最近朋友给我传来一个热血江湖的木马，是天下无马的小有名气。听说作者有后门留在里面

我想脱壳后看看，把后门去掉，

软件脱壳后运行正常，资源无法修改提示资源加密或损坏！加壳方式用PIED侦测

Upack V0.36-V0.37 (DLL) -> Dwing [Overlay]

用超级巡警脱壳完毕 用PIED检测 Morphine 1.2 - 1.3 -> rootkit [Overlay]

用 c32asm查看里面 后门收信地址 没有找到 看到程序运行后释放 这几个文件 rarjcpi.dll

rarjctl.exe rarjcni.dll  其中 rarjcni.dll  用记事本打开就是收心地址， 可是我怎么才能吧

rarjcni.dll  中的地址替换掉。再导进资源里， 请高手指点迷津。

用ResHacker载入脱壳的程序，里面的资源没有能打开的，提示资源无法修改资源加密或损坏！

郁闷难道 脱壳没有完全， 又用PIED查下 摘植5.00 (未加壳) EP校验未加壳

快速校验未加壳   ，我觉得是不是 Morphine 1.2 - 1.3 -> rootkit [Overlay]这个伪壳在做鬼

Morphine 1.2 - 1.3 -> rootkit [Overlay]是咖啡加密 请高手指点万分感谢！

小弟把程序及破戒过程中的图片传上来给大家看下 。

由于权限不够只能用临时上传功能  图片连接

http://www.live-share.com/files/284528/_______.jpg.html

http://www.live-share.com/files/284527/____.jpg.html

小马地址http://www.live-share.com/files/284529/jh.rar.html

希望大家看后动手回下贴 小弟在此给你作揖了

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课