0

これは、exeを分解する方法を理解しようとしている4日目です。

まだ運がないので、ファイルを実行した直後にデバッガー エラーが発生します。OllyDBG を使用していますが、ファイルが圧縮されているか、大量のデータが含まれているようです。デバッグ保護のためだと思いますが、動作しません。

私はアセンブリを学ぼうとしていますが、これはアプリケーションのテストを改善するための「新しいレベル」の達成です。私が変更したいのは、ファイルexe内の1つのテキストを別のテキストにすることだけです。したがって、これは 1 つの変数の変更です。その中の単純な数字の変更でも満足できます。方法を知りたいだけです。

このファイルは、開いた後に他のexeを実行しますが、これは私が触れたり編集したりしたいものではありません。

ファイルを開く方法は次のとおりです。

00401000 >/$ 68 01504400    PUSH tryme.00445001
00401005  |. E8 01000000    CALL tryme.0040100B
0040100A  \. C3             RETN
0040100B   $ C3             RETN
0040100C     A9             DB A9
0040100D     FE             DB FE
0040100E     39             DB 39                                    ;  CHAR '9'
0040100F     B1             DB B1
00401010     30             DB 30                                    ;  CHAR '0'
00401011     D8             DB D8
00401012     BB             DB BB
00401013     A6             DB A6
00401014     45             DB 45                                    ;  CHAR 'E'
00401015     23             DB 23                                    ;  CHAR '#'
00401016     92             DB 92
00401017     AC             DB AC
00401018     3D             DB 3D                                    ;  CHAR '='
00401019     B3             DB B3
0040101A     9C             DB 9C
0040101B     8C             DB 8C
0040101C     90             NOP
0040101D     0E             DB 0E
0040101E     26             DB 26                                    ;  CHAR '&'
0040101F     3B             DB 3B                                    ;  CHAR ';'
00401020     D3             DB D3
00401021     48             DB 48                                    ;  CHAR 'H'
00401022     49             DB 49                                    ;  CHAR 'I'
00401023     70             DB 70                                    ;  CHAR 'p'
00401024     88             DB 88
00401025     07             DB 07
00401026     78             DB 78                                    ;  CHAR 'x'
00401027     36             DB 36                                    ;  CHAR '6'
00401028     7C             DB 7C                                    ;  CHAR '|'
00401029     88             DB 88

この下には多くの DB 呼び出しがあります。1 つおきの RETN にブレークポイントを設定しようとしましたが、呼び出されません。この種のexeファイルを処理する方法を教えてください。

お時間をいただきありがとうございます。

4

1 に答える 1

4

udis86 逆アセンブラ ライブラリには、 と呼ばれる非常に便利で便利な逆アセンブラがありudcliます。

たとえば、あなたのコードを理解するために私がしたこと:

まず、すべての 16 進コード バイトを ASCII ファイルにコピーします。OllyDbg の出力をコピーしてから、バイナリ コード以外のすべてを Vim で切り取った結果、次のようなテキスト ファイルが作成されました (たとえばhexcode.txt)。

68 01 50 44 00 E8 01 00 00 00 C3 C3 A9 FE 39 B1 30 D8 BB A6 45 23 92 AC 3D B3 9C 8C 90 0E 26 3B D3 48 49 70 88 07 78 36 7C 88

次に、これが 16 ビット、32 ビット、または 64 ビットの Intel コードであるかどうか疑問に思います... 通常、コードが奇妙に見えるかどうかを確認して感じることができます。その場合、プロセッサが間違っているか、プロセッサ モードが間違っているか、コードが暗号化されている可能性があります。または、コードではなくデータである可能性があります。

16ビットコードかどうか試してみましょう:

Linux コンソールで、$ cat hexcode.txt | udcli -x -16

0000000000000000 680150           push word 0x5001        
0000000000000003 44               inc sp                  
0000000000000004 00e8             add al, ch              
0000000000000006 0100             add [bx+si], ax         
0000000000000008 0000             add [bx+si], al         
000000000000000a c3               ret                     
000000000000000b c3               ret                     
000000000000000c a9fe39           test ax, 0x39fe         
000000000000000f b130             mov cl, 0x30            
0000000000000011 d8bba645         fdivr dword [bp+di+0x45a6]
0000000000000015 2392ac3d         and dx, [bp+si+0x3dac]  
0000000000000019 b39c             mov bl, 0x9c            
000000000000001b 8c900e26         mov [bx+si+0x260e], ss  
000000000000001f 3bd3             cmp dx, bx              
0000000000000021 48               dec ax                  
0000000000000022 49               dec cx                  
0000000000000023 7088             jo 0xffffffffffffffad   
0000000000000025 07               pop es                  
0000000000000026 7836             js 0x5e                 
0000000000000028 7c88             jl 0xffffffffffffffb2

うーん。すでに最初inc spに、非常に奇妙な指示。結論: 16 ビット コードではありません。

多分それは32ビットコードですか？

$ cat hexcode.txt | udcli -x -32

0000000000000000 6801504400       push dword 0x445001     
0000000000000005 e801000000       call dword 0xb          
000000000000000a c3               ret                     
000000000000000b c3               ret                     
000000000000000c a9fe39b130       test eax, 0x30b139fe    
0000000000000011 d8bba6452392     fdivr dword [ebx+0x922345a6]
0000000000000017 ac               lodsb                   
0000000000000018 3db39c8c90       cmp eax, 0x908c9cb3     
000000000000001d 0e               push cs                 
000000000000001e 263bd3           cmp edx, ebx            
0000000000000021 48               dec eax                 
0000000000000022 49               dec ecx                 
0000000000000023 7088             jo 0xffffffffffffffad   
0000000000000025 07               pop es                  
0000000000000026 7836             js 0x5e                 
0000000000000028 7c88             jl 0xffffffffffffffb2

これはもう良く見えます。まず、ブレークポイントを に設定できます0x445001。これはadwordの直前にプッシュされるため、実際にはafterがスタックから値をポップしてにジャンプする可能性があります。一方、コードを難読化する意図がある場合は、 with で呼び出された関数がスタックにプッシュされた値を変更する可能性があるため、 afterではなく別の場所にジャンプします。が格納されているスタックアドレスに別のブレークポイントを設定します。関数呼び出しが値を指す前に、そこにブレークポイントを設定します。関数内でも設定できますが、その場合アドレスはcall dword 0xbretretcall 0xb0x445001cs:0x445001call dword 0xb0x445001retcall dword 0xb0x4450010x445001call dword 0xb [ss:esp]0x445001[ss:esp+4]（[ss:esp]返信先住所を保持します）。したがって、最初にこれら 2 つのブレークポイントを設定してから、call dword 0xb関数内でシングル ステップでコードをトレースします。

最後に、これが 64 ビット コードの場合はどうでしょうか。

$ cat hexcode.txt | udcli -x -64

0000000000000000 6801504400       push dword 0x445001     
0000000000000005 e801000000       call dword 0xb          
000000000000000a c3               ret                     
000000000000000b c3               ret                     
000000000000000c a9fe39b130       test eax, 0x30b139fe    
0000000000000011 d8bba6452392     fdivr dword [rbx-0x6ddcba5a]
0000000000000017 ac               lodsb                   
0000000000000018 3db39c8c90       cmp eax, 0x908c9cb3     
000000000000001d 0e               invalid                 
000000000000001e 263bd3           cmp edx, ebx            
0000000000000021 48497088         jo 0xffffffffffffffad   
0000000000000025 07               invalid                 
0000000000000026 7836             js 0x5e                 
0000000000000028 7c88             jl 0xffffffffffffffb2

32 ビット コードと同じ方法で開始しますが、後で無効な命令があるため、おそらく 64 ビット コードではない (コードが無効なオペコード例外ハンドラーをフックしない限りint 6) か、そのコードを決して実行しません。

于 2013-01-23T01:59:11.033 に答える