能力值：
( LV12，RANK：340 )
|
-
-
2 楼
无属主仅表示该区域不是映像文件或文件映射的段，这种段一般是堆、VirtualAlloc申请的、线程栈的区域。
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
那么请问有可能在堆中执行一段代码么？前几天也碰到了这样一个问题，是一个call之后才出现的区段，按您这么说的话确实就很可能是堆栈区段了，那么这样的程序有没有可能是在call里面将一段原本加密或者存放成了数据的代码放在了堆中然后跳转过去执行呢？现在想想这种可能蛮大的。但是这个程序的关键call就在这个堆的可执行代码中，没法进行直接的爆破，这样的程序是不是只能找到存放代码数据的地方直接二进制修改、或者追码或注册机了呢？
还有就是想问一下同样是上面提到的那个程序，有人提出的破解方法是将线程内的代码提取到线程外去执行，请问这是什么意思？
|
能力值：
( LV3，RANK：20 )
|
-
-
4 楼
VirtualAlloc一块可以读写可以执行的内存块,是很常见的
|
能力值：
( LV12，RANK：340 )
|
-
-
5 楼
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
遇到了和楼主一样的问题，关键代码在一个无属主区段，想把这段代码提取出来在自己的程序中调用，bxc大神给个思路 
|
能力值：
( LV12，RANK：340 )
|
-
-
7 楼
一般无属主的内存块里的代码都不会有重定位的，直接copy出来即可。
但是需要处理一些call和jmp，因为这种地方的代码很有可能是shellcode（不知道这样说合不合适）。
call(E8)的偏移都是临时计算的。毕竟call dword ptr需要一个绝对地址，而绝对地址一般又需要一个重定位。
|
能力值：
( LV2，RANK：10 )
|
-
-
8 楼
不是shellcode，是一段加密算法
这段代码本身没有重定位功能，call、jump地址大部分都是直接地址(如00401000)
我猜测执行流程应该是这样：读取EXE中加密压缩存放的数据，经过解压解密重定位，放入新申请的堆中，最后跳过去执行
提取的常规方法是copy，只是具体到这个例子有个小问题:od不能正确反汇编，也就是说代码中加入了花指令(猜的，我对花指令不了解) 这种情况下直接copy有没有问题?
|
能力值：
( LV12，RANK：340 )
|
-
-
9 楼
OD的复制就是2进制复制，跟花指令无关。花指令是干扰反汇编器的。
|
能力值：
( LV2，RANK：10 )
|
-
-
10 楼
刚刚成功搞定了这个程序，但是还是碰到了一个不懂的问题，请问下这样分配出来的堆区域属性为RW，是不是只是对这一个分配函数以及后面紧跟着往里面释放代码的地方可写呢？因为我开始尝试着在最后一个关键call之前用SMC补丁，但是提示的是od无法处理的异常，应该是无法写入的问题，所以最后我是在这块堆区刚刚分配好并且让程序往里面添加了代码之后还没返回之前就使用SMC最后才成功的。请问这块堆是不是并非全局可写的？
|
能力值：
( LV12，RANK：340 )
|
-
-
11 楼
虚拟地址空间是进程私有的，你不管在哪里申请的内存块。
就算是在别的进程里用VirtualAllocEx申请。如果是可写的，那在哪里都是可以写入的。
|
能力值：
( LV2，RANK：10 )
|
-
-
12 楼
我以前的做法是复制反汇编代码，然后masm重新汇编
直接复制二进制，重定位问题怎么解决？
|
能力值：
( LV12，RANK：340 )
|
-
-
13 楼
一般重定位只会在映像文件里出现。其他地方不会有的。。
|
能力值：
( LV2，RANK：10 )
|
-
-
14 楼
你说的映像是指内存还是磁盘
内存映像必然存在重定位问题
磁盘映像无法直接复制，要经过一堆处理，因为最终运行的代码是动态生成的，更麻烦了
|
能力值：
( LV12，RANK：340 )
|
-
-
15 楼
我说的映像就是指一段内存是从PE文件里映射来的。。。
就是说内存属性是MEM_IMAGE。
|
|
|
|
