首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[求助]脱狗壳
发表于: 2006-2-8 23:39 3858

[求助]脱狗壳

yatou 活跃值
2006-2-8 23:39
3858
00CF2000 >  E8 7BA1FFFF     call 11.00CEC180                          ; f7进入
00CF2005    50              push eax
00CF2006    C3              retn
00CF2007    0100            add dword ptr ds:[eax],eax
00CF2009    0040 00         add byte ptr ds:[eax],al

00CEC180    55              push ebp
00CEC181    8BEC            mov ebp,esp
00CEC183    51              push ecx
00CEC184    56              push esi
00CEC185    57              push edi
00CEC186    8B45 04         mov eax,dword ptr ss:[ebp+4]
00CEC189    8D40 FB         lea eax,dword ptr ds:[eax-5]
00CEC18C    8945 FC         mov dword ptr ss:[ebp-4],eax
00CEC18F    8B7D FC         mov edi,dword ptr ss:[ebp-4]
00CEC192    8B87 99000000   mov eax,dword ptr ds:[edi+99]
00CEC198    8DB7 81000000   lea esi,dword ptr ds:[edi+81]
00CEC19E    85C0            test eax,eax
00CEC1A0    75 1D           jnz short 11.00CEC1BF
00CEC1A2    8B4E 08         mov ecx,dword ptr ds:[esi+8]
00CEC1A5    8B56 04         mov edx,dword ptr ds:[esi+4]
00CEC1A8    8BC7            mov eax,edi
00CEC1AA    56              push esi
00CEC1AB    2BC1            sub eax,ecx
00CEC1AD    57              push edi
00CEC1AE    03D0            add edx,eax
00CEC1B0    8956 04         mov dword ptr ds:[esi+4],edx
00CEC1B3    E8 48000000     call 11.00CEC200
00CEC1B8    C746 18 0100000>mov dword ptr ds:[esi+18],1
00CEC1BF    0336            add esi,dword ptr ds:[esi]
00CEC1C1    8B46 18         mov eax,dword ptr ds:[esi+18]
00CEC1C4    85C0            test eax,eax
00CEC1C6    75 23           jnz short 11.00CEC1EB
00CEC1C8    8B56 08         mov edx,dword ptr ds:[esi+8]
00CEC1CB    8B46 04         mov eax,dword ptr ds:[esi+4]
00CEC1CE    8BCF            mov ecx,edi
00CEC1D0    56              push esi
00CEC1D1    2BCA            sub ecx,edx
00CEC1D3    03C1            add eax,ecx
00CEC1D5    8946 04         mov dword ptr ds:[esi+4],eax
00CEC1D8    E8 B3020000     call 11.00CEC490                          ; f7进入
00CEC1DD    56              push esi
00CEC1DE    57              push edi
00CEC1DF    E8 1C000000     call 11.00CEC200
00CEC1E4    C746 18 0100000>mov dword ptr ds:[esi+18],1
00CEC1EB    8B46 0C         mov eax,dword ptr ds:[esi+C]
00CEC1EE    8B4E 04         mov ecx,dword ptr ds:[esi+4]
00CEC1F1    5F              pop edi
00CEC1F2    03C1            add eax,ecx
00CEC1F4    5E              pop esi
00CEC1F5    8BE5            mov esp,ebp
00CEC1F7    5D              pop ebp
00CEC1F8    C3              retn
00CEC1F9    90              nop

00CEC490    83EC 3C         sub esp,3C
00CEC493    53              push ebx
00CEC494    55              push ebp
00CEC495    56              push esi
00CEC496    57              push edi
00CEC497    8B7C24 50       mov edi,dword ptr ss:[esp+50]
00CEC49B    33ED            xor ebp,ebp
00CEC49D    33C0            xor eax,eax
00CEC49F    66:896C24 44    mov word ptr ss:[esp+44],bp
00CEC4A4    8B77 34         mov esi,dword ptr ds:[edi+34]
00CEC4A7    33C9            xor ecx,ecx
00CEC4A9    03F7            add esi,edi
00CEC4AB    33DB            xor ebx,ebx
00CEC4AD    C74424 2C 08000>mov dword ptr ss:[esp+2C],8
00CEC4B5    66:8B46 04      mov ax,word ptr ds:[esi+4]
00CEC4B9    894424 14       mov dword ptr ss:[esp+14],eax
00CEC4BD    66:8B4E 06      mov cx,word ptr ds:[esi+6]
00CEC4C1    C1E0 10         shl eax,10
00CEC4C4    0BC1            or eax,ecx
00CEC4C6    894424 14       mov dword ptr ss:[esp+14],eax
00CEC4CA    66:8B46 04      mov ax,word ptr ds:[esi+4]
00CEC4CE    66:3146 08      xor word ptr ds:[esi+8],ax
00CEC4D2    8B5424 14       mov edx,dword ptr ss:[esp+14]
00CEC4D6    8B4E 0A         mov ecx,dword ptr ds:[esi+A]
00CEC4D9    F7D0            not eax
00CEC4DB    66:8946 04      mov word ptr ds:[esi+4],ax
00CEC4DF    66:8B46 06      mov ax,word ptr ds:[esi+6]
00CEC4E3    33CA            xor ecx,edx
00CEC4E5    66:F7D0         not ax
00CEC4E8    894E 0A         mov dword ptr ds:[esi+A],ecx
00CEC4EB    66:8946 06      mov word ptr ds:[esi+6],ax
00CEC4EF    66:8B4E 04      mov cx,word ptr ds:[esi+4]
00CEC4F3    66:3BDD         cmp bx,bp
00CEC4F6    894C24 1C       mov dword ptr ss:[esp+1C],ecx
00CEC4FA    66:8B56 06      mov dx,word ptr ds:[esi+6]
00CEC4FE    895424 18       mov dword ptr ss:[esp+18],edx
00CEC502    896C24 24       mov dword ptr ss:[esp+24],ebp
00CEC506    896C24 20       mov dword ptr ss:[esp+20],ebp
00CEC50A    75 42           jnz short 11.00CEC54E
00CEC50C    8D4424 3C       lea eax,dword ptr ss:[esp+3C]
00CEC510    8D4C24 20       lea ecx,dword ptr ss:[esp+20]
00CEC514    50              push eax
00CEC515    8D5424 28       lea edx,dword ptr ss:[esp+28]
00CEC519    51              push ecx
00CEC51A    8D4424 20       lea eax,dword ptr ss:[esp+20]
00CEC51E    52              push edx
00CEC51F    8D4C24 28       lea ecx,dword ptr ss:[esp+28]
00CEC523    50              push eax
00CEC524    8D5424 38       lea edx,dword ptr ss:[esp+38]
00CEC528    51              push ecx
00CEC529    8D4424 28       lea eax,dword ptr ss:[esp+28]
00CEC52D    52              push edx
00CEC52E    8D4C24 2A       lea ecx,dword ptr ss:[esp+2A]
00CEC532    50              push eax
00CEC533    51              push ecx
00CEC534    6A 01           push 1
00CEC536    E8 05050000     call 11.00CECA40
00CEC53B    83C4 24         add esp,24
00CEC53E    66:85C0         test ax,ax
00CEC541    0F85 91020000   jnz 11.00CEC7D8                           ; 不能跳
00CEC547    BB 01000000     mov ebx,1
00CEC54C    EB 3B           jmp short 11.00CEC589
00CEC54E    8D5424 3C       lea edx,dword ptr ss:[esp+3C]

00CEC589    8B46 0A         mov eax,dword ptr ds:[esi+A]
00CEC58C    8B4C24 14       mov ecx,dword ptr ss:[esp+14]
00CEC590    3BC5            cmp eax,ebp
00CEC592    74 14           je short 11.00CEC5A8
00CEC594    3BC8            cmp ecx,eax
00CEC596    0F85 9F000000   jnz 11.00CEC63B
00CEC59C    894C24 46       mov dword ptr ss:[esp+46],ecx
00CEC5A0    C74424 2C 0E000>mov dword ptr ss:[esp+2C],0E
00CEC5A8    894C24 30       mov dword ptr ss:[esp+30],ecx
00CEC5AC    8D4C24 3C       lea ecx,dword ptr ss:[esp+3C]
00CEC5B0    8D5424 20       lea edx,dword ptr ss:[esp+20]
00CEC5B4    51              push ecx
00CEC5B5    8D4424 28       lea eax,dword ptr ss:[esp+28]
00CEC5B9    52              push edx
00CEC5BA    8D4C24 20       lea ecx,dword ptr ss:[esp+20]
00CEC5BE    50              push eax
00CEC5BF    8D5424 28       lea edx,dword ptr ss:[esp+28]
00CEC5C3    51              push ecx
00CEC5C4    8D4424 38       lea eax,dword ptr ss:[esp+38]
00CEC5C8    52              push edx
00CEC5C9    8D4C24 28       lea ecx,dword ptr ss:[esp+28]
00CEC5CD    50              push eax
00CEC5CE    8D5424 2A       lea edx,dword ptr ss:[esp+2A]
00CEC5D2    51              push ecx
00CEC5D3    52              push edx
00CEC5D4    6A 03           push 3
00CEC5D6    E8 65040000     call 11.00CECA40
00CEC5DB    83C4 24         add esp,24
00CEC5DE    66:85C0         test ax,ax
00CEC5E1    0F85 F1010000   jnz 11.00CEC7D8                           ; no jump
00CEC5E7    66:8B46 08      mov ax,word ptr ds:[esi+8]
00CEC5EB    66:3D FFFF      cmp ax,0FFFF
00CEC5EF    74 6F           je short 11.00CEC660
00CEC5F1    83E0 0F         and eax,0F
00CEC5F4    8D4C24 20       lea ecx,dword ptr ss:[esp+20]
00CEC5F8    894424 1C       mov dword ptr ss:[esp+1C],eax
00CEC5FC    8D4424 3C       lea eax,dword ptr ss:[esp+3C]
00CEC600    50              push eax
00CEC601    8D5424 28       lea edx,dword ptr ss:[esp+28]
00CEC605    51              push ecx
00CEC606    8D4424 20       lea eax,dword ptr ss:[esp+20]
00CEC60A    52              push edx
00CEC60B    8D4C24 28       lea ecx,dword ptr ss:[esp+28]
00CEC60F    50              push eax
00CEC610    8D5424 38       lea edx,dword ptr ss:[esp+38]
00CEC614    51              push ecx
00CEC615    8D4424 28       lea eax,dword ptr ss:[esp+28]
00CEC619    52              push edx
00CEC61A    8D4C24 2A       lea ecx,dword ptr ss:[esp+2A]
00CEC61E    50              push eax
00CEC61F    51              push ecx
00CEC620    6A 0C           push 0C
00CEC622    E8 19040000     call 11.00CECA40
00CEC627    83C4 24         add esp,24
00CEC62A    66:85C0         test ax,ax
00CEC62D    0F85 73010000   jnz 11.00CEC7A6                           ; no jump
00CEC633    66:837C24 18 01 cmp word ptr ss:[esp+18],1
00CEC639    74 0B           je short 11.00CEC646
00CEC63B    66:83FB 02      cmp bx,2
00CEC63F    74 1F           je short 11.00CEC660                      ; jump
00CEC641  ^ E9 A9FEFFFF     jmp 11.00CEC4EF
00CEC646    8B4424 2C       mov eax,dword ptr ss:[esp+2C]
00CEC64A    66:8B56 08      mov dx,word ptr ds:[esi+8]
00CEC64E    83F8 08         cmp eax,8
00CEC651    66:895424 44    mov word ptr ss:[esp+44],dx
00CEC656    75 08           jnz short 11.00CEC660
00CEC658    C74424 2C 0A000>mov dword ptr ss:[esp+2C],0A
00CEC660    66:8B4424 12    mov ax,word ptr ss:[esp+12]
00CEC665    8B4C24 30       mov ecx,dword ptr ss:[esp+30]
00CEC669    66:A3 5091CE00  mov word ptr ds:[CE9150],ax
00CEC66F    894E 0A         mov dword ptr ds:[esi+A],ecx
00CEC672    8B5F 2C         mov ebx,dword ptr ds:[edi+2C]
00CEC675    33C0            xor eax,eax
00CEC677    03DF            add ebx,edi
00CEC679    896C24 30       mov dword ptr ss:[esp+30],ebp
00CEC67D    66:8B03         mov ax,word ptr ds:[ebx]
00CEC680    83C3 02         add ebx,2
00CEC683    3BC5            cmp eax,ebp
00CEC685    894424 38       mov dword ptr ss:[esp+38],eax
00CEC689    0F8E BA000000   jle 11.00CEC749                           ; jump
00CEC68F    EB 04           jmp short 11.00CEC695

00CEC749    8D4424 3C       lea eax,dword ptr ss:[esp+3C]
00CEC74D    8D4C24 20       lea ecx,dword ptr ss:[esp+20]
00CEC751    50              push eax
00CEC752    8D5424 28       lea edx,dword ptr ss:[esp+28]
00CEC756    51              push ecx
00CEC757    8D4424 20       lea eax,dword ptr ss:[esp+20]
00CEC75B    52              push edx
00CEC75C    8D4C24 28       lea ecx,dword ptr ss:[esp+28]
00CEC760    50              push eax
00CEC761    8D5424 38       lea edx,dword ptr ss:[esp+38]
00CEC765    51              push ecx
00CEC766    8D4424 28       lea eax,dword ptr ss:[esp+28]
00CEC76A    52              push edx
00CEC76B    8D4C24 2A       lea ecx,dword ptr ss:[esp+2A]
00CEC76F    50              push eax
00CEC770    51              push ecx
00CEC771    6A 04           push 4
00CEC773    E8 C8020000     call 11.00CECA40
00CEC778    8B06            mov eax,dword ptr ds:[esi]
00CEC77A    83C4 24         add esp,24
00CEC77D    3BC5            cmp eax,ebp
00CEC77F    74 19           je short 11.00CEC79A                      ; j?
00CEC781    68 F40CCF00     push 11.00CF0CF4
00CEC786    55              push ebp
00CEC787    56              push esi
00CEC788    68 70C3CE00     push 11.00CEC370
00CEC78D    55              push ebp
00CEC78E    55              push ebp
00CEC78F    FF15 3C90CE00   call dword ptr ds:[CE903C]                ; kernel32.CreateThread
00CEC795    A3 F00CCF00     mov dword ptr ds:[CF0CF0],eax
00CEC79A    5F              pop edi
00CEC79B    5E              pop esi
00CEC79C    5D              pop ebp
00CEC79D    5B              pop ebx
00CEC79E    83C4 3C         add esp,3C
00CEC7A1    C2 0400         retn 4
00CEC7A4    33ED            xor ebp,ebp

00CEC7A1    C2 0400         retn 4 到
00CEC1DD    56              push esi                                  ; 11.00CF309D
00CEC1DE    57              push edi
00CEC1DF    E8 1C000000     call 11.00CEC200
00CEC1E4    C746 18 0100000>mov dword ptr ds:[esi+18],1
00CEC1EB    8B46 0C         mov eax,dword ptr ds:[esi+C]
00CEC1EE    8B4E 04         mov ecx,dword ptr ds:[esi+4]
00CEC1F1    5F              pop edi
00CEC1F2    03C1            add eax,ecx
00CEC1F4    5E              pop esi
00CEC1F5    8BE5            mov esp,ebp
00CEC1F7    5D              pop ebp
00CEC1F8    C3              retn

retn 到
00CF2005    50              push eax                                  ; 11.00423DAC
00CF2006    C3              retn

retn 到00423dac
00423DAC      65:3B1C41     cmp ebx,dword ptr gs:[ecx+eax*2]

再走就异常，00423DAC好像是oep,不知此为何狗壳，如何脱之？

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (2)
yatou
雪    币： 207
活跃值： (40)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
00CECA40    81EC 7C020000   sub esp,27C
00CECA46    B9 3092CE00     mov ecx,11.00CE9230                       
00CECA4B    66:C74424 02 00>mov word ptr ss:[esp+2],0
00CECA52    8D5424 04       lea edx,dword ptr ss:[esp+4]
00CECA56    53              push ebx
00CECA57    56              push esi
00CECA58    8B01            mov eax,dword ptr ds:[ecx]
00CECA5A    57              push edi
00CECA5B    8B59 04         mov ebx,dword ptr ds:[ecx+4]
00CECA5E    55              push ebp
00CECA5F    8902            mov dword ptr ds:[edx],eax
00CECA61    66:8BB424 90020>mov si,word ptr ss:[esp+290]
00CECA69    8A49 08         mov cl,byte ptr ds:[ecx+8]
00CECA6C    66:85F6         test si,si
00CECA6F    895A 04         mov dword ptr ds:[edx+4],ebx
00CECA72    884A 08         mov byte ptr ds:[edx+8],cl
00CECA75    75 0F           jnz short 11.00CECA86
00CECA77    66:B8 0800      mov ax,8
00CECA7B    5D              pop ebp
00CECA7C    5F              pop edi
00CECA7D    5E              pop esi
00CECA7E    5B              pop ebx
00CECA7F    81C4 7C020000   add esp,27C
00CECA85    C3              retn

ROCKEY狗？脱法不对？
2006-2-8 23:46
0
nig
雪    币： 413
活跃值： (637)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
3 楼
是典型的北京飞天 的Rockey4 的狗壳.
看一下手册,另外搜索一下以前的文章,有关于这个壳的介绍.
壳的强度很低
2006-2-9 11:27
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//