韬哥解释下吧，代码看着挺累的。。

果断支持韬兄。

添加了说明。

.......我觉得这样问题很大。。。确定这样行？

关注中，求解决方案！

滔哥好牛B啊！完全看不懂你在讲啥！求滔哥指点

黑哥太谦虚了

这都是论坛中的大牛玩过时的玩意了，我从以前的帖子的EXE里面给趴出来了

恩。你的文章写的挺好的。支持一下。。

THEMIDA 的壳子确实是这样的，

大概看了一下代码总感觉有问题啊。

实在是看不明白啊，。。

偶做了一个小小的改动！！！！！呵呵@@@@功能差不多~~~~

#include <windows.h>

DWORD ReGetProcAddress(HMODULE hModule, HMODULE hOldModule, LPCSTR lpProcName)
{
        DWORD MyApiAddr;
        DWORD ApiOffset;
        DWORD ReApiAddr;

       
        MyApiAddr = (DWORD)GetProcAddress(hOldModule, lpProcName);
        ApiOffset = MyApiAddr - (DWORD)hOldModule;
        ReApiAddr = (DWORD)hModule + ApiOffset;

        return (ReApiAddr);
}

HMODULE RemapLibrary(LPCSTR lpModuleName)
{
        HMODULE hMod;
        DWORD ImageSize;
        BYTE* Virtual;
        PIMAGE_DOS_HEADER DosHeader;
        PIMAGE_NT_HEADERS NtHeader;

        hMod = GetModuleHandleA(lpModuleName);
        if(!hMod)
        {
                return (0);
        }

        DosHeader = (PIMAGE_DOS_HEADER)hMod;
        NtHeader = (PIMAGE_NT_HEADERS)((DWORD)DosHeader + (DWORD)DosHeader->e_lfanew);
        ImageSize = (DWORD)NtHeader->OptionalHeader.SizeOfImage;
       
        Virtual = (BYTE*)VirtualAlloc(NULL, ImageSize, MEM_COMMIT, PAGE_READWRITE);
        if(!Virtual)
        {
                return (0);
        }

        VirtualLock(Virtual, ImageSize);

        memcpy(Virtual, (PBYTE)hMod, ImageSize);

        return ((HMODULE)Virtual);
}

typedef DWORD (WINAPI *MSGBOX)(HWND,LPSTR,LPSTR,UINT);

void main()
{
        HMODULE hOldMod, hNewMod;
        MSGBOX MyMessageBox;

        printf("开始动态加载User32.dll\n");

        hOldMod = LoadLibrary("user32.dll");

        printf("User32.dll加载成功!\n");

        printf("开始重新映射User32.dll\n");

        hNewMod = RemapLibrary("user32.dll");

        printf("User32.dll重新映射成功!\n按任意键继续...\n");

        getchar();

        printf("开始释放原User32.dll\n");

        FreeLibrary(hOldMod);

        printf("User32.dll释放成功!\n按任意键继续...\n");

        getchar();

        MyMessageBox = (MSGBOX)ReGetProcAddress(hNewMod, hOldMod, "MessageBoxA");
       
        MyMessageBox(NULL, "ReMapLibrary OK!", "Test", 0);

        printf("调用MessageBoxA成功!");

}

不知道Safengine是不是也是这种方法，是的话od里ctrl+s搜索特征码就能中断了

话说OD暂停  然后单步也可以找到

多谢封装！

代码很不认识

来顶下滔哥

最简单的内存对齐，重定位，IAT，这些你都没做的嘛。

另外，这和Themida有啥关系。

找下和这标题相同的帖子吧，看了就知道怎么了！

……

hhee 楼上的给力哥

内存RVA到 文件VA的转换过程。。TMD查找关键API函数调用的一个快捷途径。。