【文章标题】: 全新反调试CM
【文章作者】: 半斤八两
【软件名称】: 全新的反调试第1季（无网无壳版）.exe
【下载地址】: https://bbs.pediy.com/thread-187142.htm
【使用工具】: IDA、OD、资源工具
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【版权声明】: 本文原创于小生我怕怕, 转载请注明作者并保持文章的完整, 谢谢!
2018年11月07日 14:15:52
作者需求：
一种全新的反调试思路.
程序主要参考了 tmd和超时代 的思路.
程序运行起来后.点那个按钮,会触发 MessageBoxA 断点.
如果你能在ollydbg中断下来, 那么,你就搞掂了,如果你搞掂了,记得分离一下 :)
By 半斤八兩
2014.04.28
0、参考资料、预备知识
1、常见进程注入的实现及内存dump分析——反射式DLL注入（下）
网址：来自 <https://bbs.pediy.com/thread-224241.htm>
2、傀儡进程技术实现
网址：来自 <https://www.52pojie.cn/thread-501486-1-1.html>
3、在VC中使用自定义资源,FindResource,LoadResource,LockResource
网址：来自 <https://www.cnblogs.com/gakusei/articles/1352922.html>
4、调试器设计（2）
网站：来自 <https://bbs.pediy.com/thread-107838.htm>
1、准备工作收集信息
1、软件运行界面
2、资源工具
获取到的信息：
1、里面藏着一个PE文件
2、Dialog里面并没有按钮的选项
3、我们将PE文件导出来为123.exe
3、查看导出来的PE文件信息
1、双击运行是显示错误的
2、我们发现导出来的PE文件里面就有我们需要的按钮
2、IDA、OD结合分析
首先想到的是应该先下MessageBoxA、MessageBoxW（当然是没用的）
1、软件操作都是双击完按钮之后触发的，那么我们该如何定位
2、OD、IDA分析上下文
通过F5跟OD大概获取到的信息：
1、程序释放出自身的PE文件
2、sub_401BB0看参数，应该是把PE文件缓冲区跟大小传进去，然后返回个PID
3、附加进程、恢复线程
3、分析sub_401BB0函数
3、1：首先分析sub_401570函数
获取到的信息：
1、拷贝PE基本信息、区段信息
2、程序是自己实现了LoadLibrary函数
3、2：分析sub_401990函数
总结：
进行傀儡进程操作
1、分析sub_4018A0函数
PCHunter工具可以看到这个傀儡进程
2、分析sub_401830函数
3、后续都是傀儡进程操作了
4、sub_401F10函数调试框架分析
4、1：sub_401D70函数分析
我们在这两处都下断
结合上下文逻辑：
1、B程序无法直接打开
2、A程序又以附加方式打开B，那么就说明A修复了B的BUG
3、我们发现修改上下文的就只有两处，那么我们就在这两处都下断点
代码中断在下面的Context.Eax = sub_401D60(Context.Eax, DebugEvent.dwThreadId);这一句上
那么我们只要知道代码中断的IP地址即可
我们可以通过CONTEXT结构（VS按F12）往上翻
OD查看
出错代码地址：
40145B
5、使用CE、IDA等工具查看B进程的内存状态
发现这里面有一个CC断点，导致代码错误的
第一步先把INT改成NOP
第二步有两种选择
1、这两句NOP掉
00401468 |. 33C1 xor eax,ecx
0040146A |. 35 76983412 xor eax,0x12349876
2、要么就学A程序多加几句汇编代码，再异或回去
00401444 33C1 xor eax,ecx
00401446 35 76983412 xor eax,0x12349876
0040144B 5F pop edi
0040144C C2 0400 retn 0x4
0040144F 90 nop
00401450 57 push edi
00401451 |. BF D80E1400 mov edi,0x140ED8
00401456 |. 8B4424 08 mov eax,dword ptr ss:[esp+0x8]
0040145A ^ EB E8 jmp short 123.00401444
0040145C 90 nop
0040145D 90 nop
0040145E 90 nop
6、完结撒花
