【破解作者】 SYSCOM
【使用工具】 DS 2.7 ,IceExt ,IceDump ,LordPE ,ImportREC1.6 ,WinHex
【破解平台】 Windows XP SP1
【软件名称】 EXECryptor 2,2,5,1
【下载地址】 http://www.pediy.com/tools.htm (看雪工具?)
【软件简介】 加密 .EXE-工具
【加壳方式】 EXECryptor
【破解声明】 我是一只小菜鸟,偶得一点心得,愿与大家分享:)
----------------------------------------------------------------------
(1) 找? OEP:
使用 ESP 定律,再配合 EXECryptor 2,2,5,1 ,加密入口特徵瘁
可以找出 OEP=5A3875
(2)Dump Memory
先韵??在, BPM 6DEE76 X (TLS 咄入?),後滕檫程序
再?行後,中?再 6DEE76 ,後韵?? BPX GetProcAddress
中?後,返回主程序,6DEC97,令 A, 6DEC97-JMP 6DEC97
清除所有??後,檫始 Dump Memory ,
令 Pagein D 400000 2DF000 \??\C:\DUMP.BIN
按 F5 後,修正 PE ,令 RA=VA,RS=VS,成?有效 PE ?
?成 DUMP.EXE (小?示?出?)
(3) 重建 New IAT
?一 Patch ,?原 Import Table,先令 588162-JMP Patch+Offset 0X29
+++++++++++++++++++ ASSEMBLY CODE START ++++++++++++++++++
:00000000 mov edx, 004ED168
:00000005 cmp word ptr [edx+02], 0040
:0000000A jb 0000001C
:0000000C cmp word ptr [edx+02], 005F
:00000011 ja 0000001C
:00000013 pushad
:00000014 mov dword ptr [004ED104], esp
:0000001A jmp dword ptr [edx]
:0000001C add edx, 00000004
:0000001F cmp edx, 004ED908
:00000025 jbe 00000005
:00000027 jmp 00000027
:00000029 mov dword ptr [ebp-0C], eax
:0000002C cmp ebp, 00130000
:00000032 jb 00000038
:00000034 mov esp, ebp
:00000036 pop ebp
:00000037 ret
:00000038 mov dword ptr [004ED100], eax
:0000003D mov esp, dword ptr [004ED104]
:00000043 popad
:00000044 mov ebx, dword ptr [004ED100]
:0000004A mov dword ptr [edx], ebx
:0000004C jmp 0000001C
+++++++++++++++++++ ASSEMBLY CODE END ++++++++++++++++++
Patch 完後,?要再增加,??函? Kernel32.dll and User32.dll
Kernel32.dll User32.dll
---------------------------------------------------------
GetModuleHandleA MessageBoxA
LoadLibraryA
GetProcAddress
ExitProcess
VirtualAlloc
VirtualFree
---------------------------------------------------------
增加完後,用 ImportREC1.6 ,令 RAV = ED144 , Size= 7C4
重建 New IAT,得到 DUMP_.EXE
(4)用 LordPE,修正 OEP=1A3875 ,TLS=F2000 及 重新定位
新增加的,??函? Kernel32.dll and User32.dll
DllName OFT TDS FC Name FT
--------------------------------------------------------------------
Kernel32.dll 000AB18B 00000000 00000000 000AB0FB 000AB173
User32.dll 000AB1C7 00000000 00000000 000AB1A7 000AB1C3
--------------------------------------------------------------------
(5)去除自我校?
58309F-改-> C3
533D30-改-> C3
(6)TEST RUN OK~!!!
附件下蒌:共 4 ? 附件:execryptor2251.part1.rar 附件:execryptor2251.part2.rar 附件:execryptor2251.part3.rar 附件:execryptor2251.part4.rar
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课