呵呵，昨天朋友过生日，玩的尽兴，今天早上6点才回来  ，休息好了，把关于SoftDefender 主程序脱壳手记附上 

借Fly兄的格式用用，Fly兄的破文生成器能不能给我一份？？ 
PS:这个壳实际是国产软件，我最近才知道的…… 

SoftDefender V1.12 DEMO 主程序脱壳 
   
   
   
下载地址：  http://www.softdefender.com/setup.exe   
应用平台：  Win 98/ME/NT/2000/XP/2003   
软件大小：  600 K   

【软件简介】：Soft Defender is a powerful tool securing products against crackers.It was designed with ease of use and high speed as a priority without sacrificing high levels of protection.With Soft Defender, your application can have anticrack, antidebug, antidisassemble, antidump, anti-apihook, file integrity checking functions in seconds. It requires no source code editing or your registration algorithm changing. In addition, Soft Defender is a perfect exe file compressor, which can reduce the file size of 32-bit Windows programs by as much as 50%.  

【作者声明】：只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教！  

【调试环境】：WinXP、Ollydbg1.09、PEiD、LordPE、ImportREC 1.6.0 Final  

—————————————————————————————————   
【脱壳过程】：  

废话不说，直接进入主题，我这里的A和B都是必须的哟 

          ★★★★★★★★★★★★  
★★★★★ A、对于父进程的跟踪分析★★★★★  
          ★★★★★★★★★★★★  

用OD载入SoftDefender.exe，隐藏好IsDebuggerPresent标记，断在入口点： 
<ModuleEn> /74 07           je short SoftDefe.004D1009      ;这实际就是个Jmp嘛～，这个壳里大量用到这样的变形Jmp 
004D1002   |75 05           jnz short SoftDefe.004D1009      ; 
004D1004   |1932            sbb dword ptr ds:[edx], esi 
004D1006   |67:E8 E8741F75  call 756C84F4                            ; Superfluous prefix 
004D100C    1D E8683944     sbb eax, 443968E8 

直接下断 bp ZwQueryInformationProcess （嘿嘿，这个特殊，壳不检查前5个字节），F9，OD断下，这个我们不需要，再F9，OD又断下 
ZwQueryIn>/$  B8 9A000000   mov eax, 9A                ;断在这 
77F7603A  |.  BA 0003FE7F   mov edx, 7FFE0300 
77F7603F  |.  FFD2          call edx 
77F76041  \.  C2 1400       retn 14 

执行到返回,再F8到这 
004D8FAE    85C0            test eax, eax          ;返回到这,F8 
004D8FB0    75 08           jnz short SoftDefe.004D8FBA    ;这里一定要跳,在004D8FBA用New Origin here，或者用Fly兄的修改标志寄存器也可以，最好的方法自然是前面一步修改eax的值为非0 
004D8FB2    8B4424 08       mov eax, dword ptr ss:[esp+8] 
004D8FB6    85C0            test eax, eax 
004D8FB8    75 0E           jnz short SoftDefe.004D8FC8 
004D8FBA    E8 4BFFFFFF     call SoftDefe.004D8F0A    ;Jmp to here 
004D8FBF    85C0            test eax, eax 
004D8FC1    75 05           jnz short SoftDefe.004D8FC8 

现在我们在命令栏里输入follow GetTickCount，反汇编窗口显示 
GetTickCo>  BA 0000FE7F     mov edx, 7FFE0000                         
77E5A2A0    8B02            mov eax, dword ptr ds:[edx] 
77E5A2A2    F762 04         mul dword ptr ds:[edx+4] 
77E5A2A5    0FACD0 18       shrd eax, edx, 18 
77E5A2A9    C3              retn         ;这里按F4，当然你也可以在这里做点小手脚   
F8返回 
004D8171    894424 0C       mov dword ptr ss:[esp+C], eax 
004D8175    8B4424 10       mov eax, dword ptr ss:[esp+10] 
004D8179    83F8 04         cmp eax, 4 

在[esp+C]处下内存访问断点，  注意这里开始有分岔路咯～F9 Go，OK，OD断在这 
004D6F27    8A0411          mov al, byte ptr ds:[ecx+edx] 
004D6F2A    8801            mov byte ptr ds:[ecx], al 
004D6F2C    41              inc ecx 
004D6F2D    4E              dec esi 
004D6F2E  ^ 75 F7           jnz short SoftDefe.004D6F27 
004D6F30    8BC7            mov eax, edi 

此时去掉内存断点。 
呵呵，看到这个表示我们是在调试父进程，下面父进程要做的事是建立临时文件，写入前面GetTickCount所得值的加密值，再CreateProcessA建立子进程，随后自己退出，CreateProcessA我们没办法跟进去，不过主导思想是既然CreateProcessA是执行同一个文件，那么保存好现在的现场，用OD再次载入SoftDefender模拟子进程，OK，我们可以用follow CloseHandle 
CloseHandl>  64:A1 18000000  mov eax, dword ptr fs:[18]   ;No BreakPoint here   
77E5A6F6     8B48 30         mov ecx, dword ptr ds:[eax+30] 
77E5A6F9     8B4424 04       mov eax, dword ptr ss:[esp+4] 
77E5A6FD     83F8 F4         cmp eax, -0C 
77E5A700   ^ 0F84 7E93FFFF   je kernel32.77E53A84 
只要你不在第一句下断点就没问题,F9 Go,断在你下断的地方，这个CloseHandle实际是关闭临时文件的句柄，如果父进程始终不CloseHandle的话系统是不会取消这个内核的，这样也方便我们后面对子进程的调试嘛   

到此，父进程的工作已经完成了，我们留着这个OD 
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝ 
          ★★★★★★★★★★★★★  
★★★★★ B、对于子进程的跟踪分析 ★★★★★  
          ★★★★★★★★★★★★★  


新开一个OD，再次载入SoftDefender.exe 
前面的过程和父进程一样，绕过ZwQueryInformationProcess的Anti，到前面我说的分岔路口那，当你再[esp+C]处下内存访问断点后，F9 Go，稍等一会，OD会断在这 
004D81E2    8B4C24 0C       mov ecx, dword ptr ss:[esp+C]   ;Stop here 
004D81E6    8B5424 08       mov edx, dword ptr ss:[esp+8] 
004D81EA    2BCA            sub ecx, edx 
004D81EC    81F9 401F0000   cmp ecx, 1F40 
004D81F2    72 66           jb short SoftDefe.004D825A   ;一定要跳！ 
呵呵，这个父子进程的时间差，过长的话子进程就执行父进程的作用，写入新值，CreateProcessA另一个新的进程………… 
004D81F4    83FF 03         cmp edi, 3 
004D81F7    74 25           je short SoftDefe.004D821E 
004D81F9    6A 00           push 0 

跳到这里，怎么修改程序运行轨道我就不再说了 
004D825A    5F              pop edi 
004D825B    B8 08000000     mov eax, 8 
004D8260    5E              pop esi 
004D8261    81C4 40010000   add esp, 140 
004D8267    C3              retn 

OK,F9吧，程序运行了，我们成功模拟了子进程，兴奋不？？ 
我们千辛万苦绕过那些Anti，这么一个F9就全完了？？？？OEP，Import都还没搞定那………… 
是的，全完了，不过我们也可以获得一个重要的情况，外壳会自己清除关键代码，向上翻，会发现有很长一段都是 
004D137B    0000            add byte ptr ds:[eax], al 
其实就是00，被清除了的代码，这里是我们找OEP的关键 
重复子进程前面的过程，最后不要F9了，而是在其中某一个地方，比如 
004D1487处下一个硬写断点（这个位置我没有试，我每次都是随机选的） 
F9 Go，直到断在下面这个位置为止 
004D5E78    F3:AA           rep stos byte ptr es:[edi] 
004D5E7A    C3              retn 
F8执行到retn，下面就是要返回到OEP了，如果你要是一高兴用F8按下去，那将是一个恶梦，因为我们这个时候看看栈堆 
0012EB90   0044D3DD  SoftDefe.0044D3DD 
0012EB94   0044D3A3  SoftDefe.0044D3A3 
0012EB98   0044D399  SoftDefe.0044D399 
0012EB9C   0044D374  RETURN to SoftDefe.0044D374 from SoftDefe.00447CF1 
0012EBA0   0044D31C  RETURN to SoftDefe.0044D31C from SoftDefe.00403480 

…… …… …… 

0012FFB4   00429790  SoftDefe.00429790 
0012FFB8   00429760  SoftDefe.00429760 
0012FFBC   004296CA  SoftDefe.004296CA 
0012FFC0   0042966D  SoftDefe.0042966D    ;这里才是目的地，飞向光明之颠？？   
0012FFC4   004D5748  SoftDefe.004D5748 
0012FFC8   77D64F70  user32.77D64F70 

OK，G 0042966D吧 
0042966D    FF15 688F1400   call dword ptr ds:[148F68]   ;注意这个call，进去看看 
00429673    64:A1 00000000  mov eax, dword ptr fs:[0] 
00429679    50              push eax 
0042967A    64:8925 0000000>mov dword ptr fs:[0], esp 
00429681    83EC 58         sub esp, 58 

进入call [148F68]后 
00169BB0    58              pop eax--------------------------------------- 
00169BB1    55              push ebp 
00169BB2    8BEC            mov ebp, esp 
00169BB4    6A FF           push -1                     Stolen Byte!!! 
00169BB6    68 E02C4500     push 452CE0 
00169BBB    68 48C74200     push 42C748 
00169BC0    FFE0            jmp eax   ------------------------------------- 

而pop eax和jmp eax实际就是retn的变形，将Stolen Byte还原 
00429664    55              push ebp 
00429665    8BEC            mov ebp, esp 
00429667    6A FF           push -1 
00429669    68 E02C4500     push 00452CE0 
0042966E    68 48C74200     push 0042C748 
00429673    64:A1 00000000  mov eax, dword ptr fs:[0] 
00429679    50              push eax 
0042967A    64:8925 0000000>mov dword ptr fs:[0], esp 

好了，这个时候可以用LordPE来Dump了 

下面让我们看看输入表，基本都被修改了，除了几个只有一个引用函数的Dll没有被加密，我们的目标就是————修复它   
用ImportRec的trace Level 3还有17个没有修复，自己模拟跟踪一下就知道了   
我是通过修改程序里的一个内存值达到防止ImportTable被破坏的 
这里就是恢复并修改ImportTable的代码了 
004D88E7    52              push edx 
004D88E8    50              push eax 
004D88E9    57              push edi 
004D88EA    E8 6DF5FFFF     call SoftDefe.004D7E5C 
004D88EF    8B8424 40040000 mov eax, dword ptr ss:[esp+440]   ;我要改这个地址的值为0     
004D88F6    85C0            test eax, eax 
004D88F8    0F84 BA010000   je SoftDefe.004D8AB8   ;这里跳的话就不会破坏Import Table了 
004D88FE    8B4424 18       mov eax, dword ptr ss:[esp+18] 
004D8902    85C0            test eax, eax 
004D8904    74 10           je short SoftDefe.004D8916 
004D8906    8B4C24 10       mov ecx, dword ptr ss:[esp+10] 
004D890A    57              push edi 
004D890B    51              push ecx 
004D890C    E8 90160000     call SoftDefe.004D9FA1 
004D8911    E9 AD010000     jmp SoftDefe.004D8AC3 

…… …… …… 

004D8A90    E8 24E5FFFF     call SoftDefe.004D6FB9 
004D8A95    85C0            test eax, eax 
004D8A97    75 0C           jnz short SoftDefe.004D8AA5 
004D8A99    68 8E764000     push SoftDefe.0040768E 
004D8A9E    E8 E0D3FFFF     call SoftDefe.004D5E83 
004D8AA3    EB 1E           jmp short SoftDefe.004D8AC3 
004D8AA5    8B5424 10       mov edx, dword ptr ss:[esp+10] 
004D8AA9    57              push edi 
004D8AAA    52              push edx 
004D8AAB    E8 35EAFFFF     call SoftDefe.004D74E5 
004D8AB0    50              push eax 
004D8AB1    E8 B3F8FFFF     call SoftDefe.004D8369 
004D8AB6    EB 0B           jmp short SoftDefe.004D8AC3 
004D8AB8    8B4424 10       mov eax, dword ptr ss:[esp+10] 
004D8ABC    57              push edi 
004D8ABD    50              push eax 
004D8ABE    E8 22EAFFFF     call SoftDefe.004D74E5 
004D8AC3    33C9            xor ecx, ecx 
004D8AC5    8906            mov dword ptr ds:[esi], eax    ;这里就写入了 

所以要想办法让它在那能断下来，在 
004D81E2    8B4C24 0C       mov ecx, dword ptr ss:[esp+C]   ;Stop here 
004D81E6    8B5424 08       mov edx, dword ptr ss:[esp+8] 
004D81EA    2BCA            sub ecx, edx 
004D81EC    81F9 401F0000   cmp ecx, 1F40 
004D81F2    72 66           jb short SoftDefe.004D825A   ;一定要跳！ 

跳完以后，如果在004D88EF处直接下硬执行断点有问题，估计和OD本身有关，可能是个Bug，要先在0044E000处下内存断点，F9，会断下，之后按4次F9后再在004D88EF处下硬执行断点，再F9，等断在004D88EF时，修改[esp+440]的值为0，取消硬断点以及内存断点，再g 42966d，如果程序停住了就暂停一下再继续执行，就能到OEP了，这个时候就可以用ImportREC来修复了，一个坏的都没有，是不是很爽啊   

OK,Fix Dump吧，然后优化一下