-
-
[旧帖] [求助]小菜求助脱壳DLL之后修复后仍无法运行 0.00雪花
-
发表于: 2010-10-24 15:14
-
偶遇到一个DLL,经PEID 查看后，加壳信息为“ASProtect 2.1x SKE -> Alexey Solodovnikov”，如下图：
用ollydbg打开加载，选用从网上下载的插件脚本“ASProtect 2.3 SKE的脱壳脚本.osc”去壳，中间提示过“Fix call xxxxxxx now?”选择是，，之后弹出“IAT fixed. No stolen code at the OEP! Check the address and size of IAT in log window”，选择确定。然后查看记录，最下面信息为“reloc_rav:000F7000
reloc_size:00000B88
iatstartaddr:1001C000
iatstartaddr:0001C000
iatsize:0000018C
当执行[10012CFA]时设置内存断点
OEP_rva:00012CFA”
如下图：
之后，没有关闭OD,直接运行ImportREC，通过进程选择loaddll.exe,再选取该DLL，在OEP处填写00012CFA，在RVA处填写0001C000，在大小处填写0000018C，然后点击“获取输入信息”
显示如下图：
发现有无效函数，点击无效函数按钮，只找到了一个无效函数，右键该函数，跟踪级别1，失败，再右键该函数，“剪切指针”。得到全部有效函数，显示如下图：
确认全部为有效函数后，点击“修复转存”，选取刚才OD得到的un_TH_PAT.dll，发现新生成了一个un_TH_PAT_.dll文件。认为这个文件为修复后的文件，用PEID查看刚生成的文件，为无壳，Microsoft Visual C++ 6.0 DLL编写的，如下图
最后，我把修复后的un_TH_PAT_.dll文件，改名，命名为程序用的真实名字，发现程序依然无法运行，提示，没有找到核心库。至此觉得脱壳失败，后又听说用LoadPE 重建PE,我也拭了一下，选择重建PE按钮，选择最后修复的DLL,如下图
重建完毕后，依然无法运行，提示，没有找到核心库。
现在可以肯定，脱壳失败，但我不明白的是，用PEID查看修复后的DLL，也没有壳了啊，为什么还是不能运行呢，问题出在什么地方了呢，请高手指点一下。
用ollydbg打开加载，选用从网上下载的插件脚本“ASProtect 2.3 SKE的脱壳脚本.osc”去壳，中间提示过“Fix call xxxxxxx now?”选择是，，之后弹出“IAT fixed. No stolen code at the OEP! Check the address and size of IAT in log window”，选择确定。然后查看记录，最下面信息为“reloc_rav:000F7000
reloc_size:00000B88
iatstartaddr:1001C000
iatstartaddr:0001C000
iatsize:0000018C
当执行[10012CFA]时设置内存断点
OEP_rva:00012CFA”
如下图：
之后，没有关闭OD,直接运行ImportREC，通过进程选择loaddll.exe,再选取该DLL，在OEP处填写00012CFA，在RVA处填写0001C000，在大小处填写0000018C，然后点击“获取输入信息”
显示如下图：
发现有无效函数，点击无效函数按钮，只找到了一个无效函数，右键该函数，跟踪级别1，失败，再右键该函数，“剪切指针”。得到全部有效函数，显示如下图：
确认全部为有效函数后，点击“修复转存”，选取刚才OD得到的un_TH_PAT.dll，发现新生成了一个un_TH_PAT_.dll文件。认为这个文件为修复后的文件，用PEID查看刚生成的文件，为无壳，Microsoft Visual C++ 6.0 DLL编写的，如下图
最后，我把修复后的un_TH_PAT_.dll文件，改名，命名为程序用的真实名字，发现程序依然无法运行，提示，没有找到核心库。至此觉得脱壳失败，后又听说用LoadPE 重建PE,我也拭了一下，选择重建PE按钮，选择最后修复的DLL,如下图
重建完毕后，依然无法运行，提示，没有找到核心库。
现在可以肯定，脱壳失败，但我不明白的是，用PEID查看修复后的DLL，也没有壳了啊，为什么还是不能运行呢，问题出在什么地方了呢，请高手指点一下。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 帮顶，帮顶
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
帮顶，
 期待高手。
|
|
|
|
