能力值：
( LV6，RANK：90 )
|
-
-
26 楼
真是好文章，老大真厉害
|
能力值：
( LV4，RANK：50 )
|
-
-
27 楼
终于等到了，学习！
aspr的帮助文档哪里有？
偶下的版本都没有带。。。。 
|
能力值：
![]()
(RANK：10 )
|
-
-
28 楼
此时EAX＝1,结合源码及ASProtect帮助文档，可以猜出这个是GetRegistrationInformation。
我跟踪了下这个
00404A2A - FF25 00504000 jmp [405000]
在00401212处eax的值仍然是1
为什么它是GetModeInformation？而不是GetRegistrationInformation？
|
能力值：
(RANK：350 )
|
-
-
29 楼
最初由 chinadev 发布
我跟踪了下这个
00404A2A - FF25 00504000 jmp [405000]
在00401212处eax的值仍然是1
为什么它是GetModeInformation？而不是GetRegistrationInformation？
参数可以区别开来：
GetModeInformation( 0, &ModeName, &mode_status );
这个参数：&mode_status
00401205 |. 52 push edx //指向0012FA5C
00401206 |. 68 CC864000 push 004086CC
0040120B |. 6A 00 push 0
0040120D |. E8 18380000 call 00404A2A 0012FA5C 00 04 00 00 E2 02 00 00 52 65 67 69 73 74 65 72 ...?..Register
0012FA6C 65 64 20 76 65 72 73 69 6F 6E 21 00 00 00 00 00 ed version!.....
|
能力值：
(RANK：350 )
|
-
-
30 楼
最初由 hbqjxhw 发布
#include "stdafx.h"
#include "resource.h"
#include <shellapi.h>
#include "include/aspr_api.h"
#include "include/asprotect.h"
kanxue楼主这几个文件在哪找?
........
下载一个ASProtect SKE 2.2 Release原版，安装，在Examples目录下。
|
能力值：
( LV2，RANK：10 )
|
-
-
31 楼
good! thanks~
|
能力值：
( LV4，RANK：50 )
|
-
-
32 楼
最初由 Bewaar 发布
老大的文章每次都有一种里程碑似的指导意义，学习了。
nod..
学习..
发现Aspr2.2好象又强壮了不少
|
能力值：
( LV2，RANK：10 )
|
-
-
33 楼
|
能力值：
( LV2，RANK：10 )
|
-
-
34 楼
你们个个怎么哪么牛啊。佩服，哎，我不知道要学到何年何月去了
|
能力值：
( LV6，RANK：90 )
|
-
-
35 楼
看雪一发帖,都是精品中的精品,只有学习的份了
|
能力值：
( LV2，RANK：10 )
|
-
-
36 楼
收藏啦...
|
能力值：
( LV2，RANK：10 )
|
-
-
37 楼
如果此时运行脱壳后的文件dumped_.exe，就会异常，因为程序里会调用ASProtect的API函数：
00404A18 $- FF25 0C504000 jmp [40500C] //F2下断点
00404A1E $- FF25 08504000 jmp [405008] //F2下断点
00404A24 $- FF25 04504000 jmp [405004] //F2下断点
00404A2A $- FF25 00504000 jmp [405000] //F2下断点
00404A30 $- FF25 10504000 jmp [405010] //F2下断点
请问这个00404A18这些地址是怎么找出来的？
|
能力值：
( LV9，RANK：1250 )
|
-
-
38 楼
当你修复IAT的时候,是不是有几个无效函数,而且地址n整齐?
那就是了.
|
能力值：
( LV2，RANK：10 )
|
-
-
39 楼
但是那几个的地址跟这地址不一样，是不是一定要运行脱壳程序出错后看堆椎的返回？？？我现在脱的一个文件运行后不会出错(没有反应)，所以在堆栈里看不到这个地址了
|
能力值：
( LV2，RANK：10 )
|
-
-
40 楼
又是一篇极品好文啊 学习了
|
能力值：
( LV2，RANK：10 )
|
-
-
41 楼
留名学习ing。。。
|
能力值：
( LV2，RANK：10 )
|
-
-
42 楼
到下面练习了几次，终于有所领悟，多谢kanxue 老师的指点：）
|
能力值：
( LV2，RANK：10 )
|
-
-
43 楼
Ctrl+B找FF25
或直接Ctrl+F找:jmp dword ptr ds:[405000]
我是利用后者.
|
能力值：
( LV12，RANK：770 )
|
-
-
44 楼
哇卡卡厄....
顶..老大厄
|
能力值：
( LV9，RANK：290 )
|
-
-
45 楼
对于DLL文件中的SDK还要改重定位吗?请高人指教一下
|
能力值：
( LV9，RANK：1250 )
|
-
-
46 楼
最初由 linex 发布
对于DLL文件中的SDK还要改重定位吗?请高人指教一下
曾经碰到同样的疑问,目前没找到重定位的方法,我只是修改call的地址解决,不过这样也许要修好多地方.
见过Volx的某个dll脱壳后文件,他的SDK重定位没问题,我的就是无法重定位,可能是重定位表的原因吧.
|
能力值：
( LV9，RANK：290 )
|
-
-
47 楼
现在也只有靠修改偏移量解决了,手动修改重定位表太麻烦,不懂
|
能力值：
( LV12，RANK：410 )
|
-
-
48 楼
先做个记号，然后回去试试，不行了再来学习
|
能力值：
( LV9，RANK：170 )
|
-
-
49 楼
最初由 cyto 发布
曾经碰到同样的疑问,目前没找到重定位的方法,我只是修改call的地址解决,不过这样也许要修好多地方.
见过Volx的某个dll脱壳后文件,他的SDK重定位没问题,我的就是无法重定位,可能是重定位表的原因吧.
以前是用别的方法改, 现在是改重定位表.
|
能力值：
( LV2，RANK：10 )
|
-
-
50 楼
对于好文是不顶不行了！
|
|
|
|
