[求助]请教关于Armadillo3.05脱壳问题(已解决)-加壳脱壳-看雪-安全社区|安全招聘|kanxue.com

[求助]请教关于Armadillo3.05脱壳问题(已解决)

发表于: 2006-11-30 21:44 4932

[求助]请教关于Armadillo3.05脱壳问题(已解决)

chenhuazi

2006-11-30 21:44

4932

用ARMAFP查得：
======== 30-11-2006 21:35:03 ========
C:\Documents and Settings\hua\桌面\a.exe
▲ 目标经Armadillo保护
保护系统授权等级(标准版)
【程序所使用保护模式】
屏蔽调试器
双进程模式
【备份密钥设置】
无任何注册表操作
【程序压缩设置】
较好/较慢地压缩方式
【其它保护设置】
▲ 版本号 3.05

我已经Dump下dump.exe,但不知如何修复输入表和IAT？
我偿试过如下：

重新载入主程序窗口！

下断bp DebugActiveProcess，F9

堆栈
0012BCC0 0057FDEA  /CALL 到 DebugActiveProcess 来自 2wmxvip2.0057FDE4
0012BCC4 00000184  \ProcessId = 6EC  //子程序的ID，这个是会变化的~我们现在看到的就不一样了

~
0012BCC8 0012FF2C

OK，我们就用刚才载入dump.exe的那个OD，附加6EC子程序！

然后按Alt+F9返回！

0058FD93 2>- EB FE                jmp short 2wmxvip2.<ModuleEntryPo>  //还原代码，修改成55

8B
0058FD95    EC                   in al,dx
0058FD96    6A FF                push -1

=====>

0058FD93 2>  55                   push ebp
0058FD94    8BEC                mov ebp,esp
0058FD96    6A FF                push -1

*******************************************
下断BP OpenMutexA，来到00401000

填充以下欺骗代码

00401000    60             pushad
00401001    9C             pushfd
00401002    68 ECDD1200    push 12DDEC  ***堆栈看到的             ; ASCII

"7FC::DA41D7C155"
00401007    33C0             xor eax,eax
00401009    50             push eax
0040100A    50             push eax
0040100B    E8 2FDB407C    call kernel32.CreateMutexA
00401010    9D             popfd
00401011    61             popad
00401012 - E9 04DC407C    jmp kernel32.OpenMutexA

60 9C 68 EC DD 12 00 33 C0 50 50 E8 2F DB 40 7C 9D 61 E9 04 DC 40 7C

新建EIP！F9，再次来到00401000，撤消修改

**********************************
下断~BP GetModuleHandleA+5，F9，注意观察堆栈！

0012CE74  /0012CEAC
0012CE78  |5D175334  返回到 5D175334 来自 kernel32.GetModuleHandleA
0012CE7C  |5D175380  ASCII "kernel32.dll"

0012CF34  /0012CF50
0012CF38  |77F45BB0  返回到 SHLWAPI.77F45BB0 来自 kernel32.GetModuleHandleA
0012CF3C  |77F44FF4  ASCII "KERNEL32.DLL"

0012D74C  /0012D7B4
0012D750  |0057AAF3  返回到 2wmxvip2.0057AAF3 来自 kernel32.GetModuleHandleA
0012D754  |00000000

00127A90  /0012CDBC
00127A94  |00CA530E  返回到 00CA530E 来自 kernel32.GetModuleHandleA
00127A98  |00CB8BAC  ASCII "kernel32.dll"
00127A9C  |00CB9CC4  ASCII "VirtualAlloc"

00127A90  /0012CDBC
00127A94  |00CA532B  返回到 00CA532B 来自 kernel32.GetModuleHandleA
00127A98  |00CB8BAC  ASCII "kernel32.dll"
00127A9C  |00CB9CB8  ASCII "VirtualFree"

001277F4  /00127A94
001277F8  |00C94F9E  返回到 00C94F9E 来自 kernel32.GetModuleHandleA
001277FC  |00127948  ASCII "kernel32.dll"

此时取消断点，返回！
00A75331 8B0D 60D8A900 mov    ecx, [A9D860]//回到这

00A75337 89040E       mov    [esi+ecx], eax
00A7533A A1 60D8A900    mov    eax, [A9D860]
00A7533F 393C06       cmp    [esi+eax], edi
00A75342 75 16          jnz    short 00A7535A
00A75344 8D85 B4FEFFFF lea    eax, [ebp-14C]
00A7534A 50             push eax
00A7534B FF15 B850A900 call [A950B8]                      ; kernel32.LoadLibraryA
00A75351 8B0D 60D8A900 mov    ecx, [A9D860]
00A75357 89040E       mov    [esi+ecx], eax
00A7535A A1 60D8A900    mov    eax, [A9D860]
00A7535F 393C06       cmp    [esi+eax], edi
00A75362 0F84 AD000000 je    00A75415 //Magic Jump！修改成jmp！

00A75368 33C9          xor    ecx, ecx
00A7536A 8B03          mov    eax, [ebx]
00A7536C 3938          cmp    [eax], edi
00A7536E 74 06          je    short 00A75376
00A75370 41             inc    ecx
00A75371 83C0 0C       add    eax, 0C
00A75374  ^ EB F6          jmp    short 00A7536C

修改了Magic Jump之后，直接按F9运行~

修复！选择6EC子程序！

OEP=12ec
RAV=1000
SIZE=1000

直接点“获取输入表”后，但不能获得正确的输入表，请教我错在哪里？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：

check.rar （441.66kb，8次下载）

收藏・0

免费・0

支持

最新回复 (14)
冷血书生雪币： 443 活跃值： (200) 能力值： ( LV9，RANK：1140 ) 在线值：发帖 53 回帖 1135 粉丝 2 关注私信	冷血书生 28 2 楼用脱壳机嘛~~ 2006-11-30 22:54 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 3 楼脱壳机不能脱，出错. 2006-12-1 09:28 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 4 楼未能解决，望能人告之，自己顶一下！~~~ 2006-12-13 15:02 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 5 楼什么程序运行就退出 2006-12-13 15:18 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 6 楼运行后，它是会自动退出，这样应该不会影响脱壳吧？我已经dump下，但不知如何修复输入表和IAT？ 2006-12-13 15:22 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 7 楼最初由 chenhuazi* 发布* 运行后，它是会自动退出，这样应该不会影响脱壳吧？我已经dump下，但不知如何修复输入表和IAT？我是在问你是什么程序 PS：不影响 2006-12-13 15:23 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 8 楼 VB编写的程序，用Armadillo3.05加壳，纯是为了学习脱Arm低版壳，脱了几个低版的，但这个不知为何不能脱，郁闷.... 2006-12-13 15:27 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 9 楼 wynney大侠，我就是看了你的写的教程来脱的，不知道我怎么脱不了这个的？？ 2006-12-13 15:34 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 10 楼最初由 chenhuazi* 发布* VB编写的程序，用Armadillo3.05加壳，纯是为了学习脱Arm低版壳，脱了几个低版的，但这个不知为何不能脱，郁闷.... 你一直都没回答我程序是做什么用的运行方式感觉有点像木马既然这样我就不贴脱壳程序了输入表给你 PS：方法在于变通 ; 在一个thunk中对每个函数的构造 (分离器是一个 TAB) ; ------------------------------------------------------------ ; 标记 RVA 模块名序号名称 ; ; <有效> 参数的详细情况: ; ------------------------------ ; 标志: 0 = 有效性: 否 -> - 名称包含重定位API的地址 (你能设定它; 为0，如果你要编辑). ; - 序号不被认可，你应该让 '0000' 作为其值. ; - 模块名不被认可，你应该让 '?' 作为其值. ; ; 1 = 有效性: 是 -> 在划线以下的参数将被承认. ; 由序号输入的函数必须没有名称 (尽管第4个TAB 必须; 在这里). ; ; 2 = 相当于 0 但它相对于载入器. ; ; 3 = 相当于 1 但它相对于载入器. ; ; 4 = 相当于 0 带重建标志. ; ; 5 = 相当于 1 带重建标志. ; ; 最终, 编辑此文件你需要承担风险! :-) 目标: D:\Made\check\check.exe OEP: 000012EC IATRVA: 00001000 IAT大小: 000000FC FThunk: 00001000 NbFunc: 0000003F 1 00001000 msvbvm60.dll 01E8 __vbaVarSub 1 00001004 msvbvm60.dll 009D _CIcos 1 00001008 msvbvm60.dll 02D7 _adj_fptan 1 0000100C msvbvm60.dll 0083 __vbaFreeVar 1 00001010 msvbvm60.dll 0147 __vbaLenBstr 1 00001014 msvbvm60.dll 01B5 __vbaStrVarMove 1 00001018 msvbvm60.dll 00D4 __vbaEnd 1 0000101C msvbvm60.dll 00F5 __vbaFreeVarList 1 00001020 msvbvm60.dll 02CE _adj_fdiv_m64 1 00001024 msvbvm60.dll 02D6 _adj_fprem1 1 00001028 msvbvm60.dll 0195 __vbaStrCat 1 0000102C msvbvm60.dll 018A __vbaSetSystemError 1 00001030 msvbvm60.dll 0102 __vbaHresultCheckObj 1 00001034 msvbvm60.dll 02B0 _adj_fdiv_m32 1 00001038 msvbvm60.dll 00DF __vbaExitProc 1 0000103C msvbvm60.dll 015D __vbaObjSet 1 00001040 msvbvm60.dll 0253 rtcMsgBox 1 00001044 msvbvm60.dll 0160 __vbaOnError 1 00001048 msvbvm60.dll 0293 _adj_fdiv_m16i 1 0000104C msvbvm60.dll 015E __vbaObjSetAddref 1 00001050 msvbvm60.dll 02D0 _adj_fdivr_m16i 1 00001054 msvbvm60.dll 0256 rtcDoEvents 1 00001058 msvbvm60.dll 00A0 _CIsin 1 0000105C msvbvm60.dll 00B6 __vbaChkstk 1 00001060 msvbvm60.dll 0191 EVENT_SINK_AddRef 1 00001064 msvbvm60.dll 0196 __vbaStrCmp 1 00001068 msvbvm60.dll 01F7 __vbaVarTstEq 1 0000106C msvbvm60.dll 00BB DllFunctionCall 1 00001070 msvbvm60.dll 029E rtcCommandVar 1 00001074 msvbvm60.dll 02D4 _adj_fpatan 1 00001078 msvbvm60.dll 0192 EVENT_SINK_Release 1 0000107C msvbvm60.dll 0155 __vbaNew 1 00001080 msvbvm60.dll 00A1 _CIsqrt 1 00001084 msvbvm60.dll 0190 EVENT_SINK_QueryInterface 1 00001088 msvbvm60.dll 00DA __vbaExceptHandler 1 0000108C msvbvm60.dll 01AB __vbaStrToUnicode 1 00001090 msvbvm60.dll 02D5 _adj_fprem 1 00001094 msvbvm60.dll 02D3 _adj_fdivr_m64 1 00001098 msvbvm60.dll 025F rtcStringVar 1 0000109C msvbvm60.dll 0260 rtcVarBstrFromAnsi 1 000010A0 msvbvm60.dll 00E0 __vbaFPException 1 000010A4 msvbvm60.dll 0117 __vbaInStrVar 1 000010A8 msvbvm60.dll 009F _CIlog 1 000010AC msvbvm60.dll 00D9 __vbaErrorOverflow 1 000010B0 msvbvm60.dll 0154 __vbaNew2 1 000010B4 msvbvm60.dll 02BD _adj_fdiv_m32i 1 000010B8 msvbvm60.dll 02D2 _adj_fdivr_m32i 1 000010BC msvbvm60.dll 008A __vbaStrCopy 1 000010C0 msvbvm60.dll 02D1 _adj_fdivr_m32 1 000010C4 msvbvm60.dll 02CF _adj_fdiv_r 1 000010C8 msvbvm60.dll 02AD rtcErrObj 1 000010CC msvbvm60.dll 0064 ThunRTMain 1 000010D0 msvbvm60.dll 0111 __vbaI4Var 1 000010D4 msvbvm60.dll 01AA __vbaStrToAnsi 1 000010D8 msvbvm60.dll 0090 __vbaVarDup 1 000010DC msvbvm60.dll 0269 rtcLeftCharVar 1 000010E0 msvbvm60.dll 009C _CIatan 1 000010E4 msvbvm60.dll 008B __vbaStrMove 1 000010E8 msvbvm60.dll 02D8 _allmul 1 000010EC msvbvm60.dll 00A2 _CItan 1 000010F0 msvbvm60.dll 009E _CIexp 1 000010F4 msvbvm60.dll 0082 __vbaFreeStr 1 000010F8 msvbvm60.dll 0081 __vbaFreeObj 2006-12-13 15:54 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 11 楼谢谢，我可以保证不是木马或有害程序，它是一个象棋的附加程序，只是学习。能告诉我怎么获得输入表的吗？用你之前的教程都不能做到，什么原因？？ 2006-12-13 15:57 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 12 楼现今基本所有的加壳软件对VB程序加壳都很弱 Armadillo也不例外，这个输入表没有加密使用 Armadillo V4.0-V4.42.CopyMem-II Child Process DeCode Script.osc 运行完之后，Alt+F9，还原OEP。发现只有00001018无效再根据运行方式判断这个指针应该是00001018 msvbvm60.dll 00D4 __vbaEnd 2006-12-13 16:04 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 13 楼好的，谢谢，我再去脱、脱、脱、脱、脱....谢谢你的指导！ 2006-12-13 16:06 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 14 楼包中3个文件 1个是你脱壳后的我再修复出来的 1个是我脱壳的，没优化大小 1个是我脱壳的，优化大小为28K 上传的附件： unpacked.rar （400.71kb，1次下载） 2006-12-13 16:06 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 15 楼问题已解决，不过是用了脚本，下去认真研究学习脚本里的精华，再次感谢wynney的指导。 PS:我优化大小为16K (: 2006-12-13 16:27 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

chenhuazi

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (14)
冷血书生雪币： 443 活跃值： (200) 能力值： ( LV9，RANK：1140 ) 在线值：发帖 53 回帖 1135 粉丝 2 关注私信	冷血书生 28 2 楼用脱壳机嘛~~ 2006-11-30 22:54 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 3 楼脱壳机不能脱，出错. 2006-12-1 09:28 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 4 楼未能解决，望能人告之，自己顶一下！~~~ 2006-12-13 15:02 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 5 楼什么程序运行就退出 2006-12-13 15:18 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 6 楼运行后，它是会自动退出，这样应该不会影响脱壳吧？我已经dump下，但不知如何修复输入表和IAT？ 2006-12-13 15:22 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 7 楼最初由 chenhuazi* 发布* 运行后，它是会自动退出，这样应该不会影响脱壳吧？我已经dump下，但不知如何修复输入表和IAT？我是在问你是什么程序 PS：不影响 2006-12-13 15:23 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 8 楼 VB编写的程序，用Armadillo3.05加壳，纯是为了学习脱Arm低版壳，脱了几个低版的，但这个不知为何不能脱，郁闷.... 2006-12-13 15:27 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 9 楼 wynney大侠，我就是看了你的写的教程来脱的，不知道我怎么脱不了这个的？？ 2006-12-13 15:34 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 10 楼最初由 chenhuazi* 发布* VB编写的程序，用Armadillo3.05加壳，纯是为了学习脱Arm低版壳，脱了几个低版的，但这个不知为何不能脱，郁闷.... 你一直都没回答我程序是做什么用的运行方式感觉有点像木马既然这样我就不贴脱壳程序了输入表给你 PS：方法在于变通 ; 在一个thunk中对每个函数的构造 (分离器是一个 TAB) ; ------------------------------------------------------------ ; 标记 RVA 模块名序号名称 ; ; <有效> 参数的详细情况: ; ------------------------------ ; 标志: 0 = 有效性: 否 -> - 名称包含重定位API的地址 (你能设定它; 为0，如果你要编辑). ; - 序号不被认可，你应该让 '0000' 作为其值. ; - 模块名不被认可，你应该让 '?' 作为其值. ; ; 1 = 有效性: 是 -> 在划线以下的参数将被承认. ; 由序号输入的函数必须没有名称 (尽管第4个TAB 必须; 在这里). ; ; 2 = 相当于 0 但它相对于载入器. ; ; 3 = 相当于 1 但它相对于载入器. ; ; 4 = 相当于 0 带重建标志. ; ; 5 = 相当于 1 带重建标志. ; ; 最终, 编辑此文件你需要承担风险! :-) 目标: D:\Made\check\check.exe OEP: 000012EC IATRVA: 00001000 IAT大小: 000000FC FThunk: 00001000 NbFunc: 0000003F 1 00001000 msvbvm60.dll 01E8 __vbaVarSub 1 00001004 msvbvm60.dll 009D _CIcos 1 00001008 msvbvm60.dll 02D7 _adj_fptan 1 0000100C msvbvm60.dll 0083 __vbaFreeVar 1 00001010 msvbvm60.dll 0147 __vbaLenBstr 1 00001014 msvbvm60.dll 01B5 __vbaStrVarMove 1 00001018 msvbvm60.dll 00D4 __vbaEnd 1 0000101C msvbvm60.dll 00F5 __vbaFreeVarList 1 00001020 msvbvm60.dll 02CE _adj_fdiv_m64 1 00001024 msvbvm60.dll 02D6 _adj_fprem1 1 00001028 msvbvm60.dll 0195 __vbaStrCat 1 0000102C msvbvm60.dll 018A __vbaSetSystemError 1 00001030 msvbvm60.dll 0102 __vbaHresultCheckObj 1 00001034 msvbvm60.dll 02B0 _adj_fdiv_m32 1 00001038 msvbvm60.dll 00DF __vbaExitProc 1 0000103C msvbvm60.dll 015D __vbaObjSet 1 00001040 msvbvm60.dll 0253 rtcMsgBox 1 00001044 msvbvm60.dll 0160 __vbaOnError 1 00001048 msvbvm60.dll 0293 _adj_fdiv_m16i 1 0000104C msvbvm60.dll 015E __vbaObjSetAddref 1 00001050 msvbvm60.dll 02D0 _adj_fdivr_m16i 1 00001054 msvbvm60.dll 0256 rtcDoEvents 1 00001058 msvbvm60.dll 00A0 _CIsin 1 0000105C msvbvm60.dll 00B6 __vbaChkstk 1 00001060 msvbvm60.dll 0191 EVENT_SINK_AddRef 1 00001064 msvbvm60.dll 0196 __vbaStrCmp 1 00001068 msvbvm60.dll 01F7 __vbaVarTstEq 1 0000106C msvbvm60.dll 00BB DllFunctionCall 1 00001070 msvbvm60.dll 029E rtcCommandVar 1 00001074 msvbvm60.dll 02D4 _adj_fpatan 1 00001078 msvbvm60.dll 0192 EVENT_SINK_Release 1 0000107C msvbvm60.dll 0155 __vbaNew 1 00001080 msvbvm60.dll 00A1 _CIsqrt 1 00001084 msvbvm60.dll 0190 EVENT_SINK_QueryInterface 1 00001088 msvbvm60.dll 00DA __vbaExceptHandler 1 0000108C msvbvm60.dll 01AB __vbaStrToUnicode 1 00001090 msvbvm60.dll 02D5 _adj_fprem 1 00001094 msvbvm60.dll 02D3 _adj_fdivr_m64 1 00001098 msvbvm60.dll 025F rtcStringVar 1 0000109C msvbvm60.dll 0260 rtcVarBstrFromAnsi 1 000010A0 msvbvm60.dll 00E0 __vbaFPException 1 000010A4 msvbvm60.dll 0117 __vbaInStrVar 1 000010A8 msvbvm60.dll 009F _CIlog 1 000010AC msvbvm60.dll 00D9 __vbaErrorOverflow 1 000010B0 msvbvm60.dll 0154 __vbaNew2 1 000010B4 msvbvm60.dll 02BD _adj_fdiv_m32i 1 000010B8 msvbvm60.dll 02D2 _adj_fdivr_m32i 1 000010BC msvbvm60.dll 008A __vbaStrCopy 1 000010C0 msvbvm60.dll 02D1 _adj_fdivr_m32 1 000010C4 msvbvm60.dll 02CF _adj_fdiv_r 1 000010C8 msvbvm60.dll 02AD rtcErrObj 1 000010CC msvbvm60.dll 0064 ThunRTMain 1 000010D0 msvbvm60.dll 0111 __vbaI4Var 1 000010D4 msvbvm60.dll 01AA __vbaStrToAnsi 1 000010D8 msvbvm60.dll 0090 __vbaVarDup 1 000010DC msvbvm60.dll 0269 rtcLeftCharVar 1 000010E0 msvbvm60.dll 009C _CIatan 1 000010E4 msvbvm60.dll 008B __vbaStrMove 1 000010E8 msvbvm60.dll 02D8 _allmul 1 000010EC msvbvm60.dll 00A2 _CItan 1 000010F0 msvbvm60.dll 009E _CIexp 1 000010F4 msvbvm60.dll 0082 __vbaFreeStr 1 000010F8 msvbvm60.dll 0081 __vbaFreeObj 2006-12-13 15:54 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 11 楼谢谢，我可以保证不是木马或有害程序，它是一个象棋的附加程序，只是学习。能告诉我怎么获得输入表的吗？用你之前的教程都不能做到，什么原因？？ 2006-12-13 15:57 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 12 楼现今基本所有的加壳软件对VB程序加壳都很弱 Armadillo也不例外，这个输入表没有加密使用 Armadillo V4.0-V4.42.CopyMem-II Child Process DeCode Script.osc 运行完之后，Alt+F9，还原OEP。发现只有00001018无效再根据运行方式判断这个指针应该是00001018 msvbvm60.dll 00D4 __vbaEnd 2006-12-13 16:04 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 13 楼好的，谢谢，我再去脱、脱、脱、脱、脱....谢谢你的指导！ 2006-12-13 16:06 0
wynney 雪币： 224 活跃值： (147) 能力值： ( LV9，RANK：970 ) 在线值：发帖 65 回帖 1109 粉丝 8 关注私信	wynney 24 14 楼包中3个文件 1个是你脱壳后的我再修复出来的 1个是我脱壳的，没优化大小 1个是我脱壳的，优化大小为28K 上传的附件： unpacked.rar （400.71kb，1次下载） 2006-12-13 16:06 0
chenhuazi 雪币： 200 活跃值： (21) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 36 粉丝 0 关注私信	chenhuazi 15 楼问题已解决，不过是用了脚本，下去认真研究学习脚本里的精华，再次感谢wynney的指导。 PS:我优化大小为16K (: 2006-12-13 16:27 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复