首页
社区
课程
招聘
[求助]我今天开始研究Themida碰到第一个问题[高手快进]
发表于: 2005-11-18 15:25 4654

[求助]我今天开始研究Themida碰到第一个问题[高手快进]

2005-11-18 15:25
4654
大家好,我是个菜鸟
但是没办法啊
碰到了Themida我也要硬上
我是明知山有虎,偏向虎山行
(不要骂我啊,体谅一下)
另外我还相信水滴石穿 我想总有一天可以把Themida搞定
好了 废话少说

我用OD调试Themida 直接按F9 OD提示

“不知道任何在地址 00884831处饶过指令”

按F7单步调试 代码执行到
00871758     2985 C100C706   sub dword ptr ss:[ebp+6C700C1],eax
0087175E     5A              pop edx
0087175F     81B5 ABB2C706 3>xor dword ptr ss:[ebp+6C7B2AB],2A7D83D
00871769     BA 6CC6F625     mov edx,25F6C66C
0087176E     56              push esi
0087176F     66:8BC1         mov ax,cx
00871772     5E              pop esi
00871773     83E4 0F         and esp,0F
00871776     66:8BC1         mov ax,cx
00871779     81EF 77F41423   sub edi,2314F477
0087177F     0B85 8117C706   or eax,dword ptr ss:[ebp+6C71781]
00871785     0B85 FD20C706   or eax,dword ptr ss:[ebp+6C720FD]
0087178B     61              popad
0087178C     EB 1E           jmp short Lin_test.008717AC

其中 00871773处将ESP给清空了
0087178B处出栈程序就终止了

请高手为我解答一下是怎么回事?
Themida是怎么检测到OD单步执行的?

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (8)
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
2
都是牛人啊
一开始就都能搞Themida
pfpf
2005-11-18 15:54
0
雪    币: 165
活跃值: (70)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
3
支持~~ “水滴石穿 我想总有一天可以把Themida搞定”

fly大哥 帮忙看看

我也想学

大家都期望着你呢

呵呵`~
2005-11-18 16:02
0
雪    币: 6
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
碰上了就要搞撒,要不然怎么搞呢是不
FLY老大,给点这方面的意见啊~怎么就二句话呢
2005-11-18 16:02
0
雪    币: 255
活跃值: (207)
能力值: ( LV9,RANK:250 )
在线值:
发帖
回帖
粉丝
5
偶xprot都没搞定.楼主教教我怎么搞xprot吧.写个教程.谢谢
2005-11-18 17:02
0
雪    币: 61
活跃值: (160)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
6
Themida
2005-11-19 04:15
0
雪    币: 165
活跃值: (70)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
7
问提是要一个一个的去发现
然后一个一个去解决
大家携手一起动起来

人多力量大
2005-11-19 11:40
0
雪    币: 211
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
niu a pfpf.
2005-11-19 14:52
0
雪    币: 165
活跃值: (70)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
9
因为程序单步调试要比 程序直接运行所需要的时间多的多
所以程序可以通过执行的时间来判断是不是单步执行
你单步调试,程序通过判断就会执行到00871773
但你如果在00871773处下断程序就不会执行到此
在地址00871773之前应该会有一些跳转 你可以通过多次下断
一定能找到判断的地方 然后在这个判断的地方设置断点就不会
再次执行到00871773这里来了。
:)

我也是小菜鸟 最近到处逛了一下看雪 学到不少啊
2005-11-19 15:20
0
游客
登录 | 注册 方可回帖
返回
//