首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
家庭医生2006去CRC后退出问题
发表于: 2006-1-13 22:24 8387

家庭医生2006去CRC后退出问题

xsy3660 活跃值
4
2006-1-13 22:24
8387
Aspr1.2-1.2c壳，脱壳后运行，退出，有CRC，下ReadFile断点，断下
0069D490     55                push ebp
0069D491     8BEC              mov ebp,esp
0069D493     83C4 94           add esp,-6C
0069D496     8955 F8           mov dword ptr ss:[ebp-8],edx
0069D499     8945 FC           mov dword ptr ss:[ebp-4],eax
0069D49C     8B45 FC           mov eax,dword ptr ss:[ebp-4]
0069D49F     E8 7874D6FF       call _RenYuan.0040491C
0069D4A4     33C0              xor eax,eax
0069D4A6     55                push ebp
0069D4A7     68 DED56900       push _RenYuan.0069D5DE
0069D4AC     64:FF30           push dword ptr fs:[eax]
0069D4AF     64:8920           mov dword ptr fs:[eax],esp
0069D4B2     8D45 94           lea eax,dword ptr ss:[ebp-6C]
0069D4B5     E8 AEFEFFFF       call _RenYuan.0069D368
0069D4BA     6A 00             push 0
0069D4BC     68 80000008       push 8000080
0069D4C1     6A 03             push 3
0069D4C3     6A 00             push 0
0069D4C5     6A 03             push 3
0069D4C7     68 00000080       push 80000000
0069D4CC     8B45 FC           mov eax,dword ptr ss:[ebp-4]
0069D4CF     E8 5874D6FF       call _RenYuan.0040492C
0069D4D4     50                push eax
0069D4D5     E8 AE98D6FF       call <jmp.&kernel32.CreateFileA>
0069D4DA     8945 F4           mov dword ptr ss:[ebp-C],eax
0069D4DD     837D F4 FF        cmp dword ptr ss:[ebp-C],-1
0069D4E1     0F84 D6000000     je _RenYuan.0069D5BD
0069D4E7     33C0              xor eax,eax
0069D4E9     55                push ebp
0069D4EA     68 B6D56900       push _RenYuan.0069D5B6
0069D4EF     64:FF30           push dword ptr fs:[eax]
0069D4F2     64:8920           mov dword ptr fs:[eax],esp
0069D4F5     6A 00             push 0
0069D4F7     6A 00             push 0
0069D4F9     6A 00             push 0
0069D4FB     6A 02             push 2
0069D4FD     6A 00             push 0
0069D4FF     8B45 F4           mov eax,dword ptr ss:[ebp-C]
0069D502     50                push eax
0069D503     E8 8898D6FF       call <jmp.&kernel32.CreateFileMappingA>
0069D508     8945 F0           mov dword ptr ss:[ebp-10],eax
0069D50B     837D F0 00        cmp dword ptr ss:[ebp-10],0
0069D50F     0F84 8A000000     je _RenYuan.0069D59F
0069D515     33C0              xor eax,eax
0069D517     55                push ebp
0069D518     68 98D56900       push _RenYuan.0069D598
0069D51D     64:FF30           push dword ptr fs:[eax]
0069D520     64:8920           mov dword ptr fs:[eax],esp
0069D523     6A 00             push 0
0069D525     6A 00             push 0
0069D527     6A 00             push 0
0069D529     6A 04             push 4
0069D52B     8B45 F0           mov eax,dword ptr ss:[ebp-10]
0069D52E     50                push eax
0069D52F     E8 CC9AD6FF       call <jmp.&kernel32.MapViewOfFile>
0069D534     8945 EC           mov dword ptr ss:[ebp-14],eax
0069D537     837D EC 00        cmp dword ptr ss:[ebp-14],0
0069D53B     74 44             je short _RenYuan.0069D581
0069D53D     33C0              xor eax,eax
0069D53F     55                push ebp
0069D540     68 7AD56900       push _RenYuan.0069D57A
0069D545     64:FF30           push dword ptr fs:[eax]
0069D548     64:8920           mov dword ptr fs:[eax],esp
0069D54B     6A 00             push 0
0069D54D     8B45 F4           mov eax,dword ptr ss:[ebp-C]
0069D550     50                push eax
0069D551     E8 7299D6FF       call <jmp.&kernel32.GetFileSize>
0069D556     8BC8              mov ecx,eax
0069D558     8D45 94           lea eax,dword ptr ss:[ebp-6C]
0069D55B     8B55 EC           mov edx,dword ptr ss:[ebp-14]
0069D55E     E8 39FEFFFF       call _RenYuan.0069D39C
0069D563     33C0              xor eax,eax
0069D565     5A                pop edx
0069D566     59                pop ecx
0069D567     59                pop ecx
0069D568     64:8910           mov dword ptr fs:[eax],edx
0069D56B     68 81D56900       push _RenYuan.0069D581
0069D570     8B45 EC           mov eax,dword ptr ss:[ebp-14]
0069D573     50                push eax
0069D574     E8 279BD6FF       call <jmp.&kernel32.UnmapViewOfFile>
0069D579     C3                retn
0069D57A   ^ E9 2568D6FF       jmp _RenYuan.00403DA4
0069D57F   ^ EB EF             jmp short _RenYuan.0069D570
0069D581     33C0              xor eax,eax
0069D583     5A                pop edx
0069D584     59                pop ecx
0069D585     59                pop ecx
0069D586     64:8910           mov dword ptr fs:[eax],edx
0069D589     68 9FD56900       push _RenYuan.0069D59F
0069D58E     8B45 F0           mov eax,dword ptr ss:[ebp-10]
0069D591     50                push eax
0069D592     E8 D197D6FF       call <jmp.&kernel32.CloseHandle>
0069D597     C3                retn
0069D598   ^ E9 0768D6FF       jmp _RenYuan.00403DA4
0069D59D   ^ EB EF             jmp short _RenYuan.0069D58E
0069D59F     33C0              xor eax,eax
0069D5A1     5A                pop edx
0069D5A2     59                pop ecx
0069D5A3     59                pop ecx
0069D5A4     64:8910           mov dword ptr fs:[eax],edx
0069D5A7     68 BDD56900       push _RenYuan.0069D5BD
0069D5AC     8B45 F4           mov eax,dword ptr ss:[ebp-C]
0069D5AF     50                push eax
0069D5B0     E8 B397D6FF       call <jmp.&kernel32.CloseHandle>
0069D5B5     C3                retn
0069D5B6   ^ E9 E967D6FF       jmp _RenYuan.00403DA4
0069D5BB   ^ EB EF             jmp short _RenYuan.0069D5AC
0069D5BD     8B55 F8           mov edx,dword ptr ss:[ebp-8]
0069D5C0     8D45 94           lea eax,dword ptr ss:[ebp-6C]
0069D5C3     E8 54FEFFFF       call _RenYuan.0069D41C
0069D5C8     33C0              xor eax,eax
0069D5CA     5A                pop edx
0069D5CB     59                pop ecx
0069D5CC     59                pop ecx
0069D5CD     64:8910           mov dword ptr fs:[eax],edx
0069D5D0     68 E5D56900       push _RenYuan.0069D5E5
0069D5D5     8D45 FC           lea eax,dword ptr ss:[ebp-4]
0069D5D8     E8 636ED6FF       call _RenYuan.00404440
0069D5DD     C3                retn

0069F1E3     8D45 9C           lea eax,dword ptr ss:[ebp-64]
0069F1E6     8D55 AC           lea edx,dword ptr ss:[ebp-54]
0069F1E9     E8 FEE3FFFF       call _RenYuan.0069D5EC
0069F1EE     8B45 AC           mov eax,dword ptr ss:[ebp-54]       ; e1599fbcbafa42cfe7b7287f5fc3cf88
0069F1F1     8D4D B0           lea ecx,dword ptr ss:[ebp-50]
0069F1F4     66:BA CD04        mov dx,4CD
0069F1F8     E8 A3AFFFFF       call _RenYuan.0069A1A0
0069F1FD     8B45 B0           mov eax,dword ptr ss:[ebp-50]       ; 由密码学算出文件的识别代码a40<<`deefai<;joo=h<93<j9jn>nh66
0069F200     8D55 B4           lea edx,dword ptr ss:[ebp-4C]
0069F203     E8 FCAFFFFF       call _RenYuan.0069A204
0069F208     8B45 B4           mov eax,dword ptr ss:[ebp-4C]       ; 脱壳后文件校验值6134303C3C606465656661693C3B6A6F6F3D683C39333C6A396A6E3E6E683636
0069F20B     8B55 F4           mov edx,dword ptr ss:[ebp-C]        ; 脱壳前的校验值"343234353264673E65373036373C306B6E38396F3939336C6E3C3A3C3C6F3F3E"
0069F20E     E8 6556D6FF       call _RenYuan.00404878
0069F213     74 2F             je short _RenYuan.0069F244          ; 改为jmp
0069F215     8D4D 94           lea ecx,dword ptr ss:[ebp-6C]
0069F218     66:BA CD04        mov dx,4CD
0069F21C     B8 40F86900       mov eax,_RenYuan.0069F840
0069F221     E8 7AAFFFFF       call _RenYuan.0069A1A0
0069F226     8B45 94           mov eax,dword ptr ss:[ebp-6C]
0069F229     B9 01000000       mov ecx,1
0069F22E     BA FD820100       mov edx,182FD
0069F233     E8 70B0FFFF       call _RenYuan.0069A2A8
0069F238     A1 30CF6A00       mov eax,dword ptr ds:[6ACF30]
0069F23D     8B00              mov eax,dword ptr ds:[eax]
0069F23F     E8 E485DFFF       call _RenYuan.00497828
0069F244     E8 27B3FFFF       call _RenYuan.0069A570
0069F249     84C0              test al,al
0069F24B     0F84 ED030000     je _RenYuan.0069F63E
0069F251     A1 EC206B00       mov eax,dword ptr ds:[6B20EC]
0069F256     BA 4CF86900       mov edx,_RenYuan.0069F84C           ; ASCII "www.renyuansoft.com"
0069F25B     E8 1856D6FF       call _RenYuan.00404878
0069F260     0F84 D8030000     je _RenYuan.0069F63E
0069F266     8D4D 90           lea ecx,dword ptr ss:[ebp-70]
0069F269     BA 01000000       mov edx,1
0069F26E     B8 FE820100       mov eax,182FE
0069F273     E8 74B1FFFF       call _RenYuan.0069A3EC
0069F278     8B45 90           mov eax,dword ptr ss:[ebp-70]
0069F27B     50                push eax
0069F27C     8D4D 8C           lea ecx,dword ptr ss:[ebp-74]
0069F27F     66:BA CD04        mov dx,4CD
0069F283     B8 E8F86900       mov eax,_RenYuan.0069F8E8
0069F288     E8 13AFFFFF       call _RenYuan.0069A1A0
0069F28D     8B55 8C           mov edx,dword ptr ss:[ebp-74]
0069F290     58                pop eax
0069F291     E8 E255D6FF       call _RenYuan.00404878
0069F296     0F84 8F000000     je _RenYuan.0069F32B
0069F29C     68 F4F86900       push _RenYuan.0069F8F4              ; ASCII "http://www.renyuansoft.com/reg/checksn.asp?softname=Doctor&Action=REG&HDid="
0069F2A1     8D55 88           lea edx,dword ptr ss:[ebp-78]
0069F2A4     A1 FC206B00       mov eax,dword ptr ds:[6B20FC]
0069F2A9     E8 FA9FD6FF       call _RenYuan.004092A8
0069F2AE     FF75 88           push dword ptr ss:[ebp-78]
0069F2B1     68 48F96900       push _RenYuan.0069F948              ; ASCII "&HDtype="
0069F2B6     8D55 84           lea edx,dword ptr ss:[ebp-7C]
0069F2B9     A1 00216B00       mov eax,dword ptr ds:[6B2100]
0069F2BE     E8 E59FD6FF       call _RenYuan.004092A8
0069F2C3     FF75 84           push dword ptr ss:[ebp-7C]
0069F2C6     68 5CF96900       push _RenYuan.0069F95C              ; ASCII "&UserIP="
0069F2CB     8D45 80           lea eax,dword ptr ss:[ebp-80]
0069F2CE     E8 F1C2FEFF       call _RenYuan.0068B5C4
0069F2D3     FF75 80           push dword ptr ss:[ebp-80]
0069F2D6     68 70F96900       push _RenYuan.0069F970              ; ASCII "&Other="
0069F2DB     8D85 7CFFFFFF     lea eax,dword ptr ss:[ebp-84]
0069F2E1     E8 B6C3FEFF       call _RenYuan.0068B69C
0069F2E6     FFB5 7CFFFFFF     push dword ptr ss:[ebp-84]
0069F2EC     68 80F96900       push _RenYuan.0069F980              ; ASCII "&SN="
0069F2F1     8D8D 74FFFFFF     lea ecx,dword ptr ss:[ebp-8C]
0069F2F7     66:BA CD04        mov dx,4CD
0069F2FB     A1 EC206B00       mov eax,dword ptr ds:[6B20EC]
0069F300     E8 9BAEFFFF       call _RenYuan.0069A1A0
0069F305     8B85 74FFFFFF     mov eax,dword ptr ss:[ebp-8C]
0069F30B     8D95 78FFFFFF     lea edx,dword ptr ss:[ebp-88]
0069F311     E8 EEAEFFFF       call _RenYuan.0069A204
0069F316     FFB5 78FFFFFF     push dword ptr ss:[ebp-88]
0069F31C     8D45 E8           lea eax,dword ptr ss:[ebp-18]
0069F31F     BA 0A000000       mov edx,0A
0069F324     E8 C354D6FF       call _RenYuan.004047EC
0069F329     EB 38             jmp short _RenYuan.0069F363
0069F32B     8D8D 6CFFFFFF     lea ecx,dword ptr ss:[ebp-94]
0069F331     66:BA CD04        mov dx,4CD
0069F335     A1 EC206B00       mov eax,dword ptr ds:[6B20EC]
0069F33A     E8 61AEFFFF       call _RenYuan.0069A1A0
0069F33F     8B85 6CFFFFFF     mov eax,dword ptr ss:[ebp-94]
0069F345     8D95 70FFFFFF     lea edx,dword ptr ss:[ebp-90]
0069F34B     E8 B4AEFFFF       call _RenYuan.0069A204
0069F350     8B8D 70FFFFFF     mov ecx,dword ptr ss:[ebp-90]
0069F356     8D45 E8           lea eax,dword ptr ss:[ebp-18]
0069F359     BA 90F96900       mov edx,_RenYuan.0069F990           ; ASCII "http://www.renyuansoft.com/reg/checksn.asp?action=CHECK&sn="
0069F35E     E8 1554D6FF       call _RenYuan.00404778
0069F363     33C9              xor ecx,ecx
0069F365     B2 01             mov dl,1
0069F367     A1 58494600       mov eax,dword ptr ds:[464958]
0069F36C     E8 DBBADCFF       call _RenYuan.0046AE4C
0069F371     8BD8              mov ebx,eax

如上改跳后，还是与没改一样，运行后退出，猜想是另还有地方也有校验，可跟了N久就没跟出来，请高人帮我看看！

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (20)
鸡蛋壳
雪    币： 427
活跃值： (412)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
简单方法，用压缩壳压回去，然后WINHEX补充0，与原版一样大小，之后PEID CRC插件修补原版CRC32数值，搞定自效验
2006-1-13 22:58
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
3 楼
感谢鸡蛋壳的指导，试试看
2006-1-13 23:15
0
KuNgBiM
雪    币： 817
活跃值： (1927)
能力值： ( LV12，RANK：2670 )
在线值：
发帖
回帖
粉丝
私信
4 楼
最初由 鸡蛋壳 发布
简单方法，用压缩壳压回去，然后WINHEX补充0，与原版一样大小，之后PEID CRC插件修补原版CRC32数值，搞定自效验


我也用过蛋蛋的这种方法,确实比较牛X!
2006-1-14 12:17
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
5 楼
用WINHEX补充0后，不能保存呀？
2006-1-14 22:28
0
鸡蛋壳
雪    币： 427
活跃值： (412)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
最初由 xsy3660 发布
用WINHEX补充0后，不能保存呀？


可以保存，怎么可能不行
2006-1-14 22:45
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
7 楼
改用010Editor，保存后CRC32的值改动是这样的吗？把下列图1中的CRC值来添在图2中使其与图1的值一样，是吗？
图1、

图2、


可是这样改后，程序还是不能运行呀？
2006-1-14 23:07
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
8 楼
最初由 鸡蛋壳 发布


可以保存，怎么可能不行


提示user.txt错误
2006-1-14 23:09
0
鸡蛋壳
雪    币： 427
活跃值： (412)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
最初由 xsy3660 发布



提示user.txt错误


我告诉你，如果不能运行，原版也不能运行了。你要重新安装，直接运行脱壳版看看，CRC当然是填原版的CRC值了。如果依旧不能运行，只能带壳调试了
2006-1-15 00:03
0
龙岱客
雪    币： 1192
活跃值： (1614)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
最初由 xsy3660 发布



提示user.txt错误


WinHex假授权的问题。
2006-1-15 00:12
0
cyto
雪    币： 417
活跃值： (475)
能力值： ( LV9，RANK：1250 )
在线值：
发帖
回帖
粉丝
私信
11 楼
0069F208     8B45 B4           mov eax,dword ptr ss:[ebp-4C]   
0069F20B     8B55 F4           mov edx,dword ptr ss:[ebp-C]      
0069F20E     E8 6556D6FF       call _RenYuan.00404878
0069F213     74 2F             je short _RenYuan.0069F244         
试着改
0069F20B    mov edx,dword ptr ss:[ebp-C]   
为
0069F20B    mov edx,dword ptr ss:[ebp-4C]
2006-1-15 09:26
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
12 楼
最初由 cyto 发布
0069F208 8B45 B4 mov eax,dword ptr ss:[ebp-4C]
0069F20B 8B55 F4 mov edx,dword ptr ss:[ebp-C]
0069F20E E8 6556D6FF call _RenYuan.00404878
0069F213 74 2F je short _RenYuan.0069F244
试着改
........


早试个，也没用。同样会退出。应是其它啥地方的原因
2006-1-15 10:56
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
13 楼
最初由 鸡蛋壳 发布


我告诉你，如果不能运行，原版也不能运行了。你要重新安装，直接运行脱壳版看看，CRC当然是填原版的CRC值了。如果依旧不能运行，只能带壳调试了


原程序确实也不能运行了，这是为什么？
重新安装后，运行脱壳版也会退出，按你的方法进行改CRC后也会退出？
你的系统中运行改CRC后的脱壳版能成功吗？
请蛋蛋指点下。
2006-1-15 11:02
0
鸡蛋壳
雪    币： 427
活跃值： (412)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
最初由 xsy3660 发布


原程序确实也不能运行了，这是为什么？请蛋蛋指点下。


我是带壳调试，哪有什么闲功夫脱壳调试。这个肯定是暗庄了。你运行脱壳版估计在数据库里面就写入了标志。重装一下就好了
2006-1-15 11:30
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
15 楼
看来,我也只能带壳跟了,暗桩找了下,也没找到.试下内存补丁,还用来过呢
2006-1-15 17:38
0
波导终结者
雪    币： 176
活跃值： (100)
能力值： ( LV9，RANK：180 )
在线值：
发帖
回帖
粉丝
私信
16 楼
0069F1FD     8B45 B0           mov eax,dword ptr ss:[ebp-50]       ; 由密码学算出文件的识别代码a40<<`deefai<;joo=h<93<j9jn>nh66
0069F200     8D55 B4           lea edx,dword ptr ss:[ebp-4C]
0069F203     E8 FCAFFFFF       call _RenYuan.0069A204
0069F208     8B45 B4           mov eax,dword ptr ss:[ebp-4C]       ; 脱壳后文件校验值6134303C3C606465656661693C3B6A6F6F3D683C39333C6A396A6E3E6E683636
0069F20B     8B55 F4           mov edx,dword ptr ss:[ebp-C]        ; 脱壳前的校验值"343234353264673E65373036373C306B6E38396F3939336C6E3C3A3C3C6F3F3E"
0069F20E     E8 6556D6FF       call _RenYuan.00404878
0069F213     74 2F             je short _RenYuan.0069F244          ; 改为jmp

这边跳了和不跳，一样要运行69f244这个CALL，应该不是关键
0069F215     8D4D 94           lea ecx,dword ptr ss:[ebp-6C]
0069F218     66:BA CD04        mov dx,4CD
0069F21C     B8 40F86900       mov eax,_RenYuan.0069F840
0069F221     E8 7AAFFFFF       call _RenYuan.0069A1A0
0069F226     8B45 94           mov eax,dword ptr ss:[ebp-6C]
0069F229     B9 01000000       mov ecx,1
0069F22E     BA FD820100       mov edx,182FD
0069F233     E8 70B0FFFF       call _RenYuan.0069A2A8
0069F238     A1 30CF6A00       mov eax,dword ptr ds:[6ACF30]
0069F23D     8B00              mov eax,dword ptr ds:[eax]
0069F23F     E8 E485DFFF       call _RenYuan.00497828
0069F244     E8 27B3FFFF       call _RenYuan.0069A570
0069F249     84C0              test al,al
0069F24B     0F84 ED030000     je _RenYuan.0069F63E
这个可能才是关键
2006-1-15 18:47
0
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
17 楼
xsy3660这样处理试试：
全新安装至某目录，用stripper_v207f脱壳得到_RenYuannote.exe文件
现在不要运行此脱壳文件

用OllyDBG载入_RenYuannote.exe
Ctrl+G:0069F208   修改如下：
0069F208     8B45 B4            mov eax,dword ptr ss:[ebp-4C]
//mov eax,dword ptr ss:[ebp-0C]
0069F20B     8B55 F4            mov edx,dword ptr ss:[ebp-C]
0069F20E     E8 6556D6FF        call 00404878
0069F213     74 2F              je short 0069F244

保存为Fix_RenYuannote.exe，关闭OllyDBG
删掉_RenYuannote.exe（或者上面覆盖保存）
运行Fix_RenYuannote.exe看看
2006-1-15 22:13
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
18 楼
最初由 波导终结者 发布
0069F23F E8 E485DFFF call _RenYuan.00497828
0069F244 E8 27B3FFFF call _RenYuan.0069A570
0069F249 84C0 test al,al
0069F24B 0F84 ED030000 je _RenYuan.0069F63E
这个可能才是关键
........


这是连网判断，没连接则跳
2006-1-16 20:02
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
19 楼
最初由 fly 发布
0069F208 8B45 B4 mov eax,dword ptr ss:[ebp-4C]
//mov eax,dword ptr ss:[ebp-0C]
0069F20B 8B55 F4 mov edx,dword ptr ss:[ebp-C]
0069F20E E8 6556D6FF call 00404878
0069F213 74 2F je short 0069F244
........


早试过，也不行。另外怕其它地方也用到[ebp-4c]的值来多次校验，还把[ebp-0c]的值给了[ebp-4c]。同样不行
2006-1-16 20:14
0
xsy3660
雪    币： 221
活跃值： (137)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
20 楼
问题解决了。我原来改关键跳后是另保存的，没有覆盖脱壳后的文件，且改后没有删除脱壳后的文件。今天注意到了fly的一句话，覆盖或要删除脱壳的文件。试了下，真成了。可是为何用另保存为其它文件且不删除脱壳的文件会不成功呢？fly老大，请指教！谢谢！
2006-1-16 20:20
0
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
21 楼
瞎蒙的，见笑了
2006-1-16 20:49
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//