-
-
[下载]脱壳版 ExeinfoPE v0.0.2.3 508 sign 2009.05.20
-
发表于: 2009-5-20 17:06
-
当前最新版为 ExeinfoPE v0.0.2.3 508 sign 2009.05.20
此软件无法侦测大于 96 M 的文件
以下内容为 ExeinfoPE v0.0.2.3 490 sign 2009.04.26 的说明
说一下为什么要脱这东西,好处有两点：
1 脱了之后可能稍候可以看到汉化版
2 也是最大的好处，脱壳后主程序启动要比原来快很多倍。
关于主程序的保护：
1 代码段被合并了，而且代码段的 RVA 在原程序被编译的时候被作者设置为一个很大的值，这样直接导致你 DUMP 后的文件变的巨大，我 DUMP 后大概是 97.5 M。作者算比较邪恶啊 :lol 这问题脱壳完成后用 LOADPE 重建一下OK了，主要是修正一下 VA 的大小，和给文件减肥。
2 脱壳后 IAT 方面是乱序，用 UIF 重建一下 OK 了
3 文件效验：如果你直接脱壳并且修复了 IAT 程序就可以运行了，但是你用 LOADPE 重建后再运行，程序会效验数据，并且锁键盘和鼠标，这点也挺邪恶的（比较烦感这类做法）。
但如果你用 LOADPE 减肥后，那这里的数据就不一定是什么了
我这里是 00 ，解决的方法就是打开内存窗口，搜索二进制数据 06 84 0A 11 在减肥后的文件中的位置
找到后修复 MOVZX EAX,BYTE PTR DS:[652BDDB] 为 MOVZX EAX,BYTE PTR DS:[xxxxxxxx]
我这里修复为: MOVZX EAX,BYTE PTR DS:[4000A7]
此软件无法侦测大于 96 M 的文件
以下内容为 ExeinfoPE v0.0.2.3 490 sign 2009.04.26 的说明
说一下为什么要脱这东西,好处有两点：
1 脱了之后可能稍候可以看到汉化版
2 也是最大的好处，脱壳后主程序启动要比原来快很多倍。
关于主程序的保护：
1 代码段被合并了，而且代码段的 RVA 在原程序被编译的时候被作者设置为一个很大的值，这样直接导致你 DUMP 后的文件变的巨大，我 DUMP 后大概是 97.5 M。作者算比较邪恶啊 :lol 这问题脱壳完成后用 LOADPE 重建一下OK了，主要是修正一下 VA 的大小，和给文件减肥。
2 脱壳后 IAT 方面是乱序，用 UIF 重建一下 OK 了
3 文件效验：如果你直接脱壳并且修复了 IAT 程序就可以运行了，但是你用 LOADPE 重建后再运行，程序会效验数据，并且锁键盘和鼠标，这点也挺邪恶的（比较烦感这类做法）。
004FB7F4 0FB605 DBBD5206 MOVZX EAX,BYTE PTR DS:[652BDDB] ; 这里效验数据 004FB7FB 3A45 EE CMP AL,BYTE PTR SS:[EBP-12] 004FB7FE 74 05 JE SHORT 004FB805 004FB800 E8 0B9BF0FF CALL 00405310 ; 进去就死 004FB805 FE05 503B5100 INC BYTE PTR DS:[513B50] 004FB80B A1 AC835200 MOV EAX,DWORD PTR DS:[5283AC] 004FB810 8B80 60030000 MOV EAX,DWORD PTR DS:[EAX+360] 004FB816 33D2 XOR EDX,EDX 004FB818 E8 DF6CF5FF CALL 004524FC 004FB81D 803D BABD5206 0>CMP BYTE PTR DS:[652BDBA],3 004FB824 75 12 JNZ SHORT 004FB838 004FB826 A1 AC835200 MOV EAX,DWORD PTR DS:[5283AC] 004FB82B 8B80 60030000 MOV EAX,DWORD PTR DS:[EAX+360] 004FB831 B2 01 MOV DL,1 004FB833 E8 C46CF5FF CALL 004524FC 004FB838 6A 00 PUSH 0 ; 这里键盘鼠标解锁脱壳后用 LOADPE 给文件减肥之前 [652BDDB] 的数据在 DUMP 窗口中为：06 84 0A 11
但如果你用 LOADPE 减肥后，那这里的数据就不一定是什么了
我这里是 00 ，解决的方法就是打开内存窗口，搜索二进制数据 06 84 0A 11 在减肥后的文件中的位置
找到后修复 MOVZX EAX,BYTE PTR DS:[652BDDB] 为 MOVZX EAX,BYTE PTR DS:[xxxxxxxx]
我这里修复为: MOVZX EAX,BYTE PTR DS:[4000A7]
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
哦?以前不是UPX的吗?换了?下下来运行出错~
 原版哪有下?
|
|
|
ExeInfoPE v.0.0.2.3 500 sign 2009.05.05 在我的机子上运行出错，我的系统为XPSP3
|
|
|
|
|
|
|
|
|
[QUOTE=lifeiyu;629009]ExeInfoPE v.0.0.2.3 500 sign 2009.05.05 在我的机子上运行出错，我的系统为XPSP3
[/QUOTE]500 出错的都试下下面这个看看 一楼包中已修正。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
