首页
社区
课程
招聘
EnCryptPE2003.5.18继OEP之IAT修复问题
发表于: 2004-12-12 12:27 4444

EnCryptPE2003.5.18继OEP之IAT修复问题

2004-12-12 12:27
4444
在下首次碰到一个OEP的困惑~~~~~oep超过了程序的长度,importREC没办法修,请帮忙看一下,我的OEP有没有找对!

http://61.141.32.79:6666/Musky1.9+.exe

7119CF49    64:FF35 0000000>PUSH DWORD PTR FS:[0]
7119CF50    64:8925 0000000>MOV DWORD PTR FS:[0],ESP
7119CF57    CC              INT3 〈――断在此处,看堆栈
7119CF58    90              NOP
7119CF59    64:8F05 0000000>POP DWORD PTR FS:[0]
7119CF60    C3              RETN
7119CF61    C3              RETN

堆栈:
0012F7A0   0012F8E0  指针到下一个 SEH 记录
0012F7A4   7119CE8D  SE 句柄     〈――过去断
0012F7A8   711A37BF  返回到 V1200351.711A37BF 来自 V1200351.7119CE88
0012F7AC   00000001

7119CE8D    53              PUSH EBX
7119CE8E    52              PUSH EDX
7119CE8F    8B5C24 14       MOV EBX,DWORD PTR SS:[ESP+14]
7119CE93    8B93 C4000000   MOV EDX,DWORD PTR DS:[EBX+C4]
7119CE99    8B83 C0000000   MOV EAX,DWORD PTR DS:[EBX+C0]
7119CE9F    A3 38F61B71     MOV DWORD PTR DS:[711BF638],EAX
7119CEA4    E8 8F040000     CALL V1200351.7119D338
7119CEA9    9C              PUSHFD
7119CEAA    58              POP EAX
7119CEAB    A3 38F61B71     MOV DWORD PTR DS:[711BF638],EAX
7119CEB0    E8 83040000     CALL V1200351.7119D338
7119CEB5    8B83 B8000000   MOV EAX,DWORD PTR DS:[EBX+B8]
7119CEBB    40              INC EAX
7119CEBC    8983 B8000000   MOV DWORD PTR DS:[EBX+B8],EAX
7119CEC2    8B4424 0C       MOV EAX,DWORD PTR SS:[ESP+C]
7119CEC6    8B00            MOV EAX,DWORD PTR DS:[EAX]
7119CEC8    3D 03000080     CMP EAX,80000003
7119CECD    75 71           JNZ SHORT V1200351.7119CF40
7119CECF    803D 54F61B71 0>CMP BYTE PTR DS:[711BF654],1
7119CED6    74 4F           JE SHORT V1200351.7119CF27
7119CED8    8B42 0C         MOV EAX,DWORD PTR DS:[EDX+C]
7119CEDB    8983 9C000000   MOV DWORD PTR DS:[EBX+9C],EAX
7119CEE1    8B42 10         MOV EAX,DWORD PTR DS:[EDX+10]
7119CEE4    8983 A0000000   MOV DWORD PTR DS:[EBX+A0],EAX
7119CEEA    8B42 14         MOV EAX,DWORD PTR DS:[EDX+14]
7119CEED    8983 B4000000   MOV DWORD PTR DS:[EBX+B4],EAX
7119CEF3    8B42 1C         MOV EAX,DWORD PTR DS:[EDX+1C]
7119CEF6    8983 A4000000   MOV DWORD PTR DS:[EBX+A4],EAX
7119CEFC    8B42 20         MOV EAX,DWORD PTR DS:[EDX+20]
7119CEFF    8983 A8000000   MOV DWORD PTR DS:[EBX+A8],EAX
7119CF05    8B42 24         MOV EAX,DWORD PTR DS:[EDX+24]
7119CF08    8983 AC000000   MOV DWORD PTR DS:[EBX+AC],EAX
7119CF0E    8B42 28         MOV EAX,DWORD PTR DS:[EDX+28]  〈――F4到这里,看到OEP为017735B8
7119CF11    8983 B0000000   MOV DWORD PTR DS:[EBX+B0],EAX
7119CF17    8B02            MOV EAX,DWORD PTR DS:[EDX]
7119CF19    8942 24         MOV DWORD PTR DS:[EDX+24],EAX
7119CF1C    89D0            MOV EAX,EDX
7119CF1E    83C0 24         ADD EAX,24

直接到017735B8下硬件执行断点,F9到017735B8!!!

问题:这个是不是OEP??看上去的确是OEP,但是如果这个是OEP在importREC怎么修复????????
ImportREC显示:
映像基地址:00400000 大小:00294000   =00694000<017735B8
超过范围了!!!!!!!!!!!!!!!!!!!!!!

最初由 fly 发布
00538EA4 55 push ebp
00538EA5 8BEC mov ebp,esp
00538EA7 83C4 F0 add esp,-10
00538EAA B8 A4885300 mov eax,MUSky.005388A4
00538EAF E8 A0DEECFF call MUSky.00406D54
........

OEP搞定,但是IAT修复困难.....不知道如何下手!(在线等)

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

收藏
免费 1
支持
分享
最新回复 (9)
雪    币: 303
活跃值: (466)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
应该不是OEP
2004-12-12 13:35
0
雪    币: 222
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
为什么不是呢?按照fly的教程,依葫芦画瓢,应该就是啊!!
脱记事本的时候这里就是oep!!
2004-12-12 16:34
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
4
00538EA4     55                push ebp
00538EA5     8BEC              mov ebp,esp
00538EA7     83C4 F0           add esp,-10
00538EAA     B8 A4885300       mov eax,MUSky.005388A4
00538EAF     E8 A0DEECFF       call MUSky.00406D54
00538EB4     A1 10D45300       mov eax,dword ptr ds:[53D410]
00538EB9     8B00              mov eax,dword ptr ds:[eax]
00538EBB     E8 2012F3FF       call MUSky.0046A0E0

别忘了Musky.dll也是这个壳
2004-12-12 18:47
0
雪    币: 216
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
还有个winxps.xskn这个文件也加了壳~~
2004-12-12 21:38
0
雪    币: 222
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
最初由 fly 发布
00538EA4 55 push ebp
00538EA5 8BEC mov ebp,esp
00538EA7 83C4 F0 add esp,-10
00538EAA B8 A4885300 mov eax,MUSky.005388A4
00538EAF E8 A0DEECFF call MUSky.00406D54
........


TKS.  Fly!
托您的福,OEP找到了,但是这个东东的IAT修复不了~~~能否给点提示??
(奋斗了两天,无果....只能求助)
2004-12-13 00:04
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
7
很多时候需要自己多加努力
论坛内关于epe旧版的脱壳教程已经有几篇了
多看看
2004-12-13 08:40
0
雪    币: 222
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
我不是没有看过,看了好多文章,EPE的记事本随便怎么脱怎么修复都没问题,但是这个东西随便怎么翻来覆去的搞就是修复不了!
2004-12-13 10:11
0
雪    币: 898
活跃值: (4039)
能力值: ( LV9,RANK:3410 )
在线值:
发帖
回帖
粉丝
9
你可以看一下epe主程序
修复主程序可以运行了,对付这个自然没问题
看文章不是溜一眼就能全部掌握了
2004-12-13 10:29
0
雪    币: 203
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
修复我问题你可以看一下spring大侠的轻松脱壳epe的文章,
注意一下他说的,不要下硬件断点,后面那里,他特别说了一下的,你看看我就是注意了那里搞定的,希望可以提醒到你,
如果不可以加我qq,给你作一个动画!或者是我帮你修复,
fly很热情的,给你回答这样多次,呵呵,
2004-12-15 13:54
0
游客
登录 | 注册 方可回帖
返回
//