首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[原创]对一个IAT加密壳的分析
发表于: 2009-7-7 22:24 24576

[原创]对一个IAT加密壳的分析

不问年少 活跃值
15
2009-7-7 22:24
24576

查看主题内容

收藏
免费 ・7
支持
分享
最新回复 (52)
怀特迈恩
雪    币： 444
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
51 楼
16楼说很清楚了。
2009-8-11 09:22
0
lzpfmh
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
52 楼
好文，不错，留个脚印，学习下
2009-8-31 08:11
0
ggttttgg
雪    币： 213
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
53 楼
樓主請教一下 !
跟著你的教程到了以下地址..nop 掉了003614D9/003614E6兩處但沒有成功還原iat ...  請指出 ...

003614A7    C783 CC1A0010 0>MOV DWORD PTR DS:[EBX+10001ACC],0
003614B1    8B02            MOV EAX,DWORD PTR DS:[EDX]
003614B3    85C0            TEST EAX,EAX                             ; CorePlay.00652A41
003614B5    74 67           JE SHORT 0036151E
003614B7    52              PUSH EDX                                 ; CorePlay.006525D4
003614B8    8983 CC1A0010   MOV DWORD PTR DS:[EBX+10001ACC],EAX      ; CorePlay.00652A41
003614BE    A9 00000080     TEST EAX,80000000
003614C3    74 09           JE SHORT 003614CE
003614C5    25 FFFFFF7F     AND EAX,7FFFFFFF
003614CA    6A 00           PUSH 0
003614CC    EB 0E           JMP SHORT 003614DC
003614CE    8B4D 08         MOV ECX,DWORD PTR SS:[EBP+8]
003614D1    0341 08         ADD EAX,DWORD PTR DS:[ECX+8]
003614D4    33C9            XOR ECX,ECX                              ; kernel32.7C80E800
003614D6    66:8B08         MOV CX,WORD PTR DS:[EAX]
003614D9    51              PUSH ECX                                 ; kernel32.7C80E800
003614DA    40              INC EAX                                  ; CorePlay.00652A41
003614DB    40              INC EAX                                  ; CorePlay.00652A41
003614DC    50              PUSH EAX                                 ; CorePlay.00652A41
003614DD    FF75 FC         PUSH DWORD PTR SS:[EBP-4]                ; kernel32.7C800000
003614E0    FF93 0A210010   CALL DWORD PTR DS:[EBX+1000210A]
003614E6    5A              POP EDX                                  ; CorePlay.0065247C
003614E7    50              PUSH EAX                                 ; CorePlay.00652A41
003614E8    8B02            MOV EAX,DWORD PTR DS:[EDX]
003614EA    A9 00000080     TEST EAX,80000000
003614EF    75 18           JNZ SHORT 00361509
003614F1    8B4D 08         MOV ECX,DWORD PTR SS:[EBP+8]
003614F4    0341 08         ADD EAX,DWORD PTR DS:[ECX+8]
003614F7    C600 00         MOV BYTE PTR DS:[EAX],0
003614FA    40              INC EAX                                  ; CorePlay.00652A41
003614FB    C600 00         MOV BYTE PTR DS:[EAX],0
003614FE    40              INC EAX                                  ; CorePlay.00652A41
003614FF    8A08            MOV CL,BYTE PTR DS:[EAX]
00361501    C600 00         MOV BYTE PTR DS:[EAX],0
00361504    40              INC EAX                                  ; CorePlay.00652A41
00361505    84C9            TEST CL,CL
00361507  ^ 75 F6           JNZ SHORT 003614FF
00361509    58              POP EAX                                  ; CorePlay.0065247C
0036150A    85C0            TEST EAX,EAX                             ; CorePlay.00652A41
0036150C  ^ 0F84 3FFFFFFF   JE 00361451
00361512    8906            MOV DWORD PTR DS:[ESI],EAX               ; CorePlay.00652A41
00361514    8902            MOV DWORD PTR DS:[EDX],EAX               ; CorePlay.00652A41
00361516    83C2 04         ADD EDX,4
00361519    83C6 04         ADD ESI,4
0036151C  ^ EB 89           JMP SHORT 003614A7
2009-9-17 14:10
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//