首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
请教?
发表于: 2006-5-3 21:33 4010

请教?

Fresh_Dawn 活跃值
2006-5-3 21:33
4010
脱UltraProtect 1.x -> RISCO Software Inc.壳时用od 载入，bp process32first+2,ctrl+F9,F8后，下.text code内存断点，断到了这，看着不象代码段，更不象入口：
004C7D9E       C3558BEC          dd EC8B55C3
004C7DA2       8B55088B          dd 8B08558B
004C7DA6       4D145356          dd 5653144D
004C7DAA       578BF2E8          dd E8F28B57
004C7DAE       7CA20D00          dd 000DA27C
004C7DB2       A5A5A5A5          dd A5A5A5A5
004C7DB6       8B4208E8          dd E808428B
004C7DBA       70A20D00          dd 000DA270
004C7DBE       E86BA20D          dd 0DA26BE8
004C7DC2       00BA0003          dd 0300BA00
004C7DC6       000023FA          dd FA230000
004C7DCA       3BFA7509          dd 0975FA3B
004C7DCE       8B7D0C3B          dd 3B0C7D8B
004C7DD2       C77E76EB          dd EB767EC7
004C7DD6       648BFBBA          dd BAFB8B64
004C7DDA       00020000          dd 00000200
004C7DDE       23FA3BFA          dd FA3BFA23
004C7DE2       750F3B45          dd 453B0F75
004C7DE6       0C7E628B          dd 8B627E0C
004C7DEA       41082B45          dd 452B0841
004C7DEE       0C8901EB          dd EB01890C
004C7DF2       588BFBBA          dd BAFB8B58
004C7DF6       00010000          dd 00000100
004C7DFA       23FA3BFA          dd FA3BFA23
004C7DFE       750C3B45          dd 453B0C75

谁能解释一下，由衷感谢

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (7)
冷血书生
雪    币： 443
活跃值： (200)
能力值： ( LV9，RANK：1140 )
在线值：
发帖
回帖
粉丝
私信
2 楼
是不是方法不对呢?

不可以换一个思路吗?

:)
2006-5-3 21:44
0
Fresh_Dawn
雪    币： 203
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
又试了一天发现当对code 段下断试均指向这儿：
004CB673    391D E8E94D00   cmp dword ptr ds:[4DE9E8],ebx
004CB679    75 0C           jnz short abcd.004CB687
004CB67B    68 383A4A00     push abcd.004A3A38
004CB680    FF15 80074D00   call dword ptr ds:[4D0780]          ; msvcrt.__setusermatherr
004CB686    59              pop ecx
004CB687    E8 40010000     call abcd.004CB7CC
004CB68C    68 6CC04D00     push abcd.004DC06C
004CB691    68 68C04D00     push abcd.004DC068
004CB696    E8 2B010000     call abcd.004CB7C6                  ; jmp to msvcrt._initterm
004CB69B    A1 C0014F00     mov eax,dword ptr ds:[4F01C0]
004CB6A0    8945 94         mov dword ptr ss:[ebp-6C],eax
004CB6A3    8D45 94         lea eax,dword ptr ss:[ebp-6C]
004CB6A6    50              push eax
004CB6A7    FF35 BC014F00   push dword ptr ds:[4F01BC]
004CB6AD    8D45 9C         lea eax,dword ptr ss:[ebp-64]
004CB6B0    50              push eax
004CB6B1    8D45 90         lea eax,dword ptr ss:[ebp-70]
004CB6B4    50              push eax
004CB6B5    8D45 A0         lea eax,dword ptr ss:[ebp-60]
004CB6B8    50              push eax
004CB6B9    FF15 D0064D00   call dword ptr ds:[4D06D0]          ; msvcrt.__getmainargs
004CB6BF    68 64C04D00     push abcd.004DC064
004CB6C4    68 00C04D00     push abcd.004DC000
004CB6C9    E8 F8000000     call abcd.004CB7C6                  ; jmp to msvcrt._initterm
004CB6CE    83C4 24         add esp,24
004CB6D1    A1 78074D00     mov eax,dword ptr ds:[4D0778]
004CB6D6    8B30            mov esi,dword ptr ds:[eax]
004CB6D8    8975 8C         mov dword ptr ss:[ebp-74],esi
004CB6DB    803E 22         cmp byte ptr ds:[esi],22

哪位仁兄能告诉我这是oep么？
在这dump后按austiny的方法修复IAT后，运行提示：
"0x7c930a0a"指令引用的"0xfffffffd"内存。该内存不能"read"也不知道问题出在哪了，help~~~?
2006-5-4 18:47
0
forgot
雪    币： 6075
活跃值： (2236)
能力值： (RANK：1060 )
在线值：
发帖
回帖
粉丝
私信
4 楼
004C7D9E       C3558BEC          dd EC8B55C3
                                      |这里应该是个代码
2006-5-4 19:35
0
Fresh_Dawn
雪    币： 203
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
最初由 forgot 发布
004C7D9E C3558BEC dd EC8B55C3
|这里应该是个代码

感谢回帖，但不知为何显示不出代码？
我在3楼贴出的应该是oep，但不知为何和别人的不太一样，哪有各种编译程序的标准入口，学习学习？
2006-5-4 21:05
0
chinadev
雪    币： 0
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
一看就知道被抽取了代码的
你往上翻看下是不是有很多个nop？
2006-5-4 21:16
0
netsowell
雪    币： 342
活跃值： (323)
能力值： ( LV9，RANK：450 )
在线值：
发帖
回帖
粉丝
私信
7 楼
按ctrl+A
2006-5-5 08:30
0
Fresh_Dawn
雪    币： 203
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
哇多谢高手指点，好象豁然开朗一样，就是不知道怎样把代码换回来，是不是要找到偷代码的地方，把代码烤回来？
2006-5-5 09:13
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//