首页
社区
课程
招聘
[求助]脱aspr2.3-0423加壳notepad.exe,遇到一个问题请各位帮助
发表于: 2007-3-27 16:05 6688

[求助]脱aspr2.3-0423加壳notepad.exe,遇到一个问题请各位帮助

2007-3-27 16:05
6688
超纳闷,从来都是发了帖子都是眼睁睁看着沉入海底,不知道这个问题是否能有好心人帮助提示一下

加壳时只选了protect OEP,best compression。将所有偷走的区段全部dump了出来,发现有些段的地址比程序的imagebase要小,暂时没有想出来办法解决。所以就准备手工修复所有访问到这些区段的地方(依然将这些段也补到文件中,用od跟踪到所有内存访问异常的地方然后修正地址,比如段的地址是00900000,手工修正到01900000),好像一共是有9个地方,其他的都一一修正了,但是还有一个地方很奇怪,我不知道该怎么修正,请各位帮帮忙看看

01982658    56              push    esi
01982659    57              push    edi
0198265A    89C6            mov     esi, eax
0198265C    89D7            mov     edi, edx
0198265E    89C8            mov     eax, ecx
01982660    39F7            cmp     edi, esi
01982662    77 13           ja      short 01982677
01982664    74 2F           je      short 01982695
01982666    C1F9 02         sar     ecx, 2
01982669    78 2A           js      short 01982695
0198266B    F3:A5           rep     movs dword ptr es:[edi], dword ptr [esi]
0198266D    89C1            mov     ecx, eax
0198266F    83E1 03         and     ecx, 3
01982672    F3:A4           rep     movs byte ptr es:[edi], byte ptr [esi]
01982674    5F              pop     edi
01982675    5E              pop     esi
01982676    C3              retn

在0198266B内存异常,停下,下面是在这行时的寄存器值

ecx=0001BFD4 (decimal 114644.)
ds:[esi]=stack [0006FF4C]=00000000
es:[edi]=[00000000]=???

EAX 0006FF50
ECX 0001BFD4
EDX 00000000
EBX 019E069C un_NOTEP.019E069C
ESP 0006FF20
EBP 0006FF50
ESI 0006FF4C
EDI 00000000
EIP 0198266B un_NOTEP.0198266B
C 0  ES 0023 32bit 0(FFFFFFFF)
P 1  CS 001B 32bit 0(FFFFFFFF)
A 1  SS 0023 32bit 0(FFFFFFFF)
Z 0  DS 0023 32bit 0(FFFFFFFF)
S 0  FS 003B 32bit 7FFDF000(FFF)
T 0  GS 0000 NULL
D 0
O 0  LastErr ERROR_NO_IMPERSONATION_TOKEN (0000051D)
EFL 00010216 (NO,NB,NE,A,NS,PE,GE,G)
ST0 empty -UNORM D0A8 01050104 00000000
ST1 empty 0.0
ST2 empty 0.0
ST3 empty 0.0
ST4 empty 0.0
ST5 empty 0.0
ST6 empty 1.0000000000000000000
ST7 empty 1.0000000000000000000
               3 2 1 0      E S P U O Z D I
FST 4020  Cond 1 0 0 0  Err 0 0 1 0 0 0 0 0  (EQ)
FCW 027F  Prec NEAR,53  Mask    1 1 1 1 1 1

恳请各位提示一下该怎么修正这个地方

[课程]FART 脱壳王!加量不加价!FART作者讲授!

收藏
免费 0
支持
分享
最新回复 (13)
雪    币: 66
活跃值: (15)
能力值: ( LV9,RANK:330 )
在线值:
发帖
回帖
粉丝
2
另外将文件附上,其他地方都修复完了,就差这一点了

ps:我怎么发现我总是在自娱自乐~是不是高人们都不屑于看这种问题~如果是每人会理会这种问题也帮忙支一声吧,不然我还要关注有没有好心人也挺分心的~
上传的附件:
2007-3-28 01:32
0
雪    币: 66
活跃值: (15)
能力值: ( LV9,RANK:330 )
在线值:
发帖
回帖
粉丝
3
踹一脚...
2007-3-29 16:21
0
雪    币: 200
活跃值: (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
帖上原压缩文件来看看...虽然我菜(:
2007-3-29 18:24
0
雪    币: 66
活跃值: (15)
能力值: ( LV9,RANK:330 )
在线值:
发帖
回帖
粉丝
5
这个是补完区段后的
2007-3-30 09:05
0
雪    币: 66
活跃值: (15)
能力值: ( LV9,RANK:330 )
在线值:
发帖
回帖
粉丝
6
这个是原始文件
2007-3-30 09:07
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
我也有同样的问题。
2007-4-1 09:04
0
雪    币: 224
活跃值: (147)
能力值: ( LV9,RANK:970 )
在线值:
发帖
回帖
粉丝
8
看看这个吧 脚本一下就可以解决的呀 汗
上传的附件:
2007-4-1 09:14
0
雪    币: 66
活跃值: (15)
能力值: ( LV9,RANK:330 )
在线值:
发帖
回帖
粉丝
9
谢谢。最近一直在分析aspr,练习手工修补区段的时候是用Aspr2.XX_IATfixer_v2.2s这个脚本,没有用那个直接修复区段的。但是修复代码的时候就遇到了如1楼所述的问题,暂时还没有想出来解决的办法,能就那个问题指点一下吗?
2007-4-1 15:21
0
雪    币: 224
活跃值: (147)
能力值: ( LV9,RANK:970 )
在线值:
发帖
回帖
粉丝
10
就dot1xclient这个程序而言,我还没发现它要补的地址有比Imagbase要低的
如果你遇到这种情况 可以修改PE文件头中的Size of Stack Reserve值
这个好象在某篇文章中有人提过吧
2007-4-1 20:53
0
雪    币: 66
活跃值: (15)
能力值: ( LV9,RANK:330 )
在线值:
发帖
回帖
粉丝
11
我去再弄弄,十分感谢
2007-4-2 19:51
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
12
强烈要求,要过程
2007-4-3 09:32
0
雪    币: 1919
活跃值: (901)
能力值: ( LV9,RANK:490 )
在线值:
发帖
回帖
粉丝
13
老兄这个是怎么修复的呀,怎么没看到补的区段?
我下theOcrat的补完区段后的程序,搞定壳的效验后运行就只能在进程里看见程序运行了下就自动关闭了,下getfilesize也断不下来,望指点下~~~~
2007-4-9 18:08
0
雪    币: 0
能力值: (RANK:10 )
在线值:
发帖
回帖
粉丝
14
加个区看看 ``
2007-4-12 13:20
0
游客
登录 | 注册 方可回帖
返回
//