能力值:
( LV4,RANK:50 )
2 楼
音乐真好听!
004791B3:: 0F85 00000000 JNZ 004791B9 \:JMPDOWN
004791B9:: 3B83 28030000 CMP EAX,[EBX+328] \:BYJMP
004791BF:: 0F85 00000000 JNZ 004791C5
这两个不跳就爆破了
能力值:
( LV2,RANK:10 )
3 楼
呵呵,是用OD调试的吗?
怎么躲过那个ANTI的?
呵呵,他的算法并不太重要哈,反OD有点小把戏。
具体讲讲吧
能力值:
(RANK:500 )
4 楼
用PE编辑器载入
把RVA数及大小改为10即可
能力值:
( LV9,RANK:410 )
5 楼
有效
可否进一步说明一下为何这样改..
能力值:
( LV4,RANK:50 )
6 楼
对啊,为何啊?
现在好多CreakMe都有Anti_Olly的.缺少这方面的...
能力值:
( LV3,RANK:30 )
7 楼
好像还没有人公布正确的注册码吧,我来,不难的 ,典型的非明码,但计算不难
name : ying
Computer ID : 6867685745
code : 931111
上传的附件:
能力值:
( LV2,RANK:10 )
8 楼
人家想知道你这个怎么能anti-OD……
能力值:
( LV2,RANK:10 )
9 楼
关注,希望有人能详细分析一下!!!!
能力值:
( LV4,RANK:50 )
10 楼
我看到楼上的兄弟都说AntiOD,自己下载下来,用OD载入就出现错误提示,没有分析,也无法分析,不过让我想起来我看到过的一片文章,不知道是不是这个原因,大家可以对照试试,我把文章贴下面,希望对大家有所帮助:
作者:oHuangKeo 有误之处,忘谅之.学习中... 今在论坛里看到有人发贴说有程序不让OD分析.这很常见了,很多脱壳后的文件,弄得不好还就是不能用OD打开分析.但这种情况是程序一般也是不能运行的.现在的问题就是,程序可以正常运行,可是OD不能打开分析,说"Bad or unknown format of 32-bit executeable file '**.exe'".这句话说这个程序不是有效的32位可执行程序.明明可以运行的嘛. 下面来给大家做个试验再说明原因. 1.用十六进制工具打开NotePad,(别的EXE文件也行.)选中从'PE'开始的大小为0xE0的数据,复制,然后到文件地址为0x40处粘贴.(大家都知道,这里是DOS头的区域,除非在DOS下运行程序才会用到这一段数据.) 2.把后面多余的数据用'0'填上[0x120-0x1BF]. 然后就是修正了.因为PE头位置定位到了0x40,所以得把0x3C处改为0x40.这个大家都是知道的. 3.最后就是关键问题所在了. 把0x54地址的数据改为'8001',就是0x180. 好,现在保存,运行程序看,OK,可以运行,没有问题.用OD再打开试试?哈哈,报错啦. 下面说说原因,有说得不好的地方,大家不要笑话偶. OD在加载程序时,会先对程序进行分析.OD的作者写此程序就只是针对Win32下的PE文件(好像作者现在在开发2.0版本的,是分析64位程序的.)所以有比较SizeOfOptionalHandler,而在PE定义中,这个值是0xE0,是一个定值.OD比较这个值,如果是0xE0就对了,不等就是错误的EXE文件. 我们刚才做的就是改变PE Handler的大小,后面多余的数据填'0'也是有意义的.这就是系统可以正常运行的原因.后面多余的'0'归属于DataDirectory中了.系统在加载时只加载16组数据,后面的顶多算为是PE结构的保留数据,好像在前16组中,也是有保留数据的.所以不会出错. 附件中有我修改PE文件的录相,可以下载参考一下. 修复这一BUG方法,把0045C671处的je改为jge,就是大于等于就可以了. 通过小小修改PE就可以不让OD加载,但这也都是些小花样.OD的BUG是可以补的嘛.一定还会有更多的BUG,有待大家的发现.
附件没有传上来,感兴趣的在FCG的论坛上可以找到这篇文章!
能力值:
(RANK:300 )
11 楼
谢谢 benbentaiyang,学习了
能力值:
( LV9,RANK:210 )
12 楼
本来是PE文件,结果是他认错了,就不要让他去乱认
遇到类似情况,一律改成jmp
能力值:
( LV9,RANK:850 )
13 楼
但是这个AntiOD显然不是这个原因。因为OllyICE是修复了这个Bug的。
0045C666 . C1E1 03 shl ecx, 3
0045C669 . 81C1 E0000000 add ecx, 0E0
0045C66F . 3BD1 cmp edx, ecx
0045C671 . 7D 07 jge short 0045C67A ;========看这里
0045C673 . C745 F4 02000>mov dword ptr [ebp-C], 2
0045C67A > 837D F4 00 cmp dword ptr [ebp-C], 0
0045C67E . 75 24 jnz short 0045C6A4
同样是会出现加载错误的。
能力值:
( LV4,RANK:50 )
14 楼
恩,我也发现这个问题了,希望能从这篇文章得到一点启发!
能力值:
( LV9,RANK:850 )
15 楼
我用HexWorkShop对比了一个正常的程序和这个AntiOD程序,只有这个数据不同。
事实上,任何一个程序,只要修改这个值,OD都不能加载!并不要做别的什么手脚!
能力值:
( LV2,RANK:10 )
16 楼
恩,去研究研究PE
能力值:
( LV9,RANK:210 )
17 楼
所以OD那地方一律改成jmp!
能力值:
( LV12,RANK:410 )
18 楼
学习了。。。。。。