TheMida v1.0.0.5升级，是因为他被Crack了，意味这些小软件的作者们都可以用这个强壳来加壳了；要是现在所有的小软件都用她加壳的话, 是不是我们这行业很多人就失业了哦。

郁闷中...

（杞人忧天...）

那为什么还是有绝大部分小软件的作者们不用这个TheMida来加壳呢？？？   奇怪中....  呵呵， 是因为他们不知道有这个强壳啦....

最初由 geodiy 发布
那为什么还是有绝大部分小软件的作者们不用这个TheMida来加壳呢？？？ 奇怪中.... 呵呵， 是因为他们不知道有这个强壳啦....

........

不用是因为其稳定性和兼容性不是太好，如果经常听到用户反馈蓝屏问题，我想你头会大的。

感谢坛主的指点；

还是想聊聊其脱壳的问题：
1、TheMida防止调试，idt被其修改。 int 1，int 3 被修改为0xffffff, 这个是可以恢复过来；int 0x0e被修改 他自己的例程，也可以还原过来；

2、TheMida防止内存被读取和修改，sdt被其修改， 我看别人说也可以dump出来，修改为不执行它的代码，直接执行原来的，也可以；

3、KeAttachProcess和vsprintf不知道他又作了些什么；

4、TheMida为防止恢复以上的修改，据说又加了16个（还是24个）线程不断检测，一发现被修改就马上蓝屏， 这也许是被加壳软件常常蓝屏的原因吧。 如果我们停止它的监测线程，是不是就可以恢复了呢？

5、不过，stolen的代码怎么办呢？有同志说用挂接 TerimateProcess,这时代码都执行了一遍，被stolen的代码也已经恢复了，是不是就可以dump任何东西了呢？（oep就被stolen了）

6、还有些牛人已经模拟了驱动， 还有些人分析了虚拟机机制

都这样了， 应该很清晰了， 为啥我们的牛人们，没有搞出来呢？ 呵呵：），看来是不消一顾了 ....

可是现在还是有那么一些家伙用它来加壳，难道就任其逍遥吗？

...
这个世界级难题...
...

Themida V1.3.5.5加的壳都很多人能脱了。

TheMida v1.0.0.5fly版主写过脱文

哈， 原来有哈，我找找看，要是没找到的话， 请给各链接的地址吧。

呵呵，找到了 fly 老大的文章， 不过他是用的TheMida 1.1.1.0的，且无驱动，难度降低不少；不过倒是可以供后来人参考。

最初由 geodiy 发布
感谢坛主的指点；

还是想聊聊其脱壳的问题：
1、TheMida防止调试，idt被其修改。 int 1，int 3 被修改为0xffffff, 这个是可以恢复过来；int 0x0e被修改 他自己的例程，也可以还原过来；

........

很多外?都用他加? 膣不成又是跟外?有晷

如果是有人?了他的? 那他??就倒了吧

白花花的泫子 也杂就?此?送 ...

像是之前 hying ..只是推?....

任意版本PEID的签名都是一样吧
考虑过买WinLicense但是折合人民币还是不便宜
防止的不是你破击而是破解的时间 如果在预设时间内软件没有被破解那么目的就达到了

有一?小办?了

???代瘁部分

先用OD蒌入 Shift+F9 哕行 到代瘁段的地方查看哪彦是???屏蔽代瘁的地方

例如是00402210

然後重新蒌入 先下 Hw 00402210

停在一??似 rep movs byte ptr es:[edi],byte ptr ds:[esi>

代瘁的地方

按右嫔 在??窗口中跟胗 ?出???位址

然後跟咄其中一?不是0040xxxx的位址

也就是要?入0040xxxx?存放代瘁的地方

例如是 02Bxxxxx 呃?候要?入0040xxx的是 ???屏蔽的代瘁

然後再重新蒌入 下Hr 02Bxxxxx

一? 到 rep movs 的代瘁? 一?有??位址 一?是正催的代瘁 一?是要取代正催代瘁的???代瘁

呃只是我的推? 可以?看看

两天不来， 又有新发现了哈， 大家努力！

这两天都想了些歪主意，想绕过TheMida（去Hook API），结果发现这条路是走不通，便又绕回来了。 还是要 脱，不脱不行的。

大家继续研究， 一定要搞定他。

分析邋锗 不咿可以催定的是 在他?入401000之前他?先?到一?Memory空殓

在呃?Memory空殓他已?把屏蔽的VM代瘁?好在彦面了

在他?入呃?空殓之前可能中殓的咿程有所不同吧

不?得有?有解VM代瘁的相晷技戌文件 哪肺遮言都可以

一有?殓就是在檫著OD看著themida的代瘁 看到钷?在很痛

在 AntiThemida 里面有一段代码， 实现了加壳程序的注入DLL， 可以试试是否可以通过DLL注入来Dump ：）

每天花一个小时来研究 TheMida 1.0.0.5, 不信搞不掉这个东东。

注入DLL后， 得到所有的线程，然后将其都suspend, 然后再恢复sdt 和 idt, 现在就可以用OD挂接了吧， Come on, baby....

这么好的题目没人关心吗？

今天来,只是为了up一下~~

up up...

?在最大的?铨 ??就是VM代瘁吧...

到看雪得到的

以?息?基盗.以事件??之

然後...破之解之鄙?之 就能???是吧



真的容易做的?很膣..

埃...擂理吧...

sustain！

走过，看看……

themida不能Hook API?
能详细说说什么原因吗?

??拿 1.5.0.0 加?把VM代瘁啉?全部去掉

然後下hr 401000 跟 hw 401000 我办?上面我又真邋了

他?先把401000到40xxxx的代瘁解一次大小跟加?的大小一? 但代瘁稍微有?化

然後再把?化後的代瘁 再解一次 ?到一??存空殓 然後再?入401000的?段

??下了?? 办?跑到呃彦第1次解瘁才起了?化 只是我??代瘁看懂??句

能告灾我 呃?算是新办??

themida 1.0.0.5

00667693    81C2 5766C03C        add edx,3CC06657
00667699    81EA 9B45E05B        sub edx,5BE0459B
0066769F    81EA 7F55D20D        sub edx,0DD2557F
006676A5    891408               mov dword ptr ds:[eax+ecx],edx
006676A8    83E9 03              sub ecx,3
006676AB    49                   dec ecx
006676AC    3B0C24               cmp ecx,dword ptr ss:[esp]

themida 1.5.0.0

004E1BBA    81C6 44C5423E        add esi,3E42C544
004E1BC0    81EE B4318542        sub esi,428531B4
004E1BC6    81EE 9540DF73        sub esi,73DF4095
004E1BCC    893401               mov dword ptr ds:[ecx+eax],esi
004E1BCF    81E8 0EFAB610        sub eax,10B6FA0E
004E1BD5    81C0 0AFAB610        add eax,10B6FA0A
004E1BDB    3B0424               cmp eax,dword ptr ss:[esp]

不是不能hook api, 是我想 Hook 一个API 饶过TheMida, 但是没饶过 ...

up up every day

我想 up up 也?用吧 ?竟很多外卦都用它加?

要坐出他自己?生的代瘁 ?替?被屏蔽的代瘁 呃?膣度太高了 而且也不一定?催

themida 有? code replace 的啉? 啉?呃?操作才?屏蔽代瘁

再啉?呃??目 ??生一? xxx.exeSimulate2的文件

我看不如?呃彦研究吧 希望?真邋

code replace就是VM吧？