欧美bbbwbbbw肥妇,免费乱码人妻系列日韩,一级黄片

ACProtect Professional 1.3C 主程序脫殼(2)(圖)

互聯(lián)網(wǎng)   發(fā)布時(shí)間：2008-10-08 19:05:27   作者：佚名   我要評(píng)論
4. dump 根據(jù)脫US UnpackMe的經(jīng)驗(yàn),不能在false OEP處dump,此時(shí)BSS section中許多數(shù)據(jù)已經(jīng)初始化了。最好在第一句(push ebp)就dump。可是那個(gè)push ebp離false OEP很遠(yuǎn)L。 Packer EP的初始化環(huán)境: 先看看發(fā)出第1個(gè)call的殼代碼:
第7次div 0異常時(shí):




注意ebp的值已經(jīng)入棧了。Pushad的結(jié)果,對(duì)應(yīng)寄存器值為:
esp = 12FFC0 (原來為12FFC4)
ebp = 12FFC0 = esp (原來為12FFF0)
看看BSS section:




全為0,就在這里dump。如果需要仔細(xì)跟stolen code,也可以從這里入手(可以從腳本停下的第6次div 0異常處理后開始)。

先用4D9DE4為OEP。



用LoadPE查看節(jié)表:


先把CODE的Vsize和Rsize加大,以避免修復(fù)stolen codes時(shí)空間不夠。



重新跟到false OEP(4D9E37)。重建輸入表。



用了Add new section,會(huì)不會(huì)有問題(好象有篇脫文里提到過這個(gè))? 先這樣處理。
用IDA編譯dumped_.exe,結(jié)果不錯(cuò)。
現(xiàn)在剩下stolen code和replaced code。
5. 修復(fù)stolen code

既然不打算仔細(xì)跟,就只有猜了。對(duì)執(zhí)行第1個(gè)call以前的stolen code進(jìn)行猜測(cè),應(yīng)該是安全的。后面的4次call需要仔細(xì)看看。

1) call 406EDC

在IDA中看dumped_.exe的結(jié)果:


先執(zhí)行腳本,停下后只勾選div 0異常。直到73A9AF。經(jīng)過一番遮遮掩掩的代碼:


在call前的寄存器:


堆棧:


call完后,下面的pushad為分界線,標(biāo)識(shí)stolen code的結(jié)束。所以到這里的stolen code為(對(duì)于不確定的,可以在Packer EP修改寄存器值,到這里核對(duì)):
Call完后,pushad前的環(huán)境:




相關(guān)文章

最新評(píng)論