闲着无事写了个CEAA的脚本

十二

好长时间没来了  

1. //by:nt_12
   
2. alloc(newmem,9966000)
   
3. label(returnhere)
   
4. label(SEH)
   
5. label(originalcode)
   
6. label(xxxx)//SEH链
   
7. label(PEhandle)
   
8. label(Addressloop)
   
9. label(WIN7)
   
10. label(WINXP)
    
11. label(Addressloop1)
    
12. label(TTT9)
    
13. label(ASD)
    
14. label(VBV)
    
15. label(JJH)
    
16. label(IIU)
    
17. label(XCV)
    
18. label(GGHG)
    
19. label(WIN7Base)
    
20. label(UUU9)
    
21. label(BNCE)
    
22. label(ZCV)
    
23. label(MMN)
    
24. label(KJH)
    
25. label(YBN)
    
26. label(KMNJ)
    
27. label(LKJ)
    
28. label(SDF)
    
29. label(QWE)
    
30. label(baseloop)
    
31. define(base,"newmem"+800)//模块基址
    
32. define(espsc,"newmem"+7FC)//原始ESP
    
33. define(ver,"newmem"+7F8)//系统版本
    
34. define(number,"newmem"+7F4)//函数序号
    
35. define(ikns,"newmem"+7EC)//原始页面权限信息
    
36. define(vp,"newmem"+7F0)//virtualprotect函数地址
    
37. define(loader,"newmem"+100000)//备份后代码和数据的位置 //*根据自己的情况修改大小
    
38. define(BCB,"newmem"+1000)//.text区段位置
    
39. define(HYCC,"newmem"+1100)//还原代码
    
40. define(DCD,"newmem"+1200)//.text区段大小
    
41. define(dllenter,"newmem"+800)//程序载入模块基址列表 //*根据自己的情况修改大小
    
42. define(APIAddress,"newmem"+10000)//模块函数地址列表 //*根据自己的情况修改大小
    
43. define(FSTSWAX,"newmem"+80000)//FSTSW AX指令引用的所在位置 //*根据自己的情况修改大小
    
44. //label(CMP2)
    
45. //label(CMP1)
    
46. //label(HYIM)
    
47. newmem: //this is allocated memory, you have read,write,execute access
    
48. //place your code here
    
49. originalcode:
    
50. 
    
51. MOV [espsc],ESP
    
52. 
    
53. // 这里写入被注入地址的原代码
    
54. 
    
55. //建立SEH链
    
56. 
    
57. xxxx:
    
58.          JMP LKJ
    
59. KJH:
    
60.          xor eax,eax
    
61.          PUSH SEH
    
62.          PUSH DWORD PTR FS:[0]
    
63.          MOV DWORD PTR FS:[0],ESP
    
64.                  //JMP loader //执行备份的代码并跳到SEH，需要注释掉Xor Eax,Eax,与 Div Eax
    
65.          DIV EAX
    
66. 
    
67. 
    
68. LKJ:
    
69. 
    
70. //我能得到模块的基址
    
71. 
    
72.         PUSHAD
    
73.         MOV EBX,dllenter
    
74.         MOV EAX,DWORD PTR FS:[30]
    
75.         MOV ECX,EAX
    
76.         ADD ECX,8
    
77.         MOV ECX,[ECX]
    
78.         MOV [EBX],ECX
    
79.         ADD EBX,4
    
80.         MOV EAX,DWORD PTR DS:[EAX+C]
    
81.         MOV EAX,DWORD PTR DS:[EAX+1C]
    
82. 
    
83. baseloop:
    
84. 
    
85.         MOV EDI,EAX
    
86.         MOV EAX,DWORD PTR DS:[EAX+8]
    
87.         MOV DWORD PTR DS:[EBX],EAX
    
88.         ADD EBX,4
    
89.         CMP EAX,0
    
90.         MOV EAX,EDI
    
91.         MOV EAX,DWORD PTR DS:[EAX]
    
92.         MOV EDI,EAX
    
93.         JNZ baseloop
    
94.         POPAD
    
95. 
    
96. //我能获得模块导出函数
    
97.     PUSHAD
    
98.     MOV EAX,dllenter
    
99.     MOV EDI,APIAddress //API位置存放的位置
    
100. 
     
101. Addressloop1:
     
102. 
     
103.     MOV EBX,[EAX]
     
104.     PUSH EAX
     
105.     MOV [newmem+2800],EBX
     
106.     MOV ECX,DWORD PTR DS:[newmem+2800]//获取基址
     
107.     MOV EAX,ECX
     
108. 
     
109. PEhandle:
     
110. 
     
111.     ADD EAX,4
     
112.     MOV ECX,DWORD PTR DS:[EAX]
     
113.     CMP ECX,4550
     
114.     JNZ PEhandle
     
115.     ADD EAX,78
     
116.     MOV ECX,EAX
     
117.     MOV ECX,[ECX]
     
118.     MOV ESI,[newmem+2800]
     
119.     ADD ESI,ECX
     
120.     ADD ESI,1C
     
121.     MOV EDX,[esi-8] // 函数的数量
     
122.     ADD EBX,[ESI] //函数的地址
     
123.     MOV EAX,[EBX]
     
124.     ADD EAX,DWORD PTR DS:[newmem+2800]
     
125. 
     
126. Addressloop:
     
127. 
     
128.     MOV ECX,[EBX]
     
129.     MOV EAX,[newmem+2800]
     
130.     ADD EAX,ECX
     
131.     ADD EBX,4
     
132.     MOV [EDI],EAX
     
133.     ADD EDI,4
     
134.     DEC EDX
     
135.     CMP EDX,-1
     
136.     JNZ Addressloop
     
137.     ADD EDI,4
     
138.     POP EAX
     
139.     PUSHFD
     
140.     ADD EAX,4
     
141.     POPFD
     
142.     CMP [EAX],0
     
143.     JNZ Addressloop1
     
144.     POPAD
     
145. 
     
146.     //我能遍历当前模块代码段中的的所有FSTSW AX代码（其实能遍历任意代码）
     
147. 
     
148.     PUSHAD
     
149.     MOV EAX,[base]
     
150.     MOV EDI,[base]
     
151. 
     
152. ASD:
     
153. 
     
154.     ADD EAX,4
     
155.     MOV ECX,DWORD PTR DS:[EAX]
     
156.     CMP ECX,4550
     
157.     JNZ ASD
     
158.     MOV EDX,DWORD PTR DS:[EAX+100]
     
159.     MOV EAX,DWORD PTR DS:[EAX+104]
     
160.     ADD EAX,EDI //模块第一个区段的起始地址
     
161. 
     
162. //↓我是备份代码-数据用的
     
163. /*
     
164.   PUSHAD
     
165.         MOV [BCB],EAX //保存.text区段位置
     
166.         MOV [DCD],EDX //保存.text区段大小
     
167.         MOV EDI,loader
     
168. 
     
169. CMP1:
     
170.         MOV BL,[EAX] //备份.text区段
     
171.         MOV [EDI],BL //开始备份
     
172.         INC EAX //OEP+1
     
173.         INC EDI
     
174.         DEC EDX //大小-1
     
175.         CMP EDX,0 //查看是否全部备份完
     
176.         JNZ CMP1
     
177.         POPAD
     
178. */
     
179. 
     
180. //----------------------------------------------------
     
181. //↓我是还原代码-数据用的
     
182. /*
     
183.       MOV,[HYCC],1 //标志位
     
184.       JMP GGHG
     
185. HYIM:
     
186.       PUSH ikns
     
187.       PUSH 40
     
188.       PUSH [DCD]
     
189.       PUSH [BCB]
     
190.       CALL [vp]
     
191.       PUSHAD
     
192.       MOV EDI,[BCB]
     
193.       MOV EBX,[DCD] //还原的大小
     
194.       MOV EDX,loader
     
195. 
     
196. CMP2:
     
197. 
     
198.         MOV BL,[EDX]
     
199.         MOV [EDI],BL
     
200.         INC EDI
     
201.         INC EDX
     
202.         DEC EBX
     
203.         CMP EBX,0
     
204.         JNZ CMP2
     
205.         POPAD
     
206.         JMP UUU9
     
207. */
     
208. GGHG:
     
209.     MOV EBX,FSTSWAX
     
210. QWE:
     
211. 
     
212. CMP EDX,0
     
213. PUSHFD
     
214. DEC EDX
     
215. POPFD
     
216. JE XCV
     
217. 
     
218. SDF:
     
219. 
     
220.     ADD EAX,1
     
221.     MOV CL,BYTE PTR DS:[EAX]
     
222.     CMP CL,0DF //要遍历的指令HEX码
     
223.     JNZ QWE
     
224.     ADD EAX,1
     
225.     MOV CL,BYTE PTR DS:[EAX]
     
226.     CMP CL,0E0 //要遍历的指令HEX码
     
227.     JNZ SDF
     
228.     DEC EAX
     
229.     MOV [EBX],EAX
     
230.     ADD EBX,4
     
231.     INC EAX
     
232.     JMP SDF
     
233. 
     
234. XCV:
     
235.      MOV EAX,DWORD PTR FS:[30] // 获取PEB
     
236.      MOV EAX,DWORD PTR DS:[EAX+A4] //获取系统版本
     
237.      CMP EAX,5
     
238.      MOV [ver],EAX
     
239.      JNZ WIN7
     
240. WINXP:
     
241.      MOV EAX,[APIAddress+BC] //WINXP 硬编获取KiUserExceptionDispatcher异常处理函数
     
242. WIN7:
     
243.      MOV EAX,[APIAddress+1C4] //WIN7 硬编获取KiUserExceptionDispatcher异常处理函数
     
244. VBV:
     
245.      ADD EAX,1
     
246.      CMP BYTE PTR [EAX],E8
     
247.      JNZ VBV
     
248.      MOV EDI,EAX
     
249.      ADD EAX,1
     
250.      MOV EBX,EAX
     
251.      MOV EBX,[EBX]
     
252.      ADD EDI,EBX
     
253.      ADD EDI,5
     
254.      MOV EAX,EDI
     
255. ZCV:
     
256.      ADD EAX,1
     
257.      CMP BYTE PTR [EAX],FF
     
258.      JNZ ZCV
     
259.      ADD EAX,1
     
260.      CMP BYTE PTR [EAX],73
     
261.      JNZ ZCV
     
262.      ADD EAX,1
     
263.      CMP BYTE PTR [EAX],04
     
264.      JNZ ZCV
     
265.      ADD EAX,1
     
266.      CMP BYTE PTR [EAX],8D
     
267.      JNZ ZCV
     
268.      ADD EAX,1
     
269.      CMP BYTE PTR [EAX],45
     
270.      JNZ ZCV
     
271.      ADD EAX,1
     
272.      CMP BYTE PTR [EAX],EC
     
273.      JNZ ZCV
     
274.      ADD EAX,1
     
275.      CMP BYTE PTR [EAX],50
     
276.      JNZ ZCV
     
277.      ADD EAX,1
     
278.      CMP BYTE PTR [EAX],FF
     
279.      JNZ ZCV
     
280.      ADD EAX,1
     
281.      CMP BYTE PTR [EAX],75
     
282.      JNZ ZCV
     
283.      ADD EAX,1
     
284.      CMP BYTE PTR [EAX],0C
     
285.      JNZ ZCV
     
286.      ADD EAX,1
     
287.      CMP BYTE PTR [EAX],53
     
288.      JNZ ZCV
     
289.      ADD EAX,1
     
290.      CMP BYTE PTR [EAX],56
     
291.      JNZ ZCV
     
292.      SUB EAX,11
     
293.      MOV EBX,6
     
294.      PUSH EAX
     
295.      PUSH EBX
     
296. IIU:
     
297.      JMP KMNJ //处理VirtualProtect函数
     
298. UUU9:
     
299.      POP EBX
     
300.      POP EAX
     
301. TTT9:
     
302.      MOV BYTE PTR [EAX],90
     
303.      INC EAX
     
304.      DEC EBX
     
305.      CMP EBX,0
     
306.      JNZ TTT9
     
307.                   //KiRaiseUserExceptionDispatcher Patch Win7 SEH BUG
     
308.      POPAD
     
309.      JMP KJH
     
310.      PUSHAD //去掉ntdll的区段保护
     
311. KMNJ:
     
312.      CMP [ver],5
     
313.      JNZ WIN7Base
     
314. //Xp下的Kernel32.dll基址
     
315.      MOV EAX,APIAddress
     
316.      MOV EBX,2 //XP取kernel32.dll的基址
     
317.      MOV [number],DD4//硬编XP virtualprotect函数序号
     
318.      JMP JJH
     
319. WIN7Base:
     
320.          MOV EAX,APIAddress
     
321.          MOV [number],13BC//硬编WIN7 virtualprotect函数序号
     
322.          MOV EBX,3 //WIN7取kernel32.dll的基址
     
323. JJH:
     
324.          ADD EAX,4
     
325.          CMP DWORD PTR [EAX],0
     
326.          JNZ JJH
     
327.          DEC EBX
     
328.          CMP EBX,0
     
329.          JNZ JJH
     
330.          ADD EAX,4
     
331.          MOV ECX,[number]
     
332.          MOV EAX,[EAX+ECX] //得到virtualprotect
     
333.          MOV EBX,[dllenter+4]//ntdll基址送EBX
     
334.          MOV EDX,[dllenter+4]//ntdll基址送EDX
     
335. BNCE:
     
336.          ADD EBX,4
     
337.          MOV EDI,DWORD PTR DS:[EBX]
     
338.          CMP EDI,7865742E
     
339.          JNZ BNCE
     
340.          ADD EBX,8
     
341.          MOV ESI,[EBX]
     
342.          ADD EBX,4
     
343.          MOV EBX,[EBX]
     
344.          ADD EBX,EDX
     
345.          PUSH ikns
     
346.          PUSH 40
     
347.          PUSH ESI
     
348.          PUSH EBX
     
349.          MOV [vp],EAX
     
350.          CALL EAX //调用virtualprotect
     
351.          CMP [HYCC],0
     
352.          JNZ HYIM
     
353.          JMP UUU9
     
354. 
     
355.     //读取FSTSW AX完毕，详见FSTSWAX,"newmem"+10000用SEH引发异常 JMP Loader 效果更佳
     
356. 
     
357.     //得到函数地址后需要对照相应系统，系统模块导出表中的序列号进行对照然后调用
     
358.     //到此这个CE脚本可以实现大部分API的调用和平时所需了
     
359. 
     
360.     // 在此处码任意代码即可用导出的函数地址进行 PUSH  CALL 调用系统API
     
361. 
     
362. //--------------------------------------------------------
     
363. 
     
364. SEH:
     
365. //这里写异常处理代码
     
366.         MOV EAX,DWORD PTR SS:[ESP+C]
     
367.         XOR ESI,ESI//---------寄存器清0
     
368. //---------------------------------------------------------
     
369. 
     
370.         MOV EDI,[base]
     
371. YBN:
     
372.         ADD EDI,4
     
373.         MOV ECX,DWORD PTR DS:[EDI]
     
374.         CMP ECX,4550
     
375.         JNZ YBN
     
376.         ADD EDI,28
     
377.         MOV ECX,[base]
     
378.         ADD ECX,[EDI]
     
379.         ADD ECX,5 // OEP 指令偏移检测是否写入硬件断点
     
380.         CMP ECX,returnhere
     
381.         JNZ MMN
     
382.         MOV EDI,[espsc]
     
383.         SUB EDI,4
     
384.         MOV DWORD PTR DS:[EAX+4],EDI//---------DR0写入ESP硬件断点
     
385.         MOV DWORD PTR DS:[EAX+18],???//硬件断点属性
     
386.         XOR EDI,EDI
     
387. 
     
388. //---------------------------------------------------------
     
389. 
     
390. MMN:
     
391.         //MOV DWORD PTR DS:[EAX+4],ESI//---------调试寄存器iDR0寄存器清0
     
392.         //MOV DWORD PTR DS:[EAX+8],ESI//---------调试寄存器iDR1寄存器清0
     
393.         //MOV DWORD PTR DS:[EAX+C],ESI//---------调试寄存器iDR2寄存器清0
     
394.         //MOV DWORD PTR DS:[EAX+10],ESI//---------调试寄存器iDR3寄存器清0
     
395.         //MOV DWORD PTR DS:[EAX+14],ESI//---------调试寄存器iDR6寄存器清0
     
396.         //MOV DWORD PTR DS:[EAX+18],ESI//---------调试寄存器iDR7寄存器清0
     
397.         //MOV DWORD PTR DS:[EAX+8C],ESI//---------regGs段寄存器清0
     
398.         //MOV DWORD PTR DS:[EAX+90],ESI//---------regFs段寄存器清0
     
399.         //MOV DWORD PTR DS:[EAX+94],ESI//---------regEs段寄存器清0
     
400.         //MOV DWORD PTR DS:[EAX+98],ESI//---------regDs段寄存器清0
     
401.         //MOV DWORD PTR DS:[EAX+9C],ESI//---------regEdi寄存器清0
     
402.         //MOV DWORD PTR DS:[EAX+A0],ESI//---------regEsi寄存器清0
     
403.         //MOV DWORD PTR DS:[EAX+A4],ESI//---------regEbx寄存器清0
     
404.         //MOV DWORD PTR DS:[EAX+A8],ESI//---------regEdx寄存器清0
     
405.         //MOV DWORD PTR DS:[EAX+AC],ESI//---------regEcx寄存器清0
     
406.         //MOV DWORD PTR DS:[EAX+B0],ESI//---------regEax寄存器清0
     
407.         //MOV DWORD PTR DS:[EAX+B4],ESI//---------regEbp寄存器清0
     
408.         //MOV DWORD PTR DS:[EAX+BC],ESI//---------regCs代码段寄存器清0
     
409.         //MOV DWORD PTR DS:[EAX+C0],ESI//---------regFlag标志寄存器清0
     
410.         //MOV DWORD PTR DS:[EAX+C4],ESI//---------regEsp寄存器清0
     
411.         //MOV DWORD PTR DS:[EAX+C8],ESI//---------regSs段寄存器清0
     
412.         MOV DWORD PTR DS:[EAX+B8],returnhere//---------这里是即将要跳到的位置
     
413.         XOR EAX,EAX
     
414.         RETN
     
415. 
     
416.     "pe.exe"+1000:           //注入代码的位置
     
417. 
     
418.   jmp newmem //返回地址 占用5字节对应OEP字节
     
419.   returnhere:

复制代码

大部分功能都注释了 就不贴脚本功能了   另:WIN7真蛋疼 - =

漆黑之翼

我看都没人敢回十二神触的帖子了

十二

。。。。。。。。。。。。修正了几个BUG，跑了趟网吧取了XP的virtualprotect序号 - =

#2L
      估计是太渣了没人看

漆黑之翼

回复 十二 的帖子

是太触了看不懂

十二

回复 漆黑之翼 的帖子

真心渣，用VC估计几十行就完事了，汇编是蠢B的语言。

然后借地问一下 Settransform 设置完变换矩阵的时候 顶点信息在哪里？如果这时候要取变换完得顶点数据应该怎么做？

十二

继续更新改变了一下备份策略，囧又挖了一大坑