-
-
[旧帖]
[求助]重建输入表找不到iat偏移
0.00雪花
-
发表于:
2011-8-6 18:18
1424
-
[旧帖] [求助]重建输入表找不到iat偏移
0.00雪花
想脱一壳,是dos程序,cmd里运行后会显示程序的帮助并退出
od里alt+m显示:.vmp0,.vmp1
查了一些vmp的资料,
于是载入后,ctrl+g输入VirtualProtect,f2,
f9若干次后栈里显示NewProtect=PAGE_READONLY,Address=438000
于是ctrl+g输入430000,ctrl+b输入55 8b ec 6a ff(vc6.0入口特征代码)
查找到4307a0为oep
f4到这里(我也不确定这样找oep的方法是不是正确)
具体代码:
push ebp
mov ebp,esp
push -1
......
用lordPE抓下来(cmd下运行dump.exe会崩溃,若cmd里运行用ollydump抓下来的程序会运行一下什么都不显示并退出)
可能是输入表的问题吧
ImportREC好象不行,在自动搜索IAT偏移的时候会提示:无效的OEP值!不能与进程相匹配!
手工找IAT,书上说是要找调用api的语句,
可是似乎没有那种类似于call dword ptr [405028];kernel32.GetVersion
或是通过call转到一个jmp的语句
最后没找到iat偏移...
搜索vmp iat似乎也没有找到什么资料
本人小白,希望得到大家的指导~
[课程]Linux pwn 探索篇！
