WEB开发网
开发学院网络安全黑客技术 Thebat!139脱壳详情及对Asprotect加壳保护的一点小... 阅读

Thebat!139脱壳详情及对Asprotect加壳保护的一点小结

 2006-07-03 20:26:46 来源:WEB开发网   
核心提示:小弟本想脱thebat141的壳的,但小弟下载的thebat141却没有加壳,Thebat!139脱壳详情及对Asprotect加壳保护的一点小结,没办法,还是拿thebat139开刀了, 一直来到: XXX:006FFA3B PUSHAD **第二个PUSHAD指令** 改按F10一直来到: XXX:006FFB6C

小弟本想脱thebat141的壳的,但小弟下载的thebat141却没有加壳,没办法,还是拿thebat139开刀了。

如果小弟下面的内容有错漏的地方,请给小弟指正。

小弟的脱壳方法和冰毒的不同,他的方法我用不了,我用Procdump32脱不了thebat的壳。

废话少说,let's go!

所用工具:soft-ice405、icedump6015、procdump1.6.2、ultraedit5.0。

首先加载softice,再加载icedump。运行procdump32,点击PE Editor,选择thebat.exe

文件,我们要记一下数据了:size of image:00314000 image base:00400000,

点击sections,记下.idata的数据:virtual siza:00003000 virtual offset:0022E000 ,这样我们

可以知道.idata在内存中的地址为:0062E000,长度为:3000

启动Symbol Loader,载入thebat.exe(加载过icedump后,softice可以成功拦截thebat),点击一下Load, 马上被拦截,如下:

XXX:006FF001 PUSHAD **第一个PUSHAD指令**

XXX:006FF002 CALL 006FF008 按F8进入

XXX:006FF007 NOP

XXX:006FF008 POP EBP 按F10一直来到:

XXX:006FF0D6 CALL 006FF0DE 按F8进入

在这之后的一段程序要走的小心一点,我建议用F8,如果离开了thebat的就按一下F12,然后再按F8, 一直来到:

XXX:006FFA3B PUSHAD **第二个PUSHAD指令** 改按F10一直来到:

XXX:006FFB6C POPAD **和第二个PUSHAD指令是一对**

XXX:006FFB6D POP EBP

XXX:006FFB6E RET 0008 这个CALL走完了,来到:

XXX:006FF09F MOV ECX,EAX 按F10来到:

XXX:006FF0D6 CALL 006FF0DE 按F8进入,然后一直按F10来到:

1 2  下一页

Tags:Thebat 脱壳 详情

编辑录入:爽爽 [复制链接] [打 印]
赞助商链接