-
-
用Ollydbg手脱UPX加壳的DLL（鸡蛋里挑骨头）
-
发表于: 2006-4-25 18:51
-
fly大虾 原作 http://bbs.pediy.com/showthread.php?s=&threadid=1484
这里fly老大写错了，脱壳后文件里里重定向的位置是在0x4600 不信以图为证
所以。。。。。。。。。。。。。。。。。。。。。。。。。。。。
三、重定位表修复 + PE修正
UPX破坏了重定位表。在第一步我们已经得到重定位表的地址了，用WinHex打开dumped_.dll，复制7318－74EA之间的16进制数值，另存为fly.bin
运行 看雪 老师写的辅助修复UPX加壳DLL重定位表的工具UPXAngela.exe，打开fly.bin，很快的提示pediy.bin文件创建成功！
从dumped_.dll找块空白代码，如自UPX1段的6000处开始。够用就行，pediy.bin中的数据长度为3B0。
用WinHex把pediy.bin中的16进制数值全部复制、写入到dumped_.dll的6000处。
用LordPE修正dumped_.dll的重定位表RVA=00006000、大小＝000003B0，保存之。
再用LordPE修正dumped_.dll的基址为003B0000，OK，脱壳完成啦。
这里fly老大写错了，脱壳后文件里里重定向的位置是在0x4600 不信以图为证
所以。。。。。。。。。。。。。。。。。。。。。。。。。。。。
[招生]系统0day安全班，企业级设备固件漏洞挖掘，Linux平台漏洞挖掘！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我的dll可以在别的机器上运行了，主要是我调试的dll和其余的dll版本不同所致 ，我把dll都更新了 然后再把握脱壳的覆盖过去就好了。 谢谢fly啊，你是我学习逆向工程过程中 一位相当重要的人物。
|
