-
-
[求助]关于脱壳的2个问题
-
发表于:
2012-8-8 17:37
3803
-
请问下,
1,脱壳后,如下的代码
0040101A $- FF25 08204000 jmp dword ptr [402008]
00401020 .- FF25 00204000 jmp dword ptr [402000]
402008,402000本来是输入表那个FirstThunk指向的指针数组,但是被加密之后,[402008]指向的是一个转换的代码,我把[402008]的内容直接改为原来本来的api的地址,不能运行,应该是不能jmp到内核的地址,然后我用工具修改后可以运行的,看到他显示的是
0040101A $- FF25 08204000 jmp dword ptr [<&user32.MessageBoxA>] ; user32.MessageBoxA
00401020 .- FF25 00204000 jmp dword ptr [<&kernel32.ExitProcess>] ; kernel32.ExitProcess
不明白代码是什么意思,还有如果手动修复应该怎么办呢
2,脱壳的修复是不是只需要把那些函数的指针改过来就行了,其他的比如dll的名字,和其他比如包含的IMAGE_THUNK_DATA之类的,被壳抹去了不修复可以吗,好像哪里看过说输入表最重要的只是那个数组。
[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)