最近朋友给我传来一个热血江湖的木马，是天下无马的小有名气。听说作者有后门留在里面

我想脱壳后看看，把后门去掉，

软件脱壳后运行正常，资源无法修改提示资源加密或损坏！加壳方式用PIED侦测

Upack V0.36-V0.37 (DLL) -> Dwing [Overlay]

用超级巡警脱壳完毕 用PIED检测 Morphine 1.2 - 1.3 -> rootkit [Overlay]

用 c32asm查看里面 后门收信地址 没有找到 看到程序运行后释放 这几个文件 rarjcpi.dll

rarjctl.exe rarjcni.dll  其中 rarjcni.dll  用记事本打开就是收心地址， 可是我怎么才能吧

rarjcni.dll  中的地址替换掉。再导进资源里， 请高手指点迷津。

用ResHacker载入脱壳的程序，里面的资源没有能打开的，提示资源无法修改资源加密或损坏！

郁闷难道 脱壳没有完全， 又用PIED查下 摘植5.00 (未加壳) EP校验未加壳

快速校验未加壳   ，我觉得是不是 Morphine 1.2 - 1.3 -> rootkit [Overlay]这个伪壳在做鬼

Morphine 1.2 - 1.3 -> rootkit [Overlay]是咖啡加密 请高手指点万分感谢！

小弟把程序及破戒过程中的图片传上来给大家看下 。

由于权限不够只能用临时上传功能  图片连接

521K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3I4A6N6X3g2Q4x3X3c8K6K9r3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3k6A6L8r3g2K6i4K6u0r3x3U0R3@1y4e0t1^5i4K6u0r3i4K6g2X3i4K6g2X3i4K6g2X3i4K6g2X3i4K6g2X3i4K6g2X3i4K6g2X3i4K6u0W2K9Y4m8Y4i4K6u0W2K9s2c8E0L8l9`.`.

395K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3I4A6N6X3g2Q4x3X3c8K6K9r3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3k6A6L8r3g2K6i4K6u0r3x3U0R3@1y4e0t1%4i4K6u0r3i4K6g2X3i4K6g2X3i4K6g2X3i4K6g2X3i4K6u0W2K9Y4m8Y4i4K6u0W2K9s2c8E0L8l9`.`.

小马地址d3dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3I4A6N6X3g2Q4x3X3c8K6K9r3q4J5k6g2)9J5k6h3y4G2L8g2)9J5c8X3k6A6L8r3g2K6i4K6u0r3x3U0R3@1y4e0t1&6i4K6u0r3K9X3S2Q4x3X3g2J5j5i4u0Q4x3X3g2Z5N6r3#2D9

希望大家看后动手回下贴 小弟在此给你作揖了

[培训]科锐逆向工程师培训第53期2025年7月8日开班！