《从零开始学IDA逆向》学习笔记-16(Aspack脱壳)

puahad 和 popad#

加壳程序：unpackme.aspack.2.2，可从互联网上搜索。

ida 打开，手动加载程序，取消勾选创建输入段。

加壳程序入口

上图中，第一条指令是pushad，pushad会把所有通用寄存器的值传到栈上。

pushad按如下顺序将所有寄存器的值保存到栈上。

pushad 传值顺序

popad是和pushad相反的操作，它将栈中的值传出，按如下顺序保存到寄存器。

在大部分简单的壳中，使用了pushad指令将寄存器的初始状态保存，然后再跳转到OEP执行内存中的原始代码之前使用POPAD恢复寄存器的初始状态。
根据这条规律，可以通过pushad-popad法来轻松找到OEP。

使用 idapython 进行调试#

什么是pushad-popad法呢？

使用调试器来运行程序，运行调试器有两种方式，第一种通过菜单栏-调试器-选择调试器，选择local windows debugger，第二种方式是使用 python 来运行调试器，这次选用第二种方式运行调试器。

1、通过import idc导入 idc 模块，输入idc.load然后按 tab 键补全，找到idc.load_debugger，参数为idc.load_debugger("win32",0) //1为远程调试，返回 True，代表执行成功。

载入 load_debugger 并设置参数

此时已加载了local windows debugger。

在 pusha 之后设置断点

pusha 之后设置断点

pushad-popad法是在执行 pushad 后一条指令之前，找到栈上保存寄存器值的位置，然后在该位置设置一个断点，在程序解密出原始代码之后跳转到 OEP 执行之前会通过 popad 恢复寄存器的初始值，然后触发该断点暂停执行，从而确定 OEP 的位置。

按 F2 键在 pusha 的下一条指令上设置断点，那么执行 pusha 后调试会暂停下来。（pusha 类似于 pushad）

如果使用 python 来设置断点，可以使用如下语句：

idaapi.add_bpt(0x46b002,0,idc.BPT_SOFT)
idaapi.add_bpt(0x46b002,0,0)

第一个参数是断点地址
第二个参数是断点的长度
第三个参数是断点的类型（软件断点 BPT_SOFT 或 0）

选择了调试器并且设置了第一处断点后，现在需要启动调试器运行程序然后暂停在该断点上，按 F9 键或者使用 python 语句运行程序。

idc.StartDebugger("","","");

在高版本（ida 7.7）中，上述命令报错，需要使用下述命令。

idc.start_process("","","")

执行上述语句后，调试器会运行到之前设置的断点处，也就是0x46b002处。

运行到断点0x46b002

下图中，栈视图中的值就是 pushad 保存的寄存器的值，之后会通过 popad 指令读取，所以可以在第一行上设置一处断点。

在这次调试中，断点的位置是 0x19ff54，就是 esp 执行栈中的位置。

点击 ESP 右侧的小箭头，会跳转到对应窗口的该地址（此处是汇编窗口）。

按 F2 在此处可设置断点，修改成读取和写入时触发，而不是执行时触发。

如果窗口未出现，可以打开菜单调试器 - 断点 - 断点列表，然后右键选择编辑设置。

如果用 python 可以安装如下方式设置断点：

idaapi.add_bpt(0x19ff54,1,3)

断点列表如下

断点列表

上述代码中，第一个参数表示断点地址，第二个参数表示断点的大小，第三个参数表示类型，3 代表 read-write access（读取和写入），执行这语句和手动设置断点一样。

BPT_EXEC = 0,
BPT_WRITE = 1,
BPT_RDWR = 3,
BPT_SOFT = 4,

设置断点类型的参数

在断点列表中，右键单击第一次设置的断点，选择 DISABLE 禁用，或者使用如下 python 语句。

idaapi.enable_bpt(0x46b002,0)

第一个参数为断点地址
第二个参数如果为 1 则启用断点，0 为禁用断点

0x46b002 标记为绿色代表禁用，栈上的断口是红色为启用。

按 F9 键继续调试或者输入如下的 python 语句

idaapi.continue_process()

下图中，调试在 popad 指令取回寄存器初始值之后中断，然后程序将跳转到 OEP 也就是 0x4271b0，因为 push ret 就和 jmp 类似。

popa 指令

继续单步执行执行到 oep。

既然找到了 oep 入口，那么就可以重新分析可执行文件，识别函数。

重新分析程序

使用 idapython 进行 dump#

找到了 oep 后，下一步就是进行转存，需要文件的基址以及可执行文件最后一个区段的最高地址。

上图可以知道，基址是 0x40000，最高地址是 0x46e000。

转存脚本如下：

import idaapi
import idc
import struct

start_ea = 0x400000
end_ea = 0x46e000
step = 4  # 每个地址处的数据占用4个字节

file_path = "dump.bin"
with open(file_path, "wb") as f:
    for ea in range(start_ea, end_ea, step):
        # 读取指定地址处的4个字节数据并进行小端字节序转换
        bin_data = struct.pack("<L", idaapi.get_32bit(ea))
        f.write(bin_data)