小甜餅 --- 有關新版Asprotect加殼程式的脫殼的又一種思路 (798字)

看雪資料發表於2000-09-10

小甜餅 --- 有關新版Asprotect加殼程式的脫殼的又一種思路
1、用PEditor來Dump出整個檔案。
2、用BWW得到Entry Point。
3、用Imp_List獲得Import Table。
雖然我們得到的Import Table有部分函式不對，但是比完全重建構建一個Import Table的工作量還是小多了。下一步就來找到這些被Asprotect作了手腳的函式。

方法之一：找出脫殼過的老版本對比引入函式，可以知道。這種方法不用動態跟蹤。方便。

方法之二：動態跟蹤也可以得到這些函式。其實被Asprotect處理過的這些函式的引入地址被定位到Asprotect自己的一個過渡函式，在這個過渡函式中會用XOR方法還原出真正的函式名，並用LoadLibraryA等載入，得到函式真正的入口。然後進入呼叫該函式。

4、按照通常的脫殼方法中做修補工作。按Import Table的結構修改即可。


有興趣的朋友可以想想辦法，編個程式得到這些加密處理過的函式名稱。可能要掛鉤某些函式，要些技巧。

ljttt寫於2000-09-10日

相關文章