首页
社区
课程
招聘
小弟在脱一个不知道名的壳时,遇到了问题,特来请教[求助]
发表于: 2006-3-16 22:08 4459

小弟在脱一个不知道名的壳时,遇到了问题,特来请教[求助]

2006-3-16 22:08
4459
小弟最近正在脱一个不知名的壳,遇到了问题,求哪位大侠可以指点迷津

小弟已经推测出OEP

02012D3A    56              PUSH ESI
02012D3B    57              PUSH EDI
02012D3C    E8 95FFFFFF     CALL FSmarsV1.02012CD6
02012D41    68 B80E0402     PUSH FSmarsV1.02040EB8                   ; ASCII "USER32"   //我判断此处为OEP
02012D46    A3 38800502     MOV DWORD PTR DS:[2058038],EAX
02012D4B    E8 B4D2CFFF     CALL 01D10004
02012D50    3F              AAS
02012D51    8BF8            MOV EDI,EAX
02012D53    3BFB            CMP EDI,EBX

可是这句CALL 01D10004我很不明白,于是跟进,来到
01D10005    04 24           ADD AL,24
01D10007  - E9 F4FFFEFF     JMP 01D00000



01D00000    8BFF            MOV EDI,EDI
01D00002    55              PUSH EBP
01D00003    8BEC            MOV EBP,ESP
01D00005    837D 08 00      CMP DWORD PTR SS:[EBP+8],0
01D00009    68 32B5807C     PUSH 7C80B532
01D0000E    C3              RETN

继续跟踪却来到了kernel32的领空

7C80B532  |. /74 18         JE SHORT kernel32.7C80B54C
7C80B534  |. |FF75 08       PUSH DWORD PTR SS:[EBP+8]
7C80B537  |. |E8 682D0000   CALL kernel32.7C80E2A4
7C80B53C  |. |85C0          TEST EAX,EAX
7C80B53E  |. |74 08         JE SHORT kernel32.7C80B548
7C80B540  |. |FF70 04       PUSH DWORD PTR DS:[EAX+4]                ; /pModule
7C80B543  |. |E8 F4300000   CALL kernel32.GetModuleHandleW           ; \GetModuleHandleW
7C80B548  |> |5D            POP EBP
7C80B549  |. |C2 0400       RETN 4
7C80B54C  |> \64:A1 1800000>MOV EAX,DWORD PTR FS:[18]
7C80B552  |.  8B40 30       MOV EAX,DWORD PTR DS:[EAX+30]
7C80B555  |.  8B40 08       MOV EAX,DWORD PTR DS:[EAX+8]
7C80B558  \.^ EB EE         JMP SHORT kernel32.7C80B548

并且当我根据我推测出来的OEP脱壳后(IAT已经还原),程序仍不能运行,当我跟踪已脱壳后的程序,CALL 01D10004却成了这样

02012D46    A3 38800502     MOV DWORD PTR DS:[2058038],EAX
02012D4B      E8            DB E8    //此处为CALL 01D10004
02012D4C      B4            DB B4
02012D4D      D2            DB D2
02012D4E      CF            DB CF
02012D4F      FF            DB FF
02012D50    3F              AAS

哪位大侠能指点小弟,是不是我OEP找的不对,还是其它原因?

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (11)
雪    币: 443
活跃值: (200)
能力值: ( LV9,RANK:1140 )
在线值:
发帖
回帖
粉丝
2
完全没看到有OEP的迹象啊!
2006-3-17 02:53
0
雪    币: 0
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
3
最初由 冷血书生 发布
完全没看到有OEP的迹象啊!

OEP是“推测”来的
2006-3-17 03:51
0
雪    币: 697
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
看不出来,你是推测出来的?
2006-3-17 20:31
0
雪    币: 223
活跃值: (70)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
5
高手推测能力都比较的强来着
2006-3-17 21:02
0
雪    币: 417
活跃值: (475)
能力值: ( LV9,RANK:1250 )
在线值:
发帖
回帖
粉丝
6
楼主,我认为那个不是oep,是壳的。
2006-3-18 08:11
0
雪    币: 277
活跃值: (312)
能力值: ( LV9,RANK:330 )
在线值:
发帖
回帖
粉丝
7
aspr?
2006-3-18 17:47
0
雪    币: 214
活跃值: (70)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
8
第二层是ASPR
ASPR后面还有VM保护,慢慢搞吧
2006-3-19 08:03
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
这个壳太历害了。。有什么可以指导的吗?哪位大侠可以指导下
2006-3-20 14:39
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
最初由 仙剑太郎 发布
第二层是ASPR
ASPR后面还有VM保护,慢慢搞吧


作者??????
2006-3-21 13:34
0
雪    币: 205
活跃值: (16)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
唉,在这地方学习讨论,一不小心就遇到软件作者,难啊。
2006-3-21 16:40
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
我最近也在研究这个程序。也卡住了。哪位高手能。给个思路啊
2006-3-22 18:24
0
游客
登录 | 注册 方可回帖
返回
//