-
-
[原创]计算机软件水平考试测试系统 2005 V5.0 网络工程师版
-
发表于: 2005-9-12 01:49
-
|
|
|---|---|
|
|
|
|
|
|
|
|
这个程序有自校验的。脱壳以后用PEID的CRC工具修改为与原始CRC相同即可。否则程序运行几十秒会自动退出并且在生成2002年以后上午试卷时会注销你的windows
 同时这个代码: 0065F61B 8B45 F0 mov eax,dword ptr ss:[ebp-10] ; 19F76797 0065F61E 8D55 F4 lea edx,dword ptr ss:[ebp-C] 0065F621 E8 86FEFFFF call 1_.0065F4AC //经过下面与CA719B6F相同的运算 0065F626 8B45 F4 mov eax,dword ptr ss:[ebp-C] ; 57856 0065F629 50 push eax 0065F62A 8D45 E8 lea eax,dword ptr ss:[ebp-18] 0065F62D E8 F2FEFFFF call 1_.0065F524 0065F632 8B45 E8 mov eax,dword ptr ss:[ebp-18] ; CA719B6F 0065F635 8D55 EC lea edx,dword ptr ss:[ebp-14] 0065F638 E8 6FFEFFFF call 1_.0065F4AC 0065F63D 8B55 EC mov edx,dword ptr ss:[ebp-14] ; 61824 0065F640 58 pop eax ; 57856 0065F641 E8 5656DAFF call 1_.00404C9C 修改CRC校验后跟到这个CALL可以看到，这时候eax的值和edx其实已经相等了。。 因此这段代码我觉得并不是比较注册码的地方而是比较CRC的地方。如果我说错了，请指教。同时感谢作者脱壳部分的详细讲解，学了很多东西。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 楼主在线吗..请问一下.. 003730B8 FFE0 jmp eax?//这里跳往OEP ; NE_St.00665AB4 到OEP后跟进任何一个CALL，可以看到跳转表被加密了，不过解码再简单不过了 随便在此内存段末尾找片空白片，我找的是00373185这里，所以在00341EAA代码改成了JMP 00373185) 00373185 8BF0 mov esi,eax ; NE_St.004014BA 00373187 83C6 FA add esi,-6 0037318A 66:C706 FF25 mov word ptr ds:[esi],25FF 0037318F 8B47 04 mov eax,dword ptr ds:[edi+4] 00373192 8946 02 mov dword ptr ds:[esi+2],eax 00373195 ^ E9 D0FEFFFF jmp 0037306A 补丁完后F4到003730B8这行就到OEP，DUMP、修复之后就可以运行了。 补丁完后F4到003730B8这行就到OEP，DUMP 补丁完后.F4到003730B8这行,,,就到 OEP...如何到OEP.?? 谢谢..我是新手呀..麻烦说一下好不... 有谁知道...提示一下...
|
|
|
|
|
|
|
|
|
|
