很好很强大

http://www.unpack.cn/viewthread.php?tid=7985

最初由 绫濑遥 发布
http://www.unpack.cn/viewthread.php?tid=7985

Ctrl+G：XXXXXXXX处

请问

这个XXXXXXXX怎么找？

好的,我去试试看.

00406014 >  B8 00000000     MOV EAX,0
00406019    60              PUSHAD
0040601A    0BC0            OR EAX,EAX
0040601C    74 68           JE SHORT 00406086                        ; 测试.00406086
0040601E    E8 00000000     CALL 00406023                            ; 测试.00406023
00406023    58              POP EAX
00406024    05 53000000     ADD EAX,53
00406029    8038 E9         CMP BYTE PTR DS:[EAX],0E9
0040602C    75 13           JNZ SHORT 00406041                       ; 测试.00406041
0040602E    61              POPAD
0040602F    EB 45           JMP SHORT 00406076                       ; 测试.00406076
00406031    DB2D 37604000   FLD TBYTE PTR DS:[406037]
00406037    FFFF            ???                                      ; 未知命令

最初由 csjwaman 发布
00406014 > B8 00000000 MOV EAX,0
00406019 60 PUSHAD
0040601A 0BC0 OR EAX,EAX
0040601C 74 68 JE SHORT 00406086 ; 测试.00406086
0040601E E8 00000000 CALL 00406023 ; 测试.00406023
........

请问查找的过程````

00401770 > $  55            PUSH EBP
00401771   .  8BEC          MOV EBP,ESP
00401773   .  6A FF         PUSH -1
00401775   .  68 F6756000   PUSH 6075F6                              ;  ASCII "`j"
0040177A   .  68 E8746000   PUSH 6074E8
0040177F   .  64:A1 0000000>MOV EAX,DWORD PTR FS:[0]
00401785   .  53            PUSH EBX
00401786   .  64:8925 00000>MOV DWORD PTR FS:[0],ESP
0040178D   .  83EC 68       SUB ESP,68
00401790   .  50            PUSH EAX
00401791   .  56            PUSH ESI
00401792   .  57            PUSH EDI
00401793   .  8965 E8       MOV DWORD PTR SS:[EBP-18],ESP
00401796   .  33DB          XOR EBX,EBX
00401798   .  895D FC       MOV DWORD PTR SS:[EBP-4],EBX
0040179B   .  6A 02         PUSH 2
0040179D   .  E8 DA3B8077   CALL 77C0537C                            ;  msvcrt.__set_app_type
004017A2   .  90            NOP

最初由 csjwaman 发布
00401770 > $ 55 PUSH EBP
00401771 . 8BEC MOV EBP,ESP
00401773 . 6A FF PUSH -1
00401775 . 68 F6756000 PUSH 6075F6 ; ASCII "`j"
0040177A . 68 E8746000 PUSH 6074E8
........

请教

设置系统断点 停下来后

CTRL+G  输入 406037 就挂了？

还没改？

最初由 csjwaman 发布
00406014 > B8 00000000 MOV EAX,0
00406019 60 PUSHAD
0040601A 0BC0 OR EAX,EAX
0040601C 74 68 JE SHORT 00406086 ; 测试.00406086
0040601E E8 00000000 CALL 00406023 ; 测试.00406023
........

入口怎么这么像Themida

004014F0    .  6A 02             push 2
004014F2    .  E8 89FFFFFF       call 测试.00401480
004014F7    .  59                pop ecx
004014F8    .  C3                retn
004014F9       90                nop
004014FA       90                nop
004014FB       90                nop
004014FC       90                nop
004014FD       90                nop
004014FE       90                nop
004014FF       90                nop
00401500    .  8B41 20           mov eax,dword ptr ds:[ecx+20]
00401503    .  6A 00             push 0
00401505    .  50                push eax
00401506    .  90                nop
00401507    .  E8 FAF65202       call 02930C06
0040150C    .  C3                retn
0040150D       90                nop
0040150E       90                nop
0040150F       90                nop
00401510    .  8B41 20           mov eax,dword ptr ds:[ecx+20]
00401513    .  6A 01             push 1
00401515    .  50                push eax
00401516    .  90                nop
00401517    .  E8 EAF65202       call 02930C06
0040151C    .  C3                retn
0040151D       90                nop
0040151E       90                nop
0040151F       90                nop
00401520       90                nop
00401521    .- E9 4B799973       jmp MFC42.#4673_CWinApp::OnHelp
00401526       90                nop
00401527    .- E9 AADD9873       jmp MFC42.#6375_CWinApp::WinHelpA
0040152C       90                nop
0040152D    .- E9 35789973       jmp MFC42.#4486_CWinApp::OnDDECommand
00401532       90                nop

Themida而已~~~ 偶下MessageBox 断下 返回就到这里了

最初由 foxabu 发布
004014F0 . 6A 02 push 2
004014F2 . E8 89FFFFFF call 测试.00401480
004014F7 . 59 pop ecx
004014F8 . C3 retn
004014F9 90 nop
........

用的什么版本 还可以跑起来？

看雪网站已经有新版了，新版解决该漏洞!!!

这个themida我这里也跑不起~~倒是载入没问题

一开始载入就乱跳，后把OD改后就进入如下的方式：
加载后停在这里：

04361FC > BE 88014000      MOV ESI,测试.00400188                      ; ASCII "ldC"
00436201   AD               LODS DWORD PTR DS:[ESI]
00436202   8BF8             MOV EDI,EAX
00436204   95               XCHG EAX,EBP
00436205   AD               LODS DWORD PTR DS:[ESI]
00436206   91               XCHG EAX,ECX
00436207   F3:A5            REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
00436209   AD               LODS DWORD PTR DS:[ESI]
0043620A   B5 1C            MOV CH,1C
0043620C   F3:AB            REP STOS DWORD PTR ES:[EDI]
0043620E   AD               LODS DWORD PTR DS:[ESI]
0043620F   50               PUSH EAX
00436210   97               XCHG EAX,EDI
00436211   51               PUSH ECX
00436212   58               POP EAX
00436213   8D5485 5C        LEA EDX,DWORD PTR SS:[EBP+EAX*4+5C]
00436217   FF16             CALL DWORD PTR DS:[ESI]
00436219   72 57            JB SHORT 测试.00436272
0043621B   2C 03            SUB AL,3
0043621D   73 02            JNB SHORT 测试.00436221
0043621F   B0 00            MOV AL,0
00436221   3C 07            CMP AL,7
00436223   72 02            JB SHORT 测试.00436227

运行后停在这里：

7C92EB94 > C3               RETN
7C92EB95   8DA424 00000000  LEA ESP,DWORD PTR SS:[ESP]
7C92EB9C   8D6424 00        LEA ESP,DWORD PTR SS:[ESP]
7C92EBA0   90               NOP
7C92EBA1   90               NOP
7C92EBA2   90               NOP
7C92EBA3   90               NOP
7C92EBA4   90               NOP
7C92EBA5 > 8D5424 08        LEA EDX,DWORD PTR SS:[ESP+8]
7C92EBA9   CD 2E            INT 2E
7C92EBAB   C3               RETN
7C92EBAC > 55               PUSH EBP
7C92EBAD   8BEC             MOV EBP,ESP
7C92EBAF   9C               PUSHFD
7C92EBB0   81EC D0020000    SUB ESP,2D0
7C92EBB6   8985 DCFDFFFF    MOV DWORD PTR SS:[EBP-224],EAX
7C92EBBC   898D D8FDFFFF    MOV DWORD PTR SS:[EBP-228],ECX
7C92EBC2   8B45 08          MOV EAX,DWORD PTR SS:[EBP+8]
7C92EBC5   8B4D 04          MOV ECX,DWORD PTR SS:[EBP+4]

运行后出现一对话框（由于我不会载图）

对话框标题是b
有2个按钮，一个是： 测试    另一个是：   取消

对话内容：TODO：  在这里设置对话控制

对话框右上角没有最大化和最小化，只有关闭

只是新版TMD的壳吧.好像没有其他的东东.
运行OK.加载OK.调试OK.闪人OK.

上传的附件：

• snap1.gif （33.92kb，46次下载）

最初由 wynney 发布
这个themida我这里也跑不起~~倒是载入没问题

那是themida的anti下载个hideod插件，看雪论坛上有!!!

解决方案：

1、期待OllyDBG新版修正此bug
2、在OllyDBG V1.10调试前使用其他16进制工具修改掉[XXXXXXXX]中FF FF FF FF FF FF FF FF 3D 40数据，把其中的某位数据修改为任一其他值即可
3、设置OllyDBG暂停在系统断点，在数据窗口中Ctrl+G：XXXXXXXX处，修改[XXXXXXXX]中FF FF FF FF FF FF FF FF 3D 40中任一数据为其他值
4、修改OllyDBG V1.10的反汇编引擎，避开此浮点指令陷阱
以第三个方案操作最简单

打开OD ---->ALT+O --------->事件 ------------>系统断点

然后再打开这个就行了

最初由 kangaroo 发布
那是themida的anti下载个hideod插件，看雪论坛上有!!!

你试试最新的hideod对它是否有效？

最初由 wynney 发布
你试试最新的hideod对它是否有效？

感谢wynney！
hideod没问题的，OllyICE不能加载，原因我还没找到。
原版OD如下修改配合hideod即可调试：

十六进制工具打开ollydbg.exe，将所有“ollydbg”字符替换等长的其他字符即可。

调试时，别忘中断在系统断点，清除一次性断点。

最初由 kanxue 发布
感谢wynney！
hideod没问题的，OllyICE不能加载，原因我还没找到。
原版OD如下修改配合hideod即可调试：

十六进制工具打开ollydbg.exe，将所有“ollydbg”字符替换等长的其他字符即可。
........

呵呵
还是老大的感觉敏锐
hideOD没问题

原因找到，OllyICE上其黑名单了，要躲过很简单，将OD类标识改掉，下面的红字：

000B6000 6E69 0049 434F 5F41 4141 4D41 494E 004D ni.ICO_AAAMAIN.M
000B6010 4149 4E4D 454E 5500 7065 6469 7930 3600 AINMENU.pediy06 .

我晕 自己diy个特别的

一只小猫，有啥可怕。

上传的附件：

• 003.jpg （47.87kb，41次下载）