首页
社区
课程
招聘
[求助]这个算IAT吗,可以修复?求指点
发表于: 2017-11-1 11:38 3469

[求助]这个算IAT吗,可以修复?求指点

2017-11-1 11:38
3469
图中算是IAT吗?怎么修复?
7C80A02F  - FF25 9813807C   JMP DWORD PTR DS:[<&ntdll.LdrFindResource_U>]   ; ntdll.LdrFindResource_U
7C80A03A  - FF25 9C13807C   JMP DWORD PTR DS:[<&ntdll.LdrAccessResource>]   ; ntdll.LdrAccessResource
1.原版程序
2.进入上面的CALL,向下就到这个CALL
3. . 进入上面的CALL,向下就到这个CALL
4. 进入上面的CALL,向下就到这个CALL 
  
5. 进入上面的JMP,向下就到这
  
6. 进入上面的 JMP,向下就到这
 
7. 进入上面的 JMP ,向下就到这
  
================
原版有:CE0000
====================

=================================================================================================
脱壳后修复不能运行,问题就出在这里。
1.脱壳后和原版一样
 
2. 和原版一样

3. 和原版一样

4. 和原版一样
==============
5. 和原版不一样
==================

=====================
没有CE0000这个段
========================

=========================================================================================================
修复的时候没有看到 ntdll.dll。 
=========================


不知道这种情况应该如何修复。
如果我把脱壳后的程序
在图1中的CALL “DialogParamW”这里。
原程序出现主窗口。
如果脱壳后的程序把里面2个跳转改下,
就能出现窗口上面的标题栏,别的都没有。关键是程序没出错。
如果不该这2个跳转,程序就关闭了。

所以我想这一定是资源被干掉了,因为程序是在LoadResourse 中出错的

看天草的手动修复IAT ,他的IAT 代码在程序领空。
这个不是,所以试了,不管用。

求指点。。。。。。。。。。。。。。。。


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (0)
游客
登录 | 注册 方可回帖
返回
//