首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[求助] 关于彩虹狗壳的压缩算法和IAT修复
发表于: 2007-3-28 15:50 8308

[求助] 关于彩虹狗壳的压缩算法和IAT修复

HenryShow 活跃值
1
2007-3-28 15:50
8308
最近拿到一款雕刻软件，需要配套彩虹加密狗使用。
在调试过程当中遇到如下问题：
1. 软件不在调试状态下，有狗则可以正常运行程序。但在调试状态下，仍然显示没有找到狗。
   -- 原因：壳在运行时通过IsDebuggerPresent, ZwQuerySystemInformation, ZwQueryInformationProcess等函数来判断程序是否被调试，并用CreateFile来检查是否有SoftIce,TRW的存在。
   -- 解决：我下载的OllyDbg已经对IsDebuggerPresent免疫，但对ZwQueryInformationProcess仍然返回调试状态，现临时在ZwQueryInformationProcess上下断点，并在返回时修改返回值来达到调试目的。本来想在壳中加入自己的代码来修改壳的代码，但修改后程序运行出错，原因暂不清楚。

2. 通过对壳代码的分析，发现壳自己做了重定位和建立IAT。但此壳在内存的45D000和52C1CC处有2张IAT表，使用ImportRec无法修复，因此脱壳失败.
   请问各位大大有什么好的办法？

3. 壳在运行时会动态解码原始Exe文件的代码和壳的部分代码到内存当中执行。
而且此壳同时具备加密和压缩功能。压缩功能的反汇编代码如下：
   请各位大大帮忙看下这个是什么压缩算法，能给出压缩原理更好.
   (因刚注册，无法上传附件，所以只能贴出代码了，^_^)
__declspec( naked ) void UnzipCode()
{
        __asm {
                 push    ebp
                 mov     ebp, esp
                 sub     esp, 14h
                 push    ebx
                 push    esi
                 push    edi
                 mov     eax, [ebp+0Ch]
                 add     eax, [ebp+8]
                 mov     [ebp-14h], eax
                 mov     eax, [ebp+10h]
                 mov     [ebp-10h], eax
                 mov     eax, [ebp+8]
                 mov     [ebp-8], eax
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 cmp     ecx, 11h
                 jle     short loc_53A645
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 sub     ecx, 11h
                 mov     [ebp-4], ecx
                 inc     dword ptr [ebp-8]
                 cmp     dword ptr [ebp-4], 4
                 jnb     short loc_53A627
                 jmp     loc_53A99E
; ---------------------------------------------------------------------------

loc_53A627:                             ; CODE XREF: RCC1:0053A620.j
                                         ; RCC1:0053A63E.j
                 mov     eax, [ebp-8]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-8]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A627
                 jmp     loc_53A701
; ---------------------------------------------------------------------------

loc_53A645:                             ; CODE XREF: RCC1:0053A60A.j
                                         ; RCC1:0053A9C9.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 mov     [ebp-4], ecx
                 inc     dword ptr [ebp-8]
                 cmp     dword ptr [ebp-4], 10h
                 jb      short loc_53A65D
                 jmp     loc_53A77C
; ---------------------------------------------------------------------------

loc_53A65D:                             ; CODE XREF: RCC1:0053A656.j
                 cmp     dword ptr [ebp-4], 0
                 jnz     short loc_53A68A

loc_53A663:                             ; CODE XREF: RCC1:0053A678.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 test    ecx, ecx
                 jnz     short loc_53A67A
                 add     dword ptr [ebp-4], 0FFh
                 inc     dword ptr [ebp-8]
                 jmp     short loc_53A663
; ---------------------------------------------------------------------------

loc_53A67A:                             ; CODE XREF: RCC1:0053A66C.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 add     ecx, 0Fh
                 add     [ebp-4], ecx
                 inc     dword ptr [ebp-8]

loc_53A68A:                             ; CODE XREF: RCC1:0053A661.j
                 mov     eax, [ebp-8]
                 mov     eax, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], eax
                 add     dword ptr [ebp-10h], 4
                 add     dword ptr [ebp-8], 4
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 jbe     short loc_53A701
                 cmp     dword ptr [ebp-4], 4
                 jb      short loc_53A6E8

loc_53A6AB:                             ; CODE XREF: RCC1:0053A6C5.j
                 mov     eax, [ebp-8]    ;
                 mov     eax, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], eax
                 add     dword ptr [ebp-10h], 4
                 add     dword ptr [ebp-8], 4
                 sub     dword ptr [ebp-4], 4
                 cmp     dword ptr [ebp-4], 4
                 jnb     short loc_53A6AB ;
                 cmp     dword ptr [ebp-4], 0
                 jbe     short loc_53A6E6

loc_53A6CD:                             ; CODE XREF: RCC1:0053A6E4.j
                 mov     eax, [ebp-8]    ;
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-8]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A6CD ;  
loc_53A6E6:                             ; CODE XREF: RCC1:0053A6CB.j
                 jmp     short loc_53A701
; ---------------------------------------------------------------------------

loc_53A6E8:                             ; CODE XREF: RCC1:0053A6A9.j
                                         ; RCC1:0053A6FF.j
                 mov     eax, [ebp-8]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-8]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A6E8

loc_53A701:                             ; CODE XREF: RCC1:0053A640.j
                                         ; RCC1:0053A6A3.j ...
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 mov     [ebp-4], ecx
                 inc     dword ptr [ebp-8]
                 cmp     dword ptr [ebp-4], 10h
                 jb      short loc_53A716
                 jmp     short loc_53A77C
; ---------------------------------------------------------------------------

loc_53A716:                             ; CODE XREF: RCC1:0053A712.j
                 mov     eax, [ebp-10h]
                 sub     eax, 801h
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-4]
                 shr     ecx, 2
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dl, [ecx]
                 lea     ecx, ds:0[edx*4]
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 inc     dword ptr [ebp-8]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-10h]
                 jmp     loc_53A988
; ---------------------------------------------------------------------------

loc_53A77C:                             ; CODE XREF: RCC1:0053A658.j
                                         ; RCC1:0053A714.j ...
                 cmp     dword ptr [ebp-4], 40h
                 jb      short loc_53A7C9
                 mov     eax, [ebp-10h]
                 dec     eax
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-4]
                 shr     ecx, 2
                 and     ecx, 7
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dl, [ecx]
                 lea     ecx, ds:0[edx*8]
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 inc     dword ptr [ebp-8]
                 mov     eax, [ebp-4]
                 shr     eax, 5
                 dec     eax
                 mov     [ebp-4], eax
                 jmp     loc_53A94F
; ---------------------------------------------------------------------------
                 jmp     loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A7C9:                             ; CODE XREF: RCC1:0053A780.j
                 cmp     dword ptr [ebp-4], 20h
                 jb      short loc_53A820
                 and     dword ptr [ebp-4], 1Fh
                 jnz     short loc_53A7FC

loc_53A7D5:                             ; CODE XREF: RCC1:0053A7EA.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 test    ecx, ecx
                 jnz     short loc_53A7EC
                 add     dword ptr [ebp-4], 0FFh
                 inc     dword ptr [ebp-8]
                 jmp     short loc_53A7D5
; ---------------------------------------------------------------------------

loc_53A7EC:                             ; CODE XREF: RCC1:0053A7DE.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 add     ecx, 1Fh
                 add     [ebp-4], ecx
                 inc     dword ptr [ebp-8]

loc_53A7FC:                             ; CODE XREF: RCC1:0053A7D3.j
                 mov     eax, [ebp-10h]
                 dec     eax
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dx, [ecx]
                 sar     edx, 2
                 sub     eax, edx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 add     dword ptr [ebp-8], 2
                 jmp     loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A820:                             ; CODE XREF: RCC1:0053A7CD.j
                 cmp     dword ptr [ebp-4], 10h
                 jb      short loc_53A899
                 mov     eax, [ebp-10h]
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-4]
                 and     ecx, 8
                 shl     ecx, 0Bh
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 and     dword ptr [ebp-4], 7
                 jnz     short loc_53A86B

loc_53A844:                             ; CODE XREF: RCC1:0053A859.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 test    ecx, ecx
                 jnz     short loc_53A85B
                 add     dword ptr [ebp-4], 0FFh
                 inc     dword ptr [ebp-8]
                 jmp     short loc_53A844
; ---------------------------------------------------------------------------

loc_53A85B:                             ; CODE XREF: RCC1:0053A84D.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 add     ecx, 7
                 add     [ebp-4], ecx
                 inc     dword ptr [ebp-8]

loc_53A86B:                             ; CODE XREF: RCC1:0053A842.j
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dx, [ecx]
                 sar     edx, 2
                 sub     eax, edx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 add     dword ptr [ebp-8], 2
                 mov     eax, [ebp-10h]
                 cmp     [ebp-0Ch], eax
                 jnz     short loc_53A890
                 jmp     loc_53A9CE
; ---------------------------------------------------------------------------

loc_53A890:                             ; CODE XREF: RCC1:0053A889.j
                 sub     dword ptr [ebp-0Ch], 4000h
                 jmp     short loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A899:                             ; CODE XREF: RCC1:0053A824.j
                 mov     eax, [ebp-10h]
                 dec     eax
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-4]
                 shr     ecx, 2
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dl, [ecx]
                 lea     ecx, ds:0[edx*4]
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 inc     dword ptr [ebp-8]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-10h]
                 jmp     loc_53A988
; ---------------------------------------------------------------------------

loc_53A8EB:                             ; CODE XREF: RCC1:0053A7C4.j
                                         ; RCC1:0053A81B.j ...
                 cmp     dword ptr [ebp-4], 6
                 jb      short loc_53A94F
                 mov     eax, [ebp-10h]
                 sub     eax, [ebp-0Ch]
                 cmp     eax, 4
                 jl      short loc_53A94F
                 mov     eax, [ebp-0Ch]
                 mov     eax, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], eax
                 add     dword ptr [ebp-10h], 4
                 add     dword ptr [ebp-0Ch], 4
                 sub     dword ptr [ebp-4], 2

loc_53A912:                             ; CODE XREF: RCC1:0053A92C.j
                 mov     eax, [ebp-0Ch]
                 mov     eax, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], eax
                 add     dword ptr [ebp-10h], 4
                 add     dword ptr [ebp-0Ch], 4
                 sub     dword ptr [ebp-4], 4
                 cmp     dword ptr [ebp-4], 4
                 jnb     short loc_53A912
                 cmp     dword ptr [ebp-4], 0
                 jbe     short loc_53A94D

loc_53A934:                             ; CODE XREF: RCC1:0053A94B.j
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A934

loc_53A94D:                             ; CODE XREF: RCC1:0053A932.j
                 jmp     short loc_53A988
; ---------------------------------------------------------------------------

loc_53A94F:                             ; CODE XREF: RCC1:0053A7BF.j
                                         ; RCC1:0053A8EF.j ...
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]

loc_53A96F:                             ; CODE XREF: RCC1:0053A986.j
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A96F

loc_53A988:                             ; CODE XREF: RCC1:0053A777.j
                                         ; RCC1:0053A8E6.j ...
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax-2]
                 and     ecx, 3
                 mov     [ebp-4], ecx
                 cmp     dword ptr [ebp-4], 0
                 jnz     short loc_53A99E
                 jmp     short loc_53A9C9
; ---------------------------------------------------------------------------

loc_53A99E:                             ; CODE XREF: RCC1:0053A622.j
                                         ; RCC1:0053A99A.j ...
                 mov     eax, [ebp-8]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-8]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A99E
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 mov     [ebp-4], ecx
                 inc     dword ptr [ebp-8]
                 jmp     loc_53A77C
; ---------------------------------------------------------------------------

loc_53A9C9:                             ; CODE XREF: RCC1:0053A99C.j
                 jmp     loc_53A645
; ---------------------------------------------------------------------------

loc_53A9CE:                             ; CODE XREF: RCC1:0053A88B.j
                 mov     eax, [ebp-8]
                 cmp     [ebp-14h], eax
                 jz      short loc_53A9DD
                 mov     eax, 0FFFFFFFFh
                 jmp     short loc_53A9E5
; ---------------------------------------------------------------------------

loc_53A9DD:                             ; CODE XREF: RCC1:0053A9D4.j
                 mov     eax, [ebp-10h]
                 sub     eax, [ebp+10h]
                 jmp     short $+2

loc_53A9E5:                             ; CODE XREF: RCC1:0053A9DB.j
                 pop     edi
                 pop     esi
                 pop     ebx
                 leave
                 retn    0Ch
        }

}

最后感谢各位大大看完此文章，谢谢。

[==== 2007.3.28 16:56 增加 ====]
关于Unzip汇编代码，以及压缩前/解压后的数据，都在下面这个包里面。http://www.live-share.com/files/188560/Crack.rar.html

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏
免费 ・0
支持
分享
最新回复 (15)
kanxue
雪    币： 47147
活跃值： (20460)
能力值： (RANK：350 )
在线值：
发帖
回帖
粉丝
私信
2 楼
1.这个你尝试用HideOD插件隐藏一下OD，看看有效果否。
不能上传附件，你用临时空间上传：http://www.live-share.com/
2007-3-28 16:43
0
fly
雪    币： 898
活跃值： (4039)
能力值： ( LV9，RANK：3410 )
在线值：
发帖
回帖
粉丝
私信
3 楼
带狗脱壳应该可以修复的
调试其加密输入表的过程看看
2007-3-28 18:48
0
HenryShow
雪    币： 209
活跃值： (10)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
4 楼
终于弄好了！！！^_^

失败的原因：
1. 在使用ImportREC找IAT时，需要找2次，分别输入2次的IAT地址。
2. ImportREC使用的时机不对，在之前使用的时候，还有大概5-10个函数没有解出来，所以造成EXE不能运行。
3. 受ImportREC的提示的影响，它说IAT未能完全修复，程序可能不能运行，- -。

===========================================================
另外，虽然Dump出来的文件可以运行了，但心里还是没有底，不知道会不会还有某些代码仍然没有被修复。
所以还是想弄懂壳的基本原理，然后看看是不是能够用程序来进行脱壳。

另外，在Google资料的时候，发现
http://www.cppblog.com/mybios/archive/2006/11/21/15483.html
这个资料比较有用，在脱这个壳的时候，大部分代码的功能好像和这个相同。只不过壳另外加入了加密和Unzip的代码。希望能够看懂Unzip的代码，这样也可以在自己的程序当中使用，^^.

===========================================================
最后感谢kanxue大大和fly大大的回复
2007-3-28 20:29
0
china
雪    币： 3689
活跃值： (4247)
能力值： (RANK：215 )
在线值：
发帖
回帖
粉丝
私信
5 楼
期待来个教程。
2007-3-28 21:00
0
Pan88168
雪    币： 463
活跃值： (116)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
楼主脱的是4。0的壳

2007-3-29 02:12
0
HenryShow
雪    币： 209
活跃值： (10)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
7 楼
回5楼的：
   破解过程我也是有记录下来，不过记录不完整，而且软件还有版权问题，所以只能说Sorry，破解记录还是不发了。
   如果有可能，我会将壳的加密和Unzip代码研究出来之后加入到自己的程序中，给大家参考。

回6楼的：
   这个狗壳是什么版本的我也不清楚，请问你是怎么看出来的？
2007-3-29 08:57
0
nig
雪    币： 413
活跃值： (637)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
8 楼
象你说的，只有彩虹微狗4.0版本的壳才会这样查找调试器，而且还不止这些，还有findprocessfirst ，判断线程ID等。
还有查找狗壳关键点的数据，如果为CC，则返回EAC5这样的数据。
有狗但有调试也会返回错误的。

象这种壳，最好不脱，而是SMC来做，脱了不好跨平台的。
一般加外壳保护，里面还会有读狗部分，却主程序的函数还会受狗
壳的监控的。

-- 原因：壳在运行时通过IsDebuggerPresent, ZwQuerySystemInformation, ZwQueryInformationProcess等函数来判断程序是否被调试，并用CreateFile来检查是否有SoftIce,TRW的存在。
2007-3-29 09:45
0
HenryShow
雪    币： 209
活跃值： (10)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
9 楼
最初由 nig 发布
--43--
象这种壳，最好不脱，而是SMC来做，脱了不好跨平台的。
........


像nig说的，这个壳最开始我也并没有想说要脱，而是想自己拦截它的读写
狗驱动的过程，然后分析数据的算法，再写自己的驱动程序来模拟有狗的
运行环境。这样才是最完美的解法。但狗驱动的算法没怎么看，只是在调试
壳的时候发现在CreateFileA处下断点而不能成功，所以就想把壳给脱了，
然后再调试。结果发现读狗的算法在壳里面，而脱壳出来的程序不需要狗
也能运行。

现在还是继续在研究这个程序，主要方向是：
  1. 壳的Unzip过程。
  2. 狗驱动是如何跟狗通讯的。回给壳的数据又是什么。
2007-3-29 12:23
0
nig
雪    币： 413
活跃值： (637)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
10 楼
参考chinaDragon的监视程序，可以逆向这个，你能得到通讯的方法。

壳的解压是一个固定部分，而且里面有很多的函数都是将函数名称分解
之后再合成，取函数的，用he GetProcAddress可以断下来。是它的弱点。
2007-3-29 14:59
0
向日葵
雪    币： 207
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
如果你将狗驱动与狗通讯研究透了，还有必要去研究壳的解压过程嘛？

只是数据在驱动中的加密和解密算法头大，又是反调试，又是花指令。
2007-3-29 18:50
0
nig
雪    币： 413
活跃值： (637)
能力值： ( LV9，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
12 楼
应该说,这几天彩虹公司的人泡在论坛里确实学到了不少的东西@
以前讨论过的一些内容都成为其封堵的部分.

所以那之后也就少在谈论它了.

如果可以学TORO写一下在驱动中的监视程序,那么一切都会变得轻松而容易!
2007-3-29 19:52
0
cis
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
cis
13 楼
顶一下
2007-4-2 19:58
0
windtrace
雪    币： 4441
活跃值： (805)
能力值： ( LV3，RANK：30 )
在线值：
发帖
回帖
粉丝
私信
14 楼
都是高手啊，拜一下
2007-4-3 15:19
0
Aming
雪    币： 207
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
算法应该是LZSS字典15K
RMH的那个所谓加载任何DLL的代码是我当年给他的，他二话没说就写篇文章发表了，还把我的名字弄了上去。
那个加载器有一定的问题：1、9x下资源没有移位；2、没有重定位表的不能加载；3、没有处理TLS的代码。
2007-4-6 00:25
0
無苛取代
雪    币： 101
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
16 楼
2007-4-7 12:50
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//