首页
社区
课程
招聘
[求助]Asprotect脱壳问题求助
发表于: 2007-8-7 14:56 4874

[求助]Asprotect脱壳问题求助

2007-8-7 14:56
4874
用PEID显示ASProtect 1.2x - 1.3x [Registered] -> Alexey Solodovnikov,
VerA 0.15显示Version: ASProtect 2.3 SKE build 05.14 Beta [2]!
OD载入,用VOLX大侠的脚本脱后停到这里
02340325    55              push    ebp                              ; 0006AC0E4
02340326    03EB            add     ebp, ebx
02340328    8DAC0B 4E114300 lea     ebp, dword ptr [ebx+ecx+43114E]
0234032F    8D6C24 26       lea     ebp, dword ptr [esp+26]
02340333    8D6C25 DA       lea     ebp, dword ptr [ebp-26]
02340337    83C4 F0         add     esp, -10
0234033A    E9 5B0D0000     jmp     0234109A
0234033F    833D 04D06A00 0>cmp     dword ptr [6AD004], 0
02340346    E9 830E0000     jmp     023411CE
0234034B    C1CB D1         ror     ebx, 0D1

提示IAT fixed. Stolen code start, check the address and size of IAT in log window
LOG窗口信息如下:
010BCE1C   硬件断点 1 位于 010BCE1C
           iatstartaddr: 006C1230
           iatstart_rva: 002C1230
           iatsize: 00000970
02340325   断点位于 02340325
           OEP_rva: 002AC0E4
用LorDpe dump存为dump.exe,用ImportREC修复,填入OEP 002AC0E4,点Get Imports无法自动获取,手动填入IAT信息:
RVA=002C1230,Size=00000970,Get Imports,没有无效的导入表,修复dump文件为dump_.exe
此时用peid显示为无效的PE文件,
用OD载入后停在006AC0E4这里
006AC0E4 > $- E9 3C42C901   jmp     02340325                         ;这里直接跳到无效的内存地址了
006AC0E9      3C            db      3C                               ;  CHAR '<'
006AC0EA      54            db      54                               ;  CHAR 'T'
006AC0EB      6B            db      6B                               ;  CHAR 'k'
006AC0EC      4C            db      4C                               ;  CHAR 'L'
006AC0ED      89            db      89
006AC0EE      B4            db      B4
请问这里应该怎样修复?能否请各位给个大概的方向?谢谢了

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (2)
雪    币: 207
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
我也遇到类似的问题,应该是很菜的问题,可不知道怎么操作。

我破的是个aspr 2.11 的一个DLL文件,用VOLX的脚本跑了后,提示:

   条件暂停: eip > 000BA1000
           IAT 的地址 = 100BC000
           IAT 的相对地址 = 000BC000
           IAT 的大小 = 00000728
  断点位于 009A0042
           重定位区段相对地址 = 0011D000
           重定位区段大小 = 0000FC50
           OEP 地址 = 100604E6
           OEP 相对地址 = 000604E6

dump出来,importREC自动显示的OEP是10070,改为上面的OEP后,IAT autosearch提示不能 Invalid OEP! It does not match in the process memeory !

如果用自动提示的OEP10070, 就能找出IAT,而且还很对,但是修复后的DLL不能运行,提示地址不可读!!

老大们,帮忙啦,怎么弄下?待俺学成后,也学老大们来帮忙解答问题,谢谢哈
2007-8-7 18:57
0
雪    币: 207
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
上面这个问题,我搞了一下午了,换了很多个地址都不行,拜托帮忙啦
2007-8-7 18:58
0
游客
登录 | 注册 方可回帖
返回
//