shooooo老大
先帮忙把我的小东西分析一样

大侠来了 就不要跑拉

下载看看，跟着高手学习一下~！~！~！

不知道这是不是主干。。。

004065B4   .  53            PUSH    EBX
004065B5   .  8BD8          MOV     EBX, EAX
004065B7   .  33C0          XOR     EAX, EAX
004065B9   .  A3 A0B04700   MOV     DWORD PTR [47B0A0], EAX
004065BE   .  6A 00         PUSH    0
004065C0   .  E8 2BFFFFFF   CALL    004064F0
004065C5   .  A3 68D64700   MOV     DWORD PTR [47D668], EAX
004065CA   .  A1 68D64700   MOV     EAX, DWORD PTR [47D668]
004065CF   .  A3 ACB04700   MOV     DWORD PTR [47B0AC], EAX
004065D4   .  33C0          XOR     EAX, EAX
004065D6   .  A3 B0B04700   MOV     DWORD PTR [47B0B0], EAX
004065DB   .  33C0          XOR     EAX, EAX
004065DD   .  A3 B4B04700   MOV     DWORD PTR [47B0B4], EAX
004065E2   .  E8 C1FFFFFF   CALL    004065A8
004065E7   .  BA A8B04700   MOV     EDX, 0047B0A8
004065EC   .  8BC3          MOV     EAX, EBX
004065EE   .  E8 89DAFFFF   CALL    0040407C
004065F3   .  5B            POP     EBX
004065F4   .  C3            RETN

ctrl+g 4F7014
F4
就啥都看到了啊

themida?

我当时只是想证明一下shoooo这个名字和ＳＨＥ有没有什么联系，从现在的情况看来答案应该趋向于有．

经过测试 补充区段搞定  谁能看看怎么优化下

http://pickup.mofile.com/8838826718712062

okdodo越来越厉害了

好在没SDK  VM依然搞不定 themida的VM太恐怖了

太厉害了,搞不定

用了驱动？一到4F7014那里，如果od反汇编代码就被枪毙了

最初由 aki 发布
一到4F7014那里，如果od反汇编代码就被枪毙了

我的也是,怎么回事?

说明OD的反汇编功能有漏洞,在跳4f7014前
00763375    55              PUSH EBP
00763376    FF53 04         CALL NEAR DWORD PTR DS:[EBX+4]
00763379    AB              STOS DWORD PTR ES:[EDI]
0076337A  ^ EB E4           JMP SHORT unpackme.00763360
0076337C    AD              LODS DWORD PTR DS:[ESI]
0076337D    50              PUSH EAX
0076337E    55              PUSH EBP
0076337F    FF53 04         CALL NEAR DWORD PTR DS:[EBX+4]
00763382    AB              STOS DWORD PTR ES:[EDI]
00763383  ^ EB E0           JMP SHORT unpackme.00763365
00763385    C3              RETN   //停在这里
在数据窗口修改4f7035的值为0f(其他值也可以,总之要改),就能正常看到4f7014处的代码了:
004F7014    B8 00000000     MOV EAX,0
004F7019    60              PUSHAD
004F701A    0BC0            OR EAX,EAX
004F701C    74 68           JE SHORT unpackme.004F7086
004F701E    E8 00000000     CALL unpackme.004F7023
004F7023    58              POP EAX
004F7024    05 53000000     ADD EAX,53
004F7029    8038 E9         CMP BYTE PTR DS:[EAX],0E9
004F702C    75 13           JNZ SHORT unpackme.004F7041
004F702E    61              POPAD
004F702F    EB 45           JMP SHORT unpackme.004F7076
004F7031    DB2D 37700F00   FLD TBYTE PTR DS:[F7037]  //这个指令有问题
004F7037    FFFF            ???                                      ; Unknown command
004F7039    FFFF            ???                                      ; Unknown command
004F703B    FFFF            ???                                      ; Unknown command
004F703D    FFFF            ???                                      ; Unknown command

在4f7014处dump下来一看,真是themida~~~~~,我不玩了.

学习， 见到 FF FF FF FF FF FF FF FF 3D，前几句再带个CMP BYTE PTR DS:[EAX],0E9 就知道是themida

最初由 skylly 发布

说明OD的反汇编功能有漏洞........

跳过这个Anti一个笨办法，是将OD的反汇编窗口调整到只露2、3行，不要让其直接显示这几句汇编代码。

果然可以!能露六七行代码
004F7014    B8 00000000     MOV EAX,0
004F7019    60              PUSHAD
004F701A    0BC0            OR EAX,EAX
004F701C    74 68           JE SHORT 004F7086
004F701E    E8 00000000     CALL 004F7023
004F7023    58              POP EAX
004F7024    05 53000000     ADD EAX,53
004F7029    8038 E9         CMP BYTE PTR [EAX],0E9
004F702C   /75 13           JNZ SHORT 004F7041
004F702E    61              POPAD
//到这里再往下就OVER了

不知道怎么过去themida的那个anti，创建了一堆线程后就提示发现调试器，不知道哪里没处理好

牛，这都能发现。

fly已经搞定这个anti了。

[Themida/WinLicense V1.0.0.0-V1.8.0.0-> Oreans Technologies]
signature = B8 00 00 00 00 60 0B C0 74 58 E8 00 00 00 00 58 05 ?? 00 00 00 80 38 E9 75 ?? 61 EB ?? E8 00 00 00 00
ep_only = true 

[Themida/WinLicense V1.8.0.2 +  -> Oreans Technologies]
signature = B8 00 00 00 00 60 0B C0 74 68 E8 00 00 00 00 58 05 ?? 00 00 00 80 38 E9 75 ?? 61 EB ?? DB 2D ?? ?? ?? ?? FF FF FF FF FF FF FF FF 3D 40 E8 00 00 00 00
ep_only = true 

这个ANTI首先出现在HERO的OD乖不乖里,说明HERO有正式版Themida.现在SHOOOO也用了,说明OOO和HERO是一伙的,而上次OOO坐沙发的时间和HERO的发帖时间重合,于是得:OOO和HERO在发帖前事先进行了串通.

最初由 q3 watcher 发布
这个ANTI首先出现在HERO的OD乖不乖里,说明HERO有正式版Themida.现在SHOOOO也用了,说明OOO和HERO是一伙的,而上次OOO坐沙发的时间和HERO的发帖时间重合,于是得:OOO和HERO在发帖前事先进行了串通.

这个有些道理
但这次,你回贴后, 我也马上回贴了
可能我们也是一伙的

最初由 shoooo 发布
这个有些道理
但这次,你回贴后, 我也马上回贴了
可能我们也是一伙的

只有时间一模一样才值得怀疑。

最初由 q3 watcher 发布
只有时间一模一样才值得怀疑。

不懂，什么乱七八糟的？

最初由 q3 watcher 发布
这个ANTI首先出现在HERO的OD乖不乖里,说明HERO有正式版Themida.现在SHOOOO也用了,说明OOO和HERO是一伙的,而上次OOO坐沙发的时间和HERO的发帖时间重合,于是得:OOO和HERO在发帖前事先进行了串通.

我没有正式版Themida，我是10月9日研究fly发给我的一个程序HiDesign.exe时学到的这个弱智手段