ASProtect V2.0 脱壳――Registry Clean Expert V3.52 UnPacked + 去除自检验-加壳脱壳-看雪-安全社区|安全招聘|kanxue.com

ASProtect V2.0 脱壳――Registry Clean Expert V3.52 UnPacked + 去除自检验

发表于: 2004-9-1 04:44 21031

ASProtect V2.0 脱壳――Registry Clean Expert V3.52 UnPacked + 去除自检验

fly

2004-9-1 04:44

21031

下载页面：  http://www.skycn.com/soft/13222.html
软件大小：  782 KB
软件语言：  英文
软件类别：  国外软件 / 共享版 / 卸载清除
应用平台：  Win9x/NT/2000/XP
加入时间：  2004-08-28 10:18:07
下载次数：  22173
推荐等级：  ***
开发商：  http://www.registry-clean.net/
软件介绍：  系统注册表清理工具，可以扫描注册表，找到并修复/删除那些错误或无用的数据，还可以备份/恢复注册表。

【作者声明】：只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教！

【调试环境】：WinXP、Ollydbg V1.10、PEiD、LordPE、ImportREC

―――――――――――――――――――――――――――――――――
【脱壳过程】：


又发现一个ASProtect V2.0加壳的程序，所以又捏了个保护没做好的软柿子。
这个东东脱壳后有自校验。脱壳时处理了一下Pre-Dip，使其显示注册名。
―――――――――――――――――――――――――――――――――
一、壳代码解压


首先设置Ollydbg忽略所有的异常选项。
老规矩：用IsDebug V1.4插件去掉Ollydbg的调试器标志。

00401000    68 01F04E00       push RegClean.004EF001
//进入OD后暂停在这
00401005    E8 01000000       call RegClean.0040100B
0040100A    C3                retn

下断：HE GetModuleHandleA
Shift+F9，中断2次后，就可以取消断点，Alt+F9返回00A4A4AC。
Ctrl+F9 执行到返回。

00A4A4A6    FF95 EC314400    call dword ptr ss:[ebp+4431EC]
00A4A4AC    85C0             test eax,eax ; kernel32.77E40000
//返回这里
00A4A4AE    75 07             jnz short 00A4A4B7
00A4A4B0    53                push ebx
00A4A4B1    FF95 F0314400    call dword ptr ss:[ebp+4431F0]
00A4A4B7    8985 4D294400    mov dword ptr ss:[ebp+44294D],eax
00A4A4BD    C785 51294400 00000>mov dword ptr ss:[ebp+442951],0
00A4A4C7    8B95 D8304400    mov edx,dword ptr ss:[ebp+4430D8]
00A4A4CD    8B06             mov eax,dword ptr ds:[esi]
00A4A4CF    85C0             test eax,eax
00A4A4D1    75 03             jnz short 00A4A4D6
00A4A4D3    8B46 10          mov eax,dword ptr ds:[esi+10]
00A4A4D6    03C2             add eax,edx
00A4A4D8    0385 51294400    add eax,dword ptr ss:[ebp+442951]
00A4A4DE    8B18             mov ebx,dword ptr ds:[eax]
00A4A4E0    8B7E 10          mov edi,dword ptr ds:[esi+10]
00A4A4E3    03FA             add edi,edx
00A4A4E5    03BD 51294400    add edi,dword ptr ss:[ebp+442951]
00A4A4EB    85DB             test ebx,ebx
00A4A4ED    0F84 A2000000    je 00A4A595
00A4A4F3    F7C3 00000080    test ebx,80000000
00A4A4F9    75 04             jnz short 00A4A4FF
00A4A4FB    03DA             add ebx,edx
00A4A4FD    43                inc ebx
00A4A4FE    43                inc ebx
00A4A4FF    53                push ebx
00A4A500    81E3 FFFFFF7F    and ebx,7FFFFFFF
00A4A506    53                push ebx
00A4A507    FFB5 4D294400    push dword ptr ss:[ebp+44294D]
00A4A50D    FF95 E8314400    call dword ptr ss:[ebp+4431E8]
00A4A513    85C0             test eax,eax
00A4A515    5B                pop ebx
00A4A516    75 6F             jnz short 00A4A587
00A4A518    F7C3 00000080    test ebx,80000000
00A4A51E    75 19             jnz short 00A4A539
00A4A520    57                push edi
00A4A521    8B46 0C          mov eax,dword ptr ds:[esi+C]
00A4A524    0385 D8304400    add eax,dword ptr ss:[ebp+4430D8]
00A4A52A    50                push eax
00A4A52B    53                push ebx
00A4A52C    8D85 53314400    lea eax,dword ptr ss:[ebp+443153]
00A4A532    50                push eax
00A4A533    57                push edi
00A4A534    E9 99000000       jmp 00A4A5D2
00A4A539    81E3 FFFFFF7F    and ebx,7FFFFFFF
00A4A53F    8B85 DC304400    mov eax,dword ptr ss:[ebp+4430DC]
00A4A545    3985 4D294400    cmp dword ptr ss:[ebp+44294D],eax
00A4A54B    75 24             jnz short 00A4A571
00A4A54D    57                push edi
00A4A54E    8BD3             mov edx,ebx
00A4A550    4A                dec edx
00A4A551    C1E2 02          shl edx,2
00A4A554    8B9D 4D294400    mov ebx,dword ptr ss:[ebp+44294D]
00A4A55A    8B7B 3C          mov edi,dword ptr ds:[ebx+3C]
00A4A55D    8B7C3B 78          mov edi,dword ptr ds:[ebx+edi+78]
00A4A561    035C3B 1C          add ebx,dword ptr ds:[ebx+edi+1C]
00A4A565    8B0413             mov eax,dword ptr ds:[ebx+edx]
00A4A568    0385 4D294400    add eax,dword ptr ss:[ebp+44294D]
00A4A56E    5F                pop edi
00A4A56F    EB 16             jmp short 00A4A587
00A4A571    57                push edi
00A4A572    8B46 0C          mov eax,dword ptr ds:[esi+C]
00A4A575    0385 D8304400    add eax,dword ptr ss:[ebp+4430D8]
00A4A57B    50                push eax
00A4A57C    53                push ebx
00A4A57D    8D85 A4314400    lea eax,dword ptr ss:[ebp+4431A4]
00A4A583    50                push eax
00A4A584    57                push edi
00A4A585    EB 4B             jmp short 00A4A5D2
00A4A587    8907             mov dword ptr ds:[edi],eax
00A4A589    8385 51294400 04 add dword ptr ss:[ebp+442951],4
00A4A590    E9 32FFFFFF       jmp 00A4A4C7
00A4A595    8906             mov dword ptr ds:[esi],eax
00A4A597    8946 0C          mov dword ptr ds:[esi+C],eax
00A4A59A    8946 10          mov dword ptr ds:[esi+10],eax
00A4A59D    83C6 14          add esi,14
00A4A5A0    8B95 D8304400    mov edx,dword ptr ss:[ebp+4430D8]
00A4A5A6    E9 EBFEFFFF       jmp 00A4A496
00A4A5AB    8B85 652A4400    mov eax,dword ptr ss:[ebp+442A65]
00A4A5B1    50                push eax
00A4A5B2    0385 D8304400    add eax,dword ptr ss:[ebp+4430D8]
00A4A5B8    5B                pop ebx
00A4A5B9    0BDB             or ebx,ebx
00A4A5BB    8985 112F4400    mov dword ptr ss:[ebp+442F11],eax
00A4A5C1    61                popad
00A4A5C2    75 08             jnz short 00A4A5CC
00A4A5C4    B8 01000000       mov eax,1
00A4A5C9    C2 0C00          retn 0C
00A4A5CC    68 7828A400       push 0A42878
00A4A5D1    C3                retn
//执行到返回至这里


―――――――――――――――――――――――――――――――――
二、避开IAT加密


现在壳代码已经解压完毕了。
Ctrl+S 搜索命令序列：
mov edx,dword ptr ss:[ebp+C]
mov edx,dword ptr ds:[edx]
mov dword ptr ds:[edx],eax

共找到4处，全部下断。

00A358CF    8B55 0C          mov edx,dword ptr ss:[ebp+C]
00A358D2    8B12             mov edx,dword ptr ds:[edx]
00A358D4    8902             mov dword ptr ds:[edx],eax
//①、需要修改

00A3593F    8B55 0C          mov edx,dword ptr ss:[ebp+C]
00A35942    8B12             mov edx,dword ptr ds:[edx]
00A35944    8902             mov dword ptr ds:[edx],eax
//②、不需要修改

00A35953    8B55 0C          mov edx,dword ptr ss:[ebp+C]
00A35956    8B12             mov edx,dword ptr ds:[edx]
00A35958    8902             mov dword ptr ds:[edx],eax
//③、不需要修改

00A35961    8B55 0C          mov edx,dword ptr ss:[ebp+C]
00A35964    8B12             mov edx,dword ptr ds:[edx]
00A35966    8902             mov dword ptr ds:[edx],eax
//④、GetProcAddress函数加密

――――――――――――――――――――――――
1、第一个IAT处理：044858CF
Shift+F9，中断在044858CF处

00A358CA    E8 FDF8FFFF       call 00A351CC
00A358CF    8B55 0C          mov edx,dword ptr ss:[ebp+C]
00A358D2    8B12             mov edx,dword ptr ds:[edx]
00A358D4    8902             mov dword ptr ds:[edx],eax
//修改为：mov dword ptr ds:[edx],ebx ★
//寄存器EBX中保存的就是正确的函数！
00A358D6    E9 90000000       jmp 00A3596B

00A359E7    8B75 FC          mov esi,dword ptr ss:[ebp-4]
00A359EA    AD                lods dword ptr ds:[esi]
00A359EB    09C0             or eax,eax
00A359ED    74 4A             je short 00A35A39
//输入表处理完毕则跳转 ★
00A359EF    89C7             mov edi,eax
00A359F1    037D F8          add edi,dword ptr ss:[ebp-8]
00A359F4    897D F4          mov dword ptr ss:[ebp-C],edi
00A359F7    89F3             mov ebx,esi
00A359F9    31C9             xor ecx,ecx
00A359FB    49                dec ecx
00A359FC    87FE             xchg esi,edi
00A359FE    30C0             xor al,al
00A35A00    F2:AE             repne scas byte ptr es:[edi]
00A35A02    87FE             xchg esi,edi
00A35A04    AC                lods byte ptr ds:[esi]
00A35A05    80F8 00          cmp al,0
00A35A08    74 E0             je short 00A359EA
00A35A0A    80F8 01          cmp al,1
00A35A0D    75 06             jnz short 00A35A15
00A35A0F    8345 F4 04       add dword ptr ss:[ebp-C],4
00A35A13    EB EF             jmp short 00A35A04
00A35A15    53                push ebx
00A35A16    56                push esi
00A35A17    53                push ebx
00A35A18    8D5D F4          lea ebx,dword ptr ss:[ebp-C]
00A35A1B    53                push ebx
00A35A1C    80F8 05          cmp al,5
00A35A1F    74 06             je short 00A35A27
00A35A21    0FB60E             movzx ecx,byte ptr ds:[esi]
00A35A24    41                inc ecx
00A35A25    EB 05             jmp short 00A35A2C
00A35A27    B9 04000000       mov ecx,4
00A35A2C    01CE             add esi,ecx
00A35A2E    FF75 F0          push dword ptr ss:[ebp-10]
00A35A31    E8 FAFDFFFF       call 00A35830
//IAT 处理
00A35A36    5B                pop ebx
00A35A37    EB CB             jmp short 00A35A04
//循环处理输入表
00A35A39    5F                pop edi
//这里下断 ★  输入表处理完毕！
00A35A3A    5E                pop esi
00A35A3B    5B                pop ebx
00A35A3C    5A                pop edx
00A35A3D    59                pop ecx
00A35A3E    8BC3             mov eax,ebx
00A35A40    5B                pop ebx
00A35A41    8BE5             mov esp,ebp
00A35A43    5D                pop ebp
00A35A44    C3                retn

――――――――――――――――――――――――
2、第四个IAT处理：04485961处

00A3595C    B8 B846A300       mov eax,0A346B8
00A35961    8B55 0C          mov edx,dword ptr ss:[ebp+C]
00A35964    8B12             mov edx,dword ptr ds:[edx]
00A35966    8902             mov dword ptr ds:[edx],eax
00A35968    EB 01             jmp short 00A3596B

当我们中断在00A35966处时，EAX=00A346B8
Ctrl+G:00A346B8

00A346B8    55                push ebp
00A346B9    8BEC             mov ebp,esp
00A346BB    8B55 0C          mov edx,dword ptr ss:[ebp+C]
00A346BE    8B45 08          mov eax,dword ptr ss:[ebp+8]
00A346C1    3B05 F833A400    cmp eax,dword ptr ds:[A433F8]
00A346C7    75 09             jnz short 00A346D2
00A346C9    8B0495 F833A400    mov eax,dword ptr ds:[edx*4+A433F8]
00A346D0    EB 07             jmp short 00A346D9
00A346D2    52                push edx
00A346D3    50                push eax
00A346D4    E8 2710FFFF       call 00A25700; jmp to kernel32.GetProcAddress
00A346D9    5D                pop ebp
00A346DA    C2 0800          retn 8

所以这个函数是GetProcAddress，把EAX的值修改为GetProcAddress的地址，WinXP下这个地址是77E5A5FD


―――――――――――――――――――――――――――――――――
三、、Pre-Dip：用你自己的名字注册


输入表处理结束后中断在00A35A39处，现在我们来处理Pre-Dip完成注册。
取消以前的所有断点，现在设置Ollydbg忽略除了“内存访问异常”之外的所有其它异常选项。

Shift+F9运行，注意看堆栈，当第2次在堆栈中看见“8wh3JAAQjOI=”硬盘指纹时，可以处理了。

0012FF1C 0012FF2C  指针到下一个 SEH 记录
0012FF20 00A414EE  SE 句柄
0012FF24 0012FF18
0012FF28 00A551B4  ASCII "8wh3JAAQjOI="//硬盘指纹


00A41615    C700 3FA00038    mov dword ptr ds:[eax],3800A03F
//第2次看见硬盘指纹时的异常处  ★
00A4161B    0D 6EFD44BA       or eax,BA44FD6E
00A41620    B4 43             mov ah,43
00A41622    5D                pop ebp
00A41623    1B67 64          sbb esp,dword ptr ds:[edi+64]
00A41626    8F06             pop dword ptr ds:[esi]
00A41628    0000             add byte ptr ds:[eax],al
00A4162A    83C4 04          add esp,4
00A4162D    EB 02             jmp short 00A41631

Alt+M打开内存查看窗口，在00401000的第2个区段上设置内存访问断点。
Shift+F9 通过异常，断在00418E50处

00418E50    8B4424 04          mov eax,dword ptr ss:[esp+4]
00418E54    A3 A8604900       mov dword ptr ds:[4960A8],eax
//EAX=00A239BD       保存注册名的地方 ★
00418E59    C2 0400          retn 4

在程序中找块空地，如00475B00处，写下你的名字，如：fly [CUG]
然后修改EAX=00475B00。
OK，处理完毕。


―――――――――――――――――――――――――――――――――
四、Second段内存断点大法，直达OEP


我们Second段的内存断点当然还是有效的。再次设置Ollydbg忽略所有的异常选项。
Shift+F9 运行，中断几次后就直接来到OEP了！

0043EFE8    55                push ebp
//在这儿用LordPE纠正ImageSize后完全DUMP这个进程
0043EFE9    8BEC             mov ebp,esp
0043EFEB    6A FF             push -1
0043EFED    68 70F44700       push RegClean.0047F470
0043EFF2    68 D0444400       push RegClean.004444D0
0043EFF7    64:A1 00000000    mov eax,dword ptr fs:[0]
0043EFFD    50                push eax
0043EFFE    64:8925 00000000 mov dword ptr fs:[0],esp
0043F005    83EC 58          sub esp,58
0043F008    53                push ebx
0043F009    56                push esi
0043F00A    57                push edi
0043F00B    8965 E8          mov dword ptr ss:[ebp-18],esp
0043F00E    FF15 E8634700    call dword ptr ds:[4763E8] ; kernel32.GetVersion


运行ImportREC，选择这个进程。
修改OEP＝0003EFE8、RVA=00076000、Size=0000083C，获取输入表，所有的函数都是有效的。
FixDump，正常运行，脱壳成功！
启动时要求注册的NAG不见了， License To You


―――――――――――――――――――――――――――――――――
五、去除自检验失败后自动重启机子的暗桩


脱壳后运行一段时间居然让我的电脑自动重启了。
呵呵，作者还是比较善良的，只是检验失败后重启电脑，没有进行其他破坏行动。
并且检验的手段也是很善良的，只是检验大小。
可以BP ExitWindowsEx,拦截关机函数。
也可以运行1分钟后BP CreateFileA，就来到检验的地方了。

004288F3    FF15 4C624700    call dword ptr ds:[<&kernel32.CreateFileA>]
004288F9    8BE8             mov ebp,eax
004288FB    83FD FF          cmp ebp,-1
004288FE    74 79             je short UnPacked.00428979
00428900    8D5424 10          lea edx,dword ptr ss:[esp+10]
00428904    52                push edx
00428905    55                push ebp
00428906    FF15 C4634700    call dword ptr ds:[<&kernel32.GetFileSize>]
//获取文件大小
0042890C    8BD8             mov ebx,eax
0042890E    83FB FF          cmp ebx,-1
00428911    75 13             jnz short UnPacked.00428926

00428926    8B4424 10          mov eax,dword ptr ss:[esp+10]
0042892A    57                push edi
0042892B    3BC6             cmp eax,esi
0042892D    75 04             jnz short UnPacked.00428933
0042892F    8BFB             mov edi,ebx
00428931    EB 14             jmp short UnPacked.00428947

00428947    55                push ebp
00428948    FF15 48624700    call dword ptr ds:[<&kernel32.CloseHandle>]
0042894E    85F6             test esi,esi
00428950    7F 18             jg short UnPacked.0042896A
00428952    7C 08             jl short UnPacked.0042895C
00428954    81FF 90230B00    cmp edi,0B2390
//比较啦
0042895A    77 0E             ja short UnPacked.0042896A
//修改为：JMP 0042896F  ★
0042895C    85F6             test esi,esi
0042895E    7F 0F             jg short UnPacked.0042896F
00428960    7C 08             jl short UnPacked.0042896A
00428962    81FF F09C0900    cmp edi,99CF0
00428968    73 05             jnb short UnPacked.0042896F
0042896A    E8 D103FFFF       call UnPacked.00418D40
//这里面SeShutdownPrivilege然后ExitWindowsEx了  ★
0042896F    8B4C24 10          mov ecx,dword ptr ss:[esp+10]
00428973    E8 F7880200       call UnPacked.0045126F
00428978    5F                pop edi
00428979    5E                pop esi
0042897A    5D                pop ebp
0042897B    5B                pop ebx
0042897C    81C4 0C010000    add esp,10C
00428982    C2 0400          retn 4

OK，现在程序温柔了，不再自做主张帮偶重启了。

―――――――――――――――――――――――――――――――――
六、Bug修正

如果你发现程序执行扫描功能时出错，不要心急，原程序就有这个问题。作者和我们开个玩笑？
索性看看怎么回事。设置Ollydbg忽略除了“内存访问异常”之外的所有其它异常选项。
找到下面的地方。

004220B0    A1 60FB4800       mov eax,dword ptr ds:[48FB60]
004220B5    56                push esi
004220B6    85C0             test eax,eax
004220B8    8BF1             mov esi,ecx
004220BA    74 04             je short UnPacked.004220C0
//修改为：JMP 004220C0  ★
004220BC    33C0             xor eax,eax
004220BE    FE00             inc byte ptr ds:[eax]


0041F400    E8 1B010000       call UnPacked.0041F520
0041F405    85C0             test eax,eax
0041F407    74 04             je short UnPacked.0041F40D
//修改为：JMP 0041F40D  ★
0041F409    33C0             xor eax,eax
0041F40B    FE00             inc byte ptr ds:[eax]

OK，现在可以正常执行扫描功能了。只是我不用这个东东。

―――――――――――――――――――――――――――――――――

      ,    _/
      /| _.-~/          \_    ,       青春都一晌
   ( /~ /             \~-._ |\
   `\\  _/             \ ~\ )       忍把浮名
_-~~~-.)  )__/;;,.       \_  //'
  /'_,\ --~ \ ~~~-  ,;;\___(  (.-~~~-.       换了破解轻狂
`~ _( ,_..--\ (    ,;'' / ~-- /._`\
  /~~//' /' `~\       ) /--.._, )_  `~
  "  `~"  "    `"    /~'`\ `\\~~\
                     "    " "~'  ""

   UnPacked By 巢水工作坊――fly [FCG][NUKE][DCM][BCG][CUG]
               2004-09-01 04:00

登录后可查看完整内容

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)

收藏・8

免费・7

支持

最新回复 (58) 1 2 3 ▶
fly 雪币： 898 活跃值： (4039) 能力值： ( LV9，RANK：3410 ) 在线值：发帖 294 回帖 7686 粉丝 32 关注私信	fly 85 2 楼 2004-9-1 04:46 0
nbw 雪币： 339 活跃值： (1510) 能力值： ( LV13，RANK：970 ) 在线值：发帖 141 回帖 2842 粉丝 23 关注私信	nbw 24 3 楼沙发 2004-9-1 06:11 0
vofcrlfopt 雪币： 198 活跃值： (721) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 22 粉丝 0 关注私信	vofcrlfopt 4 楼终于看到高版本的ASProtect脱壳文章了~!~ 谢谢FLY! 2004-9-1 06:18 0
wangshy 雪币： 446 活跃值： (758) 能力值： ( LV7，RANK：100 ) 在线值：发帖 39 回帖 614 粉丝 1 关注私信	wangshy 2 5 楼有Fly在不怕脱不掉~!:D :D 2004-9-1 08:17 0
xuanwu 雪币： 232 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 29 粉丝 0 关注私信	xuanwu 6 楼太过于深奥了，不适合我这个初学者~~~~~~~~ 2004-9-1 09:28 0
小虾雪币： 2384 活跃值： (766) 能力值： (RANK：410 ) 在线值：发帖 36 回帖 2248 粉丝 7 关注私信	小虾 10 7 楼呵呵￣￣！一上来就看到Fly前辈的好文。 2004-9-1 09:59 0
temerata 雪币： 223 活跃值： (106) 能力值： ( LV4，RANK：50 ) 在线值：发帖 4 回帖 195 粉丝 2 关注私信	temerata 1 8 楼 :D 高兴呀！上来看到好文！ 2004-9-1 10:22 0
Sen 雪币： 221 活跃值： (55) 能力值： ( LV4，RANK：50 ) 在线值：发帖 16 回帖 275 粉丝 0 关注私信	Sen 1 9 楼呵呵，fly再发发aspr 1.31的帖子吧，期待中... 2004-9-1 12:31 0
clide2000 雪币： 301 活跃值： (300) 能力值： ( LV9，RANK：290 ) 在线值：发帖 56 回帖 1209 粉丝 2 关注私信	clide2000 7 10 楼 fly的脱文还真快呀,上次的当下来还没搞呢,又有新的文章出现!辛苦了.支持 2004-9-1 12:37 0
cyclotron 雪币： 392 活跃值： (909) 能力值： ( LV9，RANK：690 ) 在线值：发帖 43 回帖 800 粉丝 9 关注私信	cyclotron 17 11 楼真快！感谢！浩劫！ 2004-9-1 13:03 0
daxia200N 雪币： 690 活跃值： (1841) 能力值： ( LV9，RANK：250 ) 在线值：发帖 40 回帖 578 粉丝 5 关注私信	daxia200N 6 12 楼又见脱神发威，佩服。 2004-9-1 14:47 0
qiweixue 雪币： 258 活跃值： (230) 能力值： ( LV12，RANK：770 ) 在线值：发帖 47 回帖 1136 粉丝 3 关注私信	qiweixue 19 13 楼 fly哥，你好神气啊・:p 最可爱的fly哥 2004-9-1 15:31 0
shell800 雪币： 316 活跃值： (336) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 53 粉丝 0 关注私信	shell800 14 楼 ok成功走了一遍谢谢fly 2004-9-1 21:47 0
采臣·宁雪币： 161 活跃值： (231) 能力值： ( LV4，RANK：50 ) 在线值：发帖 33 回帖 1343 粉丝 6 关注私信	采臣·宁 1 15 楼厉害呀厉害，向高手学习 2004-9-1 22:48 0
鸡蛋壳雪币： 427 活跃值： (412) 能力值： ( LV2，RANK：10 ) 在线值：发帖 456 回帖 3147 粉丝 9 关注私信	鸡蛋壳 16 楼 ASPr 1.31 主程序脱壳文章我已经看了，需要写脚本修复IAT，否则难度大。 2004-9-2 18:32 0
Sen 雪币： 221 活跃值： (55) 能力值： ( LV4，RANK：50 ) 在线值：发帖 16 回帖 275 粉丝 0 关注私信	Sen 1 17 楼蛋壳兄有时间也写写脱文哦 2004-9-2 20:54 0
loveboom 雪币： 557 活跃值： (2303) 能力值： ( LV9，RANK：2130 ) 在线值：发帖 100 回帖 690 粉丝 16 关注私信	loveboom 53 18 楼最初由鸡蛋壳发布 ASPr 1.31 主程序脱壳文章我已经看了，需要写脚本修复IAT，否则难度大。有的人雷声大，雨点小哦:D 如果有什么好文不防共享一下谢谢!:p 2004-9-3 01:39 0
linhanshi 雪币： 98745 活跃值： (201039) 能力值： (RANK：10 ) 在线值：发帖 9256 回帖 27966 粉丝 460 关注私信	linhanshi 19 楼最初由 loveboom 发布有的人雷声大，雨点小哦:D 如果有什么好文不防共享一下谢谢!:p 同感! 2004-9-3 01:45 0
stephenteh 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 143 粉丝 1 关注私信	stephenteh 20 楼最初由鸡蛋壳发布 ASPr 1.31 主程序脱壳文章我已经看了，需要写脚本修复IAT，否则难度大。 .....u read b4 but i have successfully unpacked asprotect version 1.31 build 6.14....:) y dun u write or post the tutorial u read.... 2004-9-3 03:33 0
flyfox 雪币： 205 活跃值： (12) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 56 粉丝 1 关注私信	flyfox 21 楼最初由 loveboom 发布有的人雷声大，雨点小哦:D 如果有什么好文不防共享一下谢谢!:p 鸡蛋壳要是有好东西不要藏着嘛。 2004-9-6 21:57 0
1806 雪币： 202 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 118 粉丝 0 关注私信	1806 22 楼哪儿有IsDebug V1.4插件 2004-10-17 19:32 0
330205 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 19 粉丝 0 关注私信	330205 23 楼高 2004-10-17 20:32 0
fly 雪币： 898 活跃值： (4039) 能力值： ( LV9，RANK：3410 ) 在线值：发帖 294 回帖 7686 粉丝 32 关注私信	fly 85 24 楼最初由 1806 发布哪儿有IsDebug V1.4插件 OllyDbg插件 http://www.pediy.com/tools/Debuggers/ollydbg/plugin.htm 2004-10-17 20:34 0
不古龙雪币： 229 活跃值： (17) 能力值： ( LV2，RANK：10 ) 在线值：发帖 23 回帖 161 粉丝 1 关注私信	不古龙 25 楼坛子里我最佩服的人呀，嘿嘿，太牛了，有QQ否（如果不方便告之，请一定加我呀）？我的QQ：5546637，向你请教呀 2004-10-17 20:50 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

fly

294

发帖

7686

回帖

3410

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (58) 1 2 3 ▶
fly 雪币： 898 活跃值： (4039) 能力值： ( LV9，RANK：3410 ) 在线值：发帖 294 回帖 7686 粉丝 32 关注私信	fly 85 2 楼 2004-9-1 04:46 0
nbw 雪币： 339 活跃值： (1510) 能力值： ( LV13，RANK：970 ) 在线值：发帖 141 回帖 2842 粉丝 23 关注私信	nbw 24 3 楼沙发 2004-9-1 06:11 0
vofcrlfopt 雪币： 198 活跃值： (721) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 22 粉丝 0 关注私信	vofcrlfopt 4 楼终于看到高版本的ASProtect脱壳文章了~!~ 谢谢FLY! 2004-9-1 06:18 0
wangshy 雪币： 446 活跃值： (758) 能力值： ( LV7，RANK：100 ) 在线值：发帖 39 回帖 614 粉丝 1 关注私信	wangshy 2 5 楼有Fly在不怕脱不掉~!:D :D 2004-9-1 08:17 0
xuanwu 雪币： 232 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 13 回帖 29 粉丝 0 关注私信	xuanwu 6 楼太过于深奥了，不适合我这个初学者~~~~~~~~ 2004-9-1 09:28 0
小虾雪币： 2384 活跃值： (766) 能力值： (RANK：410 ) 在线值：发帖 36 回帖 2248 粉丝 7 关注私信	小虾 10 7 楼呵呵￣￣！一上来就看到Fly前辈的好文。 2004-9-1 09:59 0
temerata 雪币： 223 活跃值： (106) 能力值： ( LV4，RANK：50 ) 在线值：发帖 4 回帖 195 粉丝 2 关注私信	temerata 1 8 楼 :D 高兴呀！上来看到好文！ 2004-9-1 10:22 0
Sen 雪币： 221 活跃值： (55) 能力值： ( LV4，RANK：50 ) 在线值：发帖 16 回帖 275 粉丝 0 关注私信	Sen 1 9 楼呵呵，fly再发发aspr 1.31的帖子吧，期待中... 2004-9-1 12:31 0
clide2000 雪币： 301 活跃值： (300) 能力值： ( LV9，RANK：290 ) 在线值：发帖 56 回帖 1209 粉丝 2 关注私信	clide2000 7 10 楼 fly的脱文还真快呀,上次的当下来还没搞呢,又有新的文章出现!辛苦了.支持 2004-9-1 12:37 0
cyclotron 雪币： 392 活跃值： (909) 能力值： ( LV9，RANK：690 ) 在线值：发帖 43 回帖 800 粉丝 9 关注私信	cyclotron 17 11 楼真快！感谢！浩劫！ 2004-9-1 13:03 0
daxia200N 雪币： 690 活跃值： (1841) 能力值： ( LV9，RANK：250 ) 在线值：发帖 40 回帖 578 粉丝 5 关注私信	daxia200N 6 12 楼又见脱神发威，佩服。 2004-9-1 14:47 0
qiweixue 雪币： 258 活跃值： (230) 能力值： ( LV12，RANK：770 ) 在线值：发帖 47 回帖 1136 粉丝 3 关注私信	qiweixue 19 13 楼 fly哥，你好神气啊・:p 最可爱的fly哥 2004-9-1 15:31 0
shell800 雪币： 316 活跃值： (336) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 53 粉丝 0 关注私信	shell800 14 楼 ok成功走了一遍谢谢fly 2004-9-1 21:47 0
采臣·宁雪币： 161 活跃值： (231) 能力值： ( LV4，RANK：50 ) 在线值：发帖 33 回帖 1343 粉丝 6 关注私信	采臣·宁 1 15 楼厉害呀厉害，向高手学习 2004-9-1 22:48 0
鸡蛋壳雪币： 427 活跃值： (412) 能力值： ( LV2，RANK：10 ) 在线值：发帖 456 回帖 3147 粉丝 9 关注私信	鸡蛋壳 16 楼 ASPr 1.31 主程序脱壳文章我已经看了，需要写脚本修复IAT，否则难度大。 2004-9-2 18:32 0
Sen 雪币： 221 活跃值： (55) 能力值： ( LV4，RANK：50 ) 在线值：发帖 16 回帖 275 粉丝 0 关注私信	Sen 1 17 楼蛋壳兄有时间也写写脱文哦 2004-9-2 20:54 0
loveboom 雪币： 557 活跃值： (2303) 能力值： ( LV9，RANK：2130 ) 在线值：发帖 100 回帖 690 粉丝 16 关注私信	loveboom 53 18 楼最初由鸡蛋壳发布 ASPr 1.31 主程序脱壳文章我已经看了，需要写脚本修复IAT，否则难度大。有的人雷声大，雨点小哦:D 如果有什么好文不防共享一下谢谢!:p 2004-9-3 01:39 0
linhanshi 雪币： 98745 活跃值： (201039) 能力值： (RANK：10 ) 在线值：发帖 9256 回帖 27966 粉丝 460 关注私信	linhanshi 19 楼最初由 loveboom 发布有的人雷声大，雨点小哦:D 如果有什么好文不防共享一下谢谢!:p 同感! 2004-9-3 01:45 0
stephenteh 雪币： 200 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 143 粉丝 1 关注私信	stephenteh 20 楼最初由鸡蛋壳发布 ASPr 1.31 主程序脱壳文章我已经看了，需要写脚本修复IAT，否则难度大。 .....u read b4 but i have successfully unpacked asprotect version 1.31 build 6.14....:) y dun u write or post the tutorial u read.... 2004-9-3 03:33 0
flyfox 雪币： 205 活跃值： (12) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 56 粉丝 1 关注私信	flyfox 21 楼最初由 loveboom 发布有的人雷声大，雨点小哦:D 如果有什么好文不防共享一下谢谢!:p 鸡蛋壳要是有好东西不要藏着嘛。 2004-9-6 21:57 0
1806 雪币： 202 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 10 回帖 118 粉丝 0 关注私信	1806 22 楼哪儿有IsDebug V1.4插件 2004-10-17 19:32 0
330205 雪币： 201 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 19 粉丝 0 关注私信	330205 23 楼高 2004-10-17 20:32 0
fly 雪币： 898 活跃值： (4039) 能力值： ( LV9，RANK：3410 ) 在线值：发帖 294 回帖 7686 粉丝 32 关注私信	fly 85 24 楼最初由 1806 发布哪儿有IsDebug V1.4插件 OllyDbg插件 http://www.pediy.com/tools/Debuggers/ollydbg/plugin.htm 2004-10-17 20:34 0
不古龙雪币： 229 活跃值： (17) 能力值： ( LV2，RANK：10 ) 在线值：发帖 23 回帖 161 粉丝 1 关注私信	不古龙 25 楼坛子里我最佩服的人呀，嘿嘿，太牛了，有QQ否（如果不方便告之，请一定加我呀）？我的QQ：5546637，向你请教呀 2004-10-17 20:50 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复