使用ollydbg从零开始cracking第四十五章补充章节-recrypt v0.80脱壳续

1、第四十五章-ReCryptv0.80脱壳(续第四十五章-ReCryptv0.80脱壳(续OllyGhost(DIY过的OllyDbg)(PS:OllyGhost压根没用上,XPNT系统运行,OD吧OllyDump(OD的dump插件信息收集开始分析UnPackMe_ReCrypt0.80.exe之前,首先用LordPE查看一下该程序PE的信息直接选中该程序单击鼠标右键选择oPEeditor(LordPE)(PS:还记得上一章节介绍过的这个系统菜单项吧LordPE的PE编辑器就直接打开了该程序,NumOfRvaAndSizesNumOfRvaAndSizes 这里NumOfRvaAndSizes

2、0 xB4需要定位该程序的OEP,这PEID的GenericOEPFinder将UnPackMe_ReCrypt0.80.exe拖拽到PEID中,单击PEID会弹出一个菜单选中Plugins(插件)菜单,GenericOEPFinder不一会儿就会弹出一个消息框,OEP0 x401000收集到的信息如下。1.OEP 不一会儿就会弹出一个消息框,OEP0 x401000收集到的信息如下。1.OEP 3.NumberOfRvaAndSizes :首先直接运行UnPackMe_ReCrypt0.80.exe,会发现该程序CPUina这款工具, 个线程打ina主程序在进程列表中找到UnPackMe_R

3、eCrypt0.80.exe在进程列表中找到UnPackMe_ReCrypt0.80.exe3个线程,3个线程,Suspender(挂起)3个线程,3个线程,Suspender(挂起)3 可以看到这3 个线程都被挂起了CPU占用率,已经由%99减到了%0下需要用到 POKEMON 这款工具,通过这款工可以绕过该壳的 Anti Attach(反附加0 xB4NumOfRvaAndSizes 这个字段的值吧。(NumOfRvaAndSizes 这个字段的值,ODPE格式的错误框而已选中UnPackMe_ReCrypt0.80.exe对应的进程,单击AnularprotectionAntiAttac

4、h按钮,会发现那个骷髅头在转动选中UnPackMe_ReCrypt0.80.exe对应的进程,单击AnularprotectionAntiAttach按钮,会发现那个骷髅头在转动,打开LordPE,UnPackMe_ReCrypt0.80exeLordPEUnPackMe_ReCrypt0.80.exe ImageSize 程序的ImageSize0 x00006000需要将这个ImageSize修复方法 可以看到ImageSize0 x00006000好了ODPE单击Aceptar(西班牙语:确定)ntdll.DbgBreakPo 这个API单击Aceptar(西班牙语:确定)ntdll.DbgBreakPo 这个APIOEPGoto OEP选择Neworiginhere,将EIP0 x401000可以看到寄存器窗口中的EIP 寄存器的值已经被修改为了0 x401000,也就是OEP现使用OllyDump插件来进行DumpOEP的值填上,接着单击IATAutoSearchOEP的值填上,接着单击IATAutoSearch按钮,自动定位可以看到IAT已经被定位到了,IAT起始地址的单击GetImports按钮,IAT项都是有效的.接着单击Fix修改