概要

以下のプログラムをコンパイルして、 UPX 3.96 でパッキングし、それを手動でアンパックする。

sleep.cpp

# include <windows.h>
# include <stdio.h>

int WINAPI WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) {
	for(int i=0; 1; i++) {
		if(i%5==0) printf("%d\n", i);
		Sleep(1000);
	}
	return TRUE;
}

IAT再構築をやる意味

パッキングすると、表層解析においてどんな Windows API がインポートされているのかの情報がかなり削減される。上記のプログラムをコンパイルした sleep.exe と、それを upx sleep.exe -o sleep-upx.exe でパックしたプログラム sleep-upx.exe のインポートをpestudioで見てみた結果が以下。

sleep.exe ↓

sleep-upx.exe ↓

おそらく pestudio のこのインポートの情報は、IAT(プログラムロード前はIATにはインポートする関数の名前等が書いてある)から得ていて、この情報が圧縮されているため sleep-upx.exe では Sleep の文字が見当たらない(ILTから得ているのかもしれないが…)。

しかし、パッキングは実行してる時には自分自身を解凍していて、かつインポートしている関数のアドレスがIATにセットされているので(プログラムロード後はIATにはインポート関数の実際のアドレスだけが格納される)、このタイミングでメモリダンプすればどんなコードなのかとか、インポートしてる関数は何かなどがわかり、Sleep 関数のアドレスもわかる。

また、パッキングされている場合、例えば sleep-upx.exe の Sleep をIATフックしたい場合、前回のフックのプログラムを見てもわかるが、Sleep のアドレスがIATにあったとしても、どのアドレスが Sleep のアドレスなのかというのは、ILT(OriginalFirstThunk)は圧縮された状態のインポート情報のままなので、わからないのでフックができない。実際にやってみる。

sleep.exe の Sleep をフックした場合(成功) ↓

sleep-upx.exe の Sleep をフックした場合(失敗) ↓

よって、実際に実行してみてIATがセットされた後、この情報をもとにIATを再構築して、全てのインポートの関数の情報を復元する必要がある。

OEPを見つける

パッキングされた実行ファイルのエントリーポイントには、オリジナルのコードを解凍する処理が並んでいるわけだが、オリジナルのコードの本来のエントリーポイントまでまずは実行する必要がある。ちなみにOEPにブレークポイントを打ってそこでブレークさせた状態でIAT再構築しないと上手く行かない。

注意として、UPXアンパックで調べると、pushad と popad に注目してOEPを見つける方法があるが、どうやら UPX 3.96 では pushad とかは使われていないので、別の方法で見つけないといけない。

とりあえず今回はオリジナルの sleep.exe も手元にあるので、これのエントリーポイント付近のアセンブラを覚えておく。

なんか sub rsp,28 から始まり、二つの mov 、二つの call が続くみたいに覚えておく。

そして、まずは sleep-upx.exe を何もブレークポイントも打たないでただ実行する。そして、適当なタイミングで一時停止して、その付近で同じようなアセンブラ命令が続く場所を探す。

なんかどうやら sleep.exe のエントリーポイントと同じ場所にあるっぽい。

それなので、0x4014eがOEPだとわかったので、ここにハードウェアブレークポイントをセットする(普通のソフトウェアブレークポイントだと別のアドレスにOEPが来てしまう… 検知されてるのか…?)。

この状態になったらそのまま、Plugin > Scylla を開き、File > Dump Memory して、Dump PE を押し、適当な場所に sleep-upx-dump.exe とかの名前で保存する。

その後、Scyllaの画面に戻り、IAT Autosearch を押した後、Get Imports を押し、Fix Dump を押して、先ほどの sleep-upx-dump.exe を選択する。

そうすると、同じディレクトリに sleep-upx-dump_SCY.exe という名前でファイルができているので、これで再構築完了！

ちゃんとできてるか確認

動作確認として、ちゃんと実行できるかまず確認する。

実行できてることを確認した後、ではちゃんとインポートの情報が復元できているか再びpestudioで確認する。

完璧にオリジナルの sleep.exe と同じようなインポート情報に復元されている。

それでは最後に API Hook ができるようになってるか確認する。

フックできるようになった！