|
在试着脱一个HASP狗壳,遇到问题 (已搞定)
昨晚终于把壳脱掉了,不能用迷信PEID的OEP,有些IAT地方要手工去跟踪处理,然后用LORDPE脱出来可以用,用OD脱的好像还有点问题。 HASP,呵呵 |
|
在试着脱一个HASP狗壳,遇到问题 (已搞定)
谢谢大老,大老怎么也还是初级会员哪,是HASP4.96的版本,据说作了个对照表,专门HOOK函数的(楞是没弄明白这个单词,),这是在EXETOOL上面的高人说的,以前只有两个函数KERNEL32中的GETPROCEADDRESS EXITPROCESS,要手工调整,现在据说有N多 |
|
在试着脱一个HASP狗壳,遇到问题 (已搞定)
还有一个问题想说一下,看了很多其他老大的破解文章,就是没清楚怎样才是真正的OEP, 下面是循环解码的地方,但是像上面调用函数的地方都是一段段的:confused 007C07AB FF45 EC inc dword ptr ss:[ebp-14] 007C07AE C0EA 40 shr dl,40 007C07B1 8AE4 mov ah,ah 007C07B3 8B45 EC mov eax,dword ptr ss:[ebp-14] 007C07B6 3945 10 cmp dword ptr ss:[ebp+10],eax 007C07B9 ^ 0F86 BDE9FFFF jbe license.007BF17C ; 007C07BF 8BED mov ebp,ebp 007C07C1 66:C1E0 20 shl ax,20 007C07C5 77 03 ja short license.007C07CA 007C07C7 DDD9 fstp st(1) 007C07C9 2AC0 sub al,al 007C07CB EB 40 jmp short license.007C080D 007C07CD 66:87EF xchg di,bp 007C07D0 66:87FD xchg bp,di 007C07D3 8B45 EC mov eax,dword ptr ss:[ebp-14] 007C07D6 8B4D 0C mov ecx,dword ptr ss:[ebp+C] 007C07D9 8A0401 mov al,byte ptr ds:[ecx+eax] 007C07DC 8B4D EC mov ecx,dword ptr ss:[ebp-14] 007C07DF 86E9 xchg cl,ch 007C07E1 96 xchg eax,esi 007C07E2 96 xchg eax,esi 007C07E3 86CD xchg ch,cl 007C07E5 8B55 08 mov edx,dword ptr ss:[ebp+8] 007C07E8 88040A mov byte ptr ds:[edx+ecx],al 在这里更改 007C07EB ^ EB BE jmp short license.007C07AB ; : |
|
在试着脱一个HASP狗壳,遇到问题 (已搞定)
软件又升级了一个版本,原来的版本用PEID探出来的OEP,导出后用两个函数修复不了,现在是4.96的有几十个,查了一晚上的国外网站,讲模拟的多,讲破解的少, 老版本中下硬件访问断点,有找到循环解码的地方,但解码出来就是下面这个样子,不知道为什么,再往后跟,陷入程序自身无穷无尽的循环中,很难走到PEID探出来的OEP处,即使下了断点也不行. 005C4060 - FF25 28446A00 jmp dword ptr ds:[6A4428] ; kernel32.GetModuleHandleA 005C4066 - FF25 B8446A00 jmp dword ptr ds:[6A44B8] ; license.007B59A9 005C406C - FF25 B4446A00 jmp dword ptr ds:[6A44B4] ; kernel32.LoadLibraryA 005C4072 - FF25 FC426A00 jmp dword ptr ds:[6A42FC] ; ntdll.RtlUnwind 005C4078 - FF25 5C466A00 jmp dword ptr ds:[6A465C] ; USER32.ReuseDDElParam 005C407E - FF25 58466A00 jmp dword ptr ds:[6A4658] ; USER32.UnpackDDElParam 005C4084 - FF25 8C496A00 jmp dword ptr ds:[6A498C] ; WINSPOOL.ClosePrinter 005C408A - FF25 88496A00 jmp dword ptr ds:[6A4988] ; WINSPOOL.DocumentPropertiesA 005C4090 - FF25 84496A00 jmp dword ptr ds:[6A4984] ; WINSPOOL.OpenPrinterA 005C4096 - FF25 80496A00 jmp dword ptr ds:[6A4980] ; WINSPOOL.GetJobA 005C409C - FF25 244A6A00 jmp dword ptr ds:[6A4A24] ; oledlg.OleUIBusyA 005C40A2 CC int3 |
|
在试着脱一个HASP狗壳,遇到问题 (已搞定)
老大,这个不带狗脱可能不行的,非要带狗脱才可以,我再练习一下,实在不行,就把安装文件发给你,谢谢。 |
|
在试着脱一个HASP狗壳,遇到问题 (已搞定)
难搞啊,很多东西需要恶补, 我在硬件写入断点后,即hw 401fc8,发现该地址从头至尾只被改变过一次, 但在 OD中搜索出来的模块间调用却有很多地方在调用license.007B59A9 这个CALL, 有没大侠指点一些关于 花指令与IAT加密 的有关文章, 因为这个软件 很多地方是 005F5F3A 82A1 AA7CD505 0E and byte ptr ds:[ecx+5D57CAA]> 005F5F41 B0 EC mov al,0EC 005F5F43 6A FF push -1 005F5F45 68 C813AC00 push 0AC13C8 005F5F4A 68 CCD55B00 push license.005BD5CC 005F5F4F 64:A1 00000000 mov eax,dword ptr fs:[0] 005F5F55 50 push eax 005F5F56 64:8925 00000000 mov dword ptr fs:[0],esp 这样的,当运行到那个地方时,又会一点点的变,我想应该是传说中的花指令吧. 苦苦苦,追追追 |
|
在试着脱一个HASP狗壳,遇到问题 (已搞定)
非常感谢两位,用PEID 只能探测到OEP,但是在自动脱的过程中,会停滞不前,当把被保护程序关掉时,会出现 “Debugee exited...”字样,手动脱,有两个指针用ImportRec也修复不了,剪切掉之后也不能运行,我在学习一下IAT加密的东东,或许会进一点步。 再次感谢!! |
操作理由
RANk
{{ user_info.golds == '' ? 0 : user_info.golds }}
雪币
{{ experience }}
课程经验
{{ score }}
学习收益
{{study_duration_fmt}}
学习时长
基本信息
荣誉称号:
{{ honorary_title }}
能力排名:
No.{{ rank_num }}
等 级:
LV{{ rank_lv-100 }}
活跃值:
在线值:
浏览人数:{{ visits }}
最近活跃:{{ last_active_time }}
注册时间:{{ user_info.create_date_jsonfmt }}
勋章
兑换勋章
证书
证书查询 >
能力值