首页
社区
课程
招聘
dll to lib 脱壳
发表于: 2005-10-1 17:36 4599

dll to lib 脱壳

2005-10-1 17:36
4599
看雪论坛工具
http://www.pediy.com/tools/Compilers.htm
Dll2lib 1.4 可以将DLL文件转换成LIB文件

2ksp4
PEID查下来是 tElock 0.98b1 -> tE!

OD 载入 到GetProcAddress 的尾巴retn下断

77E80D0B    E8 2975FEFF      call kernel32.77E68239
77E80D10    33C0             xor eax,eax
77E80D12    EB 03            jmp short kernel32.77E80D17
77E80D14    8B45 0C          mov eax,dword ptr ss:[ebp+C]
77E80D17    5F               pop edi                                    ; kernel32.77E88989
77E80D18    5B               pop ebx                                    ; kernel32.77E88989
77E80D19    C9               leave
77E80D1A    C2 0800          retn 8                //这里下断

跑, 断下后, 清除断点, F8一下
发现来到处理输入表的地方

004AD574    FF95 E0BA4000    call dword ptr ss:[ebp+40BAE0]             ; kernel32.GetProcAddress
004AD57A    40               inc eax                                    ; ADVAPI32.RegCreateKeyExA
004AD57B    48               dec eax                                    ; ADVAPI32.RegCreateKeyExA

再走走
004AD3B9    8B7E 10          mov edi,dword ptr ds:[esi+10]
004AD3BC    03FA             add edi,edx                                ; Dll2Lib.00400000
004AD3BE    80A5 D6CC4000 FF and byte ptr ss:[ebp+40CCD6],0FF
004AD3C5    0F84 30010000    je Dll2Lib.004AD4FB
004AD3CB    80A5 D7CC4000 FF and byte ptr ss:[ebp+40CCD7],0FF
004AD3D2    0F84 23010000    je Dll2Lib.004AD4FB       //这个改成jmp得到完整输入表

alt+m 对准401000段下内存访问断点
再跑, 就断在oep了
00429B16    55               push ebp
00429B17    8BEC             mov ebp,esp
00429B19    6A FF            push -1
00429B1B    68 584F4500      push Dll2Lib.00454F58
00429B20    68 C8F04200      push Dll2Lib.0042F0C8
00429B25    64:A1 00000000   mov eax,dword ptr fs:[0]
00429B2B    50               push eax
00429B2C    64:8925 00000000 mov dword ptr fs:[0],esp
00429B33    83EC 58          sub esp,58
00429B36    53               push ebx
00429B37    56               push esi
00429B38    57               push edi
00429B39    8965 E8          mov dword ptr ss:[ebp-18],esp
00429B3C    FF15 08F34400    call dword ptr ds:[44F308]

dump 出来, 然后用ImprotREC
OEP填入29B16 点自动搜索 ,它能找到 RVA 4F000, SIZE 624
修复即可

-----------------------------------------------------
菜鸟的一些总结:
1. 壳要恢复输入表, 多会GetProcAddress API
2. 401000段下内存访问断点, 常常能直接到oep

学习

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

收藏
免费 0
支持
分享
最新回复 (9)
雪    币: 154
活跃值: (221)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
2
晕。老大,你可是在做二次开发了
2005-10-1 17:38
0
雪    币: 233
活跃值: (130)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
3
最初由 采臣・宁 发布
晕。老大,你可是在做二次开发了


第二次开发? 什么意思?
2005-10-1 17:39
0
雪    币: 398
活跃值: (343)
能力值: (RANK:650 )
在线值:
发帖
回帖
粉丝
4
楼主
你真能灌啊
2005-10-1 18:23
0
雪    币: 229
活跃值: (70)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
5
写得不错,楼主的灌水能力更是一流哇。都要学习!
2005-10-1 19:46
0
雪    币: 214
活跃值: (15)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
6
支持并学习!
2005-10-1 22:12
0
雪    币: 233
活跃值: (130)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
7
简单了一点,呵呵
2005-10-2 09:11
0
雪    币: 254
活跃值: (126)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
8
看头像,猜马甲
2005-10-2 09:35
0
雪    币: 154
活跃值: (221)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
9
头像是徐X州,多年以前看录像,经常看到他的三级片,现在出名了没拍过了。猛男一个
2005-10-2 12:27
0
雪    币: 195
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
收集下来学习一下,谢谢!
2005-10-2 13:02
0
游客
登录 | 注册 方可回帖
返回
//