-
-
[求助]ASPack 2.12 -> Alexey Solodovnikov用ESP定律和两次断点发失效
-
发表于: 2011-2-16 02:21
-
用ESP定律断下的地址
和两次内存断点法 都找到这里了 但是不是OEP
0047F3B0 /75 08 JNZ SHORT keygen.0047F3BA
0047F3B2 |B8 01000000 MOV EAX,1
0047F3B7 |C2 0C00 RETN 0C
0047F3BA \68 266B4700 PUSH keygen.00476B26 //传说这里就是OEP地址
0047F3BF C3 RETN
//RETN到这里但是好象步过第二步CALL就运行了 跟别人的不一样
00476B26 68 37C2324A PUSH 4A32C237
00476B2B E8 8C650000 CALL keygen.0047D0BC
00476B30 95 XCHG EAX,EBP
00476B31 DE45 C2 FIADD WORD PTR SS:[EBP-3E]
00476B34 7D 58 JGE SHORT keygen.00476B8E
00476B36 F9 STC
00476B37 EA EDED9200 94E>JMP FAR E394:0092EDED
00476B3E 06 PUSH ES
00476B3F 392459 CMP DWORD PTR DS:[ECX+EBX*2],ESP
00476B42 221A AND BL,BYTE PTR DS:[EDX]
00476B44 51 PUSH ECX
00476B45 EE OUT DX,AL
00476B46 26:AD LODS DWORD PTR ES:[ESI]
00476B48 2F DAS
00476B49 0301 ADD EAX,DWORD PTR DS:[ECX]
00476B4B 9F LAHF
00476B4C CA D511 RETF 11D5
00476B4F FB STI
00476B50 AF SCAS DWORD PTR ES:[EDI]
00476B51 45 INC EBP
00476B52 19B3 0CA69DCF SBB DWORD PTR DS:[EBX+CF9DA60C],ESI
用PEID通用找OEP插件找的真正OEP地址
00418137 55 PUSH EBP
00418138 8BEC MOV EBP,ESP
0041813A 83C4 E0 ADD ESP,-20
0041813D 8945 E0 MOV DWORD PTR SS:[EBP-20],EAX
00418140 DD5D F8 FSTP QWORD PTR SS:[EBP-8]
00418143 894D E4 MOV DWORD PTR SS:[EBP-1C],ECX
00418146 8B45 10 MOV EAX,DWORD PTR SS:[EBP+10]
00418149 8B4D 14 MOV ECX,DWORD PTR SS:[EBP+14]
0041814C 8945 E8 MOV DWORD PTR SS:[EBP-18],EAX
0041814F 894D EC MOV DWORD PTR SS:[EBP-14],ECX
00418152 8D45 08 LEA EAX,DWORD PTR SS:[EBP+8]
00418155 8D4D E0 LEA ECX,DWORD PTR SS:[EBP-20]
00418158 50 PUSH EAX
00418159 51 PUSH ECX
但是如何才能不用插件
是否是双重壳我在此上传了文件大牛帮忙看下 看杂个脱法 给下说明
X-Ways.WinHex.v15.4.SR-11.Incl.Keymaker-ZWT.rar
和两次内存断点法 都找到这里了 但是不是OEP
0047F3B0 /75 08 JNZ SHORT keygen.0047F3BA
0047F3B2 |B8 01000000 MOV EAX,1
0047F3B7 |C2 0C00 RETN 0C
0047F3BA \68 266B4700 PUSH keygen.00476B26 //传说这里就是OEP地址
0047F3BF C3 RETN
//RETN到这里但是好象步过第二步CALL就运行了 跟别人的不一样
00476B26 68 37C2324A PUSH 4A32C237
00476B2B E8 8C650000 CALL keygen.0047D0BC
00476B30 95 XCHG EAX,EBP
00476B31 DE45 C2 FIADD WORD PTR SS:[EBP-3E]
00476B34 7D 58 JGE SHORT keygen.00476B8E
00476B36 F9 STC
00476B37 EA EDED9200 94E>JMP FAR E394:0092EDED
00476B3E 06 PUSH ES
00476B3F 392459 CMP DWORD PTR DS:[ECX+EBX*2],ESP
00476B42 221A AND BL,BYTE PTR DS:[EDX]
00476B44 51 PUSH ECX
00476B45 EE OUT DX,AL
00476B46 26:AD LODS DWORD PTR ES:[ESI]
00476B48 2F DAS
00476B49 0301 ADD EAX,DWORD PTR DS:[ECX]
00476B4B 9F LAHF
00476B4C CA D511 RETF 11D5
00476B4F FB STI
00476B50 AF SCAS DWORD PTR ES:[EDI]
00476B51 45 INC EBP
00476B52 19B3 0CA69DCF SBB DWORD PTR DS:[EBX+CF9DA60C],ESI
用PEID通用找OEP插件找的真正OEP地址
00418137 55 PUSH EBP
00418138 8BEC MOV EBP,ESP
0041813A 83C4 E0 ADD ESP,-20
0041813D 8945 E0 MOV DWORD PTR SS:[EBP-20],EAX
00418140 DD5D F8 FSTP QWORD PTR SS:[EBP-8]
00418143 894D E4 MOV DWORD PTR SS:[EBP-1C],ECX
00418146 8B45 10 MOV EAX,DWORD PTR SS:[EBP+10]
00418149 8B4D 14 MOV ECX,DWORD PTR SS:[EBP+14]
0041814C 8945 E8 MOV DWORD PTR SS:[EBP-18],EAX
0041814F 894D EC MOV DWORD PTR SS:[EBP-14],ECX
00418152 8D45 08 LEA EAX,DWORD PTR SS:[EBP+8]
00418155 8D4D E0 LEA ECX,DWORD PTR SS:[EBP-20]
00418158 50 PUSH EAX
00418159 51 PUSH ECX
但是如何才能不用插件
是否是双重壳我在此上传了文件大牛帮忙看下 看杂个脱法 给下说明
X-Ways.WinHex.v15.4.SR-11.Incl.Keymaker-ZWT.rar
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
用两次内存断点法，得到的OEP为
00412DC0 55 push ebp 00412DC1 8BEC mov ebp,esp 00412DC3 6A FF push -1 00412DC5 68 60E84200 push keygen.0042E860 00412DCA 68 88584100 push keygen.00415888 00412DCF 64:A1 00000000 mov eax,dword ptr fs:[0] 00412DD5 50 push eax 00412DD6 64:8925 00000000 mov dword ptr fs:[0],esp 00412DDD 83EC 58 sub esp,58 00412DE0 53 push ebx 00412DE1 56 push esi 00412DE2 57 push edi 00412DE3 8965 E8 mov dword ptr ss:[ebp-18],esp 00412DE6 E8 FF790500 call keygen.0046A7EA 00412DEB 90 nop 00412DEC 33D2 xor edx,edx 00412DEE 8AD4 mov dl,ah 00412DF0 8915 A4794300 mov dword ptr ds:[4379A4],edx 00412DF6 8BC8 mov ecx,eax 00412DF8 81E1 FF000000 and ecx,0FF 00412DFE 890D A0794300 mov dword ptr ds:[4379A0],ecx 00412E04 C1E1 08 shl ecx,8 00412E07 03CA add ecx,edx 00412E09 890D 9C794300 mov dword ptr ds:[43799C],ecx 00412E0F C1E8 10 shr eax,10 00412E12 A3 98794300 mov dword ptr ds:[437998],eax 00412E17 6A 01 push 1 00412E19 E8 52170000 call keygen.00414570 00412E1E 59 pop ecx 00412E1F 85C0 test eax,eax 00412E21 75 08 jnz short keygen.00412E2B 00412E23 6A 1C push 1C 00412E25 E8 C3000000 call keygen.00412EED 00412E2A 59 pop ecx 00412E2B E8 CC360000 call keygen.004164FC 00412E30 85C0 test eax,eax 00412E32 75 08 jnz short keygen.00412E3C 00412E34 6A 10 push 10 00412E36 E8 B2000000 call keygen.00412EED 00412E3B 59 pop ecx 00412E3C 33F6 xor esi,esi 00412E3E 8975 FC mov dword ptr ss:[ebp-4],esi 00412E41 E8 F63E0000 call keygen.00416D3C 00412E46 E8 A95B0500 call keygen.004689F4 00412E4B 90 nop 但在此OEP找不到任何任何信息。。。 
|
|
|
|
|
|
|
