-
-
[求助]ImportREC 1.6英文版 如何 修复 乱序的IAT
-
发表于: 2010-10-27 06:59
-
|
|
|---|---|
|
|
|
|
|
多谢！
好像是个 命令行工具 。有时间试试看 。 刚刚尝试了一下（拖了N久时间）  发现UIF的确可以在内存中修复乱序的IAT。其会在目标程序空间重新申请一块儿高端内存，然后把IAT地址列表全部写在里面。 但是OD貌似无法再在UIF修复后Dump出所有的内存镜像（新地址太高了）。 我用的是OD右键菜单里面的插件 脱壳在当前调试的进程 所以再用ImportREC修复，直接提示 输入地址表问题：抓取的文件无效！此抓取的文件不符合RVA值偏移 而用OD右键菜单另一个Dump方式Make dump of process 不知道为什么MZ头，PE头，头两个节都是全零。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
刚刚尝试了一下（拖了N久时间）
发现UIF的确可以在内存中修复乱序的IAT。其会在目标程序空间重新申请一块儿高端内存，然后把IAT地址列表全部写在里面。 但是OD貌似无法再在UIF修复后Dump出所有的内存镜像（新地址太高了）。 我用的是OD右键菜单里面的插件 脱壳在当前调试的进程 所以再用ImportREC修复，直接提示 输入地址表问题：抓取的文件无效！此抓取的文件不符合RVA值偏移 而用OD右键菜单另一个Dump方式Make dump of process 不知道为什么MZ头，PE头，头两个节都是全零。 =================================================== 基本上搞定了。 原来UIF需要手工指定IAT的VA。如果不填，就会默认申请新内存空间，并把IAT放进去。这样OD就没法Dump了。 我尝试让UIF覆盖了原来的IAT地址。 现在用 OD dump出来的 文件虽然还是无法运行（异常），但是用IDA分析已经可以了。所有相关的API都能自动识别出来。 基本上算是达到了目的。 希望能继续找出异常的原因。争取让脱壳的文件也能跑。 |
|
|
|
