首页
社区
课程
招聘
ollydbg_v1.1汉化修改版不能修改内存?
发表于: 2004-10-10 08:22 7024

ollydbg_v1.1汉化修改版不能修改内存?

2004-10-10 08:22
7024
收藏
免费 1
支持
分享
最新回复 (10)
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
2
你用原版看看

BTW:多找找自己调试时的原因
2004-10-10 12:58
0
雪    币: 221
活跃值: (99)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
3
在winme下无此问题,用原版在XP下也没有此现象。
2004-10-10 14:26
0
雪    币: 204
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
fly老大.我用汉化版遇到一个问题.如图
好多标题栏没有了,画屏...这个怎么回事啊...
2004-10-10 16:49
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
5
TO lpyxt:你在调试幻影吧?用原版看看能否修改那里

TO owlcn:这个帖子里面有解决的方法
http://bbs.pediy.com/showthread.php?s=&threadid=2320
2004-10-10 18:38
0
雪    币: 221
活跃值: (99)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
6
谢版主回复。我用ollydbg v1.10原版试了一下不行。运行附带的IDTools for winXP的恢复时也出现了“Can't send control code to drivice”的提示
2004-10-11 08:52
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
7
这个程序应该是幻影客户版加壳的
看看脱壳论坛forgot的幻影教程吧
2004-10-11 13:09
0
雪    币: 221
活跃值: (99)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
8
我在winme下已经成功脱掉此壳,不能修改内存,看来应该是winxp本身的问题。再一次感谢版主的耐心回复!
2004-10-14 17:28
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
9
最初由 lpyxt 发布
我在winme下已经成功脱掉此壳,不能修改内存,看来应该是winxp本身的问题。再一次感谢版主的耐心回复!


是幻影不
有空写个教程吧
2004-10-15 16:13
0
雪    币: 241
活跃值: (160)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
最初由 fly 发布



是幻影不
有空写个教程吧

9494
2004-10-15 17:53
0
雪    币: 221
活跃值: (99)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
11
是幻影的壳,看loveboom的“揭开神秘面纱之幻影”。
全文如下:
【目    标】:幻影v2.2主程序
【工    具】:Olydbg1.1(diy版)、LORDPE、ImportREC1.6F
【任    务】:脱主程序的壳
【操作平台】:WINDOWS 2000 ADV SP2
【作    者】:loveboom[DFCG]
【相关链接】: http://dbpe.allit.net/
【简要说明】:这款壳在我刚中上壳的“毒”的时候,感觉它很神秘,有点像现在的xprotect一样,因为在当时没有找到过一篇关于幻影脱壳相关的文章(可能当时有,我没有条件上网吧),现在才知道原来不是幻影很神秘,而是因为……,当时认为神秘的一个主要原因是:当我第一次调试失败后,再加载系统就crash了,win2k之类的系统蓝屏可算是少见的多。当然这款壳还是相当不错的,国产精品,在世界壳之林来说也可以进入TOP10(个人观点)。如果幻影在以后的版本中加上定身定造,加上强劲的输入表加密及传说中的壳和程序融为一体的话,那脱壳者真的没得混了!
你可然会觉得奇怪,fly的2.3的脱文都早以出来了,为什么还要写2.2的呢?难道2.2比2.3更强?当然不是,2.2可能没有2.3的强,但如果不用IDT tool 在2k下调试不用去花指令插件,应该别有一番意思吧。我只是菜鸟一只,没有fly等高手那么变态,只会用笨方法跟,经过N次crash之后,终于看到了一丝阳光(找到一个快一点的脱壳方法)。现写出来与大家共享。因壳比较猛,所以在不用插件的情况下要十万分小心。
【详细过程】:
设置:忽略内存异常,不用隐身的了,因为这个版本还不会检查ollydbg.
载入后:
00504000 > EB 20            JMP SHORT dbpe.00504022                //典型入口
00504002   0000             ADD BYTE PTR DS:[EAX],AL
在命令栏下he CloseHandle,再运行,现在注意堆栈的变化:
第一次中断
0012FF78   00505DF7  /CALL to CloseHandle from dbpe.00505DF1
0012FF7C   00000038  \hObject = 00000038 (window)
……
第二次
0012FF2C   77DA4E25  /CALL to CloseHandle from advapi32.77DA4E1F
0012FF30   00000038  \hObject = 00000038 (window)
……
第三次
0012FF98   005090FE  /CALL to CloseHandle from dbpe.005090F8
0012FF9C   00000034  \hObject = 00000034
……
三次中断后,HD CloseHandle取消硬件断点
在内存页面中的Code段下F2断点,然后F9运行
Memory map, item 12
Address=00401000
Size=000C8000 (819200.)
Owner=dbpe     00400000
Section=.text
Contains=code
Type=Imag 01001002
Access=R
Initial access=RWE
这样会弹出试用框,关闭试用框后到这里:
009C2A5F   66:3103          XOR WORD PTR DS:[EBX],AX        //停在这里
009C2A62   74 03            JE SHORT 009C2A67
到这里后,你可以下mr GetProcAddress来跟(如果在没有找到规律前跟踪时要很小心的,有很多地方像pushf之类的是骗人来的不能F7或F8或F4的,遇到这种情况时你就在它的下面指令处下硬件断点,然后执行,有的地方不能下硬件断点的就下内存断点,我自己是用“双保险”内存断点和硬件断点一起上:0。),不过如果你跟过几次之后就会发现它的规律所在,我也就用找到的规律而不一步一步跟了.CTRL+B找89BD:
第一次
009C4B9B  ^75 89            JNZ SHORT 009C4B26
009C4B9D   BD 6DA54100      MOV EBP,41A56D
009C4B9C   89BD 6DA54100    MOV DWORD PTR SS:[EBP+41A56D],EDI //整理后
第二次
009C4CD7  ^75 89            JNZ SHORT 009C4C62
009C4CD9   BD 6DA54100      MOV EBP,41A56D
009C4CD8   89BD 6DA54100    MOV DWORD PTR SS:[EBP+41A56D],EDI  //整理后
第三次
009C4DFC  ^75 89            JNZ SHORT 009C4D87
009C4DFE   BD AAF14100      MOV EBP,41F1AA
009C4DFD   89BD AAF14100    MOV DWORD PTR SS:[EBP+41F1AA],EDI        //整理后
第四次
009C4E19  ^75 89            JNZ SHORT 009C4DA4
009C4E1B   BD A6F14100      MOV EBP,41F1A6
009C4E1A   89BD A6F14100    MOV DWORD PTR SS:[EBP+41F1A6],EDI        //整理后
后面就不用找了
把第四次nop掉,再找CTRL+B 找890F,在第四次不远处
009C4E45  ^75 89            JNZ SHORT 009C4DD0
009C4E47   0F9C72 0A        SETL BYTE PTR DS:[EDX+A]
009C4E46   890F             MOV DWORD PTR DS:[EDI],ECX
找到后改为8907:
009C4E46   8907             MOV DWORD PTR DS:[EDI],EAX                //传入正确的api
改完后CTRL+B 找 FFE0
009CDBA7   FFE0             JMP EAX
在找到的地址处下内存断点(mr 009cdba7).F9运行后停在这里,这时eax==oep.再按一次f8到了程序地盘了.现在先别dump,你看看后面的跳转表就知道了
004C84B4     FF25 1C014E80  JMP DWORD PTR DS:[804E011C]
……
,打开winhex内存编辑,选择dbpe的主程序.ctrl+alt+h查找4E80替换为4E00向下替换.做完这项工作后,关闭winhex再回到ollydbg中,现在看看是不是全部修复好了.这时你再AC(Analyse Code)一下就像加载没加壳的程序那样有相关的说明.
用ImportREC1.6写入oep->iat autosearch晕了,只有一点函数.看来要我们自己写iat位置了,如果你这里看ollydbg里就可以知道iat大小,E0EC4-E011C=DA8,也就是VRA=E011C SIZE=DA8,现在可以用lordpe纠正imagesize一下再dump->fixdump->cut那没有名字的段并rebuilder一下。这样幻影2.2的主程序也就脱完了,主程序破解是妖等人做的事,我是菜鸟所以不会.
附:
主程序算法RSA1024:
N=76507FA4328A3A6D6FFF0227AD20B2FAF2C07DD8F6E11A3BD3D9B6AD315B97FE704490B6A45173D394B76BDF302FBF50D1D6BC1E53C9B36F6562CCB27250ED4FBF51DA6355A5AFC18FA4B553A3EC1A9BD260B4DDCC36E640AC14BFECCD321FDD7610FCCD81419FD7243AA7DF041A4BE912C858D5346BAE1C703509D2398C43C1
E=65537

献给我亲爱的DFCG,愿它能够蒸蒸日上!
Thanks:
Fly 辉仔yock、jingulong、二哥、所有曾经关心支持或帮助过我的朋友!谢谢您们!

                                by  loveboom[
2004-10-16 07:10
0
游客
登录 | 注册 方可回帖
返回
//