首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
双层Armadillo 3.78非标准壳，非常难脱
发表于: 2005-9-25 00:24 4860

双层Armadillo 3.78非标准壳，非常难脱

lei_z_r 活跃值
2005-9-25 00:24
4860
今天碰到了一个加壳的程序，用PEID检测，是：
Armadillo 3.78 -> Silicon Realms Toolworks
程序运行以后，在进程中可以看见两个进程，
在OD中调试后发现是双层Armadillo壳，脱起来太困难了。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (5)
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
2 楼
Armadillo至多也就是2个进程
不要开玩笑
看清楚是否是Armadillo的进程
2005-9-25 00:29
0
lei_z_r
雪    币： 211
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
向fly版主请教，如何脱这种双层壳，脱掉一层后，程序能运行，但提示文件补修改，退出运行。
请教win2000下如何分离进程？
2005-9-25 00:34
0
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
4 楼
脱Armadillo
首先你要搞清楚什么是标准壳什么是CopyMem-II、Nanomites Processing
去看ARMHELP.chm和Armadillo.exe加壳设置
搞清楚目标程序的加壳方式再来论坛搜索相应教程
2005-9-25 00:46
0
lei_z_r
雪    币： 211
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
这个程序外层壳用的是标装加壳方式，内层壳用的是copymem的方式。
请问fly版主，论坛教程中提到了分离进程用到一个WINXP下的API，在win2000下能脱吗？
另外一些教程中提到了一个lodepe插件：armdump
请问这个在哪能下到，版主能提供一个下载吗？
另外这个程序是的VB6的程序，修复IAT有什么好办法啊？
2005-9-25 00:56
0
黑夜之神
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
希望版主多举一些这方面的例子，让我们这些菜鸟学习。
2005-9-27 16:36
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//