晚安！！！！！！

上传的附件：

• dumped_.rar （62.67kb，2次下载）

经过一个长JMP后.用ESP定律找到OEP.但修不好....
对比一下是符号表和IAT不同.怎么样修复的?

02:25, 04:10, 07:09
在这个时间段上网，楼上三位太强了！

Game:-)

上传的附件：

• game.rar （61.93kb，6次下载）

也来凑热闹

上传的附件：

• 1212.rar （26.59kb，4次下载）

这个好象太简单了点

这个我也会

010119DA    8943 04         MOV DWORD PTR DS:[EBX+4],EAX
010119DD  ^ EB EB           JMP SHORT calc.010119CA
010119DF    CC              INT3
010119E0    55              PUSH EBP                                 ; //OEP
010119E1    8BEC            MOV EBP,ESP
010119E3    6A FF           PUSH -1
010119E5    68 70150001     PUSH calc.01001570
010119EA    68 601D0101     PUSH calc.01011D60                       ; JMP 到 msvcrt._except_handler3
010119EF    64:A1 00000000  MOV EAX,DWORD PTR FS:[0]
010119F5    50              PUSH EAX
010119F6    64:8925 0000000>MOV DWORD PTR FS:[0],ESP
010119FD    83C4 98         ADD ESP,-68
01011A00    53              PUSH EBX
01011A01    56              PUSH ESI
01011A02    57              PUSH EDI
01011A03    8965 E8         MOV DWORD PTR SS:[EBP-18],ESP
01011A06    C745 FC 0000000>MOV DWORD PTR SS:[EBP-4],0
01011A0D    6A 02           PUSH 2
01011A0F    FF15 B8100001   CALL DWORD PTR DS:[10010B8]              ; msvcrt.__set_app_type

抗议~~~~怎么不说说怎么修复.我运行不了.不过上面几个老大脱的我都运行不了.会不会我的系统是03的原因?

最初由 steak 发布
抗议~~~~怎么不说说怎么修复.我运行不了.不过上面几个老大脱的我都运行不了.会不会我的系统是03的原因?

Win2003没条件测试。

                                      
ㄘㄔNumber  Name   VirtSize   RVA    PhysSize  Offset    Flagㄔㄔㄔㄛ
ㄕ     1 .bss     00017000 00001000 00017000 00001000 E0000080 ㄕ
                                      ^^^^^^^  ^^^^^^^^
                                     本来是0,你将其改成VirtSize一样就能运行了
ㄕ     2 .packed  00008000 00018000 00008000 00018000 C0000040 ㄕ
ㄕ     3 .rsrc    00003000 00020000 00003000 00020000 C0000040 ㄕ
ㄕ     4 .loader  00006000 00023000 00006000 00023000 E0000020 ㄕ

ORiEN 2.11 汉化修正破解版.by.KuNgBiM  

http://bbs.pediy.com/showthread.php?s=&threadid=28182

继续完成汉化中.....

可能是你的系统问题吧,我测试通过的系统win2k/xp/2003。

最初由 steak 发布
抗议~~~~怎么不说说怎么修复.我运行不了.不过上面几个老大脱的我都运行不了.会不会我的系统是03的原因?

修改1：

跟踪到下面地址
010247E7     3B83 E73A0000           cmp eax,dword ptr ds:[ebx+3AE7]
010247ED     75 2B                   jnz short calc.0102481A----不跳就在010247DF 这里对IAT进行处理
010247EF     EB 13                   jmp short calc.01024804
010247F1     FF15 EB026996           call dword ptr ds:[966902EB]
010247F7     83C7 00                 add edi,0
010247FA     EB 01                   jmp short calc.010247FD
010247FC     B8 83C404EB             mov eax,EB04C483
01024801     0ACD                    or cl,ch
01024803     2050 E8                 and byte ptr ds:[eax-18],dl
01024806     E9 FFFFFFFF             jmp calc.0102480A
0102480B     25 83C404EB             and eax,EB04C483
01024810     01A8 8D838A1F           add dword ptr ds:[eax+1F8A838D],ebp
01024816     0000                    add byte ptr ds:[eax],al
01024818     EB 31                   jmp short calc.0102484B
0102481A     3B83 EB3A0000           cmp eax,dword ptr ds:[ebx+3AEB]
01024820     75 29                   jnz short calc.0102484B--------不跳就在01024812 这里对IAT进行处理
01024822     EB 13                   jmp short calc.01024837
将010247ED和01024820处的jne改为JMP，到OEP后用ImportREC就能得到所有有效函数

修改2：
将以下两个语句全部nop掉
010247DF     8D83 211F0000           lea eax,dword ptr ds:[ebx+1F21]---nop掉

01024812     8D83 8A1F0000           lea eax,dword ptr ds:[ebx+1F8A]]---nop掉

得到有效函数后修复，再按看雪老师的提示修改就可以了