首页
社区
课程
招聘
[旧帖] [求助]各位大侠 看看这是什麽壳?伪装的挺好! 0.00雪花
发表于: 2011-11-7 10:38 1554

[旧帖] [求助]各位大侠 看看这是什麽壳?伪装的挺好! 0.00雪花

2011-11-7 10:38
1554
各位大侠 看看这是什麽壳?伪装的挺好! 用FFI扫描是PECompact V2.X-> Bitsum Technologies;用peid扫描出PECompact 2.5 Retail -> Jeremy Collake!

我采取单步脱 oep:00457442 ,脱完后 可以运行但有“浮点运算溢出”的问题,在论坛中查看大侠的资料可能 讲“IAT”加密;按其方法脱后,还是有问题;
请大侠们帮看看!

[课程]Linux pwn 探索篇!

上传的附件:
收藏
免费 0
支持
分享
最新回复 (11)
雪    币: 47
活跃值: (62)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2

就看你这一点文字,没看到你的附件...
2011-11-7 10:52
0
雪    币: 440
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
附件加上,请各位髙手帮忙看一看!
2011-11-14 03:24
0
雪    币: 504
活跃值: (10)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
4
簡單啊,你跑腳本就OK
2011-11-14 07:17
0
雪    币: 261
活跃值: (55)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
5
应该就是普通的PECompact吧
大概的思路就是:查找push 8000的特征码..
下断点:BP VirtualFree。中断后,取消断点,Alt+F9。
然后,ctrl+F ,查找 push 8000。
002F093E     03C7            add eax,edi
002F0940     68 00800000     push 8000   //这里
002F0945     6A 00           push 0
002F0947     FFB5 951C0010   push dword ptr ss:[ebp+10001C95]
002F094D     FF10            call dword ptr ds:[eax]
002F094F     8B46 0C         mov eax,dword ptr ds:[esi+C]
002F0952     03C7            add eax,edi
002F0954     5D              pop ebp
002F0955     5E              pop esi
002F0956     5F              pop edi
002F0957     5B              pop ebx
002F0958     C3              retn  //此处f2 ,下断

F9 ,运行,此时断了。单步f8,来到

0101BB3D     8985 C8120010   mov dword ptr ss:[ebp+100012C8],eax    ; NOTEPAD.0100739D
0101BB43     8BF0            mov esi,eax
0101BB45     59              pop ecx
0101BB46     5A              pop edx
0101BB47     EB 0C           jmp short NOTEPAD.0101BB55
0101BB49     03CA            add ecx,edx
0101BB4B     68 00800000     push 8000
0101BB50     6A 00           push 0
0101BB52     57              push edi
0101BB53     FF11            call dword ptr ds:[ecx]
0101BB55     8BC6            mov eax,esi
0101BB57     5A              pop edx
0101BB58     5E              pop esi
0101BB59     5F              pop edi
0101BB5A     59              pop ecx
0101BB5B     5B              pop ebx
0101BB5C     5D              pop ebp
0101BB5D     FFE0            jmp eax             //跳到oep
0101BB5F     0000            add byte ptr ds:[eax],al
0101BB61     0000            add byte ptr ds:[eax],al
2011-11-14 08:28
0
雪    币: 440
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
谢谢二位的指点  通过上述方法:
1、我找到的 oep :00457442 ;
2、脱壳后,程序可以运行,但运行后异常退出;

还有劳二位大侠指点;
2011-11-14 09:52
0
雪    币: 261
活跃值: (55)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
7
额..能不能简单介绍下软件是怎么用的..>?
2011-11-14 12:04
0
雪    币: 440
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
运行软件,在dos界面:输入如下命令

ucci
setoption usemillisec true
setoption usebook false
position fen nbakabnr/9/1c5c1/p1p1p1p1p/9/9/P1P1P1P1P/1C5C1/9/RNBAKABNR w - - 0 1
go depth 16

正确的结果是: 输出 计算结果后 以“bye”结束后 正常退出。

现在“脱壳”后,到 “VQB=” 提示:
  
runtime error R6002
- floating point support not loaded

异常退出!!!  拜托大侠了?
上传的附件:
2011-11-14 15:42
0
雪    币: 261
活跃值: (55)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
9
虽然不知道运行的是什么,但是我这里运行完毕然后窗口关闭了..额..没截图..
我先发下我的脱壳程序吧...

我改了附件..现在应该可以了..
上传的附件:
2011-11-14 16:33
0
雪    币: 39
活跃值: (66)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
我表示无奈啊啊
2011-11-14 17:01
0
雪    币: 440
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
[QUOTE=我是sld;1019654]虽然不知道运行的是什么,但是我这里运行完毕然后窗口关闭了..额..没截图..
我先发下我的脱壳程序吧...
[/QUOTE]

大侠  拜托 附件 不能下载!!!
2011-11-14 19:10
0
雪    币: 440
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
大侠:我测试了  你的也是 中途“浮点溢出,异常退出”--“

VQB =
runtime error R6002
- floating point support not loaded”
上传的附件:
2011-11-15 08:33
0
游客
登录 | 注册 方可回帖
返回
//