• 标 题:我一个月前曾脱过用telock0.98加壳的notepad。以下可供参考,记不太清了! (1千字)
  • 作 者:liotta[BCG]
  • 时 间:2001-11-24 22:24:48
  • 链 接:http://bbs.pediy.com

telock0.98跟上本版本有些变化,我是这样做的!
用ti 0.2找OEP
用bpx GetModuleHandleA中断,返回到程式邻空,这恰好就是破坏Import Table的地方:记下特征代码的地址。以下是用telock0.95加壳的特征代码,telock0.98也差不多
017F:00576C16  8B95BEAF4000        MOV      EDX,[EBP+0040AFBE]
017F:00576C1C  8BB5AEAF4000        MOV      ESI,[EBP+0040AFAE]
017F:00576C22  85F6                TEST      ESI,ESI
017F:00576C24  0F849D030000        JZ        00576FC7                中断在此处改一跳转再G到OEP
017F:00576C2A  03F2                ADD      ESI,EDX
017F:00576C2C  83A5AAB0400000      AND      DWORD PTR [EBP+0040B0AA],00
017F:00576C33  8B460C              MOV      EAX,[ESI+0C]
017F:00576C36  83660C00            AND      DWORD PTR [ESI+0C],00
017F:00576C3A  85C0                TEST      EAX,EAX
017F:00576C3C  0F8485030000        JZ        00576FC7
再用重新用readfile设断,要好几次,返回到程式领空,再G到特征代码处,就能dump出完整的it,其实改一处跳转再G到OEP就能一次dump完成,只需改一下section数就OK了。

可供参考,记不太清了!可参照以前的脱FlashFXP v1.4文档