浅析土木数据中的加壳保护

浅析土木数据中的加壳保护

一、脱壳保护的应用网络上有很多有害信息。其中，以信息收集特洛伊木马为首的恶意程序不仅威胁到互联网用户的隐私和财产保证，而且严重影响了整个网络秩序。为了达到目的，一些犯罪分子使用特洛伊木马进行生产和传播。许多特洛伊木马程序可以逃离大部分防病毒软件和特洛伊木马消除软件，并为受害者提供预防措施。目前,网络上的木马恶意程序基本上都进行了加壳保护,公安实战部门对其进行调试分析前,首先要进行脱壳操作。因此着重从电子数据取证角度研究木马脱壳技术,探讨配合工具及手工方法破解多种类型木马壳的方法,能够为公安实战部门提供相关方面的知识储备,有助于办案人员更有效的打击以木马为主要犯罪手段的网络犯罪。二、特洛伊木马复合技术在电子数据采集中的应用示例1.利用互联网技术发现“老a期”的木马恶意程序2009年8月,连续多名受害人向某地公安机关报案称自己的魔兽世界游戏账号被盗,经过服务商找回账号后发现账号电子货币和游戏装备被盗一空,每人损失少则几百元,多则上万元。经过相关部门办案人员对受害人使用过的网吧计算机进行勘查,在计算机硬盘上发现一种名为“老A魔兽在线破保马”的木马恶意程序。经过进一步调查,办案人员找到了该木马恶意程序的生成器,其生成的木马能够用来盗取魔兽世界的账号、密码并在线破解魔兽世界的密保,但该生成器的编写者在软件本身也安插了后门,用来盗取生成器使用者的帐户和密码。该木马生成器和生成的木马如图1和图2所示。2.木马生成器查壳分析使用OllyDbg对该木马生成器进行分析查找字符串,没有发现有意义的字符串(如图3所示),由此怀疑该木马程序加壳。使用查壳工具PEID对木马生成器进行查壳,发现其所加壳为Petite2.x,如图4所示。经调查,Petite是一款Win32(Windows9x/NT等)可执行文件压缩器,它允许压缩整个可执行文件代码、数据以及资源。Petite可以自动决定压缩可执行文件的哪些部分,以及哪些部分需要保留。压缩过的文件运行起来就像原始的未压缩版本一样。3.入口地址修改脱壳的方法较多,为突出原理,本节使用“ESP定律手脱法”脱掉“老A魔兽在线破保马生成器”的壳。“ESP定律手脱法”是基于堆栈平衡原理,经过多次试验总结出的快速脱壳方法。使用Ollydbg载入老A魔兽在线破保马生成器.exe后,F8单步运行,右边寄存器窗口ESP值出现“0012FF96”,如图5所示。在命令栏里输入ESP的地址hr0012FF96,F9运行,运行到“0050310666:90popfw”,使用F8单步运行,直接就跳到OEP,也就是入口地址“00452A8455pushebp”,如图6所示。然后用Ollydump进行脱壳,记住修改后的入口地址,脱壳后命名为2.exe,如图7所示。如果脱壳后的木马程序打不开,可以用ImportREC_fix.exe对其进行输入表修复,注意入口地址修改后为00052A84,如图8。再次使用查壳工具PEID对老A魔兽破保生成器.exe进行查壳,发现壳已经被脱掉了,如图9所示。PEID探测出木马生成器是用BorlandDelphi6.0编写的。脱壳后的老A魔兽破保生成器.exe双击可以正常运行,接下来便可以对其进行进一步的反汇编动态逆向分析了。4.设置断点和木马用OllyDebug载入,对木马程序进行反汇编,载入木马程序后,点击“右键”→“查找”→“所有参考文本字串”,如图10所示。在这里可以看到所有字符串,在这里查找关键的字符串,在关键字符串处下断点,关键处主要为字符串为getmb.asp处,在它的上一个字符串跟入设置断点,设置断点的地方虚拟地址会以红色显示,见图11所示。设置好断点,就可以用OD运行程序进行分析,点击“调试”→“运行”,木马程序执行。所有项目输入好后点击生成木马。使用OllyDebug的F7跟入单步步过,分析程序。当到达虚拟地址00452048处时,再执行一次F7,解释栏0012F1CC出现(ASCII“http:\12797.al6.C\login.asp”),此即该木马盗号后发往的网页地址,如图12所示。通过上述分析得出,该生成器生成木马的路径为“D:\我的文档\”,文件名为“aaa.exe”,功能为收集魔兽世界用户的账号、密码,并破解游戏密保,然后发往网址http:\12797.\login.asp。三、网络嗅探,激活木马样本软件壳本来是计算机软件中一段专门负责保护软件不被非法修改或反编译的程序,然而,为了防止被杀毒软件查杀或被跟踪调试,绝大多数木马恶意程序也采用了壳的技术。在电子数据取证工作中,获取木马程序样本之后,可以通过架设网络嗅探器,然后激活木马样本的方式,获知该木马获取的信息及其发往的地址。在实践中发现,多数情况下由于木马中设置的运行有效期限或者其他运行条件已被破坏,木马样本往