首页
社区
课程
招聘
[分享]谈谈我的某软件脱壳后的资源修复简单方法!
发表于: 2009-12-10 11:23 8418

[分享]谈谈我的某软件脱壳后的资源修复简单方法!

2009-12-10 11:23
8418
这是我第一次写这种文章,不知排版如何。由于该软件为外挂,所以不能上传,只能给图片了。
一、用通用脱壳软件gupak0.5给它脱壳,成功。
二、用LordPe查看脱壳后的文件。显示入口点为125ac,基址为400000。
三、用OD打开脱壳后的软件,停在入口处4125ac,往下看看,按照《加密解密三版》中的定位IAT的方法,看到有一个函数调用"call dword ptr[42d224]"在数据窗口中来到42d224,后面都为7开头的地址,可能就是输入函数地址了。上下翻翻就可以确定IAT的VA为42d000.
四、现在就是输入函数的确定了,我的认为是不管加了什么壳的软件,只要它运行起来,那它的IAT就可以确定了,输入函数也可以确定(当然也有可能是动态的)。这里先运行脱壳前的软件,用InportRec打开这个进程,在RVA中输入42d000-400000=2d000.OEP不变,因为这个是脱壳前的OEP。点获取输入表。成功,看来我们开始确定的地址是对的。
然后删除无效函数指针。把OEP改为125ac,点转储到文件,打开脱壳后的软件存储。运行脱壳后的软件,成功了。这个方法是不是很简单呢,不用去手动修复了。
这里提供这么一个方法,可能也是这个软件有点简单罢了。不知其它软件是不是这样能形,还望各位高手去探索分享了。

[培训]科锐逆向工程师培训第53期2025年7月8日开班!

上传的附件:
  • 1.JPG (19.27kb,155次下载)
  • 2.JPG (16.64kb,155次下载)
  • 3.JPG (20.69kb,154次下载)
  • 5.JPG (34.82kb,154次下载)
  • 6.JPG (122.10kb,159次下载)
  • 4.JPG (149.29kb,150次下载)
收藏
免费 0
支持
分享
最新回复 (7)
雪    币: 170
活跃值: (18)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
好雷啊~~~~~~~~~~~
2009-12-10 12:38
0
雪    币: 228
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
楼主说的“上下翻翻就可以确定IAT的VA为42d000 ”

不知如何理解?如何确定的?
2009-12-10 20:41
0
雪    币: 61
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
问题是删除掉那么多的无效函数指针 真的没问题吗!!!
2009-12-10 22:25
0
雪    币: 91
活跃值: (11)
能力值: ( LV3,RANK:20 )
在线值:
发帖
回帖
粉丝
5
IAT的确定可以参见《加密与解密》三版中的手动恢复输入表那一章节,讲得很详细。另外无效指针的删除是没有问题的,它是填写IAT信息中的size项较大造成读取过多指针的原因。
2009-12-10 22:37
0
雪    币: 14
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
楼主你辛苦了,但确实有点雷
2009-12-11 01:38
0
雪    币: 279
活跃值: (14)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
额 明明是IAT的修复,不是资源的修复
2009-12-11 09:16
0
雪    币: 1414
活跃值: (396)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
我目前的水平,还看不懂这些,保存,慢慢消化。
2009-12-13 19:57
0
游客
登录 | 注册 方可回帖
返回