首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
tElock 0.9 - 1.0 (private) -> tE! 快速脱壳法
发表于: 2005-11-12 23:34 6594

tElock 0.9 - 1.0 (private) -> tE! 快速脱壳法

闪电狼 活跃值
2005-11-12 23:34
6594
【破文标题】tElock 0.9 - 1.0 (private) -> tE! 快速脱壳法
【破文作者】闪电狼[Wolfly]
【作者主页】www.unpack.cn
【作者邮箱】wolfly@gmail.com
【破解工具】OD v1.1,LordPE,RecImport
【脱壳目标】tElock 0.9 - 1.0 (private) -> tE! 加壳的98记事本

  *** 写给新手的简单脱壳方法

【破解分析】
1).OD载入记事本,忽略全部异常.停在图1的位置:
    图1:

2).ALT+M,打开内存,下断于图2中的位置:
    图2:


3).SHIFT+F9,断在图3中的位置:
    图3:

4).CTRL+B,二进制搜索以下代码:0A F6 89 54
    找到图4中的位置,并根据图4的提示 修改Magic Jmp..
    图4:
   

5).第二区段内存断点大法.直达OEP... 图5 -> OEP
    图5:

6).用LordPE dump出文件,
    打开RecImport,选择进程,输入OEP,获取IAT,全部有效..看图
   

最后修复dump的文件,,,OK 可以运行了..

方法真的很简单,大家都可以去试试

下面是 加壳的记事本 大家去练习 ^*^(这是写给新手的,大虾们就免拉 嘿嘿..)

点击下载记事本

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・0
支持
分享
最新回复 (10)
liuyilin
雪    币： 303
活跃值： (476)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
经典
2005-11-13 00:08
0
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
3 楼
不要忽略自校验
毕竟不少加壳的带有tElock的检验
2005-11-13 01:26
0
aki
雪    币： 223
活跃值： (70)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
4 楼
iat都处理成这样的了
00BA0080               E8 08000000   call 00BA008D
00BA0085               E9 09000000   jmp 00BA0093
00BA008A               23C6          and eax,esi
00BA008C               F9            stc
00BA008D               2BC6          sub eax,esi
00BA008F               C3            retn
00BA0090               83F0 51       xor eax,51
00BA0093               8BC4          mov eax,esp
00BA0095               48            dec eax
00BA0096               B8 5616BA00   mov eax,0BA1656
00BA009B               40            inc eax
00BA009C               FF30          push dword ptr ds:[eax]
00BA009E               C3            retn

00BA041A              /EB 01         jmp short 00BA041D
00BA041C              |66:C1D8 30    rcr ax,30
00BA0420               B8 FE16BA00   mov eax,0BA16FE
00BA0425               40            inc eax
00BA0426               FF30          push dword ptr ds:[eax]
00BA0428               C3            retn

主要代码是
00BA0420               B8 FE16BA00   mov eax,0BA16FE
00BA0425               40            inc eax
00BA0426               FF30          push dword ptr ds:[eax]
00BA0428               C3            retn
前面会有花，但是形式吗，没怎么看过，好像有好几种。写个修复的代码如下

pushad
mov        eax,49c048                //iat开始地址
label5:
mov        ebx,[eax]       
cmp        ebx,1000000
ja        label1
cmp        ebx,0
je        label1
label3:
mov        cl,[ebx]
cmp        cl,0b8
je        label2
label4:
inc        ebx
jmp        label3
label2:
cmp        [ebx+5],40
jne        label4
-------------------------//找到要处理的地址，放在ebx中
mov        ecx,[ebx+1]
inc        ecx
mov        edx,[ecx]
mov        [eax],edx
label1:
add        eax,4
cmp        eax,49c6f0                        //iat结束地址
jb        label5
popad

如果有不通过的，多半是分界，用0填充了再用这段代码因该就没问题了
2005-11-14 17:51
0
qq7119
雪    币： 207
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
tElock 0.9 - 1.0
有 脱壳机了吗?
2005-11-14 18:10
0
arja
雪    币： 205
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
正在找破文呢！！谢谢了！！
2005-11-14 20:14
0
ljy3282393
雪    币： 214
活跃值： (15)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
7 楼
支持并学习
2005-11-14 21:43
0
arja
雪    币： 205
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
脱了不能运行啊！！怎么办叱＞
2005-11-14 23:04
0
闪电狼
雪    币： 108
活跃值： (42)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
最初由 arja 发布
脱了不能运行啊！！怎么办叱＞


按照我的方法不会有问题.

你的软件我刚刚脱过.一切正常

从新来过
2005-11-14 23:10
0
linhanshi
雪    币： 98803
活跃值： (201054)
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
不错，继续努力。
2005-11-14 23:22
0
arja
雪    币： 205
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
谢谢闪电狼 终于成功壳了！！谢谢了！！
2005-11-14 23:25
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//