最初由 xwqgsterry 发布
希望你能写个脱文，因为这是关于VC的，VC的脱文真是太少了~~~~

不是吧,看雪老大的脱文就很好啊,还有LOOVBOOM的,都可以啊.

最初由 linex 发布
不是吧,看雪老大的脱文就很好啊,还有LOOVBOOM的,都可以啊.

这是3重壳哦，有挑战的说，你写我比较看的懂，他们的看不懂，偶是菜才~~

各位老大，为什么我跟了后esi的值只有ba一种情况啊，没见那两种情况？还有就是拿iat部分，改好了代码怎么让它运行起来啊？能具体说下吗？

改好了以后,F9不就运行了?

最初由 linex 发布
改好了以后,F9不就运行了?

当时eip指向cmp esi,eax，然后我改下一句跳到申请的内存地址
00F275F2     3BF0                        cmp esi,eax
00F275F4   - E9 078A2B00                 jmp 011E0000
然后到011e0000处写上你的代码，f9运行
提示loader error错误,好象是连接kernel32。dll错误，我也不知道哪里错了，看iat也好象没解出来，有时间再试了。
为什么我跟了esi的值只有ba一种情况啊。郁闷！菜鸟脱猛壳的下场，呵呵！

我跟踪后发现ESI值有三种情况，BA、88、91，其中BA，91两种情况不加密，88需要改成91才能不加密。

这里如何判断？如何操作

32楼2.的回答.

00E775E7    8943 2C         MOV DWORD PTR DS:[EBX+2C],EAX
00E775EA    EB 01           JMP SHORT 00E775ED
00E775EC    6933 C08A433B   IMUL ESI,DWORD PTR DS:[EBX],3B438AC0
00E775F2    3BF0            CMP ESI,EAX                 〈〈〈〈〈〈〈――――这里比较四种情况
00E775F4    75 5E           JNZ SHORT 00E77654             //这里开始PATCH
00E775F6    EB 01           JMP SHORT 00E775F9
PATCH：
00E775F4  - E9 078A2500     JMP 010D0000             我用内存管理插件申请到的是 10D0000处

我跟踪后发现ESI值有三种情况，BA、88、91，其中BA，91两种情况不加密，88需要改成91才能不加密。
继续PATCH：
        代码:
        010D0000  - 0F84 F375DAFF   JE 00E775F9
010D0006    81FE 91000000   CMP ESI,91
010D000C  - 0F84 4276DAFF   JE 00E77654
010D0012    BE 91000000     MOV ESI,91
010D0017  - E9 3876DAFF     JMP 00E77654

其中这一句00E775F2    3BF0            CMP ESI,EAX                 〈〈〈〈〈〈〈――――这里比较四种情况
是不是 ESI 的值等于 EAX 的值,就是加密呢?

00E775F2    3BF0            CMP ESI,EAX   
在这里设一个断点,F9运行一下你会看到EAX值是不变的,而ESI值会有几种情况,有时是三种,有时是四种,ESI 的值等于 EAX 的值是不加密的,不等的情况下有一种是不加密的,其他两种加密.

哦 呵呵, 明白了

非常感谢！

学习了

010A000A    BA 00104000     MOV EDX,401000                  \
010A000F    803A E8         CMP BYTE PTR DS:[EDX],0E8       |
010A0012    75 14           JNZ SHORT 010A0028              |  
010A0014    8B42 01         MOV EAX,DWORD PTR DS:[EDX+1]    |
010A0017    03C2            ADD EAX,EDX                     |
010A0019    05 05000000     ADD EAX,5                       |   
010A001E    3D 00000601     CMP EAX,1060000   

CMP EAX,1060000   这里的1060000是什么值

在壳中有:
CALL  1060000
这是ASPR的高级IAT保护进行的代码变形.
不同的机器上这个值是不同的.

010A0029    81FA 00104B00   CMP EDX,4B1000                  |
010A002F  ^ 72 DE           JB SHORT 010A000F               |
010A0031  - EB FE           JMP SHORT 010A0031              |  
010A0033    8915 00010A01   MOV DWORD PTR DS:[10A0100],EDX  |
010A0039    60              PUSHAD                          |
010A003A    FFE2            JMP EDX                         /

//这段代码是从401000开始扫描代码段,查找CALL XXXXXX.是则跳到原CALL处执行.

楼主CMP EDX,4B1000 这里的4B1000 又是什么值啊

代码段结束地址,Alt+M看代码段.

啊 谢谢了  楼主就回的蛮快啊

支持一下！！！

很不错
支持下,,嘿嘿~

代码:--------------------------------------------------------------------------------
010A0000    0000            ADD BYTE PTR DS:[EAX],AL
010A0002    0000            ADD BYTE PTR DS:[EAX],AL
010A0004    0000            ADD BYTE PTR DS:[EAX],AL
010A0006    0000            ADD BYTE PTR DS:[EAX],AL
010A0008    0000            ADD BYTE PTR DS:[EAX],AL
010A000A    BA 00104000     MOV EDX,401000                  \
010A000F    803A E8         CMP BYTE PTR DS:[EDX],0E8       |
010A0012    75 14           JNZ SHORT 010A0028              |  
010A0014    8B42 01         MOV EAX,DWORD PTR DS:[EDX+1]    |
010A0017    03C2            ADD EAX,EDX                     |
010A0019    05 05000000     ADD EAX,5                       |   
010A001E    3D 00000601     CMP EAX,1060000                 |
010A0023    75 03           JNZ SHORT 010A0028              |
010A0025    EB 0C           JMP SHORT 010A0033              |
010A0027    90              NOP                             |   
010A0028    42              INC EDX                         |
010A0029    81FA 00104B00   CMP EDX,4B1000                  |
010A002F  ^ 72 DE           JB SHORT 010A000F               |
010A0031  - EB FE           JMP SHORT 010A0031              |  
010A0033    8915 00010A01   MOV DWORD PTR DS:[10A0100],EDX  |
010A0039    60              PUSHAD                          |
010A003A    FFE2            JMP EDX                         /
请问:010A003A    FFE2       JMP EDX   
是什么意思?多谢                     

好文章，学习，谢谢楼主分享

学习~~~~~~~

支持一下。。。

像这种情况怎么办？

00401FFA   - FF25 F0104000    jmp dword ptr ds:[4010F0]                     ; msvbvm60.EVENT_SINK_AddRef
00402000   - FF25 44114000    jmp dword ptr ds:[401144]                     ; msvbvm60.EVENT_SINK_Release
00402006   - FF25 18124000    jmp dword ptr ds:[401218]                     ; msvbvm60.ThunRTMain       ；内存断点法到达这里
0040200C   - E9 FFE2D000      jmp 01110310
00402011     D6               salc
00402012     03E2             add esp,edx
00402014   ^ 73 E6            jnb short RSUpper.00401FFC
00402016     5B               pop ebx
00402017     0000             add byte ptr ds:[eax],al
00402019     0000             add byte ptr ds:[eax],al

6600DE22 m>  55               push ebp                   ；F8 跳到这里,好像不是OEP
6600DE23     8BEC             mov ebp,esp
6600DE25     6A FF            push -1
6600DE27     68 589B0166      push msvbvm60.66019B58
6600DE2C     68 81F20E66      push msvbvm60.660EF281
6600DE31     64:A1 00000000   mov eax,dword ptr fs:[0]
6600DE37     50               push eax
6600DE38     64:8925 00000000 mov dword ptr fs:[0],esp
6600DE3F     51               push ecx
6600DE40     51               push ecx
6600DE41     83EC 4C          sub esp,4C
6600DE44     53               push ebx
6600DE45     56               push esi
6600DE46     57               push edi
6600DE47     8965 E8          mov dword ptr ss:[ebp-18],esp

这个壳平时常用的，学习。。