首页
社区
课程
招聘
这是什么新壳吗?大家进来看看.
发表于: 2005-9-12 22:31 4669

这是什么新壳吗?大家进来看看.

2005-9-12 22:31
4669
我用查壳工具查也查不出来,用OD加载时也没提示我.只好手脱了.脱后发现源程序是VB5写的.可是脱后的程序加载不能运行,大家给点意见吧.

这个壳如果一直跟踪的话,会一直死循环的,要在路上找到源程序相关信息,再断内存访问断点方可.脱壳地址00401098,给大家参考一下.

我想有两种可能:
1.壳和源程序有修改的关系,壳会修改程序中关键的地址.但是我是在正真的入口脱的壳哇.
2.源程序加载会有检查.我不知道VB程序在加载时是不是有检查功能.(我说的加载是程序加载入内存,不是程序运行后的初始化.)

附件:hyddp.rar

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (8)
雪    币: 288
活跃值: (415)
能力值: ( LV9,RANK:290 )
在线值:
发帖
回帖
粉丝
2
FSG 2.0
输入表是这里:
0041C090  FC 2F 3E 76 D7 A4 31 76 95 4A 2E 76 08 AE 31 76  ?>v驻1v?.v?v
0041C0A0  5A 40 3B 76 53 42 3B 76 F8 75 32 76 B0 BC 2E 76  Z@;vSB;v?2v凹.v
0041C0B0  60 F8 3B 76 9D 29 30 76 E0 F3 32 76 D1 7F 31 76  `?v?0v囿2v?1v
0041C0C0  4A 63 31 76 59 2B 30 76 44 BD 2F 76 84 02 3E 76  Jc1vY+0vD?v?>v
0041C0D0  DA 0C 32 76 3E B4 2F 76 78 42 33 76 92 61 31 76  ?2v>?vxB3v?1v
0041C0E0  BF A1 2E 76 C4 B8 2E 76 66 ED 3B 76 62 5E 3B 76  俊.v母.vf?vb^;v
0041C0F0  FE D1 3B 76                                      ?;v?

BTW:不知程序有没有暗桩,修复IAT后还是不能运行
2005-9-12 22:51
0
雪    币: 142
活跃值: (278)
能力值: ( LV9,RANK:140 )
在线值:
发帖
回帖
粉丝
3
要想搞定这个程序,可能还要点VB方面的知识吧.高手快发言哇!!~~
2005-9-12 23:06
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
4
水晶情缘的东西一般都有自校验
修改一个字节就能运行了

***********Reference To:Global.App
                              |
:00415684  0D14000B00                      VCallHresult               ;Call ptr_0040FA10
:00415689  08E8FE                          FLdPr                      ;[SR]=[LOCAL_0118]
***********Reference To:[propget]App.EXEName
                              |
:0041568C  0D58000C00                      VCallHresult               ;Call ptr_0040FA30
:00415691  3EE4FE                          FLdZeroAd                  ;Push DWORD [LOCAL_011C]; [LOCAL_011C]=0
:00415694  46D4FE                          CVarStr                    ;
:00415697  FBEFC4FE                        ConcatVar                  ;
******Possible String Ref To->".exe"
                               |
:0041569B  3AB4FE0F00                      LitVarStr                  ;PushVarString ptr_0040FA4C
:004156A0  FBEFA4FE                        ConcatVar                  ;
:004156A4  FCF694FE                        FStVar                     ;
:004156A8  2F6CFF                          FFree1Str                  ;SysFreeString [LOCAL_0094]; [LOCAL_0094]=0
:004156AB  29060078FF70FFE8                FFreeAd                    ;
:004156B4  3610005CFF3CFF1C                FFreeVar                   ;Free 0010/2 variants
:004156C7  001A                            LargeBos                   ;IDE beginning of line with 1A byte codes
:004156C9  0494FE                          FLdRfVar                   ;Push LOCAL_016C
:004156CC  FDFE74FF                        CStrVarVal                 ;
**********Reference To->msvbvm50.rtcFileLen
                               |
:004156D0  5E10000400                      ImpAdCallI2                ;Call ptr_00401012; check stack 0004; Push EAX
:004156D5  F5683C0100                      LitI4                      ;Push 00013C68
:004156DA  DB                              GtI4                       ;Push (Pop1 > Pop2)
:004156DB  2F74FF                          FFree1Str                  ;SysFreeString [LOCAL_008C]; [LOCAL_008C]=0
:004156DE  1CE400                          BranchF                    ;If Pop=0 then ESI=004156E8
//修改为:Branch即可  ★    1EE400
:004156E1  0004                            LargeBos                   ;IDE beginning of line with 04 byte codes
:004156E3  FCC800                          End                        ;
2005-9-14 10:25
0
雪    币: 201
活跃值: (40)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
我也是经常会遇到,要汉化他,用工具一载入,发觉被压缩了,用PEid工具查,发觉不行。不管用,真是郁闷那。
2005-9-14 15:03
0
雪    币: 176
活跃值: (117)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
6
这个软件的壳才厉害呢
用了N多方法至今没有搞定
http://upserver1.ys168.com/ys168up/D1/?MagicCDMA1X.rary66z7pdpd7f9f8z95b2b1bc0b4b7fq9b1bi5b1b0f6e14z97e14e24b1b1f2f9b2f9b2fc6f9b3z
2005-9-14 15:08
0
雪    币: 61
活跃值: (160)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
7
VB P-CODE
2005-9-15 22:08
0
雪    币: 212
活跃值: (76)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
最初由 fly 发布
水晶情缘的东西一般都有自校验
修改一个字节就能运行了

***********Reference To:Global.App
|
........


老大,你是用什么反编译的呀!
2005-9-16 20:36
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
9
VBExplorer
2005-9-18 00:26
0
游客
登录 | 注册 方可回帖
返回
//