-
-
Armadillo 2.51 - 3.xx DLL文件脱后有问题(已解决)
-
发表于:
2006-12-22 11:22
4899
-
Armadillo 2.51 - 3.xx DLL文件脱后有问题(已解决)
某软件两个dll文件加壳,欲脱壳,用peid查看均为:
Armadillo 2.51 - 3.xx DLL Stub -> Silicon Realms Toolworks
1、研习精华中的关于穿山甲的脱壳方法后,用OD试脱,其中一个可正常脱出,运行正常。另一个dll文件脱后(和正常脱出的方法一样),程序无法正常继续运行(和无此dll文件时运行一样),根据精华中相应dll文件的脱壳教学,用不同的断点法均可以修改魔术跳,也能到达同样地址的OEP。查看IAT起始和终止位置(到达OEP找任一函数或是alt+m后双击.reloc查看),最后脱出ImportREC修复后,该dll文件无法运行。
2、OD载入脱后文件,提示“入口点位于代码外部(例如在PE文件头中被指写)。可能这个文件具有自解压或者自修改功能。请您在设置断点的时候记住这一点”,怀疑未脱或该dll自校验.用下法测试
一、修改原文件末端的0000处,随便改一下,程序正常。应意味着无自校验?
二、运行exe主程序,加载原dll文件,用ArmInlinev0.96f查看该两个dll,均显示Target appears to be free of code spcling,应该没有code splicing。
但在Locating IAT时,能正常脱出的dll文件很快success且IAT的起始和手动脱时跟出的位置一样。而出问题的那个dll,在quick analysis时失败,需要brute-force mode才能success.其IAT起始和手跟时不一样,这是一处不同点。
三、能手脱的dll文件甚至用dilloDIE1.6都能脱出后正常运行。而另一个虽能脱出但却不正常。
按FLY大侠的提示,用fixres修复无果,纳闷之极。请教各位大侠,这是什么原因造成的?如向下进行,思路应如何?大致应如何操作?
谢谢帮助!
[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课