首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[求助]ASProtect 2.3 SKE build 06.26 Beta [Extract]脱壳问题
发表于: 2008-3-16 21:32 6683

[求助]ASProtect 2.3 SKE build 06.26 Beta [Extract]脱壳问题

juinmi 活跃值
2008-3-16 21:32
6683
用peid检查为ASProtect 2.3 SKE build 06.26 Beta [Extract]

运行VOLX大虾的Aspr2.XX_IATfixer_v2.2s  

  打开ImportREC
  填写脚本纪录的
  OEP_rva: 00098459
  iatstart_rva: 000B6000
  iatsize: 00000780
  获取输入表，显示无效的（还好没有ASPR特有的那几个函数），修复转储

运行转储的程序，异常退出
用od打开程序单步跟踪跳出对话框“不知如何继续，因为内存地址不可读，请尝试更改EIP或忽略程序异常”。
发现调用函数00460226  |.  E8 1526FDFF   call    00432840
返回时堆栈不平衡，手动使它平衡，继续单步跟跟踪
运行到00479690  |.  C700 08674C00 mov     dword ptr [eax], 004C6708
时发生异常，eax=3fad44ca，这个地址不在进程地址空间。

我想应该是脱壳没有成功，请大侠指点一下，我应该如何脱壳，是不是应该补区段？
但是我看了下程序运行中需要壳中的区段地址小于程序基址，不知又如何处理？

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (11)
juinmi
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
希望大侠指点一下，小弟在这先谢过了
2008-3-17 07:13
0
wzanthony
雪    币： 359
活跃值： (41)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
3 楼
因为是新人，帖数不够，发不了新贴，就在LZ这里蹭一下，反正也是相同的问题：

先是看了http://bbs.pediy.com/showthread.php?t=37376这篇《ASProtect 2.3 SKE build 06.26 Beta [Extract]脱壳笔记 》，依样画葫芦，已经到了
“
修改一下虚拟地址
  把刚才磁盘载入的区段都改一下，保存
  发现运行错误 用PEID 插件 Rebuild PE 发现还是不能运行
”
这个步骤，但是问题是我载入段区并修改虚拟地址后，运行exe提示不是有效的win32程序 ，而载入段区前是可以运行的（只是直接出错）。这一般是什么缘故？重建PE也没有用
望高人指点！
2008-3-18 11:27
0
juinmi
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
http://www.21disk.com/?uu=10001512279891562530616074073
这是我脱壳后的文件，请大家帮我看看
2008-3-20 14:49
0
scnclisir
雪    币： 203
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
把原程序贴上我来试试,我刚脱过此类壳很成功,方法都差不多
2008-3-21 15:13
0
juinmi
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
http://pickup.mofile.com/2558800092855279
这是原程序
2008-3-21 20:16
0
wzanthony
雪    币： 359
活跃值： (41)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
7 楼
上次借贵地发问，后来终于自己把它脱掉了。
基本上就是参照http://bbs.pediy.com/showthread.php?t=37376这篇《ASProtect 2.3 SKE build 06.26 Beta [Extract]脱壳笔记 》依样画葫芦，只需要注意以下四点就可以了：
1、找待补区段时，下好内存断点后，运行，断下后，记下状态栏提示的访问地址，而不是当前代码执行到的地址。
2、导出区段时，在每次内存断点断下后，都是导出上次断下的访问地址，而不是这次访问的地址，因为上次区段已经还原了，而这次的则未必，或许在整个程序都正常运行后再进行导出也可以。
3、用LordPE补完区段并且修改虚拟地址后，要手工修改镜像大小，不然会提示“不是有效的win32”，正确的镜像大小应该等于最后一个虚拟地址加上其长度，修改后还要用LordPE重建一下PE。
4、最后就是一些ASProtect有自校验，根据那篇脱壳笔记直接搜索替换那段汇编就可以了。那段汇编应该是自校验代码的特征值。
2008-3-21 23:05
0
juinmi
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
恭喜 wzanthony，我试试看
2008-3-22 09:48
0
juinmi
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
恭喜wzanthony，我试试看。
wzanthony，我的qq号：57497176，加我讨论一下
2008-3-22 09:53
0
wzanthony
雪    币： 359
活跃值： (41)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
10 楼
白天不太方便，晚上找你讨论吧
2008-3-22 13:37
0
chuanying
雪    币： 201
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
11 楼
我一般看到这个壳就直接闪人,太硬了，啄不动
2008-3-22 14:30
0
shinetou
雪    币： 201
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
我有个程序能跑完脚本，但跑完后显示“有些API没修复”
2008-4-12 16:30
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//