看教程~!

hr esp-4
f9按到oep..dump

forgot
I 服了 U  ~!:D

:D
谢了，试试～～

还是不太懂，小弟初入行，能不能讲详细点，谢了～～

标 题:PECompact的OEP的简易查找方法，以及实践,dumper本准备写的,但水平不够 (3千字)
发信人:DiKeN
时 间:2002-5-9 17:25:10
详细信息:

==============================================
该方法试用于PECompactV1.71,V1.76,V1.82
具体看下面的示例

==============================================
这是98的Calc.exe使用PECompact1.82压缩过的结果

010153A0 >EB 06            JMP SHORT CALC.010153A8<==第一条指令
010153A2  68 E0190100      PUSH 119E0<======这就是程序的原始OEP的RVA地址
010153A7  C3                RETN
010153A8  9C                PUSHFD
010153A9  60                PUSHAD
010153AA  E8 02000000      CALL CALC.010153B1
==============================================

==============================================
这是98的Notepad.exe使用PECompact1.82压缩过的结果
0040AB20 >EB 06            JMP SHORT NOTEPAD.0040AB28<==第一条指令
0040AB22  68 CC100000      PUSH 10CC<======这就是程序的原始OEP的RVA地址
0040AB27  C3                RETN
0040AB28  9C                PUSHFD
0040AB29  60                PUSHAD
0040AB2A  E8 02000000      CALL NOTEPAD.0040AB31
==============================================

==============================================
这是使用PECompact1.82压缩过LordPE.exe [rts]的结果
004239A0 >EB 06            JMP SHORT X.004239A8<==第一条指令
004239A2  68 103E0000      PUSH 3E10<======这就是程序的原始OEP的RVA地址
004239A7  C3                RETN
004239A8  9C                PUSHFD
004239A9  60                PUSHAD
004239AA  E8 02000000      CALL X.004239B1
004239AF  33C0              XOR EAX,EAX
==============================================

==============================================
这是PECompact1.82自身的结果

0043E760 >EB 06            JMP SHORT PECOMPAC.0043E768<==第一条指令
0043E762  68 00E00300      PUSH 3E000<======这就是程序的原始OEP的RVA地址
0043E767  C3                RETN
0043E768  9C                PUSHFD
0043E769  60                PUSHAD
0043E76A  E8 02000000      CALL PECOMPAC.0043E771
0043E76F  33C0              XOR EAX,EAX
==============================================

==============================================
这是ODBG1.06的结果

004F8200 >EB 06            JMP SHORT X.004F8208<==第一条指令
004F8202  68 00100000      PUSH 1000<======这就是程序的原始OEP的RVA地址
004F8207  C3                RETN
004F8208  9C                PUSHFD
004F8209  60                PUSHAD
004F820A  E8 02000000      CALL X.004F8211
004F820F  33C0              XOR EAX,EAX
004F8211  8BC4              MOV EAX,ESP
==============================================

很明显,原始程序入口为
VA=ImageBase+RVA
;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;
下面是使用TRW2000手动脱PECompact的壳

(标准TRW2000 V1.22,我想修改版也应该可以吧)

Load PECompact V1.82
<F8>
看上面的指令,0043E762  68 00E00300      PUSH 3E000
由于ImageBas=400000,所以OEP=43E000
所以
bp if(EIP==43E000)
g
pedump c:\xx.exe
g

好了,看看C:\xx.exe是不是正常了
=================================================================
=
=              inside Pandora's Box - iPB
=              Open Cracking Group  - OCG
=
=
=                                      DiKeN/iPB
=================================================================

--------------------------------------------------------------------------------

Copyright © 2000-2003 看雪学院(www.pediy.com) All Rights Reserved.

标 题:PECompact.v1.80.b2解密分析(SMC) - By A Lamer...:) (6千字)
发信人:FiNALSErAPH
时 间:2002-5-9 21:24:20
详细信息:

/////////////////////////////////////////////////////////////////////
//
//  目标软件：PECompact
//
//  软件版本：1.80 Build 2
//
//  官方网站：http://www.CollakeSoftware.com/
//
//  软件授权：共享软件
//
//  操作系统：Win95/98/ME、WinNT/2000
//
//  软件简介：知名的PE格式文件压缩工具...
//
//  软件保护：PECompact壳保护
//
/////////////////////////////////////////////////////////////////////
//
//  使用工具：TRW2000 v1.22 娃娃修改版
//            (主要用于调试分析)
//
//            LordPE Armageddon by y0da
//            (Dump & PE文件分析修改)
//
//            WinHEX v10.4 SR-3
//            (用于PE文件的16进制修改)
//
//            Hiew v6.70
//            (用于添加SMC代码)
//
//            Our Brain...:-)
//
/////////////////////////////////////////////////////////////////////
//
//  关于本文：本文主要目的在于教学，研究PECompact壳的分析及多重SMC解
//            密方法...请勿将此教程用于商业目的。
//
//                              Always Your Best Friend: FiNALSErAPH
//
//  水平有限，难免疏漏...
//
//  Any Question?
//  Mail To: [email]FiNALSErAPH@yahoo.com.cn[/email]
//
//                                                        2002-05-10
//
/////////////////////////////////////////////////////////////////////
//
//  第1步：得到可正确执行的脱壳文件(其实只要DUMP就行，没必要可执行)
//
/////////////////////////////////////////////////////////////////////
这一步比较简单，我就不详细叙述...详细过程可参看以前的文章。关于OEP可
参看DiKeN的“快速找到PECompact加壳文件的OEP”

/////////////////////////////////////////////////////////////////////
//
//  第2步：分析脱壳后的文件，找到我们要修改的地方
//
//        这里比较有意思的是对于PE文件控件的屏蔽...
//
//        这是最近研究ViRiLiTY做的破解才注意到的。
//
/////////////////////////////////////////////////////////////////////
对于解决日期限制问题就不多说了，比较简单。

pec1:004011E9                call    sub_40542F
pec1:004011EE                mov    ds:dword_40D69D, eax
                              //返回值是剩余的使用时间
                              //修改方法是将0040542F的指令变为ret
pec1:0040542F                enter  30h, 0
                              //MOV b,[0040542F],0C3
/////////////////////////////////////////////////////////////////////
对于显示Unregister! 我找到以下关键点：
pec1:004053A5                push    offset aUnregistered ; lpString
                              //->"Unregistered!"
                              //这里的代码要改为我们想保存自己姓名信息
                              //的地址。(这个地址可稍后确定)
                              //MOV d,[004053A6],????????
pec1:004053AA                push    434h            ; nIDDlgItem
pec1:004053AF                push    [ebp+hDlg]      ; hDlg
pec1:004053B2                call    SetDlgItemTextA
/////////////////////////////////////////////////////////////////////
找到控件的属性值，做相应修改...这里主要依靠Unicode的特殊性加快速度

1)P.L.E.A.S.E. .R.E.G.I.S.T.E.R.!
注意前面最近的P(0x50)(文件偏移0x13017)，我想实际应该是0x50 02 00 00
是指这个控件的属性。根据查到的WINDOWS.INC知道WS_VISIBLE = 0x10 00 00 00。
所以将0x50 -> 0x40将会使这个控件不可见
经过对脱壳文件的修改(我实际是动态调试的)，可以确定这个结论...
注意：这里为了做SMC补丁必须计算修改的地方位于内存的地址

使用LordPE查看SECTION：
        VOffset    VSize      ROffset    RSize
.src    00014000    00003000    00012400    00002128

Memory Address = Imagebase + 0x00014000 + (0x00013017 - 0x00012400) = 0x00414C17

得到：MOV b,[00414C17],40

2)S.T.A.T.I.C

Memory Address = Imagebase + 0x00014000 + (0x000131EB - 0x00012400) = 0x00414DEB

得到：MOV b,[00414DEB],40

3)...这个特征不明显，我是根据R.e.s.t.r.a.t.i.o.n. .I.n.f.o.m.a.t.i.o.n
相对位置推的。准确定位我还不会...:)

Memory Address = Imagebase + 0x00014000 + (0x000132D7 - 0x00012400) = 0x00414ED7

得到：MOV b,[00414ED7],40

/////////////////////////////////////////////////////////////////////
//
//  第3步：在即将进入OEP前的地方加上自己的补丁代码
//
/////////////////////////////////////////////////////////////////////
即将转入OEP的代码，可是直接在PECOMPACT.EXE里找不到哦...:)(多重的...)
00441551 6800E04300    PUSH    DWORD 0043E000
00441556 C204          RET    04

BPM 00441551...看看这里的代码是什么时候放进来的
0044119E F3A5          REP    MOVSD
执行完后就...不用想了，追ESI->...查到004425FC是这段代码。接着下BPM 004425FC
这里具体怎么传数据我倒不用管(我可以在传输完整片数据后补)，F12到了以下
片段：
004442AF 5D            POP    EBP
004442B0 2B7D0C        SUB    EDI, [EBP+0C]
004442B3 8BC7          MOV    EAX, EDI
004442B5 C9            LEAVE
004442B6 C208          RET    08
注意：这里你会发现所处位置"PECOMPACT!.rsrc"...而且底下一片0000...000
呵呵，还不偷着乐?
00441551 6800E04300    PUSH    DWORD 0043E000
                      //我要改这条指令，转向我要补的修改代码
                      //留些余地，暂时改为JMP 004442D0(E97A2D0000)
                      //最后可修正为JMP 004442C3(E96D2D0000)
00441556 C204          RET    04
/////////////////////////////////////////////////////////////////////
004442AF 5D            POP    EBP
004442B0 2B7D0C        SUB    EDI, [EBP+0C]
004442B3 8BC7          MOV    EAX, EDI
                      //MOV d,[00441551],002D7AE9
                      //MOV b,[00441555],00 -> 本无必要，但...我在修
                      //改1.68版时发现这里移的数据在后面会加上ImageBase
                      //所以要进行修正(因为会是个负数，所以这里要留着)
                      //呵呵，这个版本还方便些...不过知道思想就好
004442B5 C9            LEAVE
004442B6 C208          RET    08
/////////////////////////////////////////////////////////////////////
//
//  小结一下修改的代码
//
/////////////////////////////////////////////////////////////////////
004442B5              MOV    d,[00441551],002D6DE9
004442BF              LEAVE
004442C0              RET    08
004442C3              MOV    b,[00414C17],40
004442CA              MOV    b,[00414DEB],40
004442D1              MOV    b,[00414ED7],40
004442D8              MOV    b,[0040542F],C3
004442DF              MOV    d,[004053A6],00444300
                      //位于文件偏移12900处，写上大名啊
004442E9              PUSH    0043E000
004442EE              RET    04

/////////////////////////////////////////////////////////////////////

呵呵，拙文...是分析ViRiLiTY的解密文件整理而成的。One Lamer more...:)

/////////////////////////////////////////////////////////////////////
//
//  谨以此文献给茁壮成长的iPB(inside Pandora's Box - 原OCG)...
//
//  Personal Greeting To: [AFO] [CCG] [BCG] Members & All My Friends
//
/////////////////////////////////////////////////////////////////////

--------------------------------------------------------------------------------

Copyright © 2000-2003 看雪学院(www.pediy.com) All Rights Reserved.

thank you!!!!!!!!!!

版主果然是高，实在是高！！！！！！！！！！！！
我要好好烟酒一下先！！！！！！！！！！！！！！
呵呵～～

Forgot终于又出手了~!;)
上次的幻影我弄了一下午，
电脑重启10多次，
还好最后还是搞定了~!

楼上好有恒心~~
我下脱壳一样东西搞了才2个多小时
就受不了，出去打球了
后来~
由于考四级没搞了~