首页
社区
课程
招聘
[注意]Tmd1950 unpackme 新anti
发表于: 2007-10-17 17:51 7240

[注意]Tmd1950 unpackme 新anti

2007-10-17 17:51
7240
发这个unpackme是让大家来研究themida1950版的新anti
好让kanxue改进那个hideod插件
不是和q3一个战斗力级别的就不用看了

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

上传的附件:
收藏
免费 0
支持
分享
最新回复 (15)
雪    币: 8209
活跃值: (4513)
能力值: ( LV15,RANK:2473 )
在线值:
发帖
回帖
粉丝
2
呼唤q3
观望 观望
2007-10-17 18:20
0
雪    币: 233
活跃值: (10)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
3
themida道高一尺终究不及shoooo的魔高一丈  确实不错的ANTI  
2007-10-17 18:33
0
雪    币: 7309
活跃值: (3788)
能力值: (RANK:1130 )
在线值:
发帖
回帖
粉丝
4
不是一个级别的,飘过,不看了
2007-10-17 21:11
0
雪    币: 215
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
anti hideod过时了,还是研究非驱动anti HideTool比较前卫
2007-10-17 21:17
0
雪    币: 228
活跃值: (165)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
难道是传说中的ZwRequestPort
2007-10-18 09:03
0
雪    币: 209
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
借地方请教个其它问题:在脱themida的时候,遇到an internal execption occured错误提示,这个各位遇到过吗? 是怎么解决的,指点个思路,能明说更好
先谢了
2007-10-18 11:09
0
雪    币: 192
活跃值: (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
8
昨天在自己的机器上开不开HideTool都能跑,今天换了台机器居然就跑不了了,真是太奇怪了!不过原来直接改EIP的办法好象还是能用.
2007-10-18 11:58
0
雪    币: 47147
活跃值: (20380)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
9
感谢shoooo提供这个程序。
还是Headpmagic问题。

FS:00

7FFDF000 E0 FF 12 00 00 00 13 00 00 D0 12 00 00 00 00 00 ?.....?.....
7FFDF010 00 1E 00 00 00 00 00 00 00 F0 FD 7F 00 00 00 00 ........瘕....
7FFDF020 AC 03 00 00 2C 0A 00 00 00 00 00 00 00 00 00 00 ?..,...........
7FFDF030 00 40 FD 7F 1D 05 00 00 00 00 00 00 00 00 00 00 .@?..........

FS:30指向的PEB:
7FFD4000 00 00 01 00 FF FF FF FF 00 00 40 00 A0 1E 24 00 .....@.?$.
7FFD4010 00 00 02 00 00 00 00 00 00 00 14 00 C0 E4 99 7C ..........冷檤

PEB+0C指向的数据:

                     ↓ ↓ ↓ ↓
00241EA0 28 00 00 00 01 F0 AD BA 00 00 00 00 E0 1E 24 00 (...瓠?...?$.
00241EB0 98 27 24 00 E8 1E 24 00 A0 27 24 00 58 1F 24 00 ?$.?$.?$.X$.
00241EC0 28 26 24 00 00 00 00 00 AB AB AB AB AB AB AB AB (&$.....
00241ED0 00 00 00 00 00 00 00 00 0D 00 08 00 BD 07 18 00 ...........?.

我把00241EA4所指的4字节清零就可调试了,插件工作时,是在堆中搜索01 F0 AD BA,替换成0,不知有没有问题,欢迎各位指正。

有关Heapmagic原理请参看这帖:
http://bbs.pediy.com/showthread.php?s=&threadid=36374
上传的附件:
2007-10-18 12:13
0
雪    币: 690
活跃值: (1826)
能力值: ( LV9,RANK:250 )
在线值:
发帖
回帖
粉丝
10
反不了okdodo的invisible,hehe.在2003+sp2测试通过,看样子还是驱动厉害.
楼上说的改EIP也直接能过.我试了一下果然如此,用脚本跑中间出错了,看样子脚本需要改进了.
2007-10-18 12:31
0
雪    币: 7309
活跃值: (3788)
能力值: (RANK:1130 )
在线值:
发帖
回帖
粉丝
11
xp+sp2下,okdodo的invisible好像过不了
看来xp+sp2可以淘汰了,以后用98脱壳
2007-10-18 12:36
0
雪    币: 7309
活跃值: (3788)
能力值: (RANK:1130 )
在线值:
发帖
回帖
粉丝
12
test.exe在98下不能运行,好强啊!!!
2007-10-18 12:49
0
雪    币: 398
活跃值: (343)
能力值: (RANK:650 )
在线值:
发帖
回帖
粉丝
13
我知道是谁教你的
2007-10-18 13:39
0
雪    币: 208
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
哇~~!~可望而不可及
2007-10-18 14:48
0
雪    币: 47147
活跃值: (20380)
能力值: (RANK:350 )
在线值:
发帖
回帖
粉丝
15
你的首帖“好让kanxue改进那个hideod插件”,己提醒是Headpmagic的问题了,因为隐藏thmedia,HideOD主要起这个作用。当然修复Headpmagic的代码是heXer写的,在ReadMe里我也说明了。

解决时,从Headpmagic入手,比较加载调试器与没调试器的环境,感觉“01 F0 AD BA ”有些反常,尝试清零。
这问题本人解决时纯粹靠运气,如有雷同纯属巧合!
2007-10-18 16:25
0
雪    币: 398
活跃值: (343)
能力值: (RANK:650 )
在线值:
发帖
回帖
粉丝
16
so strong big
2007-10-18 16:28
0
游客
登录 | 注册 方可回帖
返回
//