首页
社区
课程
招聘
[求助]关于手动脱壳petite的问题
发表于: 2007-8-6 13:07 5520

[求助]关于手动脱壳petite的问题

2007-8-6 13:07
5520
今天参看fly的“用od手脱petitev2.2(http://bbs.pediy.com/showthread.php?t=9018)”之文章,脱一加壳(相同)的dll文件。
其中的EP和OEP都顺利找到。
可是在重建输入表时出现问题:使用的importrec时,总是提示找到的所有函数都是无效的。
自动跟踪(一层)也是无效。

由此产生疑问:
1,脱壳dll中,如何判定输入表的起始地址和结束地址,有没有相关文档或者工具来判定?
2,如果dll中的函数都是自己写出来的,是不是指针就判断不了呢?

另附上dll:
http://folders.live.com/self.aspx/RSnW7pEWbsI/Public/dll.rar

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (8)
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
自己来回复一下。
是不是有可能petite加密了输入表呢?
2007-8-7 12:33
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
3
手动定位一下输入表RVA和Size
2007-8-7 13:22
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
已经手工填入了RAV和size了

RAV倒是按照文章说明,很容易的找到了.
size也是看着是248
两个输入后找到的函数还是无效,用1层修复就全部是否。
用其他两层也是失败。

难道我真是hopeless????
2007-8-7 17:51
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
另外,是不是size不对产生的函数也都是不对的?
如果是size判断失误的话,那么一般判定size时候,在起始和结束出有没有什么特征。除了都是连续的"00000000 00000000"我是按照连续8位都是00来猜的。
2007-8-7 17:55
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
还是贴出来简单明了些。
是通过此句
"
CALL DWORD PTR DS:[100EB108]             ; kernel32.GetVersion
"
找到的输入表

×××××××××

100EAFF4  00 00 00 00 00 00 00 00 00 00 00 00 97 D1 0B 11  ............椦 
100EB004  83 78 DA 77 F0 6B DA 77 E7 EB DA 77 00 00 00 00  儀趙餶趙珉趙....
100EB014  26 B1 21 72 00 00 00 00 43 4C E7 73 00 00 00 00  &?r....CL鐂....
100EB024  D1 61 EF 77 00 00 00 00 10 D1 0B 11 F9 0A 81 7C  補飛....??亅
100EB034  67 9B 80 7C 78 9F 85 7C DC 5C 83 7C DE 2A 83 7C  g泙|x焻|躙億?億
100EB044  15 D1 0B 11 35 1E 83 7C 20 25 80 7C 1A D1 0B 11  ?5億 %€|?
100EB054  57 06 81 7C EF B4 80 7C 24 1A 80 7C 50 97 80 7C  W亅锎€|$€|P梹|
100EB064  70 8D 83 7C C8 CC 80 7C 15 DE 80 7C 1F D1 0B 11  p崈|忍€|迉|?
100EB074  00 34 83 7C 7E A3 80 7C 97 D0 80 7C 82 15 81 7C  .4億~|椥€|?亅
100EB084  24 D1 0B 11 CE 1F 83 7C 29 D1 0B 11 40 03 93 7C  $??億)?@搢
100EB094  F7 36 81 7C 35 99 80 7C 30 9F 80 7C C5 92 80 7C  ?亅5檧|0焵|艗€|
100EB0A4  FC B7 80 7C 2E D1 0B 11 F4 A0 80 7C A7 0D 81 7C  €|.?魻€|?亅
100EB0B4  61 26 81 7C 33 D1 0B 11 38 D1 0B 11 A5 1B 83 7C  a&亅3?8??億
100EB0C4  18 1C 83 7C 1C 17 82 7C F9 37 81 7C F7 ED 80 7C  億倈?亅黜€|
100EB0D4  3D D1 0B 11 31 03 93 7C A7 24 80 7C 42 D1 0B 11  =?1搢?€|B?
100EB0E4  5F E9 80 7C 40 7A 95 7C 9A 97 80 7C 86 97 80 7C  _閫|@z晐殫€|啑€|
100EB0F4  3D 04 93 7C D4 05 93 7C ED 09 93 7C 47 D1 0B 11  =搢?搢?搢G?
100EB104  3D 2F 81 7C FA 11 81 7C C0 AD 80 7C C1 B6 80 7C  =/亅?亅拉€|炼€|
100EB114  4C D1 0B 11 16 1E 80 7C 51 D1 0B 11 37 A0 80 7C  L?€|Q?7爛|
100EB124  E5 9B 80 7C BF 2D 81 7C 82 D2 80 7C 69 7C 83 7C  鍥€|?亅傄€|i|億
100EB134  60 97 80 7C 56 D1 0B 11 11 9F 80 7C 8A 18 93 7C  `梹|V?焵|?搢
100EB144  05 10 92 7C 5B D1 0B 11 60 D1 0B 11 42 24 80 7C  抾[?`?B$€|
100EB154  5F D6 81 7C 77 1D 80 7C 12 4B 81 7C FE 2A 81 7C  _謥|w€|K亅?亅
100EB164  65 D1 0B 11 D6 2B 81 7C 04 9B 80 7C 6A D1 0B 11  e??亅泙|j?
100EB174  99 9E 80 7C B7 CC 80 7C 59 2F 81 7C 71 0E 81 7C  櫈€|诽€|Y/亅q亅
100EB184  EE 1E 80 7C EF BC 80 7C 07 4B 81 7C 6F D1 0B 11  ?€|锛€|K亅o?
100EB194  28 2F 81 7C EB D2 81 7C 0D 48 84 7C 21 9E 80 7C  (/亅胍亅.H剕!瀫|
100EB1A4  74 D1 0B 11 94 89 83 7C 79 D1 0B 11 96 2E 81 7C  t?攭億y??亅
100EB1B4  33 C1 81 7C EB 10 81 7C 00 00 00 00 C8 0F D2 77  3羴|?亅....?襴
100EB1C4  02 07 D5 77 AD FD D3 77 7E D1 0B 11 73 15 D2 77  誻觲~?s襴
100EB1D4  6C 14 D2 77 04 13 D2 77 83 D1 0B 11 88 D1 0B 11  l襴襴冄 堁 
100EB1E4  9F 5E D5 77 8C 8F D1 77 B7 F3 D2 77 F1 11 D2 77  焇誻審褀敷襴?襴
100EB1F4  5E BD D1 77 8D D1 0B 11 32 8C D1 77 E1 D7 D1 77  ^窖w嵮 2屟w嶙褀
100EB204  92 D1 0B 11 3E 02 D2 77 50 C9 D1 77 1E 0B D2 77  捬 >襴P裳w 襴
100EB214  A8 96 D1 77 E6 8B D1 77 22 10 D2 77 D6 D4 D1 77  褀鎷褀"襴衷褀
100EB224  00 00 00 00 9C D1 0B 11 5B 4E B1 76 A1 D1 0B 11  ....溠 [N眝⊙ 
100EB234  87 04 B2 76 05 03 B2 76 4A 49 B2 76 00 00 00 00  ?瞯瞯JI瞯....
100EB244  31 EF 9A 76 00 00 00 00 00 00 00 00 00 00 00 00  1餁v............
100EB254  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
100EB264  00 00 00 00 00 00 00 00 DA 0F 49 40 DA 0F 49 40  ........?I@?I@

×××××××××××××
我判断size是

起始100EB000
结束100EB248

so,size=248
不知正确否?
2007-8-7 18:23
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
有手动脱壳想到的:
主程序用没有可能加上个判断,判定它调用的dll文件是脱过壳的,或者被改动的,
我想应该程序实现上没有问题吧。
2007-8-8 11:55
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
8
Size对的
哪几个API不对,文件传临时空间看看

有很多程序有检验的
2007-8-8 19:12
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
临时空间,指pediy的服务器?我两个都登陆不上。
一个提示我是密码不对,
一个连list都打不开。

我传到了一个临时空间里
http://www.cnblogs.com/Files/portmouth/gamedll.rar
如果可以的话,可以看看。
2007-8-10 12:48
0
游客
登录 | 注册 方可回帖
返回
//