一个奇怪的Pecompact壳，高手帮忙看看[求助]-加壳脱壳-看雪-安全社区|安全招聘|kanxue.com

fly

雪币： 898

活跃值： (4049)

能力值：

( LV9，RANK：3410 )

在线值：

发帖

294

回帖

7686

粉丝

34

关注

私信

fly 85: 2 楼

这程序是干啥的怎么运行

2007-5-18 13:20

0

loveboom

雪币： 557

活跃值： (2323)

能力值：

( LV9，RANK：2130 )

在线值：

发帖

100

回帖

690

粉丝

16

关注

私信

loveboom 53: 3 楼

不像是pecompact的壳................

2007-5-18 13:35

0

fly

雪币： 898

活跃值： (4049)

能力值：

( LV9，RANK：3410 )

在线值：

发帖

294

回帖

7686

粉丝

34

关注

私信

fly 85: 4 楼

嗯，不是PECompact

2007-5-18 14:04

0

whg3249

雪币： 210

活跃值： (40)

能力值：

( LV3，RANK：20 )

在线值：

发帖

5

回帖

142

粉丝

0

关注

私信

whg3249: 5 楼

FLY,一率烟雨怎么登陆不了?

2007-5-18 14:07

0

fly

雪币： 898

活跃值： (4049)

能力值：

( LV9，RANK：3410 )

在线值：

发帖

294

回帖

7686

粉丝

34

关注

私信

fly 85: 6 楼

http://bbs.pediy.com/showthread.php?t=44756

2007-5-18 14:10

0

orchid88

雪币： 82

活跃值： (785)

能力值：

( LV2，RANK：10 )

在线值：

发帖

23

回帖

202

粉丝

3

关注

私信

orchid88: 7 楼

这个程序是日本的sds纺织软件里的一个小程序，直接运行会出现对话框“SHIMA HardWare don't Exist”,这是因为没有纺织硬件的原因。
我上载这个小程序的目的是为了搞清楚这是个什么壳,如何避开od调试运行时那个“Don't know how to bypass command at address 00445695.Try to changge EIP or pass exeception to program”。fly和Loveboom能否指点一下。

2007-5-18 14:18

0

skylly

雪币： 304

活跃值： (82)

能力值：

( LV9，RANK：170 )

在线值：

发帖

70

回帖

1087

粉丝

2

关注

私信

skylly 4: 8 楼

不清楚是什么壳，像是种捆绑壳
包含了:
HtdpStub.dll
HtdpDumpy.dll
HtpecIt.dll
HtpecNT.dll
HtpecNT.sys
HtsysuNT.dll
HtsyskNT.dll
Htpec9x.dll

关于这个壳，这里有讨论的
http://www.openrce.org/forums/posts/370

2007-5-18 14:33

0

fly

雪币： 898

活跃值： (4049)

能力值：

( LV9，RANK：3410 )

在线值：

发帖

294

回帖

7686

粉丝

34

关注

私信

fly 85: 9 楼

我这边运行后啥提示都没有就退出

2007-5-18 14:56

0

orchid88

雪币： 82

活跃值： (785)

能力值：

( LV2，RANK：10 )

在线值：

发帖

23

回帖

202

粉丝

3

关注

私信

orchid88: 10 楼

你这个原因应该是没有安装完整软件包的原因。不过应该不影响脱壳。
感谢skylly，我正在看您提供的那个网站。看来这个壳挺复杂的，高手们有兴趣可以研究一下。缺少文件我可以提供。
这个程序100%是Borland C++ 1999编写的，这对找到oep应该有帮助。

2007-5-18 21:22

0

fly

雪币： 898

活跃值： (4049)

能力值：

( LV9，RANK：3410 )

在线值：

发帖

294

回帖

7686

粉丝

34

关注

私信

fly 85: 11 楼

没解码的

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

32

00401000     E4 6B               in al,6B
00401002     CE                  into
00401003     16                  push ss
00401004     3AB5 190AB892       cmp dh,byte ptr ss:[ebp+92B80A19]
0040100A     EC                  in al,dx
0040100B     96                  xchg eax,esi
0040100C     6E                  outs dx,byte ptr es:[edi]
0040100D     8349 AD 87          or dword ptr ds:[ecx-53],FFFFFF87
00401011     83A2 260B031F 48    and dword ptr ds:[edx+1F030B26],48
00401018     0185 30F82467       add dword ptr ss:[ebp+6724F830],eax
0040101E     67:EA 1021393D C427 jmp far 27C4:3D392110
00401026     299D 4886FFFC       sub dword ptr ss:[ebp+FCFF8648],ebx
0040102C     37                  aaa
0040102D     A9 471377D5         test eax,D5771347
00401032     1D CFC13DB6         sbb eax,B63DC1CF
00401037     3A02                cmp al,byte ptr ds:[edx]
00401039     B5 54               mov ch,54
0040103B     92                  xchg eax,edx
0040103C     A3 9F28992D         mov dword ptr ds:[2D99289F],eax
00401041     4B                  dec ebx
00401042     06                  push es
00401043     B7 FE               mov bh,0FE
00401045     FC                  cld
00401046     8E4F E1             mov cs,word ptr ds:[edi-1F]
00401049     FE                  ???
0040104A   - 74 B0               je short 00400FFC
0040104C     F9                  stc
0040104D     843F                test byte ptr ds:[edi],bh
0040104F     AC                  lods byte ptr ds:[esi]
00401050     EF                  out dx,eax
00401051     F8                  clc
00401052     C2 11DE             retn 0DE11