能力值:
( LV4,RANK:50 )
2 楼
支持一下
能力值:
( LV2,RANK:10 )
3 楼
看堆栈
0012CE4C /0012CE84
0012CE50 |5D175394 返回到 5D175394 来自 kernel32.GetModuleHandleA
0012CE54 |5D1753E0 ASCII "kernel32.dll"
0012CF0C /0012CF28
0012CF10 |77F45BB0 返回到 SHLWAPI.77F45BB0 来自 kernel32.GetModuleHandleA
0012CF14 |77F44FF4 ASCII "KERNEL32.DLL"
0012D724 /0012D78C
0012D728 |0042AAF3 返回到 Patch-2.0042AAF3 来自 kernel32.GetModuleHandleA
0012D72C |00000000
00127A68 /0012CD94
00127A6C |00AC530E 返回到 00AC530E 来自 kernel32.GetModuleHandleA
00127A70 |00AD8BAC ASCII "kernel32.dll"
00127A74 |00AD9CC4 ASCII "VirtualAlloc"
00127A68 /0012CD94
00127A6C |00AC532B 返回到 00AC532B 来自 kernel32.GetModuleHandleA
00127A70 |00AD8BAC ASCII "kernel32.dll"
00127A74 |00AD9CB8 ASCII "VirtualFree"
001277CC /00127A6C
001277D0 |00AB4F9E 返回到 00AB4F9E 来自 kernel32.GetModuleHandleA
001277D4 |00127920 ASCII "kernel32.dll" 有什么作用?????
能力值:
( LV9,RANK:140 )
4 楼
看返回时机啊 你还是多看看基础知识
能力值:
( LV2,RANK:10 )
5 楼
下内存访问断点401000处 shift+f9 一片红色呵呵
00401000 68 0F304000 push Patch-2.0040300F//OEP 在这儿用LordPE纠正ImageSize后完全DUMP这个进程 “LordPE纠正ImageSize” ImageSize纠正为多少?
能力值:
( LV2,RANK:10 )
6 楼
解压缩密码是?
能力值:
( LV9,RANK:140 )
7 楼
压缩密码 软件下载的地方又介绍
能力值:
( LV6,RANK:90 )
8 楼
我的一调试就退出?为何?
能力值:
( LV9,RANK:140 )
9 楼
C0000005(ACCESS VIOLATION), C000001D(ILLEGAL INSTRUCTION)
C000001E(INVALID LOCK SEQUENCE), C0000096(PRIVILEGED INSTRUCTION)
忘了写了 加入这个四个异常
能力值:
( LV2,RANK:10 )
10 楼
4.1 版比 3.8 还好破
能力值:
( LV6,RANK:90 )
11 楼
我的调试后变成这样,郁闷
能力值:
( LV2,RANK:10 )
12 楼
"下内存访问断点401000处",是指ctrl+G到401000,然后右键下内存访问断点吗?
能力值:
( LV2,RANK:10 )
13 楼
楼主,下载地址已经失败了?
另外请问题,在没有注册码的情况下,能不能用你的方法来脱掉此文件的壳?
哦,记起了一篇文章,可以在内存将本机的机器码修改成楼主给出的机器码。
能力值:
( LV2,RANK:10 )
14 楼
最初由 情狼 发布 楼主,下载地址已经失败了? 另外请问题,在没有注册码的情况下,能不能用你的方法来脱掉此文件的壳?
我也在为这个事情头疼呢,,
如果没有注册码的情况下是找不到VirtualFree后面调用Kernel32库内函数也就是没有办法返回到我们想要找到的Magic Jump位置的.晕....
http://bbs.pediy.com/showthread.php?s=&threadid=15346
能力值:
( LV2,RANK:10 )
15 楼
原软件下载不到。能不能给出中文名称呢?
能力值:
( LV2,RANK:10 )
16 楼
如果有试用机会或者有注册码我想可以使用如下脚本
脚本是由AvAtAr大虾写的可以参考一下,其流程和楼主的一样.
软件条件 OD 1.10
OllyScript 0.92
windowsXP SP2
用户自定义异常
C0000005(ACCESS VIOLATION)
C000001D(ILLEGAL INSTRUCTION)
C000001E(INVALID LOCK SEQUENCE)
C0000096(PRIVILEGED INSTRUCTION)
(当然是要忽略的..)
/*
.:TEAM RESURRECTiON:.
Armadillo Standard Script by AvAtAr//stephenteh
Tested on WinXP Pro SP2, OllyDbg v1.10, OllyScript v0.92
NOTES:
- Remove all hardware breakpoints before run the script.
- Add the following custom exceptions on OllyDbg:
C0000005(ACCESS VIOLATION), C000001D(ILLEGAL INSTRUCTION)
C000001E(INVALID LOCK SEQUENCE), C0000096(PRIVILEGED INSTRUCTION)
*/
var OpenMutexA
var CreateMutexA
var GetModuleHandleA
var VirtualAlloc
var CreateThread
var JumpLocation
var JumpLength
var OEP
gpa "OpenMutexA", "kernel32.dll"
mov OpenMutexA, $RESULT
gpa "CreateMutexA", "kernel32.dll"
mov CreateMutexA, $RESULT
gpa "GetModuleHandleA", "kernel32.dll"
mov GetModuleHandleA, $RESULT
gpa "VirtualAlloc", "kernel32.dll"
mov VirtualAlloc, $RESULT
gpa "CreateThread", "kernel32.dll"
mov CreateThread, $RESULT
/* 调试开始下断点OpenMutexA 目的就是在创建双进程的时候取消其双进程
楼主上写在401000位置的代码在下面就是,一样的哦 */
bp OpenMutexA
esto
exec
PUSHAD
PUSHFD
PUSH EDX
XOR EAX,EAX
PUSH EAX
PUSH EAX
CALL CreateMutexA
POPFD
POPAD
JMP OpenMutexA
ende
bc OpenMutexA
bphws GetModuleHandleA, "x"
label1:
esto
cmp eax,VirtualAlloc
jne label1
esto
bphwc GetModuleHandleA
rtu
/* 寻找魔术跳转 */
find eip, #0F84????????#
mov JumpLocation, $RESULT
mov JumpLength, JumpLocation
add JumpLength, 2
mov JumpLength, [JumpLength]
inc JumpLength
mov [JumpLocation], 0E9
inc JumpLocation
mov [JumpLocation], JumpLength
bp CreateThread
run
cob
bc CreateThread
rtu
rtr
sti
/* 寻找OEP */
find eip, #2BF9FFD7#
mov OEP, $RESULT
add OEP, 2
bp OEP
run
bc OEP
sti
cmt eip, "<- OEP"
msg "已经到达OEP,Dump出来吧,剩下的就是修复IAT了 =)"
ret
能力值:
( LV2,RANK:10 )
17 楼
楼主大人,我也下不了哦
支持原创
能力值:
( LV2,RANK:10 )
18 楼
参照了夜凉如水的帖子后 收益非浅。
初学破解,初来看雪,不懂规矩,不知道这样问,可否。
/////////////////////////////////
我们欢迎这样的帖子:
当你遇到问题,并难以解答时,把遇到的详细情况写出来,我们大家集体解答。
/////////////////////////////////////
脱壳成功。但是。。。。脱壳后的程序不完整,。。
我用VC++重写编译后实现脱壳程序全部功能程序只有153KB,不带ICO资源。
//////////////
能力值:
( LV2,RANK:10 )
19 楼