IDA + Bochs 調試器插件進行PE+ 格式DLL脫殼

By :obaby 

在IDA Pro6.1中我們擴展了Bochs調試器插件，現在已經可以進行64位代碼段的調試。在IDA Pro 6.2版本中將有可能實現PE+ 可執行程序的動態調試。由於程序將會在Bochs系統中執行，因而在調試的過程中我們並不需要實際的64位操作系統，因而在實際的調試過程中可以從任何的32位或者64位的Linux，Mac OS 或者Windows操作系統中使用IDA Pro進行64位可執行文件的調試。
為了確認這一項新的功能，我們將進行PE+格式的一個木馬程序進行脫殼並且進行一個大體的分析，這個文件是由MATCODE Software公司的mpress進行壓縮的。我們將會對講解DLL文件脫殼，修復輸入表並且最終修復數據庫來進行分析。

Unpacking the DLL
我們的目標文件是一個木馬的DLL文件，該文件被殺軟識別為“Win32/Giku”。我們從使用idaq64載入DLL文件開始進行分析，載入之後按Ctrl+S鍵打開區段窗口：

打開區段窗口之後注意觀察區段的名稱和mpress壓縮殼設置的區段的屬性。
為了進行DLL文件調試需要確保在啟動之前已經設置調試器的選項設置（“Bochs debugger plugin”）為PE 和64bit emulation 模式。

在啟動調試器之後，注意觀察下面的代碼段，在這段代碼中調用了unpack()函數：

如果我們繼續單步執行到更遠的地方我們將會到達修復輸入表的代碼處，為了實現輸入表的修復程序將會循環調用LoadLibrary()/GetModuleHandle()函數並且在這個循環中會包含另外的一個子循環調用GetProcAddress()。 Mpress外殼通過這兩層循環來實現IAT修復：

在stosq執行之後我們將可以從rdi寄存器中得到IAT結構的起始地址，同樣在兩層循環全部結束之後我們可以從rdi寄存器中得到IAT結構的結束地址。
在IAT修復之後不遠的地方我們可以找到一個跳轉到原始入口點的jmp代碼：

程序的入口點代碼如下所示：

這裡就是脫殼之後的程序的真實的DllEntryPoint()函數了。現在有了程序的OEP和IAT結構的起始/結束地址，我們就可以清空數據庫並且重現脫殼之後的程序了。
Reconstructing and cleaning the database
到這裡有許多的辦法在程序脫殼之後進行清理數據庫清理.通常會包含如下幾步：
1. 定位IAT並且創建一個額外的區段來重現程序的輸入表；
2. 刪除外殼代碼的入口點，並且添加脫殼之後程序的原始入口點OEP；
3. 重新分析代碼；
4. 重新加載FLIRT特徵庫
5. 刪除無用的外殼區段（可選）
其中第一步到第三步可以通過IDA的uunp插件來自動完成，執行菜單中的“Edit/Plugins/Universal unpacker manual reconstruct”即運行該插件：

在插件中填入通過上面的操作得到的數據即可：

點擊確定之後一個新的區段將會被創建，並且代碼段將會被重新分析，在分析完成之後脫殼之後的程序的一個內存快照將會被呈現出來。
現在我們就可以重新引用FLIRT特徵庫了：

在選擇“vc64rtf”簽名（shi​​ft +F5）之後我們可以看到IDA已經成功的識別出了庫函數並且對這些庫函數使用淺藍色進行了標記，這樣可以使得後續的分析工作變得更加簡單。
Analyzing the unpacked code
在代碼解壓之後我們可以通過String Window窗口進行一個快速分析，String Window窗口呈現了一些加密的字符串：

通過交叉引用，我們可以定位到解密函數。在給函數適當的參數之後我們可以直接通過Appcall來解密這些字符串：

我們得到了一個指向加密的文本文件的URL。在深入挖掘之後我們定位到了解密文件的函數：

下面是Appcall版本的decrypt_file()函數：

我們使用這個函數就可以解密spm.txt文件了，解密之後的內容如下所示：

X32.jpg是一個upx壓縮的DLL文件，x64.jpg是一個mpress壓縮的PE+格式的Dll文件。