AngelQQ Dump

软件 ：Q宠天使
作者 ：QQPetAngel@Gmail.com

下载地址 ：http://angel.tt86.com/?qqdrsign=05bf1
           http://bbs.tt86.com/thread.php?fid=58

我在看雪发了帖子：http://bbs.pediy.com/showthread.php?t=142826

软件加了两层壳，第一层是ASPack，第二次就是UPX压缩壳

脱壳前：ASPack 2.12 -> Alexey Solodovnikov
脱壳后：Microsoft Visual Basic 5.0 / 6.0

005BE001 >  60              PUSHAD

005BE002    E8 03000000     CALL QQ.005BE00A                 ;关键F7

005BE007  - E9 EB045D45     JMP 45B8E4F7

005BE00C    55              PUSH EBP

005BE00D    C3              RETN

005BE008   /EB 04           JMP SHORT QQ.005BE00E

005BE00A    5D              POP EBP

;堆栈 [0012FFA0]=005BE007 (QQ.005BE007)  EBP=0012FFF0

005BE00B    45              INC EBP                                  ; QQ.005BE007

005BE00C    55              PUSH EBP

005BE00D    C3              RETN                           ;返回到 005BE008

005BE00E    E8 01000000     CALL QQ.005BE014                ;关键  F7

005BE013    EB 5D           JMP SHORT QQ.005BE072

005BE2AD    8B95 7D040000   MOV EDX,DWORD PTR SS:[EBP+47D]

005BE2B3    8B06            MOV EAX,DWORD PTR DS:[ESI]

005BE2B5    85C0            TEST EAX,EAX

005BE2B7    75 03           JNZ SHORT QQ.005BE2BC

005BE2B9    8B46 10         MOV EAX,DWORD PTR DS:[ESI+10]

005BE2BC    03C2            ADD EAX,EDX

005BE2BE    0385 A5050000   ADD EAX,DWORD PTR SS:[EBP+5A5]

005BE2C4    8B18            MOV EBX,DWORD PTR DS:[EAX]

005BE2C6    8B7E 10         MOV EDI,DWORD PTR DS:[ESI+10]

005BE379  ^\E9 2FFFFFFF     JMP QQ.005BE2AD

005BE37E    8906            MOV DWORD PTR DS:[ESI],EAX

005BE380    8946 0C         MOV DWORD PTR DS:[ESI+C],EAX

005BE383    8946 10         MOV DWORD PTR DS:[ESI+10],EAX

005BE38F  ^\E9 E8FEFFFF     JMP QQ.005BE27C

005BE394    8BB5 7D040000   MOV ESI,DWORD PTR SS:[EBP+47D]

005BE39A    8B7E 3C         MOV EDI,DWORD PTR DS:[ESI+3C]

005BADAE  ^\EB 9F           JMP SHORT QQ.005BAD4F

005BADB0    294424 48       SUB DWORD PTR SS:[ESP+48],EAX

005BADB4    29C7            SUB EDI,EAX

005BADC6  ^\EB 87           JMP SHORT QQ.005BAD4F

005BADC8    8B5424 74       MOV EDX,DWORD PTR SS:[ESP+74]

005BADCC    89F0            MOV EAX,ESI

005BB51B  ^\0F82 BBF6FFFF   JB QQ.005BABDC

005BB521    817C24 48 FFFFF>CMP DWORD PTR SS:[ESP+48],0FFFFFF

005BB529    77 15           JA SHORT QQ.005BB540

005BB52B    3B5C24 4C       CMP EBX,DWORD PTR SS:[ESP+4C]

005BB5FD  ^\EB D8           JMP SHORT QQ.005BB5D7

005BB5FF    FF96 5CC71B00   CALL DWORD PTR DS:[ESI+1BC75C]

005BB605   8BAE 50C71B00   MOV EBP,DWORD PTR DS:[ESI+1BC750]

;F2,F4断点这里，就可以找到程序入口

005BB60B    8DBE 00F0FFFF   LEA EDI,DWORD PTR DS:[ESI-1000]

005BB611    BB 00100000     MOV EBX,1000

005BB616    50              PUSH EAX

005BB617    54              PUSH ESP

005BB618    6A 04           PUSH 4

005BB61A    53              PUSH EBX

005BB61B    57              PUSH EDI

005BB61C    FFD5            CALL EBP

005BB61E    8D87 E7010000   LEA EAX,DWORD PTR DS:[EDI+1E7]

005BB624    8020 7F         AND BYTE PTR DS:[EAX],7F

005BB627    8060 28 7F      AND BYTE PTR DS:[EAX+28],7F

005BB62B    58              POP EAX

005BB62C    50              PUSH EAX

005BB62D    54              PUSH ESP

005BB62E    50              PUSH EAX

005BB62F    53              PUSH EBX

005BB630    57              PUSH EDI

005BB631    FFD5            CALL EBP

005BB633    58              POP EAX

005BB634    61              POPAD

005BB635    8D4424 80       LEA EAX,DWORD PTR SS:[ESP-80]

005BB639    6A 00           PUSH 0

005BB63B    39C4            CMP ESP,EAX

005BB63D  ^ 75 FA           JNZ SHORT TM0611.005BB639

005BB63F    83EC 80         SUB ESP,-80

005BB642  - E9 59DCE4FF     JMP TM0611.004092A0

004092A0    68 8C9A4000     PUSH QQ.00409A8C

; ASCII "VB5!6&vb6chs.dll"  入口点停在此处可以脱了

; (点右键后选"用ollyDUMP脱壳调试进程"，再点击DUMP脱壳)

004092A5    E8 F0FFFFFF     CALL QQ.0040929A

; JMP 到 msvbvm60.ThunRTMain   VB，main函数

004092AA    0000            ADD BYTE PTR DS:[EAX],AL

004092AC    50              PUSH EAX

004092AD    0000            ADD BYTE PTR DS:[EAX],AL

004092AF    0030            ADD BYTE PTR DS:[EAX],DH

004092B1    0000            ADD BYTE PTR DS:[EAX],AL

004092B3    0048 00         ADD BYTE PTR DS:[EAX],CL

004092B6    0000            ADD BYTE PTR DS:[EAX],AL

程序能正常运行，但是修改软件资源的时候，报下面的错误，应该是UPX0，UPX1内容还在里面，脱壳只是把程序入口点修正确.

注：用 LoadPE 修正映像大小后完全 DUMP.用 ImportREC 修正dump.exe一样无效。

---------------------------
upx.exe - 应用程序错误
---------------------------
"0x004813dc" 指令引用的 "0x2ae9b96c" 内存。该内存不能为 "read"。
要终止程序，请单击“确定”。
要调试程序，请单击“取消”。
---------------------------
确定   取消  
---------------------------

病毒信息 ：001aa84a.exe       Artemis!6DF3F680BB6    ;猜测应该是upx.exe本身作为资源被杀软查杀

OEP  000092A0
RVA  00001000
size 00000444