开发学院网络安全黑客技术 telock0.98加壳的notepad 阅读

telock0.98加壳的notepad

 2007-01-12 20:13:22 来源:WEB开发网   
核心提示:telock0.98跟上本版本有些变化,我是这样做的!用ti 0.2找OEP用bpx GetModuleHandleA中断,telock0.98加壳的notepad,返回到程式邻空,这恰好就是破坏Import Table的地方:记下特征代码的地址,其实改一处跳转再G到OEP就能一次dump完成,只需改一下section

telock0.98跟上本版本有些变化,我是这样做的!

用ti 0.2找OEP

用bpx GetModuleHandleA中断,返回到程式邻空,这恰好就是破坏Import Table的地方:记下特征代码的地址。以下是用telock0.95加壳的特征代码,telock0.98也差不多

017F:00576C16 8B95BEAF4000 MOV EDX,[EBP+0040AFBE]
017F:00576C1C 8BB5AEAF4000 MOV ESI,[EBP+0040AFAE]
017F:00576C22 85F6 TEST ESI,ESI
017F:00576C24 0F849D030000 JZ 00576FC7 中断在此处改一跳转再G到OEP
017F:00576C2A 03F2 ADD ESI,EDX
017F:00576C2C 83A5AAB0400000 AND DWORD PTR [EBP+0040B0AA],00
017F:00576C33 8B460C MOV EAX,[ESI+0C]
017F:00576C36 83660C00 AND DWORD PTR [ESI+0C],00
017F:00576C3A 85C0 TEST EAX,EAX
017F:00576C3C 0F8485030000 JZ 00576FC7

再用重新用readfile设断,要好几次,返回到程式领空,再G到特征代码处,就能dump出完整的it,其实改一处跳转再G到OEP就能一次dump完成,只需改一下section数就OK了。

可供参考,记不太清了!可参照以前的脱FlashFXP v1.4文档

Tags:telock 加壳 notepad

编辑录入:爽爽 [复制链接] [打 印]
[]
  • 好
  • 好的评价 如果觉得好,就请您
      0%(0)
  • 差
  • 差的评价 如果觉得差,就请您
      0%(0)
赞助商链接