-
-
[旧帖] [求助]TMD脱壳困惑中 0.00雪花
-
发表于: 2011-11-1 17:21
-
|
|
|---|---|
|
|
|
|
|
|
|
|
换了一版本peid检测是yoda's Protector v1.02 Ashkbiz Danehkar。
用ultraedi编辑一个字节保存，运行有下面提示。 各位老大帮忙看一看。  |
|
|
CTR+G能发现，VirtualProtectEx。
 |
|
|
困惑中，还是要坚持学习。
|
|
|
|
|
|
不得其解
|
|
|
|
|
|
继续研究！
|
|
|
|
|
|
|
|
|
这个壳是tmd壳，可是od时跟踪程序自动退出！
继续努力！这里按shift+f9就飞掉了。   |
|
|
通过修改驱动名，窗口类名。shift+f9终于可以继续了，但是随后od的壳出现一个异常，停在如下画面。
 |
|
|
通过查找资料，看来还是被壳检测到了，继续努力！
|
|
|
继续
|
|
|
按fly大侠的脚本，运行第二od结束，shift+f9第一个od，还是出现如下提示。困惑
 |
|
|
|
|
|
按fly大侠的tmd1.0哪个版本，还有那个加壳程序，为什么定位不到OEP？困惑
|
|
|
始终看不到下面“005A8C29 9D popfd
” 现在可以关闭后开的OllyDBG了，在第一个OllyDBG里面下断：HE 005A8C29 单击Themida的启动Nag，OllyDBG中断在005A8C29处 CODE: [Copy to clipboard] -------------------------------------------------------------------------------- 005A8C29 9D popfd //中断在这里 005A8C2A C3 retn //返回005A08D3 飞向“光明之巅”  |
|
|
|
|
|
终于在另一个od中看到“005A8C29 9D popfd”
关闭后一个od，在第一个OllyDBG里面下断：HE 005A8C29 单击Themida的启动Nag，退出了，并没有中断在005A8C29。很是受伤，继续！
|
|
|
|
