能力值：
( LV2，RANK：10 )
|
-
-
26 楼
每天都来看看,有没有新成果.
|
能力值：
( LV2，RANK：10 )
|
-
-
27 楼
楼主旅游去了?
|
能力值：
( LV2，RANK：10 )
|
-
-
28 楼
期待楼主!!!
|
能力值：
( LV2，RANK：10 )
|
-
-
29 楼
用OD装入LZ提供的例子exe，先弹出一个入口点超出范围的警告。
我运行新版脚本1，OD弹出一个红叉对话框
错误，位于行39
文本：mov temp,$RESULT+8
*************************
汇编窗口停在：
0066964E C685 6D247409 56 MOV BYTE PTR SS:[EBP+974246D],56
************************
然后我把脚本工具由1.3升级到1.6，装载LZ提供的findfile.exe，脚本1正常运行，msg到6个断点。
但是，我调试另一个EXE时，脚本就不起作用了，一直运行下去直到OD异常，而且EXE还运行起来了。
怎么办呢？ 建议LZ多测试一些加壳的
|
能力值：
( LV2，RANK：10 )
|
-
-
30 楼
估计楼主正在测试!!!
|
能力值：
( LV2，RANK：10 )
|
-
-
31 楼
|
能力值：
( LV9，RANK：570 )
|
-
-
32 楼
国庆外出了，因疲倦且很忙，所以几天都没上网了。国庆前我看了一下Themida的两个版本（1.8-1.9），都没有次数限制的设置（？）。(或许我没有找到设置的选项?或许我的Themida只是演示版)，所以我以为次数限制的代码在主程序中，与Themida无关，故也未继续研究下去。另：你说重装系统后可以运行，说明它在注册表中或其它什么地方写入了记录。这用注册表监视器或许可以发现。如果的确是Thmeda设置的次数限制，抽空我再研究一下。
|
能力值：
( LV2，RANK：10 )
|
-
-
33 楼
希望楼主能在脚本2的基础上,增加寻找OEP的方法.
|
能力值：
( LV2，RANK：10 )
|
-
-
34 楼
楼主,下面的链接可能对你分析TMD,有帮肋!
fdaK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4g2F1M7r3q4U0K9#2)9J5k6h3y4F1i4K6u0r3N6X3W2W2N6%4c8Z5M7X3g2S2k6q4)9J5k6i4m8Z5M7q4)9K6c8Y4c8A6k6q4)9K6c8o6t1&6x3K6p5I4i4K6t1$3M7r3W2V1i4K6y4p5x3K6l9^5z5e0x3I4i4K6t1$3M7r3q4Y4k6g2)9K6c8o6q4Q4x3U0k6W2P5s2c8J5j5g2)9K6c8s2m8S2k6$3g2Q4x3U0f1K6c8o6q4Q4x3U0y4H3K9h3b7K6x3o6R3&6x3K6p5`.
另: [转贴]4f7K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4g2F1M7r3q4U0K9#2)9J5k6h3y4F1i4K6u0r3N6X3W2W2N6%4c8Z5M7X3g2S2k6q4)9J5k6i4m8Z5M7q4)9K6c8Y4c8A6k6q4)9K6c8o6t1&6x3K6l9J5i4K6t1$3k6i4S2@1M7X3q4Q4x3@1c8H3j5h3N6W2i4K6t1#2x3@1b7I4
清理themida 2.x的PUSH,JMP之间的垃圾代码!
今天看了一个THEMIDA2.X的加壳程序,在PUSH XXXXX,JMP XXXXX之间加了很多垃圾代码,所以学写了个脚本来清理一下,请大家指教
00B3F829 68 B1EAD644 push 44D6EAB1
00B3F82E ^ E9 5621FFFF jmp 00B31989
00B3F833 81D7 D8E42AEE adc edi, EE2AE4D8 /*垃圾代码
00B3F839 78 1E js short 00B3F859
00B3F83B EF out dx, eax
00B3F83C 34 C7 xor al, 0C7 */
00B3F83E 68 BB95BA26 push 26BA95BB
00B3F843 ^ E9 4121FFFF jmp 00B31989
00B3F848 46 inc esi /*全是垃圾
00B3F849 09C3 or ebx, eax
00B3F84B 48 dec eax
00B3F84C AB stos dword ptr es:[edi]
00B3F84D 2068 B3 and byte ptr [eax-4D], ch */
00B3F850 2A4D 6E sub cl, byte ptr [ebp+6E]
00B3F853 ^ E9 3121FFFF jmp 00B31989
脚本:
data:
var begcode
var prebegcode
var vm_jmp
var putlength
var count
cmp $VERSION, "1.52"
jb lowodbg
mov begcode,00b3f82e //开始清理的地址JMP XXXXXX
gogo:
mov prebegcode,begcode
add prebegcode,1
log prebegcode
find prebegcode,#E9????FFFF# //#E9????FFFF# JMP XXXXXX的汇编指令
mov begcode,$RESULT
cmp begcode,0
je nofind
log begcode
add begcode,1
mov vm_jmp ,[begcode]
sub begcode,1
add vm_jmp,begcode //目标地址=源地址+跳转长度+5
add vm_jmp,5
cmp vm_jmp,00b31989 //JMP XXXXXX的XXXXXX地址
jnz stop
cmp prebegcode,0
je gogo
mov putlength,begcode
add prebegcode,4
log prebegcode
sub putlength,prebegcode
sub putlength,5
log putlength
cmp putlength,20 //垃圾代码的长度
ja stop
fill prebegcode,putlength,90 //填充90
add count,1
jmp gogo
stop:
log count
msg "Clear!"
ret
nofind:
msg "Clear nothing"
ret
lowodbg:
msg "Please use the ODbgscript 1.52"
ret
|
能力值：
( LV2，RANK：10 )
|
-
-
35 楼
还不错吗！！！
学习ing......
|
能力值：
( LV2，RANK：10 )
|
-
-
36 楼
直接打包一个OLLYDBG到网盘啦，这样就不会让大家乱找插件了
|
能力值：
( LV2，RANK：10 )
|
-
-
37 楼
请楼主完善一下.
脚本2运行完后,如何找OEP
|
能力值：
( LV2，RANK：10 )
|
-
-
38 楼
可以把你的OD还有插件需要用的工具一块打包上来吗,这样跟你一样就比较好操作
|
能力值：
( LV9，RANK：570 )
|
-
-
39 楼
回38楼：现将我使用的OllyIce及其全部附件打包上来，其实与 592K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4m8W2k6r3W2&6i4K6u0W2j5$3!0E0i4@1f1@1i4@1t1^5i4K6S2n7i4@1f1^5i4@1u0p5i4@1u0p5i4@1f1%4i4K6W2m8i4K6R3@1i4@1f1@1i4@1t1&6i4K6W2r3i4@1f1$3i4@1t1J5i4@1p5I4i4@1f1$3i4K6W2o6i4K6R3&6i4@1f1#2i4@1p5@1i4@1q4m8i4@1f1#2i4@1p5@1i4@1p5%4i4@1f1%4i4K6W2m8i4K6R3@1i4@1f1#2i4@1t1%4i4@1q4q4i4@1f1#2i4K6R3^5i4@1q4n7i4@1f1K6i4K6R3H3i4K6R3J5
刚发现打包尺寸太大，传不上来，只好只传plugin的内容，解压到OllyIce相应的文件夹即可。OllyIce可到 8d4K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4m8W2k6r3W2&6i4K6u0W2j5$3!0E0i4@1f1#2i4@1t1%4i4@1p5#2i4@1f1#2i4K6R3#2i4@1t1%4i4@1f1&6i4@1p5I4i4@1t1#2i4@1f1@1i4@1t1^5i4K6S2m8i4@1f1#2i4K6S2q4i4@1u0n7i4@1f1@1i4@1t1^5i4K6S2n7i4@1f1^5i4@1u0p5i4@1u0p5i4@1f1K6i4K6R3H3i4K6R3J5
|
能力值：
( LV2，RANK：10 )
|
-
-
40 楼
|
能力值：
( LV2，RANK：10 )
|
-
-
41 楼
楼主下面有一个TMD的文件太大我用分割器分4个文件在压缩上传了,最后一个是分割器文件,你要先把前面4个文件解压出来拷贝到同一个文件夹,在用分割器就是第5个组合他们.
|
能力值：
( LV2，RANK：10 )
|
-
-
42 楼
用了脚本一他就提示下面图 程式就跑起来了
|
能力值：
( LV2，RANK：10 )
|
-
-
43 楼
你要是看不懂我表达的意思 加我QQ873009779
|
能力值：
( LV2，RANK：10 )
|
-
-
44 楼
好象是DELP写的 运行脚本就这样了改如何下手
|
能力值：
( LV2，RANK：10 )
|
-
-
45 楼
脚本2断不下来.
脚本1中,得到addr_1_0 and addr_1_1两组数,不明白如何引用到脚本2中.
|
能力值：
( LV2，RANK：10 )
|
-
-
46 楼
过了脚本2,竟然找不到api.
|
能力值：
( LV2，RANK：10 )
|
-
-
47 楼
附件 卡巴 报毒
|
能力值：
( LV2，RANK：10 )
|
-
-
48 楼
强烈感谢你给我提供的宝贵研究意见！！！
|
能力值：
( LV2，RANK：10 )
|
-
-
49 楼
不知怎么回事我用到第二个脚本就不能成功，恳请指导
|
能力值：
( LV2，RANK：10 )
|
-
-
50 楼
樓主，這個腳本怎么連那個附件里的自帶的文件查找軟件都不能脫，運行腳本提示查找失敗。希望樓主解惑！！！
|
