首页
社区
课程
招聘
[旧帖] [求助][原创]学了一段时间脱壳。搞定几个软件以为是高手了,可是现在碰到个强壳F8不管用 执行不下去 大家看看这时啥代码 0.00雪花
发表于: 2012-11-4 10:50 1484

[旧帖] [求助][原创]学了一段时间脱壳。搞定几个软件以为是高手了,可是现在碰到个强壳F8不管用 执行不下去 大家看看这时啥代码 0.00雪花

2012-11-4 10:50
1484
学了一段时间脱壳。搞定几个软件以为是高手了,可是现在碰到个强壳F8不管用 执行不下去 大家看看这时啥代码
7C92E480    8B1C24          MOV EBX,DWORD PTR SS:[ESP]
7C92E483    51              PUSH ECX
7C92E484    53              PUSH EBX
7C92E485    E8 84C00100     CALL 7C94A50E
7C92E48A    0AC0            OR AL,AL
7C92E48C    74 0C           JE SHORT 7C92E49A
7C92E48E    5B              POP EBX
7C92E48F    59              POP ECX
7C92E490    6A 00           PUSH 0
7C92E492    51              PUSH ECX
7C92E493    E8 C6EBFFFF     CALL ZwContinue
7C92E498    EB 0B           JMP SHORT 7C92E4A5
7C92E49A    5B              POP EBX
7C92E49B    59              POP ECX
7C92E49C    6A 00           PUSH 0
7C92E49E    51              PUSH ECX
7C92E49F    53              PUSH EBX
7C92E4A0    E8 09F5FFFF     CALL ZwRaiseException
7C92E4A5    83C4 EC         ADD ESP,-14
7C92E4A8    890424          MOV DWORD PTR SS:[ESP],EAX
7C92E4AB    C74424 04 01000>MOV DWORD PTR SS:[ESP+4],1
7C92E4B3    895C24 08       MOV DWORD PTR SS:[ESP+8],EBX
7C92E4B7    C74424 10 00000>MOV DWORD PTR SS:[ESP+10],0
7C92E4BF    54              PUSH ESP
7C92E4C0    E8 63000000     CALL RtlRaiseException
7C92E4C5    C2 0800         RETN 8
每次F8到这就循环
下其他断点 F9提示被挂起请恢复主程序
大牛们 给点建议

[培训]《安卓高级研修班(网课)》月薪三万计划,掌握调试、分析还原ollvm、vmp的方法,定制art虚拟机自动化脱壳的方法

收藏
免费 0
支持
分享
最新回复 (6)
雪    币: 1
活跃值: (18)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
用PEID  FI查壳说啥都没有
2012-11-4 10:52
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
进来学习了,希望能学到东西
2012-11-4 12:10
0
雪    币: 154
活跃值: (91)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
4
貌似是用seh的方法。。。然后ZwCountine改执行流程。。。在ZwCAOUNTINE上下段。如果断了。就看stack的cojtext指针。对eip下断。
2012-11-4 12:15
0
雪    币: 1
活跃值: (18)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
这是在ZwCAOUNTINE上下段 断下了截图
对EIP下断后F9

单步F8 后循环这段7C92E480    8B1C24          MOV EBX,DWORD PTR SS:[ESP]
7C92E483    51              PUSH ECX
7C92E484    53              PUSH EBX
7C92E485    E8 84C00100     CALL 7C94A50E
7C92E48A    0AC0            OR AL,AL
7C92E48C    74 0C           JE SHORT 7C92E49A
7C92E48E    5B              POP EBX
7C92E48F    59              POP ECX
7C92E490    6A 00           PUSH 0
7C92E492    51              PUSH ECX
7C92E493    E8 C6EBFFFF     CALL ZwContinue
上传的附件:
2012-11-4 15:00
0
雪    币: 154
活跃值: (91)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
6
所以说应该是吧EIP设置成0x0,然后不断捕获异常,又不断进入ZwCountine过程,一个死循环。。。。你是不是被壳检测到你在调试了。。。上StrongOD+KernelMode试试。
2012-11-5 06:28
0
雪    币: 1
活跃值: (18)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
谢谢 山村老哥 经过研究 用内存断点法找到OEP 了应该是对的可是我修复时找到了4个有效 34个无效 该咋办
2012-11-5 20:23
0
游客
登录 | 注册 方可回帖
返回
//