OD载入目标会退出!
感谢amulin的提示,后来发现:1) 在OD的调试选项“异常”标签里将忽略全部勾选;2) StrongOD选项里不要勾选"
!*Kill BadPE Bug"。就可以正常载入并停在ASPack的入口处。
用“ESP定律”脱壳,在OEP处,ImportREC确实不可用,可能有Bug。改用"Scylla x86 v0.9.1"可以,但不准确。
Scylla的"IAT Info"里OEP填入006E4493,点"IAT Autosearch"按钮显示:
IAT found at VA 00D81000 RVA 00981000 Size 0x31F0 (12784)
点"Get Imports"按钮得到:
IAT parsing finished, found 3160 valid APIs, missed 0 APIs
在OD里检查了一下,不是全部。于是手工在VA填入00D81000,Size填入00005B6C,再点"Get Imports"后得到完整的结果:
IAT parsing finished, found 5793 valid APIs, missed 0 APIs
看来Scylla也不靠谱,其它版本未试。后来干脆不用工具,手工脱。
脱出来的结果与“原版”非常接近。因为ASPack压缩时有些东西未保存,不可能做到与“原版”完全一致。主要处理了导入表、重定位表、TLS和修补了资源数据,这样把ASPack的东西完全去掉了。
Einsbing大概是用某个工具脱的,从区段名可见到"UnPackEr By LoveBoom"字样。
但不够“完美”,有以下几个问题:1) 因为没有修补资源区段,ASPack添加的两个区段只去掉了一个。2) 重定位表目录没有修正。3) TLS目录没有修正,也造成不能去掉ASPack区段。
比较脱掉的“破解版”与“原版”的代码部分,有以下差异:
[FONT="Courier"]Org. vs Unpacked
================
1) 001B7018~001B701C(File offset)
Org.:
005B8018: 8B442410 mov eax,[esp][010] <-
005B801C: 5F pop edi <-
005B801D: 5E pop esi
005B801E: 5B pop ebx
005B801F: 8BE5 mov esp,ebp
005B8021: 5D pop ebp
005B8022: C21400 retn 00014
Cracked:
005B8018: E9B08A7C00 jmp 000D80ACD
2) 004A8991~004A8996
008A9991: 6683F8FF cmp ax,-1 <-
008A9995: 750A jnz 0008A99A1 <-
008A9991: E947714D00 jmp 000D80ADD
008A9996: 90 nop
3) 004A89AB~004A89AF
008A99AB: 6685C0 test ax,ax <-
008A99AE: 7558 jnz 0008A9A08 <-
008A99AB: E93B714D00 jmp 000D80AEB
4) 0097FACD~0097FAF7
Appended codes in the cracked/unpacked
00D80ACD: B855020000 mov eax,000000255
00D80AD2: 5F pop edi
00D80AD3: 5E pop esi
00D80AD4: 5B pop ebx
00D80AD5: 8BE5 mov esp,ebp
00D80AD7: 5D pop ebp
00D80AD8: C21400 retn 00014
00D80ADB: 0000 add [eax],al
00D80ADD: 66B80100 mov ax,1
00D80AE1: 6683F8FF cmp ax,-1
00D80AE5: E9B78EB2FF jmp 0008A99A1
00D80AEA: 90 nop
00D80AEB: 66B80100 mov ax,1
00D80AEF: 6685C0 test ax,ax
00D80AF2: E9118FB2FF jmp 0008A9A08
00D80AF7: 90 nop[/FONT]
前三处都改为跳向第四处(代码段末尾)添加的对应地址,应该是关键跳。
但似乎还差东西,无论运行“原版”或“破解版”(脱或未脱),都报:
License Server: Server data is not registered in the system.
不再深究了,感兴趣的可参考softworm近十年前的文章“
破解Materialise Magics RP 9.0 - 看雪论坛2002~2004年镜像”。