首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[求助]delphi反编译 获取资源
发表于: 2008-12-31 13:19 11256

[求助]delphi反编译 获取资源

renhongfei 活跃值
2008-12-31 13:19
11256
求助破解资源文件

1.首先，我用peid得出是 ASPack2.12->Alexey Solodovnikov加了壳的

2.我用ASPack_u_11自动脱壳后，再次用peid查看显示 Borland Delphi6.0-7.0
   判断程序应该是 delphi编写的。

3.用dede反编译脱壳后的exe 得出的项目文件，用delphi7打开提示何资源文件没找到

4.用PE Explorer和eXeScope查看脱壳后的exe，普通信息均能正常得到，但TxT下
  有个资源文件是乱码，
  PE Explorer提示： PE Explorer can not validate the content of the data

个人觉得，这个没能识别的资源文件有一下两个可能
  1.可能是被特殊加密的数据文件
  2.可能是用vc++或borland c++等语言访问数据文件，之后封装的dll

对于第一种可能，我试着从dede反编译出来的汇编入手(大学学的汇编都还给老师，基本不会什么了)，看到一句提示
     * Possible String Reference to: '动态链接库xxx.dll初始化失败!'
       |  004AC023   B8D4C04A00             mov     eax, $004AC0D4
基本确认了第二种的可能更大

于是，我PE Explorer 导出那个无法识别的资源，命名为  xxx.dll用peid、ExEinfoPE查看，均显示  Not a valid PE file！！！

附件为，我用PE Explorer 导出的那个资源文件，也不知道后缀名该是什么，就命名为xxx.dll了

请问各位大哥，接下来我该怎么办呀，或者有谁能帮我看看dede反汇编的文件呀，可能会有新的线索

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：
收藏
免费 ・0
支持
分享
最新回复 (4)
tesfay
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
2 楼
我也是DELPHI的程序,调试到这找不到破解的口.其中有一个MESSAGEBOXA是未注册提示.哪位帮帮忙..指导下!
反汇编后注册代码段如下:
00653F10   . 8C376500       DD DDS_W.0065378C
00653F14 >/$ 55             PUSH EBP                                 ;  注册模块
00653F15  |. 8BEC           MOV EBP,ESP
00653F17  |. 83C4 E8        ADD ESP,-18
00653F1A  |. 53             PUSH EBX
00653F1B  |. 33C0           XOR EAX,EAX
00653F1D  |. 8945 EC        MOV DWORD PTR SS:[EBP-14],EAX
00653F20  |. 8945 E8        MOV DWORD PTR SS:[EBP-18],EAX
00653F23  |. B8 B4376500    MOV EAX,DDS_W.006537B4
00653F28  |. E8 7B31DBFF    CALL DDS_W.004070A8
00653F2D  |. 33C0           XOR EAX,EAX
00653F2F  |. 55             PUSH EBP
00653F30  |. 68 11406500    PUSH DDS_W.00654011
00653F35  |. 64:FF30        PUSH DWORD PTR FS:[EAX]
00653F38  |. 64:8920        MOV DWORD PTR FS:[EAX],ESP
00653F3B  |. A1 6C0B6600    MOV EAX,DWORD PTR DS:[660B6C]
00653F40  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
00653F42  |. E8 3594E4FF    CALL DDS_W.0049D37C
00653F47  |. A1 6C0B6600    MOV EAX,DWORD PTR DS:[660B6C]
00653F4C  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
00653F4E  |. BA 28406500    MOV EDX,DDS_W.00654028                   ;  ASCII "DDS_Server"
00653F53  |. E8 1C90E4FF    CALL DDS_W.0049CF74
00653F58  |. 68 34406500    PUSH DDS_W.00654034                      ; /Arg3 = 00654034 ASCII "DDS_Server"
00653F5D  |. 6A 00          PUSH 0                                   ; |Arg2 = 00000000
00653F5F  |. 6A 00          PUSH 0                                   ; |Arg1 = 00000000
00653F61  |. E8 2634DBFF    CALL DDS_W.0040738C                      ; \DDS_W.0040738C
00653F66  |. 8BD8           MOV EBX,EAX
00653F68  |. E8 7F35DBFF    CALL <JMP.&kernel32.GetLastError>        ; [GetLastError
00653F6D  |. 3D B7000000    CMP EAX,0B7
00653F72  |. 75 46          JNZ SHORT DDS_W.00653FBA
00653F74  |. 6A 30          PUSH 30
00653F76  |. 8D55 EC        LEA EDX,DWORD PTR SS:[EBP-14]
00653F79  |. B8 48406500    MOV EAX,DDS_W.00654048                   ;  ASCII "idinfo"
00653F7E  |. E8 C91FF4FF    CALL DDS_W.00595F4C
00653F83  |. 8B45 EC        MOV EAX,DWORD PTR SS:[EBP-14]
00653F86  |. E8 3D0FDBFF    CALL DDS_W.00404EC8
00653F8B  |. 50             PUSH EAX
00653F8C  |. 8D55 E8        LEA EDX,DWORD PTR SS:[EBP-18]
00653F8F  |. B8 58406500    MOV EAX,DDS_W.00654058                   ;  ASCII "hasrun"
00653F94  |. E8 B31FF4FF    CALL DDS_W.00595F4C
00653F99  |. 8B45 E8        MOV EAX,DWORD PTR SS:[EBP-18]
00653F9C  |. E8 270FDBFF    CALL DDS_W.00404EC8
00653FA1  |. 50             PUSH EAX                                 ; |Text
00653FA2  |. A1 6C0B6600    MOV EAX,DWORD PTR DS:[660B6C]            ; |
00653FA7  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]               ; |
00653FA9  |. 8B40 30        MOV EAX,DWORD PTR DS:[EAX+30]            ; |
00653FAC  |. 50             PUSH EAX                                 ; |hOwner
00653FAD     E8 A23FDBFF    CALL <JMP.&user32.MessageBoxA>                        此处为未注册提示框!!!!!!00653FB2  |. 53             PUSH EBX                                 ; /hMutex
00653FB3  |. E8 E436DBFF    CALL <JMP.&kernel32.ReleaseMutex>        ; \ReleaseMutex
00653FB8  |. EB 3C          JMP SHORT DDS_W.00653FF6
00653FBA  |> 8B0D 300C6600  MOV ECX,DWORD PTR DS:[660C30]            ;  DDS_W.00663CA8
00653FC0  |. A1 6C0B6600    MOV EAX,DWORD PTR DS:[660B6C]
00653FC5  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
00653FC7  |. 8B15 A0755E00  MOV EDX,DWORD PTR DS:[5E75A0]            ;  DDS_W.005E75EC
00653FCD  |. E8 C293E4FF    CALL DDS_W.0049D394
00653FD2  |. 8B0D 8C076600  MOV ECX,DWORD PTR DS:[66078C]            ;  DDS_W.00664150
00653FD8  |. A1 6C0B6600    MOV EAX,DWORD PTR DS:[660B6C]
00653FDD  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
00653FDF  |. 8B15 641F6500  MOV EDX,DWORD PTR DS:[651F64]            ;  DDS_W.00651FB0
00653FE5  |. E8 AA93E4FF    CALL DDS_W.0049D394
00653FEA  |. A1 6C0B6600    MOV EAX,DWORD PTR DS:[660B6C]
00653FEF  |. 8B00           MOV EAX,DWORD PTR DS:[EAX]
00653FF1  |. E8 1E94E4FF    CALL DDS_W.0049D414
00653FF6  |> 33C0           XOR EAX,EAX
00653FF8  |. 5A             POP EDX
00653FF9  |. 59             POP ECX
00653FFA  |. 59             POP ECX
00653FFB  |. 64:8910        MOV DWORD PTR FS:[EAX],EDX
00653FFE  |. 68 18406500    PUSH DDS_W.00654018
00654003  |> 8D45 E8        LEA EAX,DWORD PTR SS:[EBP-18]
00654006  |. BA 02000000    MOV EDX,2
0065400B  |. E8 0C0ADBFF    CALL DDS_W.00404A1C
00654010  \. C3             RETN
00654011   .^E9 8202DBFF    JMP DDS_W.00404298
00654016   .^EB EB          JMP SHORT DDS_W.00654003
00654018     5B             DB 5B                                    ;  CHAR '['
00654019     E8             DB E8
0065401A     66             DB 66                                    ;  CHAR 'f'
0065401B     08             DB 08
2008-12-31 15:19
0
tesfay
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
有没有人在啊!
2008-12-31 16:45
0
jerrylhj
雪    币： 349
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
4 楼
00653F72  |. 75 46          JNZ SHORT DDS_W.00653FBA
把jnz改为jz试试

1楼的，你重新发一贴不就行了。回复和楼主帖子内容无关的帖子。
2009-1-1 11:35
0
tesfay
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
00653F72  |. 75 46          JNZ SHORT DDS_W.00653FBA
把jnz改为jz试试
这段我改过，运行后发现是软件是否重复启动判断的提示！
我上面贴的代码是程序的最后一段，也就是说判断程序是否注册，如果是则跳到前面的代码开始执行．软件正常使用，我现在就是找不到跳入软件正常运行的入口．
2009-1-1 21:10
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//