能力值：
( LV2，RANK：10 )
2 楼
路过，下载了，看了下，搞不定
能力值：
( LV7，RANK：110 )
3 楼
先在数据 DATA段 F2下段 F9运行，然后CODE 段F2下段F9运行，然后F8单步（不往上跳 ）直接跳到OEP 0045671C 找到IAT
能力值：
( LV2，RANK：10 )
4 楼
NOD32 下载的时候直接报毒了，“可能是 Win32/Statik 潜在的不受欢迎的应用程序 的变种”
能力值：
( LV2，RANK：10 )
5 楼
请问liuheqiang:
我在跟踪时,按F9时显示
不知怎样调试
是不是OD设置不对,要不要隐藏OD?
上传的附件：
能力值：
( LV4，RANK：50 )
6 楼
应该是H大叔的0.46改的，不过有些代码现在没用了，可以考虑去掉
能力值：
( LV7，RANK：110 )
7 楼
[QUOTE=fiercelc;696769]请问liuheqiang:
我在跟踪时,按F9时显示
不知怎样调试
是不是OD设置不对,要不要隐藏OD?[/QUOTE]
这个我用的是 nooby调试 vmp的OD 那个OD 可以直接过大部分壳的
能力值：
( LV2，RANK：10 )
8 楼
1、载入后在代码段下内存写入断点
2、断下后取消断点往下找到最后的那个 JMP [esp-24] ,直接F4解码完毕到跳OEP
003D04CA 61 POPAD
003D04CB FF6424 DC JMP DWORD PTR SS:[ESP-0x24]
3、到OEP后执行一小段脚本，进行FF25恢复操作（这个壳的加密就是这里吧？）
4、附件是已经修复好的，没优化。test (忘记了一点，TLS要手动修复一下，把DataBlockStartVA修正为00461000 ，脱壳后默认是壳申请内存的地址)
上传的附件：
能力值：
( LV7，RANK：110 )
9 楼
[QUOTE=yzjsdn;696836]1、载入后在代码段下内存写入断点
能力值：
( LV2，RANK：10 )
10 楼
补上区段好像跨不了平台，他解码的IAT地址是你本机器的地址，你看看他解码的CALL就知道了
能力值：
( LV7，RANK：110 )
11 楼
谢谢回答 不过还是不会 修补 FF25 楼上能否共享一下脚本呢 让小菜学习一下怎么处理？感激不尽！
能力值：
( LV2，RANK：10 )
12 楼
[QUOTE=yzjsdn;696836]1、载入后在代码段下内存写入断点
能力值：
( LV4，RANK：50 )
13 楼
VAR addr
VAR temp
BPHWC
GPA "VirtualFree","kernel32.dll"
BP $RESULT
RUN
BC $RESULT
ALLOC 0B20
MOV addr,$RESULT
MEMCPY addr,003D1C83,0B20
BPHWS 0045671C,"x"
RUN
BPHWC
PUSH eax
PUSH esi
MOV esi,addr
loop:
MOV eax,[esi],4
CMP eax,0
JE over
AND eax,7fffffff
MOV [eax-6],25ff,2
MOV [eax-4],[esi+4],4
ADD esi,8
JMP loop
over:
POP esi
POP eax
FREE addr
MSG "IAT HAVE BEEN REPAIRED~"
RET
没啥通用性，随便玩玩
能力值：
( LV7，RANK：110 )
14 楼
谢谢楼上 先学习啊
能力值：
( LV2，RANK：10 )
15 楼
想请教楼主个问题，
能力值：
( LV2，RANK：10 )
16 楼
不是vmp的，呵呵搞定咯，就像楼上说的样，一个内存断点后，一切都暴露出来咯，包括你的反dump部分。
能力值：
( LV8，RANK：130 )
17 楼
现在水平还不够,学习中.......
能力值：
( LV2，RANK：10 )
18 楼
请问在什么位置下内存断点啊，怎么实现那种db xx的处理呢
能力值：
( LV2，RANK：10 )
19 楼
能力值：
( LV2，RANK：10 )
20 楼
新版的增加了个ANTI，还有OEP被偷了6字节，IAT跑段脚本完毕。
能力值：
( LV4，RANK：50 )
21 楼
强人一个，呵呵
能力值：
( LV2，RANK：10 )
22 楼
学习。。。。
能力值：
( LV4，RANK：50 )
23 楼
我连LZ第一个 载不到OD里，有花指令把，
能力值：
( LV2，RANK：10 )
24 楼
看不懂········
能力值：
( LV2，RANK：10 )
25 楼
iat 处理还可以！
