佚名 向大家分享了当当养“鸡”专业户：pi2.2.0脱壳及连接200限制去除逆向工程 ,其中包含当当养“鸡”专业户：pi2.2.0脱壳及连接200限制去除逆向工程 等知识点,遇到此问题的同学们可以参考下
【文章标题】: 当当养“鸡”专业户！
【文章作者】: KOOK1991
【作者邮箱】: WeKnow@163.com
【作者QQ号】: 371161181
【软件名称】: Poison Ivy 2.2.0
【下载地址】: http://www.poisonivy-rat.com/
【加壳方式】: 未知
【编写语言】: Borland Delphi 6.0 - 7.0
【使用工具】: OllyICE、LoadPE、ImportREC、Topo
【操作平台】: Win9x/NT/2000/XP
【软件介绍】: 国外知名木马，服务端才几KB，强！
【作者声明】: 我是菜鸟我怕谁！！！
--------------------------------------------------------------------------------
【详细过程】
初中的时候一直认为拥有几千台肉鸡才叫“黑客”。眨眼间，两三年过去了，终于理解了“黑客”的真意，决心来看雪好
好学学。无奈高手太多，使我无地自容，近来偶有感想，便拿出来显摆显摆……
Poison Ivy，知道吧？很有名气的木马，可就不知道为啥在国内火不起来，但我挺爱用。（受不了一些哥们，这么小的木
马不用，成天背着几百KB的鸽子满天飞……）好东西总有限制，Poison Ivy 2.2.0也不例外，限制最大连接数为２００。
于是我抄起了家伙，上路了……
首先，阐述一下这回的破解目标：
对Poison Ivy 2.2.0进行逆向工程，增加自定义最大连接数的功能，以方便我们使用。让更多的人成为养“鸡”专业户，
从而脱贫、致富、奔小康！！！！！！
用PEiD查不出来壳，无奈。直接用OllyICE上，停在入口点：
005A3060 > 60 pushad
005A3061 E8 00000000 call 005A3066
005A3066 5D pop ebp
005A3067 81ED 725B4000 sub ebp, 00405B72
005A306D 64:A1 30000000 mov eax, dword ptr fs:[30]
005A3073 0FB640 02 movzx eax, byte ptr [eax 2]
005A3077 0AC0 or al, al
005A3079 74 04 je short 005A307F
005A307B 33C0 xor eax, eax
经验太少，看不出是什么壳:-(直接上。走过005A3060，直接用ESP定律“HE 0012FFA4”，F9运行，卡到这里：
005A3711 50 push eax ; PI.005A36C0
005A3712 33C0 xor eax, eax
005A3714 64:FF30 push dword ptr fs:[eax]
005A3717 64:8920 mov dword ptr fs:[eax], esp
005A371A EB 01 jmp short 005A371D
005A371C 8700 xchg dword ptr [eax], eax
005A371E 0000 add byte ptr [eax], al
005A3720 0000 add byte ptr [eax], al
005A3722 0000 add byte ptr [eax], al
005A3724 0000 add byte ptr [eax], al
F8一路向前
005A371D 0000 add byte ptr [eax], al ; 访问违规：正在写入到[00000000]
Shift F8，来到：
7C92EAF0 8B1C24 mov ebx, dword ptr [esp]
7C92EAF3 51 push ecx
7C92EAF4 53 push ebx
7C92EAF5 E8 C78C0200 call 7C9577C1
7C92EAFA 0AC0 or al, al
7C92EAFC 74 0C je short 7C92EB0A
7C92EAFE 5B pop ebx
7C92EAFF 59 pop ecx
7C92EB00 6A 00 push 0
7C92EB02 51 push ecx
7C92EB03 E8 11EBFFFF call ZwContinue
7C92EB08 EB 0B jmp short 7C92EB15
7C92EB0A 5B pop ebx
7C92EB0B 59 pop ecx
7C92EB0C 6A 00 push 0
7C92EB0E 51 push ecx
7C92EB0F 53 push ebx
7C92EB10 E8 3DF7FFFF call ZwRaiseException
Alt F9返回：
00519B33 00B0 97510055 add byte ptr [eax 55005197], dh
00519B39 8BEC mov ebp, esp ; 来到这里
00519B3B 83C4 F0 add esp, -10
00519B3E B8 D8975100 mov eax, 005197D8
00519B43 E8 1CD0EEFF call 00406B64
00519B48 A1 ACCF5100 mov eax, dword ptr [51CFAC]
00519B4D 8B00 mov eax, dword ptr [eax]
00519B4F E8 1822F7FF call 0048BD6C
00519B54 A1 ACCF5100 mov eax, dword ptr [51CFAC]
00519B59 8B00 mov eax, dword ptr [eax]
00519B5B BA 989B5100 mov edx, 00519B98 ; ASCII "Poison Ivy"
00519B60 E8 FF1DF7FF call 0048B964
00519B65 8B0D 90CE5100 mov ecx, dword ptr [51CE90] ; PI.0051F368
00519B6B A1 ACCF5100 mov eax, dword ptr [51CFAC]
00519B70 8B00 mov eax, dword ptr [eax]
00519B72 8B15 E8FB5000 mov edx, dword ptr [50FBE8] ; PI.0050FC34
00519B78 E8 0722F7FF call 0048BD84
哈哈，来到OEP，很熟悉的Delphi开头。用LoadPE修正镜像大小，完全Dump。再打开ImportREC，OEP填上00119B38，自动查
找INT -> 获取输入表 -> Fix Dump，脱壳OK~~~~~
为了保险起见，再用PEiD查一下脱壳后的文件――“Borland Delphi 6.0 - 7.0”，呵呵，没错，就是你！！
用Dede打开脱壳后的Poison Ivy，Dede卡住了，看来作者不是吃素的。
只好用OllyICE载入脱壳后的Poison Ivy -> Ultra String Reference -> Find ASCII。看了半天，终于找到了一句有用的
String：
Ultra String Reference, 条目 1813
Address=0051170A
Disassembly=mov edx, 00511844
Text String=please assign a password for the connection:
Ultra String Reference, 条目 1814
Address=0051170F
Disassembly=mov eax, 0051187C
Text String=new connection
直接双击来到这里
005116CD |. 50 push eax ; /Parm
005116CE |. 68 7E660480 push 8004667E ; |Cmd = FIONBIO
005116D3 |. 56 push esi ; |Socket
005116D4 |. E8 D7BDF7FF call ; \ioctlsocket
005116D9 |. 81BB 3C070000>cmp dword ptr [ebx 73C], 0C8
005116E3 |. 7C 0B jl short 005116F0
005116E5 |. 56 push esi ; /Socket
005116E6 |. E8 8DBDF7FF call ; \closesocket
005116EB |. E9 F7000000 jmp 005117E7
005116F0 |> 8D45 F4 lea eax, dword ptr [ebp-C]
005116F3 |. 8B15 ACF35100 mov edx, dword ptr [51F3AC]
005116F9 |. E8 0632EFFF call 00404904
005116FE |. 803D 9DF35100>cmp byte ptr [51F39D], 0
00511705 |. 74 12 je short 00511719
00511707 |. 8D4D F4 lea ecx, dword ptr [ebp-C]
0051170A |. BA 44185100 mov edx, 00511844 ; please assign a password for the connection:
0051170F |. B8 7C185100 mov eax, 0051187C ; new connection
00511714 |. E8 AB41F2FF call 004358C4
00511719 |> 8D4D C8 lea ecx, dword ptr [ebp-38]
哈哈，众里寻他千百度，蓦然回首――小样，你在这啊：
005116D9 |. 81BB 3C070000 C8000000 cmp dword ptr [ebx 73C], 0C8 ; 比较当前连接数和0C8（就是200嘛）
005116E3 |. 7C 0B jl short 005116F0 ; 小于200则跳
005116E5 |. 56
【文章作者】: KOOK1991
【作者邮箱】: WeKnow@163.com
【作者QQ号】: 371161181
【软件名称】: Poison Ivy 2.2.0
【下载地址】: http://www.poisonivy-rat.com/
【加壳方式】: 未知
【编写语言】: Borland Delphi 6.0 - 7.0
【使用工具】: OllyICE、LoadPE、ImportREC、Topo
【操作平台】: Win9x/NT/2000/XP
【软件介绍】: 国外知名木马，服务端才几KB，强！
【作者声明】: 我是菜鸟我怕谁！！！
--------------------------------------------------------------------------------
【详细过程】
初中的时候一直认为拥有几千台肉鸡才叫“黑客”。眨眼间，两三年过去了，终于理解了“黑客”的真意，决心来看雪好
好学学。无奈高手太多，使我无地自容，近来偶有感想，便拿出来显摆显摆……
Poison Ivy，知道吧？很有名气的木马，可就不知道为啥在国内火不起来，但我挺爱用。（受不了一些哥们，这么小的木
马不用，成天背着几百KB的鸽子满天飞……）好东西总有限制，Poison Ivy 2.2.0也不例外，限制最大连接数为２００。
于是我抄起了家伙，上路了……
首先，阐述一下这回的破解目标：
对Poison Ivy 2.2.0进行逆向工程，增加自定义最大连接数的功能，以方便我们使用。让更多的人成为养“鸡”专业户，
从而脱贫、致富、奔小康！！！！！！
用PEiD查不出来壳，无奈。直接用OllyICE上，停在入口点：
005A3060 > 60 pushad
005A3061 E8 00000000 call 005A3066
005A3066 5D pop ebp
005A3067 81ED 725B4000 sub ebp, 00405B72
005A306D 64:A1 30000000 mov eax, dword ptr fs:[30]
005A3073 0FB640 02 movzx eax, byte ptr [eax 2]
005A3077 0AC0 or al, al
005A3079 74 04 je short 005A307F
005A307B 33C0 xor eax, eax
经验太少，看不出是什么壳:-(直接上。走过005A3060，直接用ESP定律“HE 0012FFA4”，F9运行，卡到这里：
005A3711 50 push eax ; PI.005A36C0
005A3712 33C0 xor eax, eax
005A3714 64:FF30 push dword ptr fs:[eax]
005A3717 64:8920 mov dword ptr fs:[eax], esp
005A371A EB 01 jmp short 005A371D
005A371C 8700 xchg dword ptr [eax], eax
005A371E 0000 add byte ptr [eax], al
005A3720 0000 add byte ptr [eax], al
005A3722 0000 add byte ptr [eax], al
005A3724 0000 add byte ptr [eax], al
F8一路向前
005A371D 0000 add byte ptr [eax], al ; 访问违规：正在写入到[00000000]
Shift F8，来到：
7C92EAF0 8B1C24 mov ebx, dword ptr [esp]
7C92EAF3 51 push ecx
7C92EAF4 53 push ebx
7C92EAF5 E8 C78C0200 call 7C9577C1
7C92EAFA 0AC0 or al, al
7C92EAFC 74 0C je short 7C92EB0A
7C92EAFE 5B pop ebx
7C92EAFF 59 pop ecx
7C92EB00 6A 00 push 0
7C92EB02 51 push ecx
7C92EB03 E8 11EBFFFF call ZwContinue
7C92EB08 EB 0B jmp short 7C92EB15
7C92EB0A 5B pop ebx
7C92EB0B 59 pop ecx
7C92EB0C 6A 00 push 0
7C92EB0E 51 push ecx
7C92EB0F 53 push ebx
7C92EB10 E8 3DF7FFFF call ZwRaiseException
Alt F9返回：
00519B33 00B0 97510055 add byte ptr [eax 55005197], dh
00519B39 8BEC mov ebp, esp ; 来到这里
00519B3B 83C4 F0 add esp, -10
00519B3E B8 D8975100 mov eax, 005197D8
00519B43 E8 1CD0EEFF call 00406B64
00519B48 A1 ACCF5100 mov eax, dword ptr [51CFAC]
00519B4D 8B00 mov eax, dword ptr [eax]
00519B4F E8 1822F7FF call 0048BD6C
00519B54 A1 ACCF5100 mov eax, dword ptr [51CFAC]
00519B59 8B00 mov eax, dword ptr [eax]
00519B5B BA 989B5100 mov edx, 00519B98 ; ASCII "Poison Ivy"
00519B60 E8 FF1DF7FF call 0048B964
00519B65 8B0D 90CE5100 mov ecx, dword ptr [51CE90] ; PI.0051F368
00519B6B A1 ACCF5100 mov eax, dword ptr [51CFAC]
00519B70 8B00 mov eax, dword ptr [eax]
00519B72 8B15 E8FB5000 mov edx, dword ptr [50FBE8] ; PI.0050FC34
00519B78 E8 0722F7FF call 0048BD84
哈哈，来到OEP，很熟悉的Delphi开头。用LoadPE修正镜像大小，完全Dump。再打开ImportREC，OEP填上00119B38，自动查
找INT -> 获取输入表 -> Fix Dump，脱壳OK~~~~~
为了保险起见，再用PEiD查一下脱壳后的文件――“Borland Delphi 6.0 - 7.0”，呵呵，没错，就是你！！
用Dede打开脱壳后的Poison Ivy，Dede卡住了，看来作者不是吃素的。
只好用OllyICE载入脱壳后的Poison Ivy -> Ultra String Reference -> Find ASCII。看了半天，终于找到了一句有用的
String：
Ultra String Reference, 条目 1813
Address=0051170A
Disassembly=mov edx, 00511844
Text String=please assign a password for the connection:
Ultra String Reference, 条目 1814
Address=0051170F
Disassembly=mov eax, 0051187C
Text String=new connection
直接双击来到这里
005116CD |. 50 push eax ; /Parm
005116CE |. 68 7E660480 push 8004667E ; |Cmd = FIONBIO
005116D3 |. 56 push esi ; |Socket
005116D4 |. E8 D7BDF7FF call ; \ioctlsocket
005116D9 |. 81BB 3C070000>cmp dword ptr [ebx 73C], 0C8
005116E3 |. 7C 0B jl short 005116F0
005116E5 |. 56 push esi ; /Socket
005116E6 |. E8 8DBDF7FF call ; \closesocket
005116EB |. E9 F7000000 jmp 005117E7
005116F0 |> 8D45 F4 lea eax, dword ptr [ebp-C]
005116F3 |. 8B15 ACF35100 mov edx, dword ptr [51F3AC]
005116F9 |. E8 0632EFFF call 00404904
005116FE |. 803D 9DF35100>cmp byte ptr [51F39D], 0
00511705 |. 74 12 je short 00511719
00511707 |. 8D4D F4 lea ecx, dword ptr [ebp-C]
0051170A |. BA 44185100 mov edx, 00511844 ; please assign a password for the connection:
0051170F |. B8 7C185100 mov eax, 0051187C ; new connection
00511714 |. E8 AB41F2FF call 004358C4
00511719 |> 8D4D C8 lea ecx, dword ptr [ebp-38]
哈哈，众里寻他千百度，蓦然回首――小样，你在这啊：
005116D9 |. 81BB 3C070000 C8000000 cmp dword ptr [ebx 73C], 0C8 ; 比较当前连接数和0C8（就是200嘛）
005116E3 |. 7C 0B jl short 005116F0 ; 小于200则跳
005116E5 |. 56