首页
社区
课程
招聘
[求助]关于脱壳的2个问题
发表于: 2012-8-8 17:37 3803

[求助]关于脱壳的2个问题

2012-8-8 17:37
3803
请问下,
1,脱壳后,如下的代码
0040101A   $- FF25 08204000 jmp     dword ptr [402008]
00401020   .- FF25 00204000 jmp     dword ptr [402000]
402008,402000本来是输入表那个FirstThunk指向的指针数组,但是被加密之后,[402008]指向的是一个转换的代码,我把[402008]的内容直接改为原来本来的api的地址,不能运行,应该是不能jmp到内核的地址,然后我用工具修改后可以运行的,看到他显示的是
0040101A   $- FF25 08204000           jmp     dword ptr [<&user32.MessageBoxA>]                 ;  user32.MessageBoxA
00401020   .- FF25 00204000           jmp     dword ptr [<&kernel32.ExitProcess>]               ;  kernel32.ExitProcess
不明白代码是什么意思,还有如果手动修复应该怎么办呢
2,脱壳的修复是不是只需要把那些函数的指针改过来就行了,其他的比如dll的名字,和其他比如包含的IMAGE_THUNK_DATA之类的,被壳抹去了不修复可以吗,好像哪里看过说输入表最重要的只是那个数组。

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (1)
雪    币: 135
活跃值: (63)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
2
找到原因了,好像需要输入表的全部信息,只有那个指针数组是不够的。
2012-8-8 23:11
0
游客
登录 | 注册 方可回帖
返回
//