首页
社区
课程
招聘
[求助]谁帮我看看这个是不是oep
发表于: 2008-12-21 18:23 3335

[求助]谁帮我看看这个是不是oep

2008-12-21 18:23
3335
问题1
好像找到了oep,但不确定。请帮我看看!!
013F00C0    55                               push    ebp
013F00C1    8BEC                           mov     ebp, esp
013F00C3    6A FF                           push    -1
013F00C5    68 BE5F3F01               push    13F5FBE
013F00CA    64:A1 00000000         mov     eax, dword ptr fs:[0]
013F00D0    50                                push    eax
013F00D1    64:8925 0000000>     mov     dword ptr fs:[0], esp
013F00D8    51                               push    ecx
013F00D9    53                               push    ebx
013F00DA    56                                push    esi
013F00DB    57                                push    edi
013F00DC    8965 F0                      mov     dword ptr [ebp-10], esp
013F00DF    C745 FC 0000000>         mov     dword ptr [ebp-4], 0
013F00E6    8B45 08                        mov     eax, dword ptr [ebp+8]
013F00E9    50                               push    eax
013F00EA    E8 3C2CFFFF               call    013E2D2B
013F00EF    83C4 04                      add     esp, 4
013F00F2    C745 FC FFFFFFF>        mov     dword ptr [ebp-4], -1
013F00F9    8B4D F4                       mov     ecx, dword ptr [ebp-C]
013F00FC    64:890D 0000000>          mov     dword ptr fs:[0], ecx
013F0103    5F                                      pop     edi
013F0104    5E                                      pop     esi
013F0105    5B                                      pop     ebx
013F0106    8BE5                                mov     esp, ebp
013F0108    5D                                      pop     ebp
013F0109    C2 0400                             retn    4
013F010C    C745 FC FFFFFFF>              mov     dword ptr [ebp-4], -1
013F0113    B8 F9003F01                        mov     eax, 13F00F9
013F0118    C3                                            retn

本来昨天就想问大家的。。可是论坛规定一天只能发3回贴。
请大侠帮我看哈。

问题2:

为什么用OD载入程序后就报32位可执行文件的格式错误或格式未知,点确定后程序立即返回退出,怎么办?

问题3:

为什么在OD中修改无法保存到文件,没有保存到文件的菜单选项。怎么办?

问题4:

在OD中修改文件后,无论改什么地方。选择保存到文件报无法定位到文件。什么意思??怎么办?

因为论坛有限制,所以一次性多问些问题。。希望大侠指定。。

我QQ354190012

望好心人加我远程指点。

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 0
支持
分享
最新回复 (9)
雪    币: 420
活跃值: (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
怎么没有人回答我呀。。

郁闷
2008-12-21 19:02
0
雪    币: 2110
活跃值: (21)
能力值: (RANK:260 )
在线值:
发帖
回帖
粉丝
3
1.可以确定,这不是oep。

2.如果程序能运行但OD无法加载,说明文件头进行了变形处理,可以从论坛上搜索下载大牛修改过的OD版本。如果程序本来就不能运行,那就是脱壳后没有成功修复,它的格式本来就不正确,OD当然也就无法加载了。

3.试试先选中修改过的代码,然后再点右键看看,应该会有一个“复制到可执行文件”

4.无法定位到文件,一般来说是你修改的地方是程序运行过程中动态分配的内存空间,也就是说内存区域不是EXE文件的map。
2008-12-21 19:12
0
雪    币: 204
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
看上去不是OEP的。
2008-12-21 19:29
0
雪    币: 420
活跃值: (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
谢谢。。版主是好心人。
2008-12-21 19:30
0
雪    币: 420
活跃值: (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
为什么肯定不是OEP,,我把上面的代码跟VC++的程序oep代码比较过,,很像的。

你们判断oep怎么判断的呀??
2008-12-21 19:32
0
雪    币: 2110
活跃值: (21)
能力值: (RANK:260 )
在线值:
发帖
回帖
粉丝
7
很像是不行的,如果是VC的,必须是完全一样的。

比如VC6,很明显的标志就是

004038ED  |> \50            PUSH    EAX                               ; /Arg4
004038EE  |.  FF75 9C       PUSH    [LOCAL.25]                        ; |Arg3
004038F1  |.  56            PUSH    ESI                               ; |Arg2
004038F2  |.  56            PUSH    ESI                               ; |/pModule
004038F3  |.  FF15 3C604000 CALL    DWORD PTR DS:[<&kernel32.GetModul>; |\GetModuleHandleA
004038F9  |.  50            PUSH    EAX                               ; |Arg1
004038FA  |.  E8 3BD8FFFF   CALL    i注册机.0040113A                     ; \i注册机.0040113A



而其它VC的版本,也都跟你这个不一样。

其实在你给出的这个例子中,代码的地址范围根本不在模块代码段范围之内。这是临时解压的代码。甭说这不是OEP,就算是OEP,这也是被壳处理过的,是无法DUMP的。
2008-12-21 19:53
0
雪    币: 420
活跃值: (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
是不是如果每个Call都进去,,一定能找到OEP的吧??

一般手脱都是怎么做的?
2008-12-21 20:28
0
雪    币: 201
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
不是的
这个要慢慢积累哦
2008-12-22 00:08
0
雪    币: 427
活跃值: (65)
能力值: ( LV6,RANK:90 )
在线值:
发帖
回帖
粉丝
10
每个Call都进去


这样的话你猴年马月才能到OEP。。。
2008-12-22 00:18
0
游客
登录 | 注册 方可回帖
返回
//