|
|
|---|---|
|
|
 重定位多了項那个sizeofblock 要加大。 按图片放大 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我也是用OD写的。
先补好引入表和导出表（大家的步骤都差不多,就略过了），然后开始写代码  图1 开始写代码 003E10CA >/$ 6A 01 push 1 ; /ShowState = SW_SHOWNORMAL 003E10CC |. 68 D8104000 push 4010D8 ; |CmdLine = 004010D8 ??? 003E10D1 |. FF15 14204000 call dword ptr [402014] ; \WinExec 003E10D7 \. C3 retn 003E10D8 . 65 78 70 6C 6>ascii "explorer http://" 003E10E8 . 77 77 77 2E 7>ascii "www.pediy.com",0 现在OD里面PEDIY.DLL基址是003E0000 如果用LordPE察看PEDIY.DLL,镜像基址是00400000 写代码的时候要按照00400000写，所以第二个push和call里面的地址是004010D8和00402014,因为 字符串地址=003E10D8(从OD里面看）-003E0000（OD里面DLL基址）+00400000(LordPE里面镜像基址）= 004010D8 同理WinExec的导入表地址=003E2014-003E0000+00400000=00402014 然后看一下需要重定位的地址（在OD里面）是003E10CD和003E10D3,换算成LordPE里面要用到的地址 003E10CD-003E0000+00400000=004010CD 003E10D3-003E0000+00400000=004010D3 关了OD,打开LordPE>Directory>Relocation>HexEdit  图2 编辑前  图3 编辑前2 Offset的计算 004010CD-00401000=0CD 004010D3-00401000=0D3 Type都是3 （IMAGE_REL_BASED_HIGHLOW） 我也是第一次改重定位项，看PE文档上说每一个重定位块都开始于32的倍数，虽然不知道大小怎么办，干脆就用0x30当大小了，反正后面都是0，无所谓。外面在Directories里面也要改大小。  图4 编辑后  图5 编辑后2  图6 编辑后3 重新用OD载入，完工了。  图7 完成 |
|
|
我也有这个问题,我用的
008B1175 . 68 80308B00 push 008B3080 ; 执行打开网页的功能 008B117A . FF15 18208B00 call dword ptr [<&SHELL32.ShellExecut>; SHELL32.ShellExecuteExA 怪了,在自己电脑上,运行乱弹MessageBoxA,有时还出错,换台电脑， 一切ok,搞不明白  ,哪个大牛解释一下
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
晕.......大家玩的这么开心，题目在哪里啊
 哈哈， 找到了，晕死，从来就没看过置顶贴 |
|
|
好热闹。。也来吹个牛。。。修改注册表。加启动参数。0字节。。
 不过估计不合题意了。。。
|
|
|
学习中，方法看来真的很多，自己当时怎么就想不出来呢
|
