-
-
[原创]IAT 重建工具 - IATRebulid
-
发表于: 2008-3-22 16:39
-
IAT 重建工具
最近，写了一个IAT重建工具，感觉还比较有实用性，为感谢看雪论坛及坛上各位前辈，大侠，兄弟们之前对我的无私帮助，将这个软件发放出来，献给大家，希望大家喜欢，同时希望得到高手的指点，让这个软件更加完善。
IATRebulid 使用说明
一、IATRebulid V1.01主要功能：
1. 对PE文件的引入表进行手工重建功能
2. 往PE文件中追加引入函数
3. 导出PE文件的引入表
4. 对PE文件增加新节
5. RVA 地址转换
6. 更改PE文件头的相关数据
二、编写原因
1. 在用ImportREC进行引入表修复时，经常出现ImportREC无法修补，甚至没有反应的现象，搞得很郁闷。
2. 在PE DIY时，用LordPE加入引入函数，每进行一次引入，都会增加一个新节，搞得很不爽。
基于以上原因，于是就了写这个软件。
三、软件界面
四、实例分析：
现以来自PYG的一个CM为例（见附件），来说明这个软件是如何重建引入表的：
1. 查壳
PEiD侦测出壳为：FSG 2.0 -> bart/xt
2. 脱壳
bp LoadLibraryA 下断，可以定位到下面：
004001C1 5E POP ESI 004001C2 AD LODS DWORD PTR DS:[ESI] 004001C3 97 XCHG EAX,EDI 004001C4 AD LODS DWORD PTR DS:[ESI] 004001C5 50 PUSH EAX 004001C6 FF53 10 CALL DWORD PTR DS:[EBX+10] ; kernel32.LoadLibraryA 004001C9 95 XCHG EAX,EBP 004001CA 8B07 MOV EAX,DWORD PTR DS:[EDI] 004001CC 40 INC EAX 004001CD ^ 78 F3 JS SHORT CrackMe0.004001C2 004001CF 75 03 JNZ SHORT CrackMe0.004001D4 004001D1 FF63 0C [COLOR="Red"]JMP DWORD PTR DS:[EBX+C][/COLOR] ;转入OEP 004001D4 50 PUSH EAX 004001D5 55 PUSH EBP 004001D6 FF53 14 CALL DWORD PTR DS:[EBX+14] ; kernel32.GetProcAddress 004001D9 AB STOS DWORD PTR ES:[EDI] 004001DA ^ EB EE JMP SHORT CrackMe0.004001CA
004689DC ? 55 PUSH EBP 004689DD ? 8BEC MOV EBP,ESP 004689DF . 83C4 F0 ADD ESP,-10 004689E2 . B8 E4874600 MOV EAX,CrackMe0.004687E4 004689E7 . E8 74D2F9FF CALL CrackMe0.00405C60 004689EC . A1 90A94600 MOV EAX,DWORD PTR DS:[46A990] 004689F1 . 8B00 MOV EAX,DWORD PTR DS:[EAX] 004689F3 . E8 B4AAFEFF CALL CrackMe0.004534AC 004689F8 . A1 90A94600 MOV EAX,DWORD PTR DS:[46A990] 004689FD . 8B00 MOV EAX,DWORD PTR DS:[EAX] 004689FF . BA 3C8A4600 MOV EDX,CrackMe0.00468A3C 00468A04 . E8 B3A6FEFF CALL CrackMe0.004530BC ...
004001C6 FF53 10 CALL DWORD PTR DS:[EBX+10] ; kernel32.LoadLibraryA 004001C9 95 XCHG EAX,EBP 004001CA 8B07 MOV EAX,DWORD PTR DS:[EDI] 004001CC 40 INC EAX 004001CD ^ 78 F3 JS SHORT CrackMe0.004001C2 004001CF 75 03 JNZ SHORT CrackMe0.004001D4 004001D1 FF63 0C [COLOR="red"] JMP DWORD PTR DS:[EBX+C][/COLOR] ;转入OEP 004001D4 50 PUSH EAX 004001D5 55 PUSH EBP 004001D6 FF53 14 CALL DWORD PTR DS:[EBX+14] ; kernel32.GetProcAddress 004001D9 AB STOS DWORD PTR ES:[EDI] 004001DA ^ EB EE JMP SHORT CrackMe0.004001CA
0046C12C 7C93188A ntdll.RtlDeleteCriticalSection 0046C130 7C9210ED ntdll.RtlLeaveCriticalSection 0046C134 7C921005 ntdll.RtlEnterCriticalSection 0046C138 7C809FA1 kernel32.InitializeCriticalSection 0046C13C 7C809B14 kernel32.VirtualFree 0046C140 7C809A81 kernel32.VirtualAlloc ... 0046C1B0 7C812CA9 kernel32.GetStdHandle 0046C1B4 7FFFFFFF 0046C1B8 77D3FA46 user32.GetKeyboardType 0046C1BC 77D3EC98 user32.LoadStringA 0046C1C0 77D5050B user32.MessageBoxA 0046C1C4 77D3EC40 user32.CharNextA ... 0046C734 771950C0 comctl32.ImageList_GetImageCount 0046C738 77195084 comctl32.ImageList_Destroy 0046C73C 771992D5 comctl32.ImageList_Create
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
谢谢老大，不知老大用的ImportREC是哪过版本的，我用ImportREC经常不顺手，由其在自动跟踪时，ImportREC就死了，这时除了强行关闭，没有其它的办法
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
