首页
社区
课程
招聘
[求助]themida 怎样补代码?
发表于: 2007-6-7 11:25 3794

[求助]themida 怎样补代码?

2007-6-7 11:25
3794
用脱壳脚本运行后,是vc6程序,现在想加入被偷的代码.但这些代码该插在什么地方??没有空间呀?难道把上面代码的覆盖掉?

004453F0    BB 973D36B0     MOV EBX,B0363D97
004453F5  ^ 7C 8A           JL SHORT 复件_Wor.00445381
004453F7    91              XCHG EAX,ECX
004453F8    A4              MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
004453F9    BA 06429F89     MOV EDX,899F4206
--> 应该在这里补吧?但这里没空间呀?

004453FE    8AD4            MOV DL,AH          <--断在这里
00445400    8915 B4A64900   MOV DWORD PTR DS:[49A6B4],EDX
00445406    8BC8            MOV ECX,EAX
00445408    81E1 FF000000   AND ECX,0FF
0044540E    890D B0A64900   MOV DWORD PTR DS:[49A6B0],ECX
00445414    C1E1 08         SHL ECX,8
00445417    03CA            ADD ECX,EDX

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

收藏
免费 0
支持
分享
最新回复 (4)
雪    币: 170
活跃值: (18)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
还没到OEP吧
2007-6-7 11:53
0
雪    币: 203
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
找个空白的地址,比方说地址是0x00500000
在004453F9    BA 06429F89     MOV EDX,899F4206修改为:
jmp 0x00500000

00500000    BA 06429F89            mov edx,899F4206                          ; ->还原刚才修改的代码
00500005    60                     pushad                                                    ; ->保存现场
00500006    9C                     pushfd
00500007    CC                     int3                                                          ; ->这里加上你要添加的代码
00500008    9D                     popfd
00500009    61                     popad                                                       ; ->还原现场
0050000A  ^ E9 EF53F4FF            jmp 0x004453FE                           ; ->跳回程序继续执行
2007-6-7 12:04
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
向上找到最近的一个RET,在其下面复制如下二进制代码!
55 8B EC 6A FF 68 10 CB 41 00 68 EC 9C 41 00 64 A1 00 00 00 00 50 64 89 25 00 00 00 00 83 EC 58
53 56 57 89 65 E8 FF 15 74 B1 41 00 33 D2 8A D4
2007-6-7 15:35
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
太谢谢了,值得学习。
2007-6-8 10:40
0
游客
登录 | 注册 方可回帖
返回
//