首页
社区
课程
招聘
[原创]猜测一下ArmInLine对CC处理的方式,各位大侠来点评一下
发表于: 2006-8-29 13:41 4499

[原创]猜测一下ArmInLine对CC处理的方式,各位大侠来点评一下

2006-8-29 13:41
4499
正如某位兄弟所说Armadillo的其他几个保护方式并不难绕过,最为复杂的其实就是CC这个部分。

有一款软件名曰 ArmInLine 可以完美的解决 远代码及其IAT乱序,但是对CC的处理还欠缺智能上的考虑。

通过使用ArmInLine发现,ArmInLine在自动定位CC的时候要求选着原始的被加壳的程序,然后自己模拟成为这个程序的主进程,启动子进程,这时因为ArmInLine对它启动的子进程设置了调试权限,所以他可以接收子进程的调试事件通知,也就是 大名鼎鼎的 WaitForDebugEvent 函数,在得到调试事件后,把CC的整理出来,然后自己模拟处理,最后会通告你找到多少个CC,多少个已经修复。

这里也许存在一个问题,就是在他接收调试事件时,并没有排除那些不是壳加入的CC,一古老的全部罗列出来,然后按它的理解来修复,当然,这里就完全可能出现误修复的情况,所以导致很多程序修复出来不能使用,或者丧失功能。而且在程序各功能没有完全运做的情况下,这个找出来的CC,不一定是全部的,有可能在未执行到的代码中仍然有CC的存在。

这仅仅是我的一个猜测,希望各位大侠点评下,不知道我的猜测是否正确。

BTW:最近研究了对付CC的一个又土又笨的办法,似乎还有点效果。

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (10)
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
2
ArmInLine修复Code Splicing和Import Table Elimination很强,但还不到完美的程度
ArmInLine修复CC的方式有不小的局限性,至少修复后的程序是无法在Win98上正常运行的
2006-8-29 14:49
0
雪    币: 319
活跃值: (2439)
能力值: ( LV12,RANK:980 )
在线值:
发帖
回帖
粉丝
3
BTW:最近研究了对付CC的一个又土又笨的办法,似乎还有点效果。

有什么心得说出来让大家分享呀!
2006-8-29 14:50
0
雪    币: 239
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
请说说Delphi的CC是咋修di :-)
2006-8-29 15:05
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
其实这个办法真的很笨也很土,本来不敢献丑,分享谈不上,只能说说我的想法,其实很简单,就是把脱壳后的程序跑一遍,一定会遇到错误,如果不是必须修复的CC,程序就不会中断,也不会报错,当出现报内存地址错误时,这个地址就一定是没修复的CC了,然后按照手动修复CC的办法,找到这个修复的代码,手工改了后,保存,然后循环上面的过程。

是不是很土啊~~~~~~。
2006-8-29 15:14
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
首先感谢各位大侠的点评,我会继续努力的。

现在在努力学习FLY大侠的Armadillo 4.40主程序脱壳,和fxyang大侠的手工修复Armadillo壳中的CC。
2006-8-29 18:33
0
雪    币: 417
活跃值: (475)
能力值: ( LV9,RANK:1250 )
在线值:
发帖
回帖
粉丝
7
最初由 darkshow 发布
其实这个办法真的很笨也很土,本来不敢献丑,分享谈不上,只能说说我的想法,其实很简单,就是把脱壳后的程序跑一遍,一定会遇到错误,如果不是必须修复的CC,程序就不会中断,也不会报错,当出现报内存地址错误时,这个地址就一定是没修复的CC了,然后按照手动修复CC的办法,找到这个修复的代码,手工改了后,保存,然后循环上面的过程。

是不是很土啊~~~~~~。


工程浩大。
还不如通过比较猜测来的快。
2006-8-29 22:40
0
雪    币: 6075
活跃值: (2236)
能力值: (RANK:1060 )
在线值:
发帖
回帖
粉丝
8
关于arminline 看final版原代码
关于修复cc 好象有个表,一个一个处理是不实际的
2006-8-30 10:19
0
雪    币: 6075
活跃值: (2236)
能力值: (RANK:1060 )
在线值:
发帖
回帖
粉丝
9
dillodie修复code splic好像很恶心
2006-8-30 20:45
0
雪    币: 319
活跃值: (2439)
能力值: ( LV12,RANK:980 )
在线值:
发帖
回帖
粉丝
10
怎么个恶心法
2006-8-30 20:49
0
雪    币: 6075
活跃值: (2236)
能力值: (RANK:1060 )
在线值:
发帖
回帖
粉丝
11
好像直接贴在code section
2006-8-30 22:47
0
游客
登录 | 注册 方可回帖
返回
//