首页
社区
课程
招聘
[旧帖] [求助]用PEID查ASPack 2.x (without poly) -> Alexey Solodovnikov脱壳过程 0.00雪花
发表于: 2007-4-4 17:31 11731

[旧帖] [求助]用PEID查ASPack 2.x (without poly) -> Alexey Solodovnikov脱壳过程 0.00雪花

2007-4-4 17:31
11731
此文件用PEID 0.94汉化版查是ASPack 2.x (without poly) -> Alexey Solodovnikov,但是用aspkdie可脱掉一层,而且能正常运行。但查壳依然是ASPack 2.x (without poly) -> Alexey Solodovnikov,我跟踪了很久,发现里面跳转及CALL指令无数,屡屡迷途不返,另我找了个ASPK的加壳软件把一个小程序加了三层壳,手动也脱出来。但是这个不行。请大侠们指教。另附上此文件源程序及我用工具脱掉一层能运行的文件,如果有人能脱掉此壳,请把过程写给俺,万分感激
哭,附件不能上传

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (7)
雪    币: 9
活跃值: (127)
能力值: ( LV12,RANK:200 )
在线值:
发帖
回帖
粉丝
2
软件加了无限壳
2007-4-5 05:24
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
源程序及我用工具脱掉一层能运行程序另外我用加壳工具aspack 2.12给一个小程序加壳,发现手工去壳手的程序能运行,但查壳也是ASPack 2.x (without poly) -> Alexey Solodovnikov,这是用0.94汉化版本查的。用0.92版本能查到是aspack 2.12加的壳,为什么0.94就查不出?还有脱壳过程,我发现他真实的地址并不是PUSH EBP我写下来给大家看请高手指点
加壳前文件PEID查Microsoft Visual C++ v7.1 EXE * 用OD载入如个:
010178B6 > $  6A 70         push    70   \\此处应该是真实地址
010178B8   .  68 18440001   push    01004418
010178BD   .  E8 1E040000   call    01017CE0
010178C2   .  33FF          xor     edi, edi
用aspk 2.21加壳后用OD载入:
01026001 >  60              pushad        //壳入口
01026002    E8 03000000     call    0102600A
01026007  - E9 EB045D45     jmp     465F64F7   //单步跟入,最后来到这里

01026395  ^\E9 EBFEFFFF     jmp     01026285
0102639A    B8 B6780100     mov     eax, 178B6
0102639F    50              push    eax
010263A0    0385 22040000   add     eax, dword ptr [ebp+422]
010263A6    59              pop     ecx
010263A7    0BC9            or      ecx, ecx
010263A9    8985 A8030000   mov     dword ptr [ebp+3A8], eax
010263AF    61              popad         //此处应该是出口了
010263B0    75 08           jnz     short 010263BA
010263B2    B8 01000000     mov     eax, 1
010263B7    C2 0C00         retn    0C
010263BA    68 00000000     push    0
010263BF    C3              retn         //此处返回到真正入口点

010178B6    6A 70           push    70      //此处是真正入口点要在此处DUMP
010178B8    68 18440001     push    01004418
010178BD    E8 1E040000     call    01017CE0
010178C2    33FF            xor     edi, edi
010178C4    57              push    edi
010178C5    FF15 54110001   call    dword ptr [1001154]              ; kernel32.GetModuleHandleA
010178CB    66:8138 4D5A    cmp     word ptr [eax], 5A4D
010178D0    75 1F           jnz     short 010178F1

可是据我这几天看的东西,这里面没有写出OEP,像这样的程序脱掉壳后PEID无法正常识别,但FI好像可以。不知道为什么,我在手工脱的时候,总会跳过上面:0010178B6 这个真正的开始地址,去找那个PUSH EBP,请高手指点一下。
2007-4-5 19:18
0
雪    币: 195
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
谢谢不死神鸟的回答,但是我想知道你说的无限壳是什么意思,我在百度找不到相关文献,还有,如果程序里的壳偷了代码我应该如何对付
2007-4-5 20:37
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
今天把我遇到的不能脱壳的文件发上来给大家看,找了个空间附件可以在这里面下http://wfsnaking.gbaopan.com
;未脱壳前的文件用PEID 0.94汉化版本查是ASPack 2.x (without poly) -> Alexey Solodovnikov这样的壳,我用aspkdie 可脱掉但查壳依然是ASPack 2.x (without poly) -> Alexey Solodovnikov,请高手指点一下,并把脱壳过程重点写一下,让我努力学习学习,万分感谢,另外感谢楼上二位回复的朋友,我也想知道这个无限壳怎么脱。
2007-4-6 04:47
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
郁闷中
2007-4-13 13:06
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
我也碰到一个这样的壳,搞不掉
2007-7-31 17:49
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
下不了,说要正式用户才可以下,不然可以帮你看看
2007-7-31 17:57
0
游客
登录 | 注册 方可回帖
返回
//