-
-
[原创]yoda's Protector V1.03.3静态脱壳机(附源码)
-
发表于: 2010-7-19 15:48
-
稀里糊涂过了一年,找了份工作.pe格式忘得差不多了.所以拿此壳来练手
给新手朋友们一点参考,希望大牛们多拍砖与指点.可能以后的工作会跟壳有关了
说下大概流程:
1.首先解密shell代码的两处加密,由于yp的加密方式有了一点小动态.所以采取了动态抠代码的方式来解密的.(直接用opcode比较效率高一些,人懒了点.带了个反汇编引擎.见谅)
2.对加密的节区进行三次解密.
3.如有资源节,则还原.并替换掉.x01节为.rsrc
4.还原IAT,将.yp节删掉
5.修复OEP,sizeofImage等等信息.
6.dump2file.
ps:写完后才发现此壳开源的,有意向的朋友可看源码学习
Yoda's Protector v1.03.3主程序下载地址:
http://www.pediy.com/tools/PACK/Protectors/yodap/yp1.03.3.zip
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
呐尼,我好像是这么做的阿
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
谢谢分享，学习之。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 不错啊
|
|
|
正好用得上，谢谢了
 |
|
|
|
|
|
|
|
|
|
|
|
你好，我想问个问题哈，这个源码在VC6.0运行ok，但是在VS2010中运行有问题。我分析了一下，问题在于
////解密壳的数据段 if(CollectDecodeCode(pSecondDecodeAddr+0x816,pSecondDecodeAddr,0x67D)){//ybm CallDecode(); } 这一段中，VS里pSecondDecodeAddr指向的内存内容与与VC中是一样的，但是加上0x816之后，指向的内容就不一样了，也就是说在VC和VS中调用CollectDecodeCode函数时传入的第一个参数的值看起来是一样的，但是所指向的内容是不同的，因此VS中程序最终挂掉了，在这个判断句中直接返回false。 我很想问的是，pSecondDecodeAddr指向的内存内容都是一样的，为什么加上一个偏移以后指向的就不一样了呢？难道，同一个文件在被装入内存后，对于VS和VC来说内存里的数据是不同的吗？ 万分感谢！！！！！！！！！ VC6.0中：pSecondDecodeAddr  VS2010中pSecondDecodeAddr  VC6.0中：pSecondDecodeAddr+0x816  VS2010中：pSecondDecodeAddr+0x816  出错语句： 
|
