这种入口点 一看就知道是 马甲北斗的壳

最初由 爱一个人好难 发布
这种入口点 一看就知道是 马甲北斗的壳

你的意思是它加了花指令？那该怎样才能查出它的真实壳呢？

这个应该没有加花指令
你跟进第一个call看看~
其实这是个北斗的壳
你用PEID查的结果是什么？

PEID用深度扫描说是北斗的壳，第1个call的地址就在它的下一行。

PEID对新版本的北斗是查不出来的

http://bbs.pediy.com/showthread.php?s=&threadid=24099

可以把东西放上来瞧瞧

最初由 闪电狼 发布
http://bbs.pediy.com/showthread.php?s=&threadid=24099

这个我看了，不过感觉有点不同，我跟着跟着就进入了死循环，可能在下断点等地方还没掌握好吧。

最初由 chinadev 发布
可以把东西放上来瞧瞧

谢谢你的提醒，我想办法找个地方上传。

004BA8C1          63              db 63                             ;  CHAR 'c'
004BA8C2          C0              db C0
004BA8C3          F4              db F4
004BA8C4          FF              db FF
004BA8C5          33              db 33                             ;  CHAR '3'
004BA8C6          C0              db C0
004BA8C7          55              db 55                             ;  CHAR 'U'
004BA8C8          68              db 68                             ;  CHAR 'h'
004BA8C9          08              db 08
004BA8CA          AA              db AA
004BA8CB          4B              db 4B                             ;  CHAR 'K'
004BA8CC          00              db 00
004BA8CD          64              db 64                             ;  CHAR 'd'
004BA8CE          FF              db FF
004BA8CF          30              db 30                             ;  CHAR '0'
004BA8D0          64              db 64                             ;  CHAR 'd'
004BA8D1          89              db 89
004BA8D2          20              db 20                             ;  CHAR ' '
004BA8D3          A1              db A1
004BA8D4          3C              db 3C                             ;  CHAR '<'
004BA8D5          E3              db E3
004BA8D6          4B              db 4B                             ;  CHAR 'K'
004BA8D7          00              db 00
004BA8D8          8B              db 8B
004BA8D9          00              db 00
004BA8DA          E8              db E8
004BA8DB          C9              db C9
004BA8DC          C6              db C6
004BA8DD          FF              db FF
004BA8DE          FF              db FF
004BA8DF          8D              db 8D
004BA8E0          55              db 55                             ;  CHAR 'U'
004BA8E1          EC              db EC
004BA8E2          B8              db B8
004BA8E3          01              db 01
004BA8E4          00              db 00
004BA8E5          00              db 00
004BA8E6          00              db 00
004BA8E7          E8              db E8
004BA8E8          B4              db B4
004BA8E9          82              db 82
004BA8EA          F4              db F4
004BA8EB          FF              db FF
004BA8EC          83              db 83
004BA8ED          7D              db 7D                             ;  CHAR '}'
004BA8EE          EC              db EC
004BA8EF          00              db 00
004BA8F0          74              db 74                             ;  CHAR 't'
004BA8F1          2E              db 2E                             ;  CHAR '.'
004BA8F2          8D              db 8D
004BA8F3          55              db 55                             ;  CHAR 'U'
004BA8F4          E8              db E8
004BA8F5          B8              db B8
004BA8F6          01              db 01
004BA8F7          00              db 00
004BA8F8          00              db 00
004BA8F9          00              db 00

今天看了不少基础知识，试着用ESP设置断点，发现来到上面这一代码段
F8单步到004BA8DA          E8              db E8
再按F8程序就执行了，可这一片都没有出栈和压栈的语句啊，搞不明白。

你上面贴出来的代码不能进行分析吗？
要么你把你的程序贴出来
让高手们帮你看看
我是菜鸟
呵呵~

谢谢楼上的提醒，我分析了代码，终于把壳脱了，不过修复IAT后却无法运行

我初学，就无语吧

最初由 behold 发布
由于不能上传附件，所以我把程序传到网盘上了。先说一下程序，运行后会弹出一个对话框，并且在进程中会多了一个"2005022.exe"的进程，它不作任何修改和操作，结束掉就可以了。帮忙看一下，这个程序怎么脱才能运行，谢谢！
behold.ys168.com
（在tool文件夹里面，123.rar是原文件，6FA8.rar是我脱壳但未修复的文件）


........

程序已上传，帮忙看一下。

按照北斗的壳脱法脱了之后不能正常运行，没办法，希望高手支招！

晕，原来是灰鸽子。以后如果是木马请先说一声。这个壳其实很简单，只要把后面的数据补回去就行了。原程序偏移22D0处到结尾全部补回脱壳的文件就行了。

最初由 csjwaman 发布
这个壳其实很简单，只要把后面的数据补回去就行了。原程序偏移22D0处到结尾全部补回脱壳的文件就行了。

能说详细点吗？简不简单是因人而异的，毕竟高手与新手不是同一水平，高手一两句话解决的问题，新手是不可能看明白的。

如果这还不清楚，建议先看些基础知识。还有再提醒一下，木马程序请先注明。

最初由 csjwaman 发布
如果这还不清楚，建议先看些基础知识。还有再提醒一下，木马程序请先注明。

注明的问题我知道了，下次如果发我会声明的（其实这不过是个过时的玩意，只是想研究一下罢了）

基础知识我看了不少，不过还没找到相关的，你起码给个相关信息或者链接也好啊