首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[求助]PECompact 2.x 去壳后的自我校验
发表于: 2006-6-1 18:36 4778

[求助]PECompact 2.x 去壳后的自我校验

limin520 活跃值
2006-6-1 18:36
4778
前几天求助过它的破解问题,最后发现壳没有去完整,方法还是一样OD载入手动到壳的真实入口!0047E520,脱壳修复就OK了!修复后PE查壳为Borland Delphi 6.0 - 7.0,说明壳已经完全去掉,但是运行程序出错!
  起初以为是修复上出的问题最后反复跟踪得知 原来是程序存在效验,改了几个位置程序仍旧报错
下 bp GetModuleFileNameA 断点 shift+F9 6次  在多一次就是出错了alt+F9 返回调试
修改 004046BE    /EB 09                jmp short RunGate_.004046C9

程序报错  点了什么反应也没有 由于这方面的经验缺乏！希望高手指点谢谢！
附件为脱壳完整的程序！

根据csjwaman 兄弟的指点
0047BB7B    8B45 FC         MOV EAX,DWORD PTR SS:[EBP-4]
0047BB7E    E8 A9B7FFFF     CALL 0047732C                            ; pj.0047732C
0047BB83    3D 60AE0A00     CMP EAX,0AAE60
0047BB88    7E 19           JLE SHORT ///改为JMP即可。0047BBA3                       ; pj.0047BBA3
0047BB8A    A1 E02E4A00     MOV EAX,DWORD PTR DS:[4A2EE0]
0047BB8F    8B10            MOV EDX,DWORD PTR DS:[EAX]
0047BB91    FF92 B0000000   CALL NEAR DWORD PTR DS:[EDX+B0]
0047BB97    B2 01           MOV DL,1
0047BB99    A1 E02E4A00     MOV EAX,DWORD PTR DS:[4A2EE0]
0047BB9E    8B08            MOV ECX,DWORD PTR DS:[EAX]

程序已经彻底搞定在此非常感谢个位朋友的支持！希望和我一样菜的朋友努力学习坚持不懈，谢谢！

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

收藏
免费 ・0
支持
分享
最新回复 (14)
djpvd
雪    币： 320
活跃值： (104)
能力值： (RANK：180 )
在线值：
发帖
回帖
粉丝
私信
2 楼
我不知道我的?法是否正催 不咿跟你不一?

一檫始蒌入例如
00401000 mov eax,pec2.01865544

然後 就 bp 01865544 -> F9 或 Shit+F9

直到中?在01865544 取消??

然後?看到下面

01865566   retn
01865567   mov eax,12345678

在mov eax,12345678下?? F9 或 Shit+F9 取消??

接著??往下???看到                 

jmp eax 的代瘁 按F4 在一次F8就到OEP了
2006-6-1 19:28
0
limin520
雪    币： 218
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
兄弟的脱法很强啊但是仍旧出错啊!
郁闷了!兄弟加QQ讨论下
416222668
上传的附件：
2006-6-1 23:39
0
djpvd
雪    币： 320
活跃值： (104)
能力值： (RANK：180 )
在线值：
发帖
回帖
粉丝
私信
4 楼
最初由 limin520 发布
我用你的方法看了,下bp 01865544 F9 提示程序无法处理异常.而且壳没有脱干净! 我这样脱虽然是没有外壳了但是要出错 郁闷了!兄弟加QQ讨论下
416222668


那是我佩例斤你看的

我?叫你 bp 01865544 阿

那是要看你蒌入程序入口锢示的?值

2006-6-2 00:50
0
limin520
雪    币： 218
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
哦,对不起兄弟 刚才看错了  不好意思 现在脱了 仍然出错啊
2006-6-2 00:56
0
djpvd
雪    币： 320
活跃值： (104)
能力值： (RANK：180 )
在线值：
发帖
回帖
粉丝
私信
6 楼
最初由 limin520 发布
兄弟的脱法很强啊但是仍旧出错啊!
郁闷了!兄弟加QQ讨论下
416222668


呃是哪?咣?的外? ...

居然?用PEC加?
2006-6-2 01:45
0
limin520
雪    币： 218
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
兄弟高见，这个应该是作者故意写的验证，我跟了下　出错的信息可以找的到　但是就是不知道怎么改！
2006-6-2 08:38
0
yjonline
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
哈哈，先帮你顶一下，，顺便问问怎么算出这个数字的 278e00
2006-6-2 09:34
0
yjonline
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
晕啊，哪个脱壳一点也没用，什么都改不了
2006-6-2 09:42
0
yjonline
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
10 楼
支持，我也是这个问题
2006-6-2 10:14
0
csjwaman
雪    币： 319
活跃值： (2404)
能力值： ( LV12，RANK：980 )
在线值：
发帖
回帖
粉丝
私信
11 楼
0047BB7B    8B45 FC         MOV EAX,DWORD PTR SS:[EBP-4]
0047BB7E    E8 A9B7FFFF     CALL 0047732C                            ; pj.0047732C
0047BB83    3D 60AE0A00     CMP EAX,0AAE60
0047BB88    7E 19           JLE SHORT ///改为JMP即可。0047BBA3                       ; pj.0047BBA3
0047BB8A    A1 E02E4A00     MOV EAX,DWORD PTR DS:[4A2EE0]
0047BB8F    8B10            MOV EDX,DWORD PTR DS:[EAX]
0047BB91    FF92 B0000000   CALL NEAR DWORD PTR DS:[EDX+B0]
0047BB97    B2 01           MOV DL,1
0047BB99    A1 E02E4A00     MOV EAX,DWORD PTR DS:[4A2EE0]
0047BB9E    8B08            MOV ECX,DWORD PTR DS:[EAX]
2006-6-2 11:17
0
xuaiping
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
新手看不懂！支持一下高手们！认真学习你们的技术
2006-6-2 13:47
0
limin520
雪    币： 218
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
13 楼
厉害！！兄弟真是高人啊！
2006-6-2 23:18
0
limin520
雪    币： 218
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
最后想 问下  csjwaman 下的什么断点
2006-6-2 23:44
0
gnsxsb
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
好象还是没说清楚怎么样去除自我校验啊，那位大大给个通用方法！
2006-8-25 22:08
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//