首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[求助]老王的vfp&exeNc壳求助！按fly大虾的方法去反跟踪失败
发表于: 2005-11-10 22:53 8231

[求助]老王的vfp&exeNc壳求助！按fly大虾的方法去反跟踪失败

chinadev 活跃值
2005-11-10 22:53
8231
下BP  GetWindowsDirectoryA

0041FCF5    .  E8 C26AFEFF      call <jmp.&kernel32.GetWindowsDirectoryA>; \GetWindowsDirectoryA
0041FCFA    .  8D55 E0          lea edx,dword ptr ss:[ebp-20]
0041FCFD    .  B8 DC3F4200      mov eax,regtools.00423FDC                ;  ASCII "C:\WINDOWS"
0041FD02    .  E8 D185FEFF      call regtools.004082D8
0041FD07    .  8B55 E0          mov edx,dword ptr ss:[ebp-20]
0041FD0A    .  B8 8C3B4200      mov eax,regtools.00423B8C
0041FD0F    .  E8 E845FEFF      call regtools.004042FC
0041FD14    .  A1 8C3B4200      mov eax,dword ptr ds:[423B8C]
0041FD19    .  E8 4248FEFF      call regtools.00404560
0041FD1E    .  8B15 8C3B4200    mov edx,dword ptr ds:[423B8C]
0041FD24    .  807C02 FF 5C     cmp byte ptr ds:[edx+eax-1],5C
0041FD29    .  74 0F            je short regtools.0041FD3A
0041FD2B    .  B8 8C3B4200      mov eax,regtools.00423B8C
0041FD30    .  BA D80B4200      mov edx,regtools.00420BD8
0041FD35    .  E8 2E48FEFF      call regtools.00404568
0041FD3A    >  8D55 D8          lea edx,dword ptr ss:[ebp-28]
0041FD3D    .  33C0             xor eax,eax
0041FD3F    .  E8 7C2CFEFF      call regtools.004029C0
0041FD44    .  8B45 D8          mov eax,dword ptr ss:[ebp-28]
0041FD47    .  8D55 DC          lea edx,dword ptr ss:[ebp-24]
0041FD4A    .  E8 B17CFEFF      call regtools.00407A00
0041FD4F    .  8B55 DC          mov edx,dword ptr ss:[ebp-24]
0041FD52    .  B8 C43D4200      mov eax,regtools.00423DC4
0041FD57    .  E8 A045FEFF      call regtools.004042FC
0041FD5C    .  E8 BF2CFEFF      call regtools.00402A20
0041FD61    .  8D55 D4          lea edx,dword ptr ss:[ebp-2C]
0041FD64    .  A1 C43D4200      mov eax,dword ptr ds:[423DC4]
0041FD69    .  E8 3E82FEFF      call regtools.00407FAC
0041FD6E    .  8B55 D4          mov edx,dword ptr ss:[ebp-2C]
0041FD71    .  B8 C83D4200      mov eax,regtools.00423DC8
0041FD76    .  E8 8145FEFF      call regtools.004042FC
0041FD7B    .  A1 C83D4200      mov eax,dword ptr ds:[423DC8]
0041FD80    .  E8 0384FEFF      call regtools.00408188
0041FD85    .  BA 20000000      mov edx,20
0041FD8A    .  A1 C43D4200      mov eax,dword ptr ds:[423DC4]
0041FD8F    .  E8 B07EFEFF      call regtools.00407C44
0041FD94    .  A3 943B4200      mov dword ptr ds:[423B94],eax
0041FD99    .  833D 943B4200 00 cmp dword ptr ds:[423B94],0
0041FDA0    .  0F8C 090D0000    jl regtools.00420AAF
0041FDA6    .  B9 02000000      mov ecx,2
0041FDAB    .  33D2             xor edx,edx
0041FDAD    .  A1 943B4200      mov eax,dword ptr ds:[423B94]
0041FDB2    .  E8 6D7FFEFF      call regtools.00407D24
0041FDB7    .  A3 243B4200      mov dword ptr ds:[423B24],eax
0041FDBC    .  33C9             xor ecx,ecx
0041FDBE    .  BA 00040000      mov edx,400
0041FDC3    .  A1 943B4200      mov eax,dword ptr ds:[423B94]
0041FDC8    .  E8 577FFEFF      call regtools.00407D24
0041FDCD    .  68 CDFD4100      push regtools.0041FDCD
0041FDD2    .  8F05 EC404200    pop dword ptr ds:[4240EC]
0041FDD8    .  A1 EC404200      mov eax,dword ptr ds:[4240EC]
0041FDDD    .  2B05 E8404200    sub eax,dword ptr ds:[4240E8]            ;  regtools.0041FC04
0041FDE3    .  A3 A03B4200      mov dword ptr ds:[423BA0],eax
0041FDE8    .  8B35 E8404200    mov esi,dword ptr ds:[4240E8]            ;  regtools.0041FC04
0041FDEE    .  8B3D A03B4200    mov edi,dword ptr ds:[423BA0]
0041FDF4    .  85FF             test edi,edi
0041FDF6    .  7E 1C            jle short regtools.0041FE14
0041FDF8    .  C705 9C3B4200 01>mov dword ptr ds:[423B9C],1
0041FE02    >  A1 9C3B4200      mov eax,dword ptr ds:[423B9C]
0041FE07    .  C60406 00        mov byte ptr ds:[esi+eax],0
0041FE0B    .  FF05 9C3B4200    inc dword ptr ds:[423B9C]
0041FE11    .  4F               dec edi
0041FE12    .^ 75 EE            jnz short regtools.0041FE02
0041FE14    >  A1 EC404200      mov eax,dword ptr ds:[4240EC]
0041FE19    .  A3 E8404200      mov dword ptr ds:[4240E8],eax
0041FE1E    .  B3 02            mov bl,2
0041FE20    .  A1 C43D4200      mov eax,dword ptr ds:[423DC4]
0041FE25    .  E8 2E49FEFF      call regtools.00404758
0041FE2A    .  50               push eax                                 ; /pModule
0041FE2B    .  E8 4469FEFF      call <jmp.&kernel32.GetModuleHandleA>    ; \GetModuleHandleA
0041FE30    .  A3 B43B4200      mov dword ptr ds:[423BB4],eax
0041FE35    .  A1 B43B4200      mov eax,dword ptr ds:[423BB4]
0041FE3A    .  A3 E0404200      mov dword ptr ds:[4240E0],eax
0041FE3F    .  BA B03B4200      mov edx,regtools.00423BB0
0041FE44    .  A1 E0404200      mov eax,dword ptr ds:[4240E0]
0041FE49    .  83C0 3C          add eax,3C
0041FE4C    .  B9 04000000      mov ecx,4
0041FE51    .  E8 DE29FEFF      call regtools.00402834
0041FE56    .  A1 E0404200      mov eax,dword ptr ds:[4240E0]
0041FE5B    .  8B15 B03B4200    mov edx,dword ptr ds:[423BB0]
0041FE61    .  8D4410 18        lea eax,dword ptr ds:[eax+edx+18]
0041FE65    .  BA E43C4200      mov edx,regtools.00423CE4
0041FE6A    .  B9 E0000000      mov ecx,0E0
0041FE6F    .  E8 C029FEFF      call regtools.00402834
0041FE74    .  A1 E0404200      mov eax,dword ptr ds:[4240E0]
0041FE79    .  8B15 B03B4200    mov edx,dword ptr ds:[423BB0]
0041FE7F    .  8D8410 94020000  lea eax,dword ptr ds:[eax+edx+294]
0041FE86    .  BA B83B4200      mov edx,regtools.00423BB8
0041FE8B    .  B9 04000000      mov ecx,4
0041FE90    .  E8 9F29FEFF      call regtools.00402834
0041FE95    .  BA B03B4200      mov edx,regtools.00423BB0
0041FE9A    .  A1 E0404200      mov eax,dword ptr ds:[4240E0]
0041FE9F    .  83C0 7C          add eax,7C
0041FEA2    .  B9 04000000      mov ecx,4
0041FEA7    .  E8 8829FEFF      call regtools.00402834
0041FEAC    .  A1 B03B4200      mov eax,dword ptr ds:[423BB0]
0041FEB1    .  3305 F43C4200    xor eax,dword ptr ds:[423CF4]
0041FEB7    .  A3 5C3B4200      mov dword ptr ds:[423B5C],eax
0041FEBC    .  A1 B83B4200      mov eax,dword ptr ds:[423BB8]
0041FEC1    .  05 10010000      add eax,110
0041FEC6    .  A3 AC3B4200      mov dword ptr ds:[423BAC],eax
0041FECB    .  A1 E0404200      mov eax,dword ptr ds:[4240E0]
0041FED0    .  8B15 B83B4200    mov edx,dword ptr ds:[423BB8]
0041FED6    .  03C2             add eax,edx
0041FED8    .  BA D83D4200      mov edx,regtools.00423DD8
0041FEDD    .  B9 00020000      mov ecx,200
0041FEE2    .  E8 4D29FEFF      call regtools.00402834
0041FEE7    .  A0 D73F4200      mov al,byte ptr ds:[423FD7]
0041FEEC    .  A2 383B4200      mov byte ptr ds:[423B38],al
0041FEF1    .  68 F1FE4100      push regtools.0041FEF1
0041FEF6    .  8F05 EC404200    pop dword ptr ds:[4240EC]
0041FEFC    .  B8 00020000      mov eax,200
0041FF01    .  E8 B22FFEFF      call regtools.00402EB8
0041FF06    .  A3 643B4200      mov dword ptr ds:[423B64],eax
0041FF0B    .  A1 EC404200      mov eax,dword ptr ds:[4240EC]
0041FF10    .  2B05 E8404200    sub eax,dword ptr ds:[4240E8]            ;  regtools.0041FC04
0041FF16    .  A3 A03B4200      mov dword ptr ds:[423BA0],eax
0041FF1B    .  8B35 E8404200    mov esi,dword ptr ds:[4240E8]            ;  regtools.0041FC04
0041FF21    .  8B3D A03B4200    mov edi,dword ptr ds:[423BA0]
0041FF27    .  85FF             test edi,edi
0041FF29    .  7E 1C            jle short regtools.0041FF47
0041FF2B    .  C705 9C3B4200 01>mov dword ptr ds:[423B9C],1
0041FF35    >  A1 9C3B4200      mov eax,dword ptr ds:[423B9C]
0041FF3A    .  C60406 00        mov byte ptr ds:[esi+eax],0
0041FF3E    .  FF05 9C3B4200    inc dword ptr ds:[423B9C]
0041FF44    .  4F               dec edi
0041FF45    .^ 75 EE            jnz short regtools.0041FF35
0041FF47    >  A1 B43B4200      mov eax,dword ptr ds:[423BB4]
0041FF4C    .  0305 B83B4200    add eax,dword ptr ds:[423BB8]
0041FF52    .  05 10020000      add eax,210
0041FF57    .  A3 B83B4200      mov dword ptr ds:[423BB8],eax
0041FF5C    .  33C0             xor eax,eax
0041FF5E    .  A3 9C3B4200      mov dword ptr ds:[423B9C],eax
0041FF63    .  B8 D83D4200      mov eax,regtools.00423DD8
0041FF68    >  8A10             mov dl,byte ptr ds:[eax]
0041FF6A    .  3215 383B4200    xor dl,byte ptr ds:[423B38]
0041FF70    .  84D2             test dl,dl
0041FF72    .  74 07            je short regtools.0041FF7B
0041FF74    .  8038 00          cmp byte ptr ds:[eax],0
0041FF77    .  74 02            je short regtools.0041FF7B
0041FF79    .  8810             mov byte ptr ds:[eax],dl
0041FF7B    >  FF05 9C3B4200    inc dword ptr ds:[423B9C]
0041FF81    .  40               inc eax
0041FF82    .  813D 9C3B4200 FF>cmp dword ptr ds:[423B9C],1FF
0041FF8C    .^ 75 DA            jnz short regtools.0041FF68
0041FF8E    .  A0 DE3D4200      mov al,byte ptr ds:[423DDE]
0041FF93    .  A2 3A3B4200      mov byte ptr ds:[423B3A],al
0041FF98    .  33C0             xor eax,eax
0041FF9A    .  A3 7C3B4200      mov dword ptr ds:[423B7C],eax
0041FF9F    .  B8 86382351      mov eax,51233886
0041FFA4    .  E8 0F2FFEFF      call regtools.00402EB8
0041FFA9    .  6BC0 0B          imul eax,eax,0B
0041FFAC    .  A3 543B4200      mov dword ptr ds:[423B54],eax
0041FFB1    .  833D 643B4200 00 cmp dword ptr ds:[423B64],0
0041FFB8    .  75 0F            jnz short regtools.0041FFC9
0041FFBA    .  B8 4D020000      mov eax,24D
0041FFBF    .  E8 F42EFEFF      call regtools.00402EB8
0041FFC4    .  A3 643B4200      mov dword ptr ds:[423B64],eax
0041FFC9    >  E8 5E67FEFF      call <jmp.&kernel32.GetCurrentProcessId> ; [GetCurrentProcessId
0041FFCE    .  A3 783B4200      mov dword ptr ds:[423B78],eax
0041FFD3    .  33D2             xor edx,edx
0041FFD5    .  B8 02000000      mov eax,2
0041FFDA    .  E8 45DCFFFF      call regtools.0041DC24
0041FFDF    .  8BF0             mov esi,eax
0041FFE1    .  C705 BC3B4200 28>mov dword ptr ds:[423BBC],128
0041FFEB    .  BA BC3B4200      mov edx,regtools.00423BBC
0041FFF0    .  8BC6             mov eax,esi
0041FFF2    .  E8 4DDCFFFF      call regtools.0041DC44
0041FFF7    .  EB 67            jmp short regtools.00420060
0041FFF9    >  8D45 C8          lea eax,dword ptr ss:[ebp-38]
0041FFFC    .  BA E03B4200      mov edx,regtools.00423BE0
00420001    .  B9 04010000      mov ecx,104
00420006    .  E8 0545FEFF      call regtools.00404510
0042000B    .  8B45 C8          mov eax,dword ptr ss:[ebp-38]
0042000E    .  8D55 CC          lea edx,dword ptr ss:[ebp-34]
00420011    .  E8 CA7FFEFF      call regtools.00407FE0
00420016    .  8B45 CC          mov eax,dword ptr ss:[ebp-34]

找不到要修改的地方。。。。请大虾门看看。。。。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (15)
chinadev
雪    币： 0
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
顶一下
2005-11-10 23:12
0
wynney
雪    币： 224
活跃值： (147)
能力值： ( LV9，RANK：970 )
在线值：
发帖
回帖
粉丝
私信
3 楼
的确缺少这一类的文章
尤其是VFP加这种壳的
2005-11-11 08:22
0
xy2000
雪    币： 107
活跃值： (55)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
4 楼
如果是老王的壳可以发上来看看,我试试能不能脱了.
2005-11-11 09:34
0
Aming
雪    币： 207
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
去弄个VFPDecoder 1.5,把Index设置为1开始,可以脱光NC。
2005-11-11 11:13
0
xy2000
雪    币： 107
活跃值： (55)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
6 楼
AMING显身,VFP程序全部死光光
2005-11-11 12:43
0
鸡蛋壳
雪    币： 427
活跃值： (412)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
VFPDecoder1.2 特别修改版
http://www.agi-china.com/Soft/ShowSoft.asp?SoftID=59
2005-11-11 13:46
0
chinadev
雪    币： 0
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
最初由 鸡蛋壳 发布
VFPDecoder1.2 特别修改版
http://www.agi-china.com/Soft/ShowSoft.asp?SoftID=59


需要安装什么库吗？
在我这里怎么跑不起来？
2005-11-11 17:06
0
chinadev
雪    币： 0
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
最初由 xy2000 发布
如果是老王的壳可以发上来看看,我试试能不能脱了.


大虾东西在此
请帮看下吧

点击下载~~
2005-11-11 17:13
0
Aming
雪    币： 207
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
│序号│           文件名称           │数据开始│数据结束│文件大小│   备注   │
│000.│regtoolse.fxp                 │29      │2AC5    │2A9C    │(垃圾文件)│
│001.│regtools.scx                  │2AC5    │33EA    │925     │          │
│002.│regtools.sct                  │33EA    │52DA    │1EF0    │          │
│003.│regtools.fxp                  │52DA    │59FA    │720     │(主文件)  │
│004.│023.ico                       │59FA    │6230    │836     │          │
│005.│jysoftmark.bmp                │6230    │C316    │60E6    │          │
│006.│dnoobj.bmp                    │C316    │C41C    │106     │          │
│007.│addtabl.bmp                   │C41C    │C50A    │EE      │          │
│008.│del_sele.bmp                  │C50A    │C658    │14E     │          │
│009.│waste.bmp                     │C658    │C74E    │F6      │          │
│010.│save.bmp                      │C74E    │C890    │142     │          │
│011.│paint.bmp                     │C890    │CEEE    │65E     │          │
│012.│preview.bmp                   │CEEE    │DE94    │FA6     │          │
│013.│print2.bmp                    │DE94    │DFEE    │15A     │          │
│014.│quit.bmp                      │DFEE    │E4D4    │4E6     │          │
│015.│vw-lrgic.bmp                  │E4D4    │E5CA    │F6      │          │
│016.│vw-smlic.bmp                  │E5CA    │E6C0    │F6      │          │
│017.│vw-list.bmp                   │E6C0    │E7B6    │F6      │          │
│018.│vw-dtls.bmp                   │E7B6    │E8AC    │F6      │          │
│019.│freetabl.bmp                  │E8AC    │E9D6    │12A     │          │
│020.│property.bmp                  │E9D6    │EAC4    │EE      │          │
│021.│_save.bmp                     │EAC4    │EFEA    │526     │          │
│022.│config.fpw                    │EFEA    │F009    │1F      │          │
│023.│reg.ico                       │F009    │F43F    │436     │          │
│024.│jysoftmark.jpg                │F43F    │13CFE   │48BF    │          │
│025.│pubs_dll_declare.fxp          │13CFE   │15840   │1B42    │          │
│026.│regtools.scx                  │15840   │191DB   │399B    │(垃圾文件)│
│027.│egtools.sct                   │191DB   │1EB25   │594A    │(垃圾文件)│
│028.│\docume~1\jytqb\locals~1\temp\│1EB25   │1F504   │9DF     │(垃圾文件)│
│029.│b\locals~1\temp\              │1F504   │21AF5   │25F1    │(垃圾文件)│
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
用两年前写的一个工具分析得到上面的结果，不要问我要工具。：）
请自行使用VfpDecoder，将Index设置为1-25即可跳过所有的陷阱。
2005-11-11 19:20
0
chinadev
雪    币： 0
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
最初由 Aming 发布
│序号│ 文件名称 │数据开始│数据结束│文件大小│ 备注 │
│000.│regtoolse.fxp │29 │2AC5 │2A9C │(垃圾文件)│
│001.│regtools.scx │2AC5 │33EA │925 │ │
│002.│regtools.sct │33EA │52DA │1EF0 │ │
│003.│regtools.fxp │52DA │59FA │720 │(主文件) │
........

谢谢兄弟。。。
VfpDecoder在我这里运行不起来有办法吗？
能否把你分析的文件给我参考下啊
2005-11-11 19:37
0
笨虫虫
雪    币： 226
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
最初由 chinadev 发布

谢谢兄弟。。。
VfpDecoder在我这里运行不起来有办法吗？
能否把你分析的文件给我参考下啊

我也想要，求求大大了
2005-11-12 01:19
0
TopHill
雪    币： 863
活跃值： (242)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
13 楼
阿明,又不把工具放出来,只是把图贴出来,算怎能样?还不如不贴!我也知道你VFP好牛!也不用这样出风头吧!我们菜,但我们都在学习!
2005-11-12 01:33
0
Aming
雪    币： 207
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
最初由 TopHill 发布
阿明,又不把工具放出来,只是把图贴出来,算怎能样?还不如不贴!我也知道你VFP好牛!也不用这样出风头吧!我们菜,但我们都在学习!


1、VfpDecoder不是我的作品，公开的最新版是1.5，ZHAOFY大侠的杰作，可以在网上搜索或到F.City下载。
2、我并没有把图贴出来，我贴的纯粹是个问题，贴这个图的原因是防止你们在使用VfpDecoder的时候掉进VFP&EXENC的陷阱，那些垃圾文件就是陷阱，一旦你用跟踪工具对目标程序的陷阱文件进行反解的话，NC会在你的系统生成大量的垃圾文件，直到把你的硬盘添满为止。
我贴出垃圾文件标号是为了大家硬盘的寿命考虑。：）
2005-11-12 09:27
0
ggosgg
雪    币： 201
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
老王的壳,,,破的人很少,加油哦.
2005-11-12 10:11
0
TopHill
雪    币： 863
活跃值： (242)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
16 楼
阿明,不好意思!之前的话说重了!我对VFP的了解不太多,也是最近才开始学,我知道你是这方面的N人,不要说破解什么?反编译什么了?有没有些好文章让我们学习下VFP的运行机制?
2005-11-13 18:40
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//