首页
社区
课程
招聘
[旧帖] [求助]Themida|WinLicen脱壳后如何修复! 0.00雪花
发表于: 2007-11-17 00:16 7183

[旧帖] [求助]Themida|WinLicen脱壳后如何修复! 0.00雪花

2007-11-17 00:16
7183
我是一个新手,最近在论坛里找了一个脱Themida|WinLicen壳的教本,用OD载入程序运行教本dump出来后,程序的壳是脱掉了,但运行不了,提示连接不上动态连接库,用Import REC修复提示“发现地址可能是原始的IAT地址,请尝试点击获取输入列表(如果不正确请尝试RVA:00001000 大小000F9000)”。
  我直接获取提示错误,让手动设置RVA和大小,我按照提示输入RVA:00001000 大小000F9000,但获取不到输入列表,程序死在那就不动了,请问高手,这种情况应该如何来处理。
本来想上传图片什么的,可惜没权限

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (8)
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
郁闷呀!没有高手指点一下嘛?
2007-11-19 15:02
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
晕了,每人顶,再弄详细点。
用OD载入程序运行教本以后停止在下面的代码处:
00406B7C   .  50            push    eax                        
00406B7D   .  6A 00         push    0                              
00406B7F   .  E8 F8FEFFFF   call    00406A7C                        
00406B84   .  BA 08114D00   mov     edx, 004D1108
00406B89   .  52            push    edx
00406B8A   .  8905 DC444D00 mov     dword ptr [4D44DC], eax
00406B90   .  8942 04       mov     dword ptr [edx+4], eax
00406B93   .  C742 08 00000>mov     dword ptr [edx+8], 0
00406B9A   .  C742 0C 00000>mov     dword ptr [edx+C], 0
00406BA1   .  E8 8AFFFFFF   call    00406B30
00406BA6   .  5A            pop     edx
00406BA7   .  58            pop     eax
00406BA8   .  E8 FBCDFFFF   call    004039A8
00406BAD   .  C3            retn
00406BAE      8BC0          mov     eax, eax
00406BB0   .  55            push    ebp
00406BB1   .  8BEC          mov     ebp, esp
00406BB3   .  33C0          xor     eax, eax
00406BB5   .  55            push    ebp
00406BB6   .  68 D56B4000   push    00406BD5
00406BBB   .  64:FF30       push    dword ptr fs:[eax]
00406BBE   .  64:8920       mov     dword ptr fs:[eax], esp
00406BC1   .  FF05 E0444D00 inc     dword ptr [4D44E0]
00406BC7   .  33C0          xor     eax, eax
00406BC9   .  5A            pop     edx
00406BCA   .  59            pop     ecx
00406BCB   .  59            pop     ecx
00406BCC   .  64:8910       mov     dword ptr fs:[eax], edx
00406BCF   .  68 DC6B4000   push    00406BDC
00406BD4   >  C3            retn                                     ;  RET 用作跳转到 00406BDC
00406BD5   .^ E9 8ECAFFFF   jmp     00403668
00406BDA   .^ EB F8         jmp     short 00406BD4
00406BDC   >  5D            pop     ebp
00406BDD   .  C3            retn

这好像不是真正的OEP处吧(新手没概念),我直接用OD dump出来后运行出错,用Import REC修复后也运行不了,不知道该如何处理,高手指教~~~
2007-11-19 18:22
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
LGY
4
希望有高手进来看看,新手脱壳之后经常碰到类似问题
2007-11-19 20:24
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
好象没到OEP吧(到OEP的时候一般有个较大的跨段),先要找到正确的OEP再脱,要不然在你修复的时候可能会挂掉。
我也是新手。
2007-11-19 22:25
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
上面的那段代码是运行完脚本以后所停的位置,我直接用LordPE dump出来后用ImportREC修复后PEID查看是delphi4.0,在论坛里看见有修复C++的教程,但修复DELPHI的教程很少啊,是不是需要补段呢,很疑惑~~~~,有相同问题的同志们,帮忙顶上去啊~~~~
2007-11-23 16:55
0
雪    币: 424
活跃值: (1884)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
7
去试试okdodo大侠的脱壳机吧~~~
2007-11-23 20:40
0
雪    币: 202
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
脱壳成功后修复是一大难题(对于新手来说)希望大侠们给我们指条明路
2007-11-24 19:11
0
雪    币: 216
活跃值: (26)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
9
你们有没有发现<<脱壳基础知识入门及FAQ-1>>那个“用内存断点找OEP”实例的问题啊
是用  PE-Armor 0.49 -> Hying * 加的壳,Dump,再建表后运行不起,哎,也可能是我没Dump对........
2007-11-24 20:37
0
游客
登录 | 注册 方可回帖
返回
//