首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
用LOADDLL无法调试的DLL壳[讨论]
发表于: 2005-3-21 14:16 5478

用LOADDLL无法调试的DLL壳[讨论]

脱脱 活跃值
2005-3-21 14:16
5478
ＤＬＬ下载地址（无法上传附件，这好放在网络硬盘里）　
http://exedll.ys168.com/

这个好奇怪的ＤＬＬ壳
用ＯＤ打开后，会自动中断在003D0042，无法调试的异常．（用ＰＥＩＤ查看壳入口应该是　0006EF8E　），按Ｆ８，程序就终止了．根本无法进于壳入口
在３Ｄ０００下硬件访问也无法断下．．
003D0000     E8 24000000        call 003D0029
003D0005     8B4424 04          mov eax,dword ptr ss:[esp+4]
003D0009     8B00               mov eax,dword ptr ds:[eax]
003D000B     3D 04000080        cmp eax,80000004
003D0010     75 08              jnz short 003D001A
003D0012     8B6424 08          mov esp,dword ptr ss:[esp+8]
003D0016     EB 04              jmp short 003D001C
003D0018     58                 pop eax
003D0019     EB 0C              jmp short 003D0027
003D001B   - E9 648F0500        jmp 00428F84
003D0020     0000               add byte ptr ds:[eax],al
003D0022     0074F3 75          add byte ptr ds:[ebx+esi*8+75],dh
003D0026     F1                 int1
003D0027     EB 24              jmp short 003D004D
003D0029     64:FF35 00000000   push dword ptr fs:[0]
003D0030     EB 12              jmp short 003D0044
003D0032     FF9C74 037501E9    call far fword ptr ss:[esp+esi*2+E9017503]
003D0039     810C24 00010000    or dword ptr ss:[esp],100
003D0040     9D                 popfd
003D0041     90                 nop
003D0042   ^ EB F4              jmp short 003D0038

只好在ＬＯＡＤＬＬ．ＥＸＥ
004100AF   |.  E8 FC090000      call <jmp.&KERNEL32.LoadLibraryA>             ; \LoadLibraryA
调用ＤＬＬ处下断点，然后在３Ｄ０００下硬件访问，才能断下，可是
跟到3D0042　处，还是无法跳过003D0042，无法调试的异常，请高手指点


[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (7)
laoqian
雪    币： 332
活跃值： (479)
能力值： ( LV9，RANK：330 )
在线值：
发帖
回帖
粉丝
私信
2 楼
003D0042   ^ EB F4              jmp short 003D0038
003D0038在哪里呢？
这是一段花指令？
2005-3-21 15:41
0
goldenegg
雪    币： 216
活跃值： (370)
能力值： ( LV7，RANK：100 )
在线值：
发帖
回帖
粉丝
私信
3 楼 
100093AB                                 00                  db 00
100093AC                                 00                  db 00
100093AD                                 00                  db 00
100093AE                                 00                  db 00
100093AF                                 00                  db 00
100093B0                                 00                  db 00
100093B1                                 00                  db 00
100093B2                                 00                  db 00
100093B3                                 00                  db 00
100093B4                                 00                  db 00
100093B5                                 00                  db 00
100093B6                                 00                  db 00
100093B7                                 00                  db 00
100093B8                                 00                  db 00
100093B9                                 00                  db 00
100093BA                                 00                  db 00
100093BB                                 00                  db 00
100093BC                                 00                  db 00
100093BD                                 00                  db 00
100093BE                                 00                  db 00
100093BF                                 00                  db 00
100093C0                                 00                  db 00
100093C1                              .  837D 0C 01          cmp dword ptr ss:[ebp+C],1

说明，OEP在100093AB到100093C1之间，前面被偷了若干指令。
你可以用我的ollyhelper，可以轻易地断在dll的ep（不是OEP！）处
我用peid 0.92查得是DBPE 2.x -> Ding Boy
不过它实际上并不是dbpe.
2005-3-21 21:10
0
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
4 楼
不要忘了还有DLL_Loader.exe
2005-3-21 21:45
0
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
5 楼
hying's PEArmor V0.7X -> hying
2005-3-21 21:48
0
采臣·宁
雪    币： 161
活跃值： (231)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
6 楼
的确是HYING的壳，我闪
2005-3-21 22:14
0
脱脱
雪    币： 209
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
谢谢　 goldenegg  提供的工具，确实可以断在ＤＬＬ的ＥＰ处了～～～～～～～～～～
难怪这壳这么厉害了，原来是
hying's PEArmor V0.7X -> hying
的壳哈～～～～～～～～～～～慢慢研究研究～～～～
论坛有没有ＨＹＩＮＧ的ＤＬＬ教程呢～～～
2005-3-22 12:50
0
脱脱
雪    币： 209
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
跟踪了一下，，从ＤＬＬ的ＥＰ处跟踪然后程序先在３Ｄ００００生成一段代码，然后在ＪＭＰ　ＥＤＸ　跳进去执行　

在　003D0042   ^ EB F4              jmp short 003D0038
处还是会出现　调试异常，改怎么处理呢～～～
2005-3-22 13:17
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//