首页
社区
课程
招聘
[求助]脱UPX壳遇到问题&系统执行保护&自校验?
发表于: 2007-9-9 09:41 4055

[求助]脱UPX壳遇到问题&系统执行保护&自校验?

2007-9-9 09:41
4055
最近一直在弄一个程序,本人菜鸟.
是这样的,程序VB编写的.
查壳显示UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay].

不脱壳运行没有问题,用脱壳机或者手脱.
显示Microsoft Visual Basic 5.0 / 6.0 [Overlay]

这时候运行的话,系统弹出"系统执行保护" 对话框. 将程序结束了.

我关闭系统执行保护后,还是会出现第2个图. 不知道何解.
希望能有高手指点,必当重谢!




[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (8)
雪    币: 50161
活跃值: (20615)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
2
你用OD跟踪一下脱壳后的程序,与没脱壳的比较一下。
2007-9-9 10:12
0
雪    币: 244
活跃值: (40)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
3
把脱壳后的文件与原来的那个文件对比(用od载入),脱壳后的文件中若发现无名的跳转,nop掉。
2007-9-9 12:04
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
我是菜鸟,对这个实在不精通.
是BP CreateFileA吗? 谢谢
2007-9-9 12:13
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
就是把原来的文件不要脱壳的用OD载入,然后在把已经脱壳的也用OD载入,然后在OEP地方单步对照两个软件的代码,看那里有不同,正常状况是原来的文件有跳转或者没有跳转,脱壳后的边成没跳转或者跳转,把脱壳后的文件改成跟原一样的状况应该就可以了
2007-9-10 22:21
0
雪    币: 1025
活跃值: (1007)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
这样也可以啊?
2007-9-11 23:23
0
雪    币: 424
活跃值: (10)
能力值: ( LV9,RANK:850 )
在线值:
发帖
回帖
粉丝
7
cmp file_size
jnz   xxxxxx

hehe~
或者你开两个od,一个加载原带壳的程序(运行到oep), 一个加载脱壳后的程序,
f8一步步比较一下各个跳转,发现脱壳后的程序的某个跳转和原带壳程序的不一样(或者跳转实现与否)`,改了````````
2007-9-12 11:12
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
这样的壳比较多可能是有附加代码,用编辑工具也可以对照一下看有没有数据丢了没有做,如果是有附加数据的那就要做数据修复了
2007-9-12 16:15
0
雪    币: 740
活跃值: (952)
能力值: ( LV9,RANK:160 )
在线值:
发帖
回帖
粉丝
9
用C32ASM搜索字串进领空
2007-9-12 21:34
0
游客
登录 | 注册 方可回帖
返回
//