-
-
[求助]脱tElock壳后无法正常运行！
-
发表于: 2008-12-29 15:27
-
今天拿一个教程学习了一下最后一次异常法脱壳，拿一个壳来练手，跟了很久，感觉是脱掉了！
但是脱壳后不能正常运行，用Import修复了一下，发现非法函数！无法修复，不知道为什么啊！
帮我看看啊，谢谢了~~
用LP重建PE也不能用~~
这是记事本加tElock的壳的文件~~
————————————————————
tElock.rar
————————————————————
但是脱壳后不能正常运行，用Import修复了一下，发现非法函数！无法修复，不知道为什么啊！
帮我看看啊，谢谢了~~
用LP重建PE也不能用~~
这是记事本加tElock的壳的文件~~
————————————————————
tElock.rar
————————————————————
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
楼主这个ImportREC汉化的实在。。。
 我指汉化者。 |
|
|
|
|
|
如Peeler大所说，找MagicJUMP~~~~~~
 不想手动，更直接的办法，找个插件。 |
|
|
谢谢版版啊，我用ImportRec已经追踪过了，都是无效！用OD手动还原函数指针，我还不清楚，指导啊，谢谢了~~
|
|
|
|
|
|
|
|
|
谢谢Ella，都用了试了一下，修复了不少，不过还是有许多无效的！
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
再次谢谢peeler，刚去试了一下，
本来是在异常状态下进行脱壳的，没有忽略所有异常， 结果下了bp VirtualAlloc+5 断点，狂按SHIFT+F9 30多下都没特殊反映， 后来改了忽略所有异常才行，按了5次，返回，修改了magic jmp， 代码段下了了断点，dump了， 但是在修复IAT 时，还是遇到了无效函数，不过少多了，只有七个了，  然后用Ella提供的几个插件修复了一下，搞定六个，还有各一始终都不行，  还是不能修复，没办法，我把这个指针删除了，在修复一下，可以了，文件也能打开了。 查壳是没有，不知道这样行不行！ 这方法能用其他上面么，下bp VirtualAlloc+5，是什么原理啊， 内存镜像断点在之后下啊？ 修改magic jmp有什么规律，怎么确定啊？谢谢peeler指导啊！ |
|
|
|
|
|
|
|
|
|
|
|
 这个学习下.
|
|
|
|
|
|
谢谢peeler多多指导啊，学习了，呵呵！
又学了kanxue老大的,内存断点找OEP，二次多次内存断点还是清楚多了~~ 哈~
|
|
|
|
|
|
|
|
|
|
