnz short 00B079C4
00B079AE     8D85 B4FEFFFF       lea eax,dword ptr ss:[ebp-14C]
00B079B4     50                  push eax
00B079B5     FF15 CC80B200       call dword ptr ds:[B280CC]        ; KERNEL32.LoadLibraryA
00B079BB     8B0D E011B300       mov ecx,dword ptr ds:[B311E0]
00B079C1     89040E              mov dword ptr ds:[esi+ecx],eax
00B079C4     A1 E011B300         mov eax,dword ptr ds:[B311E0]
00B079C9     393C06              cmp dword ptr ds:[esi+eax],edi
00B079CC     0F84 AD000000       je 00B07A7F    //这是文章中提到的magic jmp，我改。

改为

00B07995     FF15 C480B200       call dword ptr ds:[B280C4]        ; KERNEL32.GetModuleHandleA
00B0799B     8B0D E011B300       mov ecx,dword ptr ds:[B311E0]
00B079A1     89040E              mov dword ptr ds:[esi+ecx],eax
00B079A4     A1 E011B300         mov eax,dword ptr ds:[B311E0]
00B079A9     393C06              cmp dword ptr ds:[esi+eax],edi
00B079AC     75 16               jnz short 00B079C4
00B079AE     8D85 B4FEFFFF       lea eax,dword ptr ss:[ebp-14C]
00B079B4     50                  push eax
00B079B5     FF15 CC80B200       call dword ptr ds:[B280CC]        ; KERNEL32.LoadLibraryA
00B079BB     8B0D E011B300       mov ecx,dword ptr ds:[B311E0]
00B079C1     89040E              mov dword ptr ds:[esi+ecx],eax
00B079C4     A1 E011B300         mov eax,dword ptr ds:[B311E0]
00B079C9     393C06              cmp dword ptr ds:[esi+eax],edi
00B079CC     E9 AE000000         jmp 00B07A7F  //修改 （我试过改标志位Z）

.........................................................

清除所有断点。在401000段下内存断点,按F9

00B206B2     8B04B0              mov eax,dword ptr ds:[eax+esi*4]  //来到这里
00B206B5     3341 54             xor eax,dword ptr ds:[ecx+54]
00B206B8     8B0D 9455B300       mov ecx,dword ptr ds:[B35594]                 ; 按键精灵.00495260
00B206BE     3341 04             xor eax,dword ptr ds:[ecx+4]
00B206C1     8B0D 9455B300       mov ecx,dword ptr ds:[B35594]                 ; 按键精灵.00495260
00B206C7     3341 74             xor eax,dword ptr ds:[ecx+74]
00B206CA     8B0D 9455B300       mov ecx,dword ptr ds:[B35594]                 ; 按键精灵.00495260
00B206D0     3341 30             xor eax,dword ptr ds:[ecx+30]
00B206D3     8B0D 9455B300       mov ecx,dword ptr ds:[B35594]                 ; 按键精灵.00495260
00B206D9     3341 20             xor eax,dword ptr ds:[ecx+20]

提示被调试程序无法处理异常，Shift+F9忽略，game over程序退出。

天哪，我错在那里啦！我怎么就到不了“push ebp   //到达地球人都知道的位置”

想想第一次脱壳，没这么顺利也是正常的，那么我们在试试其他大大的方法，在后来三、四天里偶用了能找到的脱标准壳的方法来脱它，TMD没一个成功的，这期间每天晚上19点到1点，我都在学习研究各各armadillo标准壳的脱法，搞的每天上班没精神。还是没有一点收获，总不能半途而废吧？去论谈上问问各位大虾吧。。。

期间loveboom大大成给于提示说“可能不是标准双进程壳或是高版本的，所以你按双进程的来脱是不行的”可对于新手的我来说，说了等于白说，希望下次小弟提问时，各们大大能提供详细一点的资料。。。^_^

后来还多亏wangli_com大大的指点。。。

先找oep，在OD中重开程序，下bp WaitForDebugEvent，F9运行

77E7A6CF K>  55                  push ebp   //来到这里，F2清除断点
77E7A6D0     8BEC                mov ebp,esp
77E7A6D2     81EC 9C000000       sub esp,9C
77E7A6D8     53                  push ebx
77E7A6D9     56                  push esi
77E7A6DA     57                  push edi

看堆栈窗口

0012DA98    0046AD67  /CALL 到 WaitForDebugEvent 来自 按键精灵.0046AD61
0012DA9C    0012EB5C  |pDebugEvent = 0012EB5C
0012DAA0    000003E8  \Timeout = 1000. ms

在0012EB5C上下转存中跟随

在下bp WriteProcessMemory,F9运行

77E7ADB9 K>  55                  push ebp   //来到这里
77E7ADBA     8BEC                mov ebp,esp
77E7ADBC     51                  push ecx
77E7ADBD     51                  push ecx
77E7ADBE     8B45 0C             mov eax,dword ptr ss:[ebp+C]
77E7ADC1     53                  push ebx
77E7ADC2     8945 F8             mov dword ptr ss:[ebp-8],eax

看数据转存窗口

0012EB5C  01 00 00 00 68 03 00 00  ...h..
0012EB64  C4 00 00 00 01 00 00 80  ?....€
0012EB6C  00 00 00 00 00 00 00 00  ........
0012EB74  00 CC 43 00 02 00 00 00  .藽....  //大家看到没有43CC00就是OEP

再在OD中重开程序，下硬件断点：he WaitForDebugEvent，运行停住。回到壳空间，查找常数FFFFFFF8，得到结果：

0046B3D6   OR EAX, FFFFFFF8
0046B3F1   OR EDX, FFFFFFF8
0046B41A   OR ECX, FFFFFFF8
0046B8F0   OR EDX, FFFFFFF8
0046B90B   OR ECX, FFFFFFF8
0046B933   OR EAX, FFFFFFF8

在0046B3D6上双击，来到这代码处，朝上几行看：

0046B38A     83BD D0F5FFFF 00     cmp dword ptr ss:[ebp-A30],0  //这就是tDasm大侠文中提到的关键代码。

0046B391     0F8C A9020000        jl 按键精灵.0046B640
0046B397     8B8D D0F5FFFF        mov ecx,dword ptr ss:[ebp-A30]
0046B39D     3B0D E4B54900        cmp ecx,dword ptr ds:[49B5E4]
0046B3A3     0F8D 97020000        jge 按键精灵.0046B640
0046B3A9     8B95 44F6FFFF        mov edx,dword ptr ss:[ebp-9BC]
0046B3AF     81E2 FF000000        and edx,0FF
0046B3B5     85D2                 test edx,edx
0046B3B7     0F84 AD000000        je 按键精灵.0046B46A
0046B3BD     6A 00                push 0
0046B3BF     8BB5 D0F5FFFF        mov esi,dword ptr ss:[ebp-A30]
0046B3C5     C1E6 04              shl esi,4
0046B3C8     8B85 D0F5FFFF        mov eax,dword ptr ss:[ebp-A30]
0046B3CE     25 07000080          and eax,80000007
0046B3D3     79 05                jns short 按键精灵.0046B3DA
0046B3D5     48                   dec eax
0046B3D6     83C8 F8              or eax,FFFFFFF8               //断在这里向上看
0046B3D9     40                   inc eax
0046B3DA     33C9                 xor ecx,ecx
0046B3DC     8A88 809A4900        mov cl,byte ptr ds:[eax+499A80]
0046B3E2     8B95 D0F5FFFF        mov edx,dword ptr ss:[ebp-A30]
0046B3E8     81E2 07000080        and edx,80000007
0046B3EE     79 05                jns short 按键精灵.0046B3F5
0046B3F0     4A                   dec edx
0046B3F1     83CA F8              or edx,FFFFFFF8
0046B3F4     42                   inc edx
0046B3F5     33C0                 xor eax,eax
0046B3F7     8A82 819A4900        mov al,byte ptr ds:[edx+499A81]
0046B3FD     8B3C8D 60524900      mov edi,dword ptr ds:[ecx*4+495260]
0046B404     333C85 60524900      xor edi,dword ptr ds:[eax*4+495260]
0046B40B     8B8D D0F5FFFF        mov ecx,dword ptr ss:[ebp-A30]
0046B411     81E1 07000080        and ecx,80000007
0046B417     79 05                jns short 按键精灵.0046B41E
0046B419     49                   dec ecx
0046B41A     83C9 F8              or ecx,FFFFFFF8
0046B41D     41                   inc ecx
0046B41E     33D2                 xor edx,edx
0046B420     8A91 829A4900        mov dl,byte ptr ds:[ecx+499A82]
0046B426     333C95 60524900      xor edi,dword ptr ds:[edx*4+495260]
0046B42D     8B85 D0F5FFFF        mov eax,dword ptr ss:[ebp-A30]
0046B433     99                   cdq
0046B434     B9 1C000000          mov ecx,1C
0046B439     F7F9                 idiv ecx
0046B43B     8BCA                 mov ecx,edx
0046B43D     D3EF                 shr edi,cl
0046B43F     83E7 0F              and edi,0F
0046B442     03F7                 add esi,edi
0046B444     8B15 D4B54900        mov edx,dword ptr ds:[49B5D4]
0046B44A     8D04B2               lea eax,dword ptr ds:[edx+esi*4]
0046B44D     50                   push eax
0046B44E     8B8D D0F5FFFF        mov ecx,dword ptr ss:[ebp-A30]
0046B454     51                   push ecx
0046B455     E8 FF1F0000          call 按键精灵.0046D459
0046B45A     83C4 0C              add esp,0C
0046B45D     25 FF000000          and eax,0FF             《--- 修改此处
0046B462     85C0                 test eax,eax

在0046B38A处下一硬件执行断点，运行停住。 按照tDasm的方法，修改代码为：

0046B45D     FF05 48EB1200        inc dword ptr ds:[12EB48]
0046B463     C705 E8B54900 010000>mov dword ptr ds:[49B5E8],1
0046B46D   ^ E9 18FFFFFF          jmp 按键精灵.0046B38A

把12EB48处置0，去掉所有硬件断点，并在0046b640处下断，运行，停住。好，所有代码都强制解压完成。

运行LordPE,选择第2个进程(有2个同名进程)，即可完全dump出来了。

dump出来了还不能用啦，怎么办，修复IAT表，怎么修复wangli_com大大没说，查看其它大大的脱文大都是跳过magic jmp后用Imprec1.6f选择进程，填入Oep,自动搜索。我试我试，怎么不行找不到IAT数据。经过N次失败后，我都要对armadillo妥协了。。。

怎么办了，自己搞不定就去查资料啦，后来我在密界脱壳文集中找到了tDasm大大的原文〈Armadillo 3.6主程序脱壳〉〈Armadillo 3.6主程序IAT处理〉，照着方法又从脱了一遍非常顺利，当到了IAT处理的时候，tDasm大大文中提到的方法一时无法理解，照着做都会跟飞。
没办法继续找方法哎，当看到jwh51大大的《Armadillo COPYMEMEII之DUMP的一个LOADPE小插件》，我又照着脱了一遍，哈哈原来有这么方便的方法啦，跟tDasm大大的方法原理差不多，当步聚简单的多，新手脱不容易出错，强烈推荐。

在当我看到骨灰C姐姐的《实战Armadillo3.60 Original CopyMem-ll +Debug-Blocker -----UltraEdit》文章后，解开了困惑了我三、四天的IAT表修复问题（建议新手可以学习但最好不用骨灰C姐姐的脱壳方法，她的原理和tDasm、jwh51等大大的方法一样，但过程复杂，容易出错）

好言归正传，我们来修复IAT表。。。

我们用OD载入dump出来的文件，F8单步执行。

0043CC00 1>  55                  push ebp  //程序入口OEP
0043CC01     8BEC                mov ebp,esp
0043CC03     6A FF               push -1
0043CC05     68 189C4400         push 111.00449C18
0043CC0A     68 5ECD4300         push 111.0043CD5E
0043CC0F     64:A1 00000000      mov eax,dword ptr fs:[0]
0043CC15     50                  push eax
0043CC16     64:8925 00000000    mov dword ptr fs:[0],esp
0043CC1D     83EC 68             sub esp,68
0043CC20     53                  push ebx
0043CC21     56                  push esi
0043CC22     57                  push edi
0043CC23     8965 E8             mov dword ptr ss:[ebp-18],esp
0043CC26     33DB                xor ebx,ebx
0043CC28     895D FC             mov dword ptr ss:[ebp-4],ebx
0043CC2B     6A 02               push 2
0043CC2D     FF15 5C4B4400       call dword ptr ds:[444B5C]       //执行到这里我们的程序就飞了

OD重头来一遍，当执行到43CC2D，我们在数据窗口ctrl_G 444b5c是不是看到很多77之类的东西，哈哈，这就是IAT表的存放地，我们顺着向上看，来到数据窗口顶部地址444000就是IAT表的起始地址，我们拿笔记下。

在OD重新载入按键精灵3.exe，忽略所有异常，bp DebugActiveProcess，F9断下。看堆栈窗口：

0012DA9C    0046ABDB  /CALL 到 DebugActiveProcess 来自 按键精灵.0046ABD5
0012DAA0    000003CC  \ProcessId = 3CC   ―――＞子进程句柄

打开另一个OD附加3CC这个子进程。然后ALT＋F9返回程序

00485000 按>- EB FE               jmp short 按键精灵.<ModuleEntryPoint>   //断在这里
00485002     0000                add byte ptr ds:[eax],al
00485004     0000                add byte ptr ds:[eax],al
00485006     5D                  pop ebp
00485007     50                  push eax
00485008     51                  push ecx

还原代码，不然是死循环，还原开头两行二进制： 60 E8 为 60 E8

00485000 按>  60                  pushad
00485001     E8 00000000         call 按键精灵.00485006
00485006     5D                  pop ebp
00485007     50                  push eax
00485008     51                  push ecx

OK，BP OpenMutexA，F9后中断，不要清除断点，按照前面说的脱标准壳的方法来一遍，修改完magic jmp后，在直接按F9中断。
用Imprec1.6f选择进程3CC，填入OEP地址3CC00，填入RAV（出就是IAT地址）44000，不要按自动搜索IAT，直接按获取输入表，再按显示无效地址，剪掉修复抓取文件就OK了。