-
-
[求助]为什么这个无壳的DLL看起来这么像有壳的？
-
发表于: 2011-11-30 19:51
-
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 跟下去几步就是SUB解密了，初始解密大概6个地方，跟了几处解密，发现是易语言封装的代码。
|
|
|
|
|
|
|
|
|
|
|
|
 既然大哥您听不懂我说什么，那么算了，多谢您路过……
|
|
|
|
|
|
[QUOTE=nfgfgo;1025888]
 改了。Install_.rar[/QUOTE] 请问，您是怎么做的？看起来不像是脱壳后再改，因为一旦dump至少要1.07M，你这个还是1.04M。而且我用UE比较后，发现文件前后变动很大，并不是只修改了几个字节。如果用OD修改指令后，进行“复制到可执行文件”结果应该是悲剧的，那么您是用什么工具改的？还有这个DLL原本是怎么回事，是PE文件内置的加密格式么（文件数据和加载后数据不同）？ |
|
|
|
|
|
|
|
|
我终于知道了，原来一切都是个误会
我这个OD，不知道是哪个设置不对还是怎么回事，一开始停在EP处时，从栈里面看到iReason参数是2，也就是DLL_THREAD_ATTACH，但是那个是1的DLL_PROCESS_ATTACH却也没有断下来。 后来选择“中断于新DLL模块加载”，终于勉强可以在DLL_PROCESS_ATTACH时刻断下，往下跟了几步就是0x100018ae的sub。 因为一开始总是断在DLL_THREAD_ATTACH时刻，但是我却误以为是DLL_PROCESS_ATTACH，所以就觉得这东西没壳了，实际上确实是有一层很薄的壳。 不过奇怪的是加载其他DLL的时候，都是在DLL_PROCESS_ATTACH断下，不知道为什么这个DLL怎么会把这第一次断下错过了。 |
|
|
|
