首页
社区
课程
招聘
[求助] 关于彩虹狗壳的压缩算法和IAT修复
发表于: 2007-3-28 15:50 8307

[求助] 关于彩虹狗壳的压缩算法和IAT修复

2007-3-28 15:50
8307
最近拿到一款雕刻软件,需要配套彩虹加密狗使用。
在调试过程当中遇到如下问题:
1. 软件不在调试状态下,有狗则可以正常运行程序。但在调试状态下,仍然显示没有找到狗。
   -- 原因:壳在运行时通过IsDebuggerPresent, ZwQuerySystemInformation, ZwQueryInformationProcess等函数来判断程序是否被调试,并用CreateFile来检查是否有SoftIce,TRW的存在。
   -- 解决:我下载的OllyDbg已经对IsDebuggerPresent免疫,但对ZwQueryInformationProcess仍然返回调试状态,现临时在ZwQueryInformationProcess上下断点,并在返回时修改返回值来达到调试目的。本来想在壳中加入自己的代码来修改壳的代码,但修改后程序运行出错,原因暂不清楚。

2. 通过对壳代码的分析,发现壳自己做了重定位和建立IAT。但此壳在内存的45D000和52C1CC处有2张IAT表,使用ImportRec无法修复,因此脱壳失败.
   请问各位大大有什么好的办法?

3. 壳在运行时会动态解码原始Exe文件的代码和壳的部分代码到内存当中执行。
而且此壳同时具备加密和压缩功能。压缩功能的反汇编代码如下:
   请各位大大帮忙看下这个是什么压缩算法,能给出压缩原理更好.
   (因刚注册,无法上传附件,所以只能贴出代码了,^_^)
__declspec( naked ) void UnzipCode()
{
        __asm {
                 push    ebp
                 mov     ebp, esp
                 sub     esp, 14h
                 push    ebx
                 push    esi
                 push    edi
                 mov     eax, [ebp+0Ch]
                 add     eax, [ebp+8]
                 mov     [ebp-14h], eax
                 mov     eax, [ebp+10h]
                 mov     [ebp-10h], eax
                 mov     eax, [ebp+8]
                 mov     [ebp-8], eax
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 cmp     ecx, 11h
                 jle     short loc_53A645
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 sub     ecx, 11h
                 mov     [ebp-4], ecx
                 inc     dword ptr [ebp-8]
                 cmp     dword ptr [ebp-4], 4
                 jnb     short loc_53A627
                 jmp     loc_53A99E
; ---------------------------------------------------------------------------

loc_53A627:                             ; CODE XREF: RCC1:0053A620.j
                                         ; RCC1:0053A63E.j
                 mov     eax, [ebp-8]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-8]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A627
                 jmp     loc_53A701
; ---------------------------------------------------------------------------

loc_53A645:                             ; CODE XREF: RCC1:0053A60A.j
                                         ; RCC1:0053A9C9.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 mov     [ebp-4], ecx
                 inc     dword ptr [ebp-8]
                 cmp     dword ptr [ebp-4], 10h
                 jb      short loc_53A65D
                 jmp     loc_53A77C
; ---------------------------------------------------------------------------

loc_53A65D:                             ; CODE XREF: RCC1:0053A656.j
                 cmp     dword ptr [ebp-4], 0
                 jnz     short loc_53A68A

loc_53A663:                             ; CODE XREF: RCC1:0053A678.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 test    ecx, ecx
                 jnz     short loc_53A67A
                 add     dword ptr [ebp-4], 0FFh
                 inc     dword ptr [ebp-8]
                 jmp     short loc_53A663
; ---------------------------------------------------------------------------

loc_53A67A:                             ; CODE XREF: RCC1:0053A66C.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 add     ecx, 0Fh
                 add     [ebp-4], ecx
                 inc     dword ptr [ebp-8]

loc_53A68A:                             ; CODE XREF: RCC1:0053A661.j
                 mov     eax, [ebp-8]
                 mov     eax, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], eax
                 add     dword ptr [ebp-10h], 4
                 add     dword ptr [ebp-8], 4
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 jbe     short loc_53A701
                 cmp     dword ptr [ebp-4], 4
                 jb      short loc_53A6E8

loc_53A6AB:                             ; CODE XREF: RCC1:0053A6C5.j
                 mov     eax, [ebp-8]    ;
                 mov     eax, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], eax
                 add     dword ptr [ebp-10h], 4
                 add     dword ptr [ebp-8], 4
                 sub     dword ptr [ebp-4], 4
                 cmp     dword ptr [ebp-4], 4
                 jnb     short loc_53A6AB ;
                 cmp     dword ptr [ebp-4], 0
                 jbe     short loc_53A6E6

loc_53A6CD:                             ; CODE XREF: RCC1:0053A6E4.j
                 mov     eax, [ebp-8]    ;
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-8]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A6CD ;  
loc_53A6E6:                             ; CODE XREF: RCC1:0053A6CB.j
                 jmp     short loc_53A701
; ---------------------------------------------------------------------------

loc_53A6E8:                             ; CODE XREF: RCC1:0053A6A9.j
                                         ; RCC1:0053A6FF.j
                 mov     eax, [ebp-8]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-8]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A6E8

loc_53A701:                             ; CODE XREF: RCC1:0053A640.j
                                         ; RCC1:0053A6A3.j ...
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 mov     [ebp-4], ecx
                 inc     dword ptr [ebp-8]
                 cmp     dword ptr [ebp-4], 10h
                 jb      short loc_53A716
                 jmp     short loc_53A77C
; ---------------------------------------------------------------------------

loc_53A716:                             ; CODE XREF: RCC1:0053A712.j
                 mov     eax, [ebp-10h]
                 sub     eax, 801h
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-4]
                 shr     ecx, 2
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dl, [ecx]
                 lea     ecx, ds:0[edx*4]
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 inc     dword ptr [ebp-8]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-10h]
                 jmp     loc_53A988
; ---------------------------------------------------------------------------

loc_53A77C:                             ; CODE XREF: RCC1:0053A658.j
                                         ; RCC1:0053A714.j ...
                 cmp     dword ptr [ebp-4], 40h
                 jb      short loc_53A7C9
                 mov     eax, [ebp-10h]
                 dec     eax
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-4]
                 shr     ecx, 2
                 and     ecx, 7
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dl, [ecx]
                 lea     ecx, ds:0[edx*8]
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 inc     dword ptr [ebp-8]
                 mov     eax, [ebp-4]
                 shr     eax, 5
                 dec     eax
                 mov     [ebp-4], eax
                 jmp     loc_53A94F
; ---------------------------------------------------------------------------
                 jmp     loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A7C9:                             ; CODE XREF: RCC1:0053A780.j
                 cmp     dword ptr [ebp-4], 20h
                 jb      short loc_53A820
                 and     dword ptr [ebp-4], 1Fh
                 jnz     short loc_53A7FC

loc_53A7D5:                             ; CODE XREF: RCC1:0053A7EA.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 test    ecx, ecx
                 jnz     short loc_53A7EC
                 add     dword ptr [ebp-4], 0FFh
                 inc     dword ptr [ebp-8]
                 jmp     short loc_53A7D5
; ---------------------------------------------------------------------------

loc_53A7EC:                             ; CODE XREF: RCC1:0053A7DE.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 add     ecx, 1Fh
                 add     [ebp-4], ecx
                 inc     dword ptr [ebp-8]

loc_53A7FC:                             ; CODE XREF: RCC1:0053A7D3.j
                 mov     eax, [ebp-10h]
                 dec     eax
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dx, [ecx]
                 sar     edx, 2
                 sub     eax, edx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 add     dword ptr [ebp-8], 2
                 jmp     loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A820:                             ; CODE XREF: RCC1:0053A7CD.j
                 cmp     dword ptr [ebp-4], 10h
                 jb      short loc_53A899
                 mov     eax, [ebp-10h]
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-4]
                 and     ecx, 8
                 shl     ecx, 0Bh
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 and     dword ptr [ebp-4], 7
                 jnz     short loc_53A86B

loc_53A844:                             ; CODE XREF: RCC1:0053A859.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 test    ecx, ecx
                 jnz     short loc_53A85B
                 add     dword ptr [ebp-4], 0FFh
                 inc     dword ptr [ebp-8]
                 jmp     short loc_53A844
; ---------------------------------------------------------------------------

loc_53A85B:                             ; CODE XREF: RCC1:0053A84D.j
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 add     ecx, 7
                 add     [ebp-4], ecx
                 inc     dword ptr [ebp-8]

loc_53A86B:                             ; CODE XREF: RCC1:0053A842.j
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dx, [ecx]
                 sar     edx, 2
                 sub     eax, edx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 add     dword ptr [ebp-8], 2
                 mov     eax, [ebp-10h]
                 cmp     [ebp-0Ch], eax
                 jnz     short loc_53A890
                 jmp     loc_53A9CE
; ---------------------------------------------------------------------------

loc_53A890:                             ; CODE XREF: RCC1:0053A889.j
                 sub     dword ptr [ebp-0Ch], 4000h
                 jmp     short loc_53A8EB
; ---------------------------------------------------------------------------

loc_53A899:                             ; CODE XREF: RCC1:0053A824.j
                 mov     eax, [ebp-10h]
                 dec     eax
                 mov     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-4]
                 shr     ecx, 2
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 xor     eax, eax
                 mov     ecx, [ebp-8]
                 xor     edx, edx
                 mov     dl, [ecx]
                 lea     ecx, ds:0[edx*4]
                 sub     eax, ecx
                 neg     eax
                 sub     [ebp-0Ch], eax
                 inc     dword ptr [ebp-8]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-10h]
                 jmp     loc_53A988
; ---------------------------------------------------------------------------

loc_53A8EB:                             ; CODE XREF: RCC1:0053A7C4.j
                                         ; RCC1:0053A81B.j ...
                 cmp     dword ptr [ebp-4], 6
                 jb      short loc_53A94F
                 mov     eax, [ebp-10h]
                 sub     eax, [ebp-0Ch]
                 cmp     eax, 4
                 jl      short loc_53A94F
                 mov     eax, [ebp-0Ch]
                 mov     eax, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], eax
                 add     dword ptr [ebp-10h], 4
                 add     dword ptr [ebp-0Ch], 4
                 sub     dword ptr [ebp-4], 2

loc_53A912:                             ; CODE XREF: RCC1:0053A92C.j
                 mov     eax, [ebp-0Ch]
                 mov     eax, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], eax
                 add     dword ptr [ebp-10h], 4
                 add     dword ptr [ebp-0Ch], 4
                 sub     dword ptr [ebp-4], 4
                 cmp     dword ptr [ebp-4], 4
                 jnb     short loc_53A912
                 cmp     dword ptr [ebp-4], 0
                 jbe     short loc_53A94D

loc_53A934:                             ; CODE XREF: RCC1:0053A94B.j
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A934

loc_53A94D:                             ; CODE XREF: RCC1:0053A932.j
                 jmp     short loc_53A988
; ---------------------------------------------------------------------------

loc_53A94F:                             ; CODE XREF: RCC1:0053A7BF.j
                                         ; RCC1:0053A8EF.j ...
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]

loc_53A96F:                             ; CODE XREF: RCC1:0053A986.j
                 mov     eax, [ebp-0Ch]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-0Ch]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A96F

loc_53A988:                             ; CODE XREF: RCC1:0053A777.j
                                         ; RCC1:0053A8E6.j ...
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax-2]
                 and     ecx, 3
                 mov     [ebp-4], ecx
                 cmp     dword ptr [ebp-4], 0
                 jnz     short loc_53A99E
                 jmp     short loc_53A9C9
; ---------------------------------------------------------------------------

loc_53A99E:                             ; CODE XREF: RCC1:0053A622.j
                                         ; RCC1:0053A99A.j ...
                 mov     eax, [ebp-8]
                 mov     al, [eax]
                 mov     ecx, [ebp-10h]
                 mov     [ecx], al
                 inc     dword ptr [ebp-8]
                 inc     dword ptr [ebp-10h]
                 dec     dword ptr [ebp-4]
                 cmp     dword ptr [ebp-4], 0
                 ja      short loc_53A99E
                 mov     eax, [ebp-8]
                 xor     ecx, ecx
                 mov     cl, [eax]
                 mov     [ebp-4], ecx
                 inc     dword ptr [ebp-8]
                 jmp     loc_53A77C
; ---------------------------------------------------------------------------

loc_53A9C9:                             ; CODE XREF: RCC1:0053A99C.j
                 jmp     loc_53A645
; ---------------------------------------------------------------------------

loc_53A9CE:                             ; CODE XREF: RCC1:0053A88B.j
                 mov     eax, [ebp-8]
                 cmp     [ebp-14h], eax
                 jz      short loc_53A9DD
                 mov     eax, 0FFFFFFFFh
                 jmp     short loc_53A9E5
; ---------------------------------------------------------------------------

loc_53A9DD:                             ; CODE XREF: RCC1:0053A9D4.j
                 mov     eax, [ebp-10h]
                 sub     eax, [ebp+10h]
                 jmp     short $+2

loc_53A9E5:                             ; CODE XREF: RCC1:0053A9DB.j
                 pop     edi
                 pop     esi
                 pop     ebx
                 leave
                 retn    0Ch
        }

}

最后感谢各位大大看完此文章,谢谢。

[==== 2007.3.28 16:56 增加 ====]
关于Unzip汇编代码,以及压缩前/解压后的数据,都在下面这个包里面。http://www.live-share.com/files/188560/Crack.rar.html

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (15)
雪    币: 47147
活跃值: (20460)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
2
1.这个你尝试用HideOD插件隐藏一下OD,看看有效果否。
不能上传附件,你用临时空间上传:http://www.live-share.com/
2007-3-28 16:43
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
3
带狗脱壳应该可以修复的
调试其加密输入表的过程看看
2007-3-28 18:48
0
雪    币: 209
活跃值: (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
4
终于弄好了!!!^_^

失败的原因:
1. 在使用ImportREC找IAT时,需要找2次,分别输入2次的IAT地址。
2. ImportREC使用的时机不对,在之前使用的时候,还有大概5-10个函数没有解出来,所以造成EXE不能运行。
3. 受ImportREC的提示的影响,它说IAT未能完全修复,程序可能不能运行,- -。

===========================================================
另外,虽然Dump出来的文件可以运行了,但心里还是没有底,不知道会不会还有某些代码仍然没有被修复。
所以还是想弄懂壳的基本原理,然后看看是不是能够用程序来进行脱壳。

另外,在Google资料的时候,发现
http://www.cppblog.com/mybios/archive/2006/11/21/15483.html
这个资料比较有用,在脱这个壳的时候,大部分代码的功能好像和这个相同。只不过壳另外加入了加密和Unzip的代码。希望能够看懂Unzip的代码,这样也可以在自己的程序当中使用,^^.

===========================================================
最后感谢kanxue大大和fly大大的回复
2007-3-28 20:29
0
雪    币: 3689
活跃值: (4247)
能力值: (RANK:215 )
在线值:
发帖
回帖
粉丝
5
期待来个教程。
2007-3-28 21:00
0
雪    币: 463
活跃值: (116)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
楼主脱的是4。0的壳

2007-3-29 02:12
0
雪    币: 209
活跃值: (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
7
回5楼的:
   破解过程我也是有记录下来,不过记录不完整,而且软件还有版权问题,所以只能说Sorry,破解记录还是不发了。
   如果有可能,我会将壳的加密和Unzip代码研究出来之后加入到自己的程序中,给大家参考。

回6楼的:
   这个狗壳是什么版本的我也不清楚,请问你是怎么看出来的?
2007-3-29 08:57
0
雪    币: 413
活跃值: (637)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
8
象你说的,只有彩虹微狗4.0版本的壳才会这样查找调试器,而且还不止这些,还有findprocessfirst ,判断线程ID等。
还有查找狗壳关键点的数据,如果为CC,则返回EAC5这样的数据。
有狗但有调试也会返回错误的。

象这种壳,最好不脱,而是SMC来做,脱了不好跨平台的。
一般加外壳保护,里面还会有读狗部分,却主程序的函数还会受狗
壳的监控的。

-- 原因:壳在运行时通过IsDebuggerPresent, ZwQuerySystemInformation, ZwQueryInformationProcess等函数来判断程序是否被调试,并用CreateFile来检查是否有SoftIce,TRW的存在。
2007-3-29 09:45
0
雪    币: 209
活跃值: (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
9
最初由 nig 发布
--43--
象这种壳,最好不脱,而是SMC来做,脱了不好跨平台的。
........


像nig说的,这个壳最开始我也并没有想说要脱,而是想自己拦截它的读写
狗驱动的过程,然后分析数据的算法,再写自己的驱动程序来模拟有狗的
运行环境。这样才是最完美的解法。但狗驱动的算法没怎么看,只是在调试
壳的时候发现在CreateFileA处下断点而不能成功,所以就想把壳给脱了,
然后再调试。结果发现读狗的算法在壳里面,而脱壳出来的程序不需要狗
也能运行。

现在还是继续在研究这个程序,主要方向是:
  1. 壳的Unzip过程。
  2. 狗驱动是如何跟狗通讯的。回给壳的数据又是什么。
2007-3-29 12:23
0
雪    币: 413
活跃值: (637)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
10
参考chinaDragon的监视程序,可以逆向这个,你能得到通讯的方法。

壳的解压是一个固定部分,而且里面有很多的函数都是将函数名称分解
之后再合成,取函数的,用he GetProcAddress可以断下来。是它的弱点。
2007-3-29 14:59
0
雪    币: 207
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
如果你将狗驱动与狗通讯研究透了,还有必要去研究壳的解压过程嘛?

只是数据在驱动中的加密和解密算法头大,又是反调试,又是花指令。
2007-3-29 18:50
0
雪    币: 413
活跃值: (637)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
12
应该说,这几天彩虹公司的人泡在论坛里确实学到了不少的东西@
以前讨论过的一些内容都成为其封堵的部分.

所以那之后也就少在谈论它了.

如果可以学TORO写一下在驱动中的监视程序,那么一切都会变得轻松而容易!
2007-3-29 19:52
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
cis
13
顶一下
2007-4-2 19:58
0
雪    币: 4441
活跃值: (805)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
14
都是高手啊,拜一下
2007-4-3 15:19
0
雪    币: 207
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
算法应该是LZSS字典15K
RMH的那个所谓加载任何DLL的代码是我当年给他的,他二话没说就写篇文章发表了,还把我的名字弄了上去。
那个加载器有一定的问题:1、9x下资源没有移位;2、没有重定位表的不能加载;3、没有处理TLS的代码。
2007-4-6 00:25
0
雪    币: 101
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
2007-4-7 12:50
0
游客
登录 | 注册 方可回帖
返回
//