用PEID显示ASProtect 1.2x - 1.3x [Registered] -> Alexey Solodovnikov,
VerA 0.15显示Version: ASProtect 2.3 SKE build 05.14 Beta [2]!
OD载入,用VOLX大侠的脚本脱后停到这里
02340325 55 push ebp ; 0006AC0E4
02340326 03EB add ebp, ebx
02340328 8DAC0B 4E114300 lea ebp, dword ptr [ebx+ecx+43114E]
0234032F 8D6C24 26 lea ebp, dword ptr [esp+26]
02340333 8D6C25 DA lea ebp, dword ptr [ebp-26]
02340337 83C4 F0 add esp, -10
0234033A E9 5B0D0000 jmp 0234109A
0234033F 833D 04D06A00 0>cmp dword ptr [6AD004], 0
02340346 E9 830E0000 jmp 023411CE
0234034B C1CB D1 ror ebx, 0D1
提示IAT fixed. Stolen code start, check the address and size of IAT in log window
LOG窗口信息如下:
010BCE1C 硬件断点 1 位于 010BCE1C
iatstartaddr: 006C1230
iatstart_rva: 002C1230
iatsize: 00000970
02340325 断点位于 02340325
OEP_rva: 002AC0E4
用LorDpe dump存为dump.exe,用ImportREC修复,填入OEP 002AC0E4,点Get Imports无法自动获取,手动填入IAT信息:
RVA=002C1230,Size=00000970,Get Imports,没有无效的导入表,修复dump文件为dump_.exe
此时用peid显示为无效的PE文件,
用OD载入后停在006AC0E4这里
006AC0E4 > $- E9 3C42C901 jmp 02340325 ;这里直接跳到无效的内存地址了
006AC0E9 3C db 3C ; CHAR '<'
006AC0EA 54 db 54 ; CHAR 'T'
006AC0EB 6B db 6B ; CHAR 'k'
006AC0EC 4C db 4C ; CHAR 'L'
006AC0ED 89 db 89
006AC0EE B4 db B4
请问这里应该怎样修复?能否请各位给个大概的方向?谢谢了
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课