逆向学习XXclient怎样仅仅执行一个实例

个人觉得学习分两种,

一种是当面请教和直接从书本网络中的资料学习.
其二就是看着令你惊叹的作品-顿悟.
什么?顿悟不了?那我们就一起来逆向学习吧!差点忘了,我并不打算提供Demo,这并不重要,难道你打算遇到一个同样的情景?

重在方法.

注意:

本文为了照应新手人群,对于某些内容可能会非常具体的推演.

名词解释:

一个实例:一个对象,这里指一个程序被创建后在内存中的数量.大白话就是:成功执行了几次.

事由:

今天闲来无事(忙里偷闲)执行了两次Dr_COM的宽带认证client.如咱所料,

如图:

我们知道,限制程序仅仅执行一个实例的方法非常多,例如以下主流的几种:

查找窗体.
使用相互排斥对象之类的.病毒经常也这么干.
使用共享区块.
使用暂时文件.

那我们的COM先生是否怎样实现的呢?

开弓or工

好的操起家伙(OllyDBG,IDA)開始一次内科手术.

假设你不是非常熟悉这两个工具能够在须要的时候參考这里:

反病毒工具-IDA使用介绍

反病毒工具-OllyDBG使用简单介绍

首先,用OD加载我们Dr.COM

这里的入口点似乎是早期的VS版本号编译的Release版本号C/C++程序.用工具ExeInfoPE验证一下我们的经验并简单看下是否是伪装壳:

ExeInfoPe的使用方法及介绍能够看这里:

ExeInfo在反病毒领域的使用方法

我们须要找到哪句提示语“程序xxx已经在执行”,在系统中的位置.在界面中央(反汇编窗体)右键,选择“中文字符串搜索->智能搜索”(这是一个插件,你能够从主流的OD版本号中同样位置找到相似的字符串查找功能).弹窗如图:

非常幸运,我们找到了它.我们并非每次都这么幸运,由于一些程序猿会将它们加密存储.对于处理种种加密情况我们有机会再谈.

双击这个字符串就可以来到这个字符串的地址.

我们看到一个红色箭头指向这里.而本字符串地址的上面是一个jmp,它指向了以下的某处,这表明指令执行的时候仅仅能从远处跳到本字符串地址而不可能是一行一行走下来的.

请牢记我们的目的,我们的目的是找到程序怎样进行”是否执行了多个实例”的推断.这个推断导致指令走向两条或者很多其它的路.当中一条就是这条提示信息.顺藤摸瓜就可以.

我们逆着跳到本字符串地址的箭头找到根源.

如上图,我们找到了jmp的根源它就在我们圈住的地方.这是一个动态的jmp.它依据eax的值进行运算,eax*4+0x401D98,运算结果是一个地址跳转表,指向结果.eax就是关键.是谁改动了eax呢?

这里有条mov 指令,原来eax的值来自于[esp+0x174],而esp是栈顶寄存器,仅仅有在执行到该条指令的时候才会有真正參与运算的值.好的.F2在该条指令下断点.然后执行起我们的程序,聪明的OD已经帮助我们计算出了地址,原来eax的值来自于ss:[0018FC64].ss是段选择寄存器,就是我们右下角的窗体显示的内容咯.

我们要监视这个地址是谁将’1’这个值写入当中的.这里提供三种方法:

紧盯住该地址的内容,我们通过栈回溯跟踪到改动者.
通过硬件断点,在左下角窗体-“数据窗体”找到该地址,右键”断点”->”写入断点”.长度依据具体情况,这里WORD就可以.
使用RUN跟踪.菜单条”调试”->”设置条件”,将中断条件设置为该地址为’1’则中断.至于关于强大的RUN跟踪的使用方法,假设你感兴趣,你须要找OD的资料学习.

下图描写叙述了观察栈回溯的两种方法: