#themida

윈도우 10에 대한 App을 만들어 볼 계획이라 기존의 HyperV에서 만들어둔 개발용 가상머신을 사용하지 않고 베이스에 윈도우 10과 vs2015등을 다 깔아버렸습니다. 이 작업을 위해서는 에뮬레이터가 필요해 가상머신에서는 무리.. HyperV도 꺼버렸습니다 ㅠㅡ

어찌됐건 베이스에 이것 저것 쓰게되니 카카오톡을 킬때 위와 같은 에러메세지가 뜨게 됐습니다..

이게 대체 뭔일인가 하고 이것 저것 검색해보니

http://www.sysnet.pe.kr/2/0/1561

정성태님의 말로는 Process Monitor(Procmon.exe)이 문제라고 하는군요.

procmon.exe가 실행 된 후 procmon23.sys라는 드라이버를 로드되고 procmon.exe가 종료되도 해당 드라이버는 언로드 되지 않는 문제입니다.

정성태님은 리붓을 하면 된다고 하셨으나 실제론 해결이 안되고 현상이 지속 되길레 그 후 이것저것 알아보니 저 글을 작성 후 정책이 변한건지 잘못 알고 계셨던 것인지 모르겠으나

process Monitor는 다중 클라이언트를 지원하는데 이 상황에서 안전하게 드라이버를 언로드할 타이밍을 찾지 못한다는 것이 드라이버 언로드 불가의 이유이다.

그래서 수동으로 제거를 해줘야합니다...

https://technet.microsoft.com/en-us/sysinternals/bb963902

위의 Autoruns를 이용하여 드라이버탭에서 제거 후 리붓을 해주셔도 되고

레지스트리를 직접 수정해주셔도 됩니다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PROCMON23

     今天用stdbg分析一个handler的时候，发现处理以后的代码执行会导致虚拟机crash，通过开关各种处理函数，发现问题出现在块处理函数，打开这个功能以后就会导致异常。打开源代码看了一会，发现没任何问题，于是就查看块处理函数的处理记录，一共20多个记录，逐一分析，也没发现有问题。

    挠挠头，继续开关函数，发现寄存器优化和块处理同时打开会导致异常，打开a关闭b或者打开b关闭a都可以正常执行，但是同时打开就会crash。继续查看寄存器优化代码，进一步分析，发现是其中的一种优化不能和块处理同时打开，老规矩，还是先看这个优化处理的记录，一共30多个，看了下，也没发现什么问题。看看代码，也没发现什么问题。

    想了一下，既然是同时打开的时候才会导致异常，那说明应该是某一个处理以后的代码在另外一个里面也调用了，那就比对两种情况的记录吧，大约是1千多行，查看了一会，发现完全没有头绪，绕来绕去把自己绕昏了。

     休息了一下，想到可以直接比对最终生成的代码，用ue比对之，发现有几十个地方不同，逐一观察，去掉明显正确的，剩下只有2句有点奇怪，比对下原始代码，发现实际上是另外一个规则处理有漏洞，处理之，至此处理完毕，花费大约5个小时。

此分析文档仅针对版本2.1.6.0，不保证其他版本的themida也可适用。为了完成下面工作，你需要用到汇编引擎，反汇编引擎，汇编执行引擎

1.themida代码块混淆

themida对原始代码加了花以后，会将整段代码随机分块（也可能不是随机），

然后将各个代码块以新的顺序重新排列，为了便于最终阅读分析，我们需要还原代码块顺序。

这个问题其实比较简单，首先遍历所有代码，统计出各行代码的跳转点，以及跳转来源点，

如果某行的跳转来源点只有一个，那么他应该和来源点实际上应该是连续分布的。

这样处理完毕以后，所有的代码块尾部应当都是型如jmp的指令，把所有代码块依次排列，

themida的花基本上有2种原理,

第一种花是基于数值的变化,例如

00B69796   B4 03                            MOV AH, 03                          

00B69798   80 CC 4D                         OR AH, 4D                           

00B6979B   80 E4 FB                         AND AH, FB                          

00B6979E   80 EC B3                         SUB AH, B3                          

00B697A1   80 C4 21                         ADD AH, 21                          

00B697A4   80 F4 39                         XOR AH, 39                          

00B69800   B9 AD 48 6E 46                   MOV ECX, 466E48AD                   

00B69805   C1 E1 04                         SHL ECX, 04                         

00B69808   81 F1 D0 8A E4 66                XOR ECX, 66E48AD0                   

00B6980E   89 CA                            MOV EDX, ECX                        

00B69810   81 C1 39 29 05 04                ADD ECX, 04052939                   

对于这种花，我们需要一个可以执行汇编的引擎，并且能跟踪所有寄存器的数值变化，以去除这些花。

第二种花是基于指令形式的变换，这种的变化格式非常多，例如

00B567DA   FF 30                                PUSH DWORD PTR [EAX]            

00B567DC   5D                                   POP EBP                         

等价于

mov ebp, [eax]

00B6981A   50                                   PUSH EAX                        

00B6981B   B8 00 00 00 00                       MOV EAX, 00000000               

00B69820   01 D0                                ADD EAX, EDX                    

00B69822   8A 08                                MOV CL, BYTE PTR [EAX]          

00B69824   58                                   POP EAX                         

等价于

mov cl, byte prt [edx+0]

对于这种花，我们需要一个类似正则表达式匹配的功能，针对每一种格式，编写对于的特征码以及等价代码的规则。在themida更新规则之后，需要及时更新规则。