telock 0.85f的一點脫殼經驗 (770字)

看雪資料發表於2001-09-03

telock 0.85f的一點脫殼經驗
by Fpc[CCG]/6767[BCG]


  研究了一下telock 0.85f對記事本的加殼，在已知入口點的情況下是能脫掉的 :)

  由於現在我還沒有透過跟蹤找到入口點，所以方法還沒有普遍性。下面簡要介紹一下。

  Load加殼後的記事本，下bpm 4010cc x，當然需要執行super bpm，攔下後把它Dump出來。在編輯dumped檔案前先用16進位制檔案工具修改section的個數，原來是FFFF，根據你對目標的判斷改為10個或20個。用peditor繼續編輯，修改入口，把多餘的段刪除，選dumped fixer修復段資訊，儲存。

  用importREC修復importTable，參見近幾天的asprotect的精華貼。會有四個函式無法修復，記下ptr值。在程式(未脫殼的)執行時用softice的u命令觀察相關位置，發現都是00，可以認為這四處是垃圾資訊，因此刪除。把新建的importtable附加到脫殼後的檔案上。執行，爽! 沒有問題。


  接下來的任務是如何找oeip....

相關文章