-
-
[求助]一个Aspr的壳，附上脱壳过程图片和原文件，请大侠指点指点小弟
-
发表于: 2011-6-4 02:24
-
在百度上搜索下载了好几个关于脱Aspr壳的视频，自以为可以了。就找了个程序。不成想直接把我pass了。
程序用OD载入是这样的：
载入VolX大侠的Aspr2.XX_unpacker_v1.0脚本开跑，停下后的地址是这样的：
感觉找到的这个oep和我看的视频不太一样，（我看的脱壳视频“只要提示有偷取代码的”都是在oep下面是个jmp跳转，而我这个却是个call，并且还是3个call）
按照记录里的iat及oep数据用Import Reconstructor修复后，运行无反应。
反复试了多次都是如此，不知道是否是还需要手动补区段呢？？
程序很小，请大侠们指点小弟了。
程序用OD载入是这样的：
载入VolX大侠的Aspr2.XX_unpacker_v1.0脚本开跑，停下后的地址是这样的：
感觉找到的这个oep和我看的视频不太一样，（我看的脱壳视频“只要提示有偷取代码的”都是在oep下面是个jmp跳转，而我这个却是个call，并且还是3个call）
按照记录里的iat及oep数据用Import Reconstructor修复后，运行无反应。
反复试了多次都是如此，不知道是否是还需要手动补区段呢？？
程序很小，请大侠们指点小弟了。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
感觉这个是OEP
不知道对不对 00A34AE0 55 PUSH EBP ; MZDICON.100164B7 00A34AE1 8BEC MOV EBP,ESP 00A34AE3 83C4 B4 ADD ESP,-4C 00A34AE6 B8 7847A300 MOV EAX,0A34778 00A34AEB E8 F413FCFF CALL 009F5EE4 00A34AF0 E8 87EBFBFF CALL 009F367C 00A34AF5 8D40 00 LEA EAX,DWORD PTR DS:[EAX] 00A34AF8 0000 ADD BYTE PTR DS:[EAX],AL 00A34AFA 0000 ADD BYTE PTR DS:[EAX],AL 00A34AFC 0000 ADD BYTE PTR DS:[EAX],AL 不过它在 Memory map, 项目 30 地址=009F0000 大小=00060000 (393216.) 属主= 009F0000 (自身) 区段= 类型=私有 00021040 访问=RWE 初始访问=RWE 在基址之上？不知道咋处理
|
|
|
|
|
|
|
|
|
|
|
|
回“xie风腾”兄：
用VolX大侠的Aspr2.XX_unpacker_v1.0脚本后，会自动生成一个文件，用ImpREC修复好，载入OD查看，入口点既是10004C40，如图：但运行无任何反应。 
|
|
|
难道有自校验
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
看到的只是无聊兄编辑完的帖子，不知道说的是什么
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
回“无聊的菜鸟”兄：感觉这个桌面程序很个性，但不完全适合我，想重新修改下，如msn我就从来不用，想替换成别的程序。没想到这么个小程序竟然这么难弄。
|
|
|
|
