首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]希望高手帮忙脱下这个壳... 0.00雪花
发表于: 2008-6-19 18:23 3815

[旧帖] [求助]希望高手帮忙脱下这个壳... 0.00雪花

guanyouan 活跃值
2008-6-19 18:23
3815
　　因为我用了脱壳脚本后 按ALT+L没找到OEP和其他的信息 就更别说后面了.。。希望高手帮我脱一下这个软件的壳 最好加个详细的步骤，也想自己研究一下。谢谢大家。在OD面前 我是初学者 菜鸟都谈不上的

这个程序的基本信息：
PEid普通、深度、核心扫描皆为ASProtect v1.2x (New Strain) *
用VerA 0.15扫描出来是Version: ASProtect 2.3 SKE build 06.26 Beta [Extract]
脚本什么的都找到了 但是脚本要自己修复程序 不知道OEP和文件大小之类的 脚本运行后 按ALT+L 没有提示OEP的信息。

http://ftp-js.pconline.com.cn/pub/download/200803/QQPetNurse3.01_Beta4_08.05.30.rar
用迅雷新建来下.

ALT+L出的内容：
Log data
地址       消息
           OllyDbg v1.10
             点阵字体 'MS Sans Serif' 已被替换为 '宋体'
           Asm2Clipboard PlugIn v0.1
             Written by FaTmiKE 2oo4
             I used code snippets from ExtraCopy PlugIn v1.0 by Regon
             ...so thanks to Regon for his great job!
           Bookmarks sample plugin v1.06 (plugin demo)
             Copyright (C) 2001, 2002 Oleh Yuschuk
           CleanupEx v1.12.108  by Gigapede
           CommandBar v3.00.108
             Originary Written by Oleh Yuschuk  Modified by Gigapede  Contributors:TBD Wayne psyCK0 mfn

           GODUP ver 1.2 by godfather+ - Delphi edition

           Hide Caption v1.00  by Gigapede
           HideOD, www.pediy.com
           ODbgScript v1.65.2 chinese version by hnhuqiong
             http://bbs.pediy.com or http://www.unpack.cn
           OllyDump v3.00.110  by Gigapede
           OllyMachine v0.20
             Written by Luo Cong
             Compiled on Dec  7 2004 14:32:15
           OllyScript v0.92
             Written by SHaG

           PhantOm plugin 1.20
              by Hellsp@wn & Archer
           Ultra String Reference v0.11
             Written by Luo Cong
             Compiled on Sep 20 2005 15:33:30
           WatchMan v1.00  by Gigapede
                        数据格式转换 plugin v1.1
           该插件可以将内存里的二进制数据转换为相应的编译语言数据格式
                   Copyright (C) 2006 by zhanshen[DFCG][RCT]
           正在扫描导入库 '.\LIB\MFC42.Lib'
             已解析出 6384 个序号
           正在扫描导入库 '.\LIB\mfc71.Lib'
             已解析出 6442 个序号

           文件 'F:\个人重要资料(勿删)\guanyouan200\桌面\FlashBullet_DEMO1.3.1.129.exe'
           ID 00000150 的新进程已创建
00401000   ID 000009B0 的主线程已创建
00400000   模块 F:\个人重要资料(勿删)\guanyouan200\桌面\FlashBullet_DEMO1.3.1.129.exe
762F0000   模块 C:\WINDOWS\system32\msimg32.dll
76320000   模块 C:\WINDOWS\system32\comdlg32.dll
76990000   模块 C:\WINDOWS\system32\ole32.dll
76B10000   模块 C:\WINDOWS\system32\winmm.dll
770F0000   模块 C:\WINDOWS\system32\oleaut32.dll
77180000   模块 C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
77BD0000   模块 C:\WINDOWS\system32\version.dll
77BE0000   模块 C:\WINDOWS\system32\msvcrt.dll
77D10000   模块 C:\WINDOWS\system32\USER32.dll
77DA0000   模块 C:\WINDOWS\system32\ADVAPI32.dll
77E50000   模块 C:\WINDOWS\system32\RPCRT4.dll
77EF0000   模块 C:\WINDOWS\system32\GDI32.dll
77F40000   模块 C:\WINDOWS\system32\SHLWAPI.dll
77FC0000   模块 C:\WINDOWS\system32\Secur32.dll
7C800000   模块 C:\WINDOWS\system32\kernel32.dll
7C920000   模块 C:\WINDOWS\system32\ntdll.dll
7D590000   模块 C:\WINDOWS\system32\shell32.dll
7C92E4F4   断点位于 ntdll.KiFastSystemCallRet
           imgbase: 7C920000
           imgbasefromdisk: 7C920000
           tmp1: 7C9201D8 | ASCII ".text"
           1stsecsize: 00079FB6
           1stsecbase: 7C921000 | ntdll.RtlEnterCriticalSection
           tmp1: 7C920250 | ASCII ".reloc"
           lastsecsize: 00002E84
           lastsecbase: 7C9B0000
           isdll: 00000000
7C92E4F4   断点位于 ntdll.KiFastSystemCallRet
           dllimgbase: 7C920000
00400000   卸载 F:\个人重要资料(勿删)\guanyouan200\桌面\FlashBullet_DEMO1.3.1.129.exe
762F0000   卸载 C:\WINDOWS\system32\msimg32.dll
76320000   卸载 C:\WINDOWS\system32\comdlg32.dll
76990000   卸载 C:\WINDOWS\system32\ole32.dll
76B10000   卸载 C:\WINDOWS\system32\winmm.dll
770F0000   卸载 C:\WINDOWS\system32\oleaut32.dll
77180000   卸载 C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\comctl32.dll
77BD0000   卸载 C:\WINDOWS\system32\version.dll
77BE0000   卸载 C:\WINDOWS\system32\msvcrt.dll
77D10000   卸载 C:\WINDOWS\system32\USER32.dll
77DA0000   卸载 C:\WINDOWS\system32\ADVAPI32.dll
77E50000   卸载 C:\WINDOWS\system32\RPCRT4.dll
77EF0000   卸载 C:\WINDOWS\system32\GDI32.dll
77F40000   卸载 C:\WINDOWS\system32\SHLWAPI.dll
77FC0000   卸载 C:\WINDOWS\system32\Secur32.dll
7C800000   卸载 C:\WINDOWS\system32\kernel32.dll
7C920000   卸载 C:\WINDOWS\system32\ntdll.dll
7D590000   卸载 C:\WINDOWS\system32\shell32.dll
           进程已终止
           正在扫描导入库 '.\LIB\MFC42.Lib'
             已解析出 6384 个序号
           正在扫描导入库 '.\LIB\mfc71.Lib'
             已解析出 6442 个序号

           文件 'F:\个人重要资料(勿删)\guanyouan200\桌面\QQPetNurse.exe'
           ID 00000654 的新进程已创建
00401000   ID 00000740 的主线程已创建
00400000   模块 F:\个人重要资料(勿删)\guanyouan200\桌面\QQPetNurse.exe
5FDD0000   模块 C:\WINDOWS\system32\netapi32.dll
71A10000   模块 C:\WINDOWS\system32\WS2HELP.dll
71A20000   模块 C:\WINDOWS\system32\ws2_32.dll
72F70000   模块 C:\WINDOWS\system32\winspool.drv
74C90000   模块 C:\WINDOWS\system32\oledlg.dll
76320000   模块 C:\WINDOWS\system32\comdlg32.dll
76990000   模块 C:\WINDOWS\system32\ole32.dll
76C60000   模块 C:\WINDOWS\system32\imagehlp.dll
770F0000   模块 C:\WINDOWS\system32\oleaut32.dll
77180000   模块 C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\COMCTL32.dll
77BD0000   模块 C:\WINDOWS\system32\version.dll
77BE0000   模块 C:\WINDOWS\system32\msvcrt.dll
77D10000   模块 C:\WINDOWS\system32\user32.dll
77DA0000   模块 C:\WINDOWS\system32\ADVAPI32.dll
77E50000   模块 C:\WINDOWS\system32\RPCRT4.dll
77EF0000   模块 C:\WINDOWS\system32\GDI32.dll
77F40000   模块 C:\WINDOWS\system32\SHLWAPI.dll
77FC0000   模块 C:\WINDOWS\system32\Secur32.dll
7C800000   模块 C:\WINDOWS\system32\kernel32.dll
7C920000   模块 C:\WINDOWS\system32\ntdll.dll
7D590000   模块 C:\WINDOWS\system32\SHELL32.dll
7C92E4F4   断点位于 ntdll.KiFastSystemCallRet
           imgbase: 7C920000
           tmp1: 7C9201D8 | ASCII ".text"
           1stsecsize: 00079FB6
           1stsecbase: 7C921000 | ntdll.RtlEnterCriticalSection
7C92E4F4   断点位于 ntdll.KiFastSystemCallRet
           dllimgbase: 7C920000
           imgbase: 7C920000
           tmp1: 7C9201D8 | ASCII ".text"
           1stsecsize: 00079FB6
           1stsecbase: 7C921000 | ntdll.RtlEnterCriticalSection
7C92E4F4   断点位于 ntdll.KiFastSystemCallRet
           dllimgbase: 7C920000
00400000   卸载 F:\个人重要资料(勿删)\guanyouan200\桌面\QQPetNurse.exe
5FDD0000   卸载 C:\WINDOWS\system32\netapi32.dll
71A10000   卸载 C:\WINDOWS\system32\WS2HELP.dll
71A20000   卸载 C:\WINDOWS\system32\ws2_32.dll
72F70000   卸载 C:\WINDOWS\system32\winspool.drv
74C90000   卸载 C:\WINDOWS\system32\oledlg.dll
76320000   卸载 C:\WINDOWS\system32\comdlg32.dll
76990000   卸载 C:\WINDOWS\system32\ole32.dll
76C60000   卸载 C:\WINDOWS\system32\imagehlp.dll
770F0000   卸载 C:\WINDOWS\system32\oleaut32.dll
77180000   卸载 C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\COMCTL32.dll
77BD0000   卸载 C:\WINDOWS\system32\version.dll
77BE0000   卸载 C:\WINDOWS\system32\msvcrt.dll
77D10000   卸载 C:\WINDOWS\system32\user32.dll
77DA0000   卸载 C:\WINDOWS\system32\ADVAPI32.dll
77E50000   卸载 C:\WINDOWS\system32\RPCRT4.dll
77EF0000   卸载 C:\WINDOWS\system32\GDI32.dll
77F40000   卸载 C:\WINDOWS\system32\SHLWAPI.dll
77FC0000   卸载 C:\WINDOWS\system32\Secur32.dll
7C800000   卸载 C:\WINDOWS\system32\kernel32.dll
7C920000   卸载 C:\WINDOWS\system32\ntdll.dll
7D590000   卸载 C:\WINDOWS\system32\SHELL32.dll
           进程已终止
           正在扫描导入库 '.\LIB\MFC42.Lib'
             无法打开导入库
           正在扫描导入库 '.\LIB\mfc71.Lib'
             无法打开导入库

           文件 'F:\个人重要资料(勿删)\guanyouan200\桌面\QQPetNurse.exe'
           ID 000001D4 的新进程已创建
00401000   ID 00000984 的主线程已创建
00400000   模块 F:\个人重要资料(勿删)\guanyouan200\桌面\QQPetNurse.exe
5FDD0000   模块 C:\WINDOWS\system32\netapi32.dll
71A10000   模块 C:\WINDOWS\system32\WS2HELP.dll
71A20000   模块 C:\WINDOWS\system32\ws2_32.dll
72F70000   模块 C:\WINDOWS\system32\winspool.drv
74C90000   模块 C:\WINDOWS\system32\oledlg.dll
76320000   模块 C:\WINDOWS\system32\comdlg32.dll
76990000   模块 C:\WINDOWS\system32\ole32.dll
76C60000   模块 C:\WINDOWS\system32\imagehlp.dll
770F0000   模块 C:\WINDOWS\system32\oleaut32.dll
77180000   模块 C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.5512_x-ww_35d4ce83\COMCTL32.dll
77BD0000   模块 C:\WINDOWS\system32\version.dll
77BE0000   模块 C:\WINDOWS\system32\msvcrt.dll
77D10000   模块 C:\WINDOWS\system32\user32.dll
77DA0000   模块 C:\WINDOWS\system32\ADVAPI32.dll
77E50000   模块 C:\WINDOWS\system32\RPCRT4.dll
77EF0000   模块 C:\WINDOWS\system32\GDI32.dll
77F40000   模块 C:\WINDOWS\system32\SHLWAPI.dll
77FC0000   模块 C:\WINDOWS\system32\Secur32.dll
7C800000   模块 C:\WINDOWS\system32\kernel32.dll
7C920000   模块 C:\WINDOWS\system32\ntdll.dll
7D590000   模块 C:\WINDOWS\system32\SHELL32.dll
7C92E4F4   断点位于 ntdll.KiFastSystemCallRet
7C92E4F4   断点位于 ntdll.KiFastSystemCallRet

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

收藏
免费 ・0
支持
分享
最新回复 (5)
Feisu
雪    币： 1913
活跃值： (15)
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
你的OD有问题或者脚本有问题。我这里没问题。呵呵
           Address of IAT = 004D4000
           RVA of IAT = 000D4000
           Size of IAT = 000007C0
00C10042   断点位于 00C10042
           Address of OEP = 004A25D5
           RVA of OEP = 000A25D5
2008-6-19 19:03
0
生命延续
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
看得一头雾水，
2008-6-19 21:51
0
生命延续
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
不过支持下，希望有人能解决，
2008-6-19 21:58
0
guanyouan
雪    币： 178
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
额 也谢谢 呵呵 希望高手指点下
2008-6-25 21:20
0
wqrsksk
雪    币： 208
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
因为你点了 右键-用OD插件脱壳  这一项

如果你使用LoadPE  或 者直接修复脚本生成的脱壳文件是不会出现没有OEP信息这类情况的.
2008-6-25 21:23
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//