Aspr1.2-1.2c壳,脱壳后运行,退出,有CRC,下ReadFile断点,断下
0069D490 55 push ebp
0069D491 8BEC mov ebp,esp
0069D493 83C4 94 add esp,-6C
0069D496 8955 F8 mov dword ptr ss:[ebp-8],edx
0069D499 8945 FC mov dword ptr ss:[ebp-4],eax
0069D49C 8B45 FC mov eax,dword ptr ss:[ebp-4]
0069D49F E8 7874D6FF call _RenYuan.0040491C
0069D4A4 33C0 xor eax,eax
0069D4A6 55 push ebp
0069D4A7 68 DED56900 push _RenYuan.0069D5DE
0069D4AC 64:FF30 push dword ptr fs:[eax]
0069D4AF 64:8920 mov dword ptr fs:[eax],esp
0069D4B2 8D45 94 lea eax,dword ptr ss:[ebp-6C]
0069D4B5 E8 AEFEFFFF call _RenYuan.0069D368
0069D4BA 6A 00 push 0
0069D4BC 68 80000008 push 8000080
0069D4C1 6A 03 push 3
0069D4C3 6A 00 push 0
0069D4C5 6A 03 push 3
0069D4C7 68 00000080 push 80000000
0069D4CC 8B45 FC mov eax,dword ptr ss:[ebp-4]
0069D4CF E8 5874D6FF call _RenYuan.0040492C
0069D4D4 50 push eax
0069D4D5 E8 AE98D6FF call <jmp.&kernel32.CreateFileA>
0069D4DA 8945 F4 mov dword ptr ss:[ebp-C],eax
0069D4DD 837D F4 FF cmp dword ptr ss:[ebp-C],-1
0069D4E1 0F84 D6000000 je _RenYuan.0069D5BD
0069D4E7 33C0 xor eax,eax
0069D4E9 55 push ebp
0069D4EA 68 B6D56900 push _RenYuan.0069D5B6
0069D4EF 64:FF30 push dword ptr fs:[eax]
0069D4F2 64:8920 mov dword ptr fs:[eax],esp
0069D4F5 6A 00 push 0
0069D4F7 6A 00 push 0
0069D4F9 6A 00 push 0
0069D4FB 6A 02 push 2
0069D4FD 6A 00 push 0
0069D4FF 8B45 F4 mov eax,dword ptr ss:[ebp-C]
0069D502 50 push eax
0069D503 E8 8898D6FF call <jmp.&kernel32.CreateFileMappingA>
0069D508 8945 F0 mov dword ptr ss:[ebp-10],eax
0069D50B 837D F0 00 cmp dword ptr ss:[ebp-10],0
0069D50F 0F84 8A000000 je _RenYuan.0069D59F
0069D515 33C0 xor eax,eax
0069D517 55 push ebp
0069D518 68 98D56900 push _RenYuan.0069D598
0069D51D 64:FF30 push dword ptr fs:[eax]
0069D520 64:8920 mov dword ptr fs:[eax],esp
0069D523 6A 00 push 0
0069D525 6A 00 push 0
0069D527 6A 00 push 0
0069D529 6A 04 push 4
0069D52B 8B45 F0 mov eax,dword ptr ss:[ebp-10]
0069D52E 50 push eax
0069D52F E8 CC9AD6FF call <jmp.&kernel32.MapViewOfFile>
0069D534 8945 EC mov dword ptr ss:[ebp-14],eax
0069D537 837D EC 00 cmp dword ptr ss:[ebp-14],0
0069D53B 74 44 je short _RenYuan.0069D581
0069D53D 33C0 xor eax,eax
0069D53F 55 push ebp
0069D540 68 7AD56900 push _RenYuan.0069D57A
0069D545 64:FF30 push dword ptr fs:[eax]
0069D548 64:8920 mov dword ptr fs:[eax],esp
0069D54B 6A 00 push 0
0069D54D 8B45 F4 mov eax,dword ptr ss:[ebp-C]
0069D550 50 push eax
0069D551 E8 7299D6FF call <jmp.&kernel32.GetFileSize>
0069D556 8BC8 mov ecx,eax
0069D558 8D45 94 lea eax,dword ptr ss:[ebp-6C]
0069D55B 8B55 EC mov edx,dword ptr ss:[ebp-14]
0069D55E E8 39FEFFFF call _RenYuan.0069D39C
0069D563 33C0 xor eax,eax
0069D565 5A pop edx
0069D566 59 pop ecx
0069D567 59 pop ecx
0069D568 64:8910 mov dword ptr fs:[eax],edx
0069D56B 68 81D56900 push _RenYuan.0069D581
0069D570 8B45 EC mov eax,dword ptr ss:[ebp-14]
0069D573 50 push eax
0069D574 E8 279BD6FF call <jmp.&kernel32.UnmapViewOfFile>
0069D579 C3 retn
0069D57A ^ E9 2568D6FF jmp _RenYuan.00403DA4
0069D57F ^ EB EF jmp short _RenYuan.0069D570
0069D581 33C0 xor eax,eax
0069D583 5A pop edx
0069D584 59 pop ecx
0069D585 59 pop ecx
0069D586 64:8910 mov dword ptr fs:[eax],edx
0069D589 68 9FD56900 push _RenYuan.0069D59F
0069D58E 8B45 F0 mov eax,dword ptr ss:[ebp-10]
0069D591 50 push eax
0069D592 E8 D197D6FF call <jmp.&kernel32.CloseHandle>
0069D597 C3 retn
0069D598 ^ E9 0768D6FF jmp _RenYuan.00403DA4
0069D59D ^ EB EF jmp short _RenYuan.0069D58E
0069D59F 33C0 xor eax,eax
0069D5A1 5A pop edx
0069D5A2 59 pop ecx
0069D5A3 59 pop ecx
0069D5A4 64:8910 mov dword ptr fs:[eax],edx
0069D5A7 68 BDD56900 push _RenYuan.0069D5BD
0069D5AC 8B45 F4 mov eax,dword ptr ss:[ebp-C]
0069D5AF 50 push eax
0069D5B0 E8 B397D6FF call <jmp.&kernel32.CloseHandle>
0069D5B5 C3 retn
0069D5B6 ^ E9 E967D6FF jmp _RenYuan.00403DA4
0069D5BB ^ EB EF jmp short _RenYuan.0069D5AC
0069D5BD 8B55 F8 mov edx,dword ptr ss:[ebp-8]
0069D5C0 8D45 94 lea eax,dword ptr ss:[ebp-6C]
0069D5C3 E8 54FEFFFF call _RenYuan.0069D41C
0069D5C8 33C0 xor eax,eax
0069D5CA 5A pop edx
0069D5CB 59 pop ecx
0069D5CC 59 pop ecx
0069D5CD 64:8910 mov dword ptr fs:[eax],edx
0069D5D0 68 E5D56900 push _RenYuan.0069D5E5
0069D5D5 8D45 FC lea eax,dword ptr ss:[ebp-4]
0069D5D8 E8 636ED6FF call _RenYuan.00404440
0069D5DD C3 retn
0069F1E3 8D45 9C lea eax,dword ptr ss:[ebp-64]
0069F1E6 8D55 AC lea edx,dword ptr ss:[ebp-54]
0069F1E9 E8 FEE3FFFF call _RenYuan.0069D5EC
0069F1EE 8B45 AC mov eax,dword ptr ss:[ebp-54] ; e1599fbcbafa42cfe7b7287f5fc3cf88
0069F1F1 8D4D B0 lea ecx,dword ptr ss:[ebp-50]
0069F1F4 66:BA CD04 mov dx,4CD
0069F1F8 E8 A3AFFFFF call _RenYuan.0069A1A0
0069F1FD 8B45 B0 mov eax,dword ptr ss:[ebp-50] ; 由密码学算出文件的识别代码a40<<`deefai<;joo=h<93<j9jn>nh66
0069F200 8D55 B4 lea edx,dword ptr ss:[ebp-4C]
0069F203 E8 FCAFFFFF call _RenYuan.0069A204
0069F208 8B45 B4 mov eax,dword ptr ss:[ebp-4C] ; 脱壳后文件校验值6134303C3C606465656661693C3B6A6F6F3D683C39333C6A396A6E3E6E683636
0069F20B 8B55 F4 mov edx,dword ptr ss:[ebp-C] ; 脱壳前的校验值"343234353264673E65373036373C306B6E38396F3939336C6E3C3A3C3C6F3F3E"
0069F20E E8 6556D6FF call _RenYuan.00404878
0069F213 74 2F je short _RenYuan.0069F244 ; 改为jmp
0069F215 8D4D 94 lea ecx,dword ptr ss:[ebp-6C]
0069F218 66:BA CD04 mov dx,4CD
0069F21C B8 40F86900 mov eax,_RenYuan.0069F840
0069F221 E8 7AAFFFFF call _RenYuan.0069A1A0
0069F226 8B45 94 mov eax,dword ptr ss:[ebp-6C]
0069F229 B9 01000000 mov ecx,1
0069F22E BA FD820100 mov edx,182FD
0069F233 E8 70B0FFFF call _RenYuan.0069A2A8
0069F238 A1 30CF6A00 mov eax,dword ptr ds:[6ACF30]
0069F23D 8B00 mov eax,dword ptr ds:[eax]
0069F23F E8 E485DFFF call _RenYuan.00497828
0069F244 E8 27B3FFFF call _RenYuan.0069A570
0069F249 84C0 test al,al
0069F24B 0F84 ED030000 je _RenYuan.0069F63E
0069F251 A1 EC206B00 mov eax,dword ptr ds:[6B20EC]
0069F256 BA 4CF86900 mov edx,_RenYuan.0069F84C ; ASCII "www.renyuansoft.com"
0069F25B E8 1856D6FF call _RenYuan.00404878
0069F260 0F84 D8030000 je _RenYuan.0069F63E
0069F266 8D4D 90 lea ecx,dword ptr ss:[ebp-70]
0069F269 BA 01000000 mov edx,1
0069F26E B8 FE820100 mov eax,182FE
0069F273 E8 74B1FFFF call _RenYuan.0069A3EC
0069F278 8B45 90 mov eax,dword ptr ss:[ebp-70]
0069F27B 50 push eax
0069F27C 8D4D 8C lea ecx,dword ptr ss:[ebp-74]
0069F27F 66:BA CD04 mov dx,4CD
0069F283 B8 E8F86900 mov eax,_RenYuan.0069F8E8
0069F288 E8 13AFFFFF call _RenYuan.0069A1A0
0069F28D 8B55 8C mov edx,dword ptr ss:[ebp-74]
0069F290 58 pop eax
0069F291 E8 E255D6FF call _RenYuan.00404878
0069F296 0F84 8F000000 je _RenYuan.0069F32B
0069F29C 68 F4F86900 push _RenYuan.0069F8F4 ; ASCII "http://www.renyuansoft.com/reg/checksn.asp?softname=Doctor&Action=REG&HDid="
0069F2A1 8D55 88 lea edx,dword ptr ss:[ebp-78]
0069F2A4 A1 FC206B00 mov eax,dword ptr ds:[6B20FC]
0069F2A9 E8 FA9FD6FF call _RenYuan.004092A8
0069F2AE FF75 88 push dword ptr ss:[ebp-78]
0069F2B1 68 48F96900 push _RenYuan.0069F948 ; ASCII "&HDtype="
0069F2B6 8D55 84 lea edx,dword ptr ss:[ebp-7C]
0069F2B9 A1 00216B00 mov eax,dword ptr ds:[6B2100]
0069F2BE E8 E59FD6FF call _RenYuan.004092A8
0069F2C3 FF75 84 push dword ptr ss:[ebp-7C]
0069F2C6 68 5CF96900 push _RenYuan.0069F95C ; ASCII "&UserIP="
0069F2CB 8D45 80 lea eax,dword ptr ss:[ebp-80]
0069F2CE E8 F1C2FEFF call _RenYuan.0068B5C4
0069F2D3 FF75 80 push dword ptr ss:[ebp-80]
0069F2D6 68 70F96900 push _RenYuan.0069F970 ; ASCII "&Other="
0069F2DB 8D85 7CFFFFFF lea eax,dword ptr ss:[ebp-84]
0069F2E1 E8 B6C3FEFF call _RenYuan.0068B69C
0069F2E6 FFB5 7CFFFFFF push dword ptr ss:[ebp-84]
0069F2EC 68 80F96900 push _RenYuan.0069F980 ; ASCII "&SN="
0069F2F1 8D8D 74FFFFFF lea ecx,dword ptr ss:[ebp-8C]
0069F2F7 66:BA CD04 mov dx,4CD
0069F2FB A1 EC206B00 mov eax,dword ptr ds:[6B20EC]
0069F300 E8 9BAEFFFF call _RenYuan.0069A1A0
0069F305 8B85 74FFFFFF mov eax,dword ptr ss:[ebp-8C]
0069F30B 8D95 78FFFFFF lea edx,dword ptr ss:[ebp-88]
0069F311 E8 EEAEFFFF call _RenYuan.0069A204
0069F316 FFB5 78FFFFFF push dword ptr ss:[ebp-88]
0069F31C 8D45 E8 lea eax,dword ptr ss:[ebp-18]
0069F31F BA 0A000000 mov edx,0A
0069F324 E8 C354D6FF call _RenYuan.004047EC
0069F329 EB 38 jmp short _RenYuan.0069F363
0069F32B 8D8D 6CFFFFFF lea ecx,dword ptr ss:[ebp-94]
0069F331 66:BA CD04 mov dx,4CD
0069F335 A1 EC206B00 mov eax,dword ptr ds:[6B20EC]
0069F33A E8 61AEFFFF call _RenYuan.0069A1A0
0069F33F 8B85 6CFFFFFF mov eax,dword ptr ss:[ebp-94]
0069F345 8D95 70FFFFFF lea edx,dword ptr ss:[ebp-90]
0069F34B E8 B4AEFFFF call _RenYuan.0069A204
0069F350 8B8D 70FFFFFF mov ecx,dword ptr ss:[ebp-90]
0069F356 8D45 E8 lea eax,dword ptr ss:[ebp-18]
0069F359 BA 90F96900 mov edx,_RenYuan.0069F990 ; ASCII "http://www.renyuansoft.com/reg/checksn.asp?action=CHECK&sn="
0069F35E E8 1554D6FF call _RenYuan.00404778
0069F363 33C9 xor ecx,ecx
0069F365 B2 01 mov dl,1
0069F367 A1 58494600 mov eax,dword ptr ds:[464958]
0069F36C E8 DBBADCFF call _RenYuan.0046AE4C
0069F371 8BD8 mov ebx,eax
如上改跳后,还是与没改一样,运行后退出,猜想是另还有地方也有校验,可跟了N久就没跟出来,请高人帮我看看!
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!