|
穿山甲壳,求脱壳步骤
你先斷在GetModuleHandleA /*7C80B736*/ cmp dword ptr ss:[ebp+8],0 /*7C80B73A*/ je short 7C80B754 /*7C80B73C*/ push dword ptr ss:[ebp+8] 我是都斷在je short 7C80B754這個地方 然後看堆棧,直到出現VirtualAlloc,在一次F9應該是Virtual Free,在一次就會沒有標誌,到這裡之後按alt+F9 你應該會到一個類似 /*119F457*/ call dword ptr ds:[124B090] /*119F45D*/ mov edx,dword ptr ss:[ebp-8] /*119F460*/ mov ecx,dword ptr ds:[1272C0C] /*119F466*/ mov dword ptr ds:[ecx+edx*4],eax /*119F469*/ mov edx,dword ptr ss:[ebp-8] /*119F46C*/ mov eax,dword ptr ds:[1272C0C] /*119F471*/ cmp dword ptr ds:[eax+edx*4],0 /*119F475*/ jnz short 0119F4D6 /*119F477*/ mov ecx,dword ptr ss:[ebp-4] /*119F47A*/ mov edx,dword ptr ds:[ecx+8] /*119F47D*/ and edx,2 /*119F480*/ je short 0119F4BD /*119F482*/ mov eax,9 /*119F487*/ shl eax,2 /*119F48A*/ mov ecx,dword ptr ds:[126FF4C] /*119F490*/ mov edx,dword ptr ds:[126FF4C] /*119F496*/ mov esi,dword ptr ds:[126FF4C] /*119F49C*/ mov ebx,dword ptr ds:[esi+10] /*119F49F*/ xor ebx,dword ptr ds:[edx+88] /*119F4A5*/ xor ebx,dword ptr ds:[ecx+eax] /*119F4A8*/ and ebx,10 /*119F4AB*/ neg ebx /*119F4AD*/ sbb ebx,ebx /*119F4AF*/ neg ebx /*119F4B1*/ movzx eax,bl /*119F4B4*/ test eax,eax /*119F4B6*/ jnz short 0119F4BD /*119F4B8*/ jmp 0119F3D2 /*119F4BD*/ lea ecx,dword ptr ss:[ebp-110] /*119F4C3*/ push ecx /*119F4C4*/ call dword ptr ds:[124B098] /*119F4CA*/ mov edx,dword ptr ss:[ebp-8] /*119F4CD*/ mov ecx,dword ptr ds:[1272C0C] /*119F4D3*/ mov dword ptr ds:[ecx+edx*4],eax /*119F4D6*/ mov edx,dword ptr ss:[ebp-8] /*119F4D9*/ mov eax,dword ptr ds:[1272C0C] /*119F4DE*/ cmp dword ptr ds:[eax+edx*4],0 /*119F4E2*/ jnz short 0119F4E9 /*119F4E4*/ jmp 0119F3D2 這樣子的代碼段 接著我們要找magic jump,也就是加密iat的關鍵jmp /*119F4C4*/ call dword ptr ds:[124B098] /*119F4CA*/ mov edx,dword ptr ss:[ebp-8] /*119F4CD*/ mov ecx,dword ptr ds:[1272C0C] /*119F4D3*/ mov dword ptr ds:[ecx+edx*4],eax /*119F4D6*/ mov edx,dword ptr ss:[ebp-8] /*119F4D9*/ mov eax,dword ptr ds:[1272C0C] /*119F4DE*/ cmp dword ptr ds:[eax+edx*4],0 /*119F4E2*/ jnz short 0119F4E9 ;這個就是magic jmp,我們把它改成nop /*119F4E4*/ jmp 0119F3D2 接著 斷在 CreateThread 或者輸入bp CreateThread也可以 小弟都是斷在CreateThread的末端 然後alt+f9應該會回到程式領空 接著就慢慢單步走 retn之後,應該會看到這樣的代碼 /*11BCFB2*/ jnz short 011BCFF7 /*11BCFB4*/ mov ecx,dword ptr ds:[126FF4C] /*11BCFBA*/ mov edx,dword ptr ds:[126FF4C] /*11BCFC0*/ mov eax,dword ptr ds:[ecx+2C] /*11BCFC3*/ xor eax,dword ptr ds:[edx+88] /*11BCFC9*/ mov ecx,dword ptr ds:[126FF4C] /*11BCFCF*/ xor eax,dword ptr ds:[ecx+60] /*11BCFD2*/ mov dword ptr ss:[ebp-20],eax /*11BCFD5*/ mov edx,dword ptr ss:[ebp+8] /*11BCFD8*/ mov eax,dword ptr ds:[edx+18] /*11BCFDB*/ push eax /*11BCFDC*/ mov ecx,dword ptr ss:[ebp+8] /*11BCFDF*/ mov edx,dword ptr ds:[ecx+14] /*11BCFE2*/ push edx /*11BCFE3*/ mov eax,dword ptr ss:[ebp+8] /*11BCFE6*/ mov ecx,dword ptr ds:[eax+10] /*11BCFE9*/ push ecx /*11BCFEA*/ mov edx,dword ptr ss:[ebp-C] /*11BCFED*/ sub edx,dword ptr ss:[ebp-20] /*11BCFF0*/ call edx /*11BCFF2*/ mov dword ptr ss:[ebp-4],eax /*11BCFF5*/ jmp short 011BD042 /*11BCFF7*/ mov eax,dword ptr ss:[ebp+8] /*11BCFFA*/ cmp dword ptr ds:[eax],1 /*11BCFFD*/ jnz short 011BD042 /*11BCFFF*/ mov ecx,dword ptr ds:[126FF4C] /*11BD005*/ mov edx,dword ptr ds:[126FF4C] /*11BD00B*/ mov eax,dword ptr ds:[ecx+2C] /*11BD00E*/ xor eax,dword ptr ds:[edx+88] /*11BD014*/ mov ecx,dword ptr ds:[126FF4C] /*11BD01A*/ xor eax,dword ptr ds:[ecx+60] /*11BD01D*/ mov dword ptr ss:[ebp-24],eax /*11BD020*/ mov edx,dword ptr ss:[ebp+8] /*11BD023*/ mov eax,dword ptr ds:[edx+4] /*11BD026*/ push eax /*11BD027*/ mov ecx,dword ptr ss:[ebp+8] /*11BD02A*/ mov edx,dword ptr ds:[ecx+8] /*11BD02D*/ push edx /*11BD02E*/ push 0 /*11BD030*/ mov eax,dword ptr ss:[ebp+8] /*11BD033*/ mov ecx,dword ptr ds:[eax+C] /*11BD036*/ push ecx /*11BD037*/ mov edx,dword ptr ss:[ebp-C] /*11BD03A*/ sub edx,dword ptr ss:[ebp-24] /*11BD03D*/ call edx ;OEP 接著就單步走,走道11bd03d的call edx,第一個call edx會跳過,就到OEP了 之後就是修復IAT,這個程序沒有其他的加密方式,所以直接dump,然後修復IAT即可 IAT有無效的就直接cut |
|
|
|
请高人指点破解oracle软件golden32 6.0.0.641,非常感谢。
映像中我已經幫你破解了 0.0,先試看看運行過程中有沒有問題。 |
|
[求助]很多人都说破不了.无壳的小软件!
有程序嗎,發來給我看看。 |
|
[求助] 哪位高手帮忙看看这是什么壳?PEID等检测不出来,看EP段又不懂
想幫你,但是還是臨時會員,下載要錢 |
|
[求助]OD分析游戏时强制退出
是出現terminated還是直接被關掉。 |
操作理由
RANk
{{ user_info.golds == '' ? 0 : user_info.golds }}
雪币
{{ experience }}
课程经验
{{ score }}
学习收益
{{study_duration_fmt}}
学习时长
基本信息
荣誉称号:
{{ honorary_title }}
能力排名:
No.{{ rank_num }}
等 级:
LV{{ rank_lv-100 }}
活跃值:
在线值:
浏览人数:{{ visits }}
最近活跃:{{ last_active_time }}
注册时间:{{ user_info.create_date_jsonfmt }}
勋章
兑换勋章
证书
证书查询 >
能力值