首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[求助]dll脱壳问题
发表于: 2005-9-3 17:04 4024

[求助]dll脱壳问题

wenglingok 活跃值
26
2005-9-3 17:04
4024
这是个包含了很多算法的dll，作者说明这是 VC++ 6.0 编写，载入后停在这儿:

100463EF >  B8 C4710410      MOV EAX,Reg.100471C4             ; 压SEH结构
100463F4    50               PUSH EAX
100463F5    64:FF35 00000000 PUSH DWORD PTR FS:[0]
100463FC    64:8925 00000000 MOV DWORD PTR FS:[0],ESP
10046403    33C0             XOR EAX,EAX                      ; Reg.100471C4
10046405    8908             MOV DWORD PTR DS:[EAX],ECX       ; 产生异常，跳到100471C4继续执行

Peid不能识别这个外壳，显示为：Nothing found [Overlay] *，不知道这是不是Petite的外壳

我是停在OEP时dump的，判断的OEP是这儿：

1001C3EB  /.  55             PUSH EBP
1001C3EC  |.  8BEC           MOV EBP,ESP
1001C3EE  |.  53             PUSH EBX
1001C3EF  |.  8B5D 08        MOV EBX,DWORD PTR SS:[EBP+8]

我是在OEP时用lordPE来Dump的：

输入表填写RVA：26000，size填写 180，搜输入表，全部有效，修复OEP：1C3EB

用relox搞重定位表。

脱壳结果，脱壳后用Peid查Nothing found，难道OEP不对，脱壳后可以用Load_dll载入dll，但调用dll里的函数出错，不知道问题在哪儿，脱壳高手看一下。或者帮我看看重定位的代码在哪里？

在那里Dump时机最好？

reg.dll      源文件
keygen.exe   调用reg.dll的程序

想问一下高手，找不到重定位代码，直接用relox可以搞定么？附件:key.rar

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (4)
xizhu
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
怎么可能呢？我脱壳后明明显示"Microsoft Visual C++ 6.0 DLL"啊?
2005-9-3 17:15
0
wenglingok
雪    币： 671
活跃值： (723)
能力值： ( LV9，RANK：1060 )
在线值：
发帖
回帖
粉丝
私信
3 楼
你帮我看下OEP对不对？
2005-9-3 17:25
0
djpvd
雪    币： 320
活跃值： (104)
能力值： (RANK：180 )
在线值：
发帖
回帖
粉丝
私信
4 楼
最初由 wenglingok 发布
你帮我看下OEP对不对？


Reg.dll

PECompact 2 加壳

OEP    1C3EB

Reloc   43000-46000 用PEComAngela修复
2005-9-4 03:19
0
wenglingok
雪    币： 671
活跃值： (723)
能力值： ( LV9，RANK：1060 )
在线值：
发帖
回帖
粉丝
私信
5 楼
谢谢楼上，回去我在跟一下重定位的代码。
2005-9-4 06:51
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//