脱壳技术,实战Armadillo V3.60标准加壳方式的脱壳,Armadillo 2008年06月23日 星期一 下午 03:39 现在， Armadillo3.6的脱壳文章还没有，所以昨晚小妹闲着没事，便用Armadillo V3.60专业版加了记事本的壳（XP）。想试试3.6的壳有无不同之处，脱下来，总体感觉标准版的壳和3.4的差不多，所以主要方法还是采用以前那些作者的方法，不同之处，我加以说明。但COPYMEM2的方式应该有了变化，目前正在研究中。 【调试环境】：WinXP、Ollydbg1.10b、PEiD、LordPE、ImportREC 声明，小妹用自己的本本调试的，迅驰CPU1.4G，各位一调试若有其它异常问题请指明，因为本本上调试偶尔会出现一些莫名错误。 【脱壳过程】： 首选用IsDebug 1.4插件去掉Ollydbg的调试器标志。设置忽略所有的异常选项。 0103A000 > 60 PUSHAD ====>进入OD后断在这！ 今天我不用BP GetModuleHandleA的方法，因为在我机上总是返回不到一个有效的地方，所以这里小妹用BP VirtualProtect，虽然按键的次数多一点，但不失为一种稳妥的方法。 在OD的命令行上键入BP VirtualProtect，回车，（注意大小写）。没有任何反应就说明正常。 OK，现在我们先来找OEP。F9一下。出现异常，按两次shit f9过去。然后断下。接下来就一直按F9吧，按了5次F9，会出现一个对话框，告知在某个地址出错，不知如何绕过。这时点击对话框中的确定按钮。然后按shift f9越过（其实这是一个AM的未注册程序的提示框，在3.4中，五次下来也会出现异常，但不会停止下来。其实留意一下堆栈，可以看到基地址的信息，因为后面上要加密IAT了），再按f9，共按了33次，程序就运行了，所以为了找到oep，我们可以少按一次，也就是37次，这样程序便不会运行，我们就可以一步一步跟踪到oep了。呵呵。好，重头再来一次，做法和前面的一样，共按37次F9， 取消断点，按ctrl f9，执行到返回。如下： 00AD3462 5E POP ESI ; kernel32.VirtualProtect 00AD3463 5F POP EDI 00AD3464 5B POP EBX 00AD3465 C9 LEAVE 00AD3466 C3 RETN 可以按F8一步一步过。然后到如下： 00AD264D A1 6C5AAE00 MOV EAX,DWORD PTR DS:[AE5A6C] 00AD2652 8A80 82370000 MOV AL,BYTE PTR DS:[EAX 3782] 00AD2658 8885 E8D1FFFF MOV BYTE PTR SS:[EBP-2E18],AL 00AD265E 0FB685 E8D1FFFF MOVZX EAX,BYTE PTR SS:[EBP-2E18] 00AD2665 85C0 TEST EAX,EAX 00AD2667 74 6C JE SHORT 00AD26D5 00AD2669 8D85 3CD4FFFF LEA EAX,DWORD PTR SS:[EBP-2BC4] 00AD266F 50 PUSH EAX 00AD2670 6A 01 PUSH 1 00AD2672 FFB5 E0FEFFFF PUSH DWORD PTR SS:[EBP-120] 00AD2678 8B85 1CEBFFFF MOV EAX,DWORD PTR SS:[EBP-14E4] 00AD267E 0385 B8FDFFFF ADD EAX,DWORD PTR SS:[EBP-248] 00AD2684 50 PUSH EAX 00AD2685 FF15 3481AD00 CALL DWORD PTR DS:[AD8134] ; kernel32.VirtualProtect 00AD268B C785 40D4FFFF 9>MOV DWORD PTR SS:[EBP-2BC0],94 00AD2695 8D85 40D4FFFF LEA EAX,DWORD PTR SS:[EBP-2BC0] 00AD269B 50 PUSH EAX 00AD269C FF15 C080AD00 CALL DWORD PTR DS:[AD80C0] ; kernel32.GetVersionExA 00AD26A2 83BD 50D4FFFF 0>CMP DWORD PTR SS:[EBP-2BB0],2 00AD26A9 75 2A JNZ SHORT 00AD26D5 00AD26AB 8D85 3CD4FFFF LEA EAX,DWORD PTR SS:[EBP-2BC4] 00AD26B1 50 PUSH EAX 00AD26B2 8B85 3CD4FFFF MOV EAX,DWORD PTR SS:[EBP-2BC4] 00AD26B8 80CC 01 OR AH,1 00AD26BB 50 PUSH EAX 00AD26BC FFB5 E0FEFFFF PUSH DWORD PTR SS:[EBP-120] 00AD26C2 8B85 1CEBFFFF MOV EAX,DWORD PTR SS:[EBP-14E4] 00AD26C8 0385 B8FDFFFF ADD EAX,DWORD PTR SS:[EBP-248] 00AD26CE 50 PUSH EAX 00AD26CF FF15 3481AD00 CALL DWORD PTR DS:[AD8134] ; kernel32.VirtualProtect 00AD26D5 EB 03 JMP SHORT 00AD26DA 00AD26D7 D6 SALC 00AD26D8 D6 SALC 00AD26D9 8DA1 EC4FAE00 LEA ESP,DWORD PTR DS:[ECX AE4FEC] 00AD26DF 8985 38D4FFFF MOV DWORD PTR SS:[EBP-2BC8],EAX 00AD26E5 83BD 38D4FFFF 0>CMP DWORD PTR SS:[EBP-2BC8],0 00AD26EC 74 36 JE SHORT 00AD2724 00AD26EE 8B85 38D4FFFF MOV EAX,DWORD PTR SS:[EBP-2BC8] 00AD26F4 8338 00 CMP DWORD PTR DS:[EAX],0 00AD26F7 74 2B JE SHORT 00AD2724 00AD26F9 8B85 38D4FFFF MOV EAX,DWORD PTR SS:[EBP-2BC8] 00AD26FF 8B00 MOV EAX,DWORD PTR DS:[EAX] 00AD2701 8B00 MOV EAX,DWORD PTR DS:[EAX] 00AD2703 2B05 5C5AAE00 SUB EAX,DWORD PTR DS:[AE5A5C] 00AD2709 8B8D 38D4FFFF MOV ECX,DWORD PTR SS:[EBP-2BC8] 00AD270F 8B09 MOV ECX,DWORD PTR DS:[ECX] 00AD2711 8901 MOV DWORD PTR DS:[ECX],EAX 00AD2713 8B85 38D4FFFF MOV EAX,DWORD PTR SS:[EBP-2BC8] 00AD2719 83C0 04 ADD EAX,4 00AD271C 8985 38D4FFFF MOV DWORD PTR SS:[EBP-2BC8],EAX 00AD2722 ^ EB CA JMP SHORT 00AD26EE 00AD2724 6A 01 PUSH 1 00AD2726 FF35 14DEAD00 PUSH DWORD PTR DS:[ADDE14] 00AD272C A1 8C55AE00 MOV EAX,DWORD PTR DS:[AE558C] 00AD2731 0305 14DCAD00 ADD EAX,DWORD PTR DS:[ADDC14] 00AD2737 50 PUSH EAX 00AD2738 FFB5 14EBFFFF PUSH DWORD PTR SS:[EBP-14EC] 00AD273E E8 69EDFDFF CALL 00AB14AC 00AD2743 83C4 10 ADD ESP,10 00AD2746 A1 EC4FAE00 MOV EAX,DWORD PTR DS:[AE4FEC] 00AD274B 8985 34D4FFFF MOV DWORD PTR SS:[EBP-2BCC],EAX 00AD2751 83BD 34D4FFFF 0>CMP DWORD PTR SS:[EBP-2BCC],0 00AD2758 74 36 JE SHORT 00AD2790 00AD275A 8B85 34D4FFFF MOV EAX,DWORD PTR SS:[EBP-2BCC] 00AD2760 8338 00 CMP DWORD PTR DS:[EAX],0 00AD2763 74 2B JE SHORT 00AD2790 00AD2765 8B85 34D4FFFF MOV EAX,DWORD PTR SS:[EBP-2BCC] 00AD276B 8B00 MOV EAX,DWORD PTR DS:[EAX] 00AD276D 8B00 MOV EAX,DWORD PTR DS:[EAX] 00AD276F 0305 5C5AAE00 ADD EAX,DWORD PTR DS:[AE5A5C] 00AD2775 8B8D 34D4FFFF MOV ECX,DWORD PTR SS:[EBP-2BCC] 00AD277B 8B09 MOV ECX,DWORD PTR DS:[ECX] 00AD277D 8901 MOV DWORD PTR DS:[ECX],EAX 00AD277F 8B85 34D4FFFF MOV EAX,DWORD PTR SS:[EBP-2BCC] 00AD2785 83C0 04 ADD EAX,4 00AD2788 8985 34D4FFFF MOV DWORD PTR SS:[EBP-2BCC],EAX 00AD278E ^ EB CA JMP SHORT 00AD275A 00AD2790 68 B851AE00 PUSH 0AE51B8 00AD2795 FF15 8882AD00 CALL DWORD PTR DS:[AD8288] ; ntdll.RtlLeaveCriticalSection 00AD279B C705 DCDBAD00 C>MOV DWORD PTR DS:[ADDBDC],0ADE4C4 00AD27A5 6A 01 PUSH 1 00AD27A7 58 POP EAX 00AD27A8 8B4D F0 MOV ECX,DWORD PTR SS:[EBP-10] 00AD27AB 64:890D 0000000>MOV DWORD PTR FS:[0],ECX 00AD27B2 5F POP EDI 00AD27B3 5E POP ESI 00AD27B4 5B POP EBX 00AD27B5 C9 LEAVE 00AD27B6 C3 RETN 这里也很简单，F8一步一步过来就可以了，为了加快速度，可以看到一些jmp是往上跳的，只要将鼠标定位到jmp下面的行，F4直接过来就可以了，接下来一直F8到如下： 01011C73 33C0 XOR EAX,EAX 01011C75 75 18 JNZ SHORT NOTEPAD.01011C8F 01011C77 7A 0C JPE SHORT NOTEPAD.01011C85 01011C79 70 0E JO SHORT NOTEPAD.01011C89 01011C7B EB 0D JMP SHORT NOTEPAD.01011C8A 01011C7D E8 720E79F1 CALL F27A2AF4 01011C82 FF15 00790974 CALL DWORD PTR DS:[74097900] 01011C88 F0:EB 87 LOCK JMP SHORT NOTEPAD.01011C12 ; 锁定前缀是不允许的 01011C8B DB7A F0 FSTP TBYTE PTR DS:[EDX-10] 01011C8E A0 33618B0D MOV AL,BYTE PTR DS:[D8B6133] 01011C93 64:A1 040151E8 MOV EAX,DWORD PTR FS:[E8510104] 01011C99 B3 E8 MOV BL,0E8 01011C9B FFFF ??? ; 未知命 令 看到这些命令不必紧张，仍然F8，继续。 一直到如下要注意了： 01011D4D 8BC0 MOV EAX,EAX 01011D4F 6A 00 PUSH 0 01011D51 E8 6E000000 CALL NOTEPAD.01011DC4 01011D56 83C4 04 ADD ESP,4 01011D59 6A 00 PUSH 0 01011D5B E8 FBD40100 CALL NOTEPAD.0102F25B 01011D60 83C4 04 ADD ESP,4 01011D63 837D E4 01 CMP DWORD PTR SS:[EBP-1C],1 01011D67 75 11 JNZ SHORT NOTEPAD.01011D7A 01011D69 68 F0000501 PUSH NOTEPAD.010500F0 01011D6E FF15 14010501 CALL DWORD PTR DS:[1050114] F7进去 01011D74 83C4 04 ADD ESP,4 01011D77 8945 E4 MOV DWORD PTR SS:[EBP-1C],EAX 01011D7A 68 8C050101 PUSH NOTEPAD.0101058C 01011D7F E8 D7D40100 CALL NOTEPAD.0102F25B 01011D84 83C4 04 ADD ESP,4 01011D6E要进去，不然就飞了，即使你的机上地址和我不一样也没关系，看到类似上面的结构注意一下就可以。OK，进去。 00AD44DC A1 9455AE00 MOV EAX,DWORD PTR DS:[AE5594] 00AD44E1 C605 3057AE00 0>MOV BYTE PTR DS:[AE5730],1 00AD44E8 C705 DCDBAD00 F>MOV DWORD PTR DS:[ADDBDC],0ADE6F0 ; ASCII "RA" 00AD44F2 53 PUSH EBX 00AD44F3 8B48 70 MOV ECX,DWORD PTR DS:[EAX 70] 00AD44F6 56 PUSH ESI 00AD44F7 3348 6C XOR ECX,DWORD PTR DS:[EAX 6C] 00AD44FA 57 PUSH EDI 00AD44FB 6A FE PUSH -2 00AD44FD 3348 58 XOR ECX,DWORD PTR DS:[EAX 58] 00AD4500 5B POP EBX 00AD4501 F6C1 40 TEST CL,40 00AD4504 75 08 JNZ SHORT 00AD450E 00AD4506 6A 01 PUSH 1 00AD4508 E8 8609FEFF CALL 00AB4E93 00AD450D 59 POP ECX 00AD450E 8B7424 10 MOV ESI,DWORD PTR SS:[ESP 10] 00AD4512 833E 02 CMP DWORD PTR DS:[ESI],2 00AD4515 75 40 JNZ SHORT 00AD4557 00AD4517 6A 00 PUSH 0 00AD4519 E8 E231FEFF CALL 00AB7700 00AD451E A1 9455AE00 MOV EAX,DWORD PTR DS:[AE5594] 00AD4523 59 POP ECX 00AD4524 8B48 40 MOV ECX,DWORD PTR DS:[EAX 40] 00AD4527 8B50 70 MOV EDX,DWORD PTR DS:[EAX 70] 00AD452A 3348 08 XOR ECX,DWORD PTR DS:[EAX 8] 00AD452D 33CA XOR ECX,EDX 00AD452F 74 14 JE SHORT 00AD4545 00AD4531 8B78 68 MOV EDI,DWORD PTR DS:[EAX 68] 00AD4534 3378 04 XOR EDI,DWORD PTR DS:[EAX 4] 00AD4537 8B46 18 MOV EAX,DWORD PTR DS:[ESI 18] 00AD453A 33FA XOR EDI,EDX 00AD453C 2BC7 SUB EAX,EDI 00AD453E 03C1 ADD EAX,ECX 00AD4540 8946 1C MOV DWORD PTR DS:[ESI 1C],EAX 00AD4543 EB 04 JMP SHORT 00AD4549 00AD4545 8366 1C 00 AND DWORD PTR DS:[ESI 1C],0 00AD4549 FF76 18 PUSH DWORD PTR DS:[ESI 18] 00AD454C E8 908FFEFF CALL 00ABD4E1 00AD4551 59 POP ECX 00AD4552 E9 AC000000 JMP 00AD4603 00AD4557 E8 7918FEFF CALL 00AB5DD5 00AD455C C705 DCDBAD00 E>MOV DWORD PTR DS:[ADDBDC],0ADE6EC ; ASCII "RB" 00AD4566 FF15 1481AD00 CALL DWORD PTR DS:[AD8114] ; kernel32.GetCurrentThreadId 00AD456C A3 AC56AE00 MOV DWORD PTR DS:[AE56AC],EAX 00AD4571 E8 1537FEFF CALL 00AB7C8B 00AD4576 6A 00 PUSH 0 00AD4578 E8 648FFEFF CALL 00ABD4E1 00AD457D 6A 00 PUSH 0 00AD457F C705 DCDBAD00 E>MOV DWORD PTR DS:[ADDBDC],0ADE6E8 ; ASCII "RC" 00AD4589 E8 7231FEFF CALL 00AB7700 00AD458E 59 POP ECX 00AD458F 59 POP ECX 00AD4590 E8 4A11FFFF CALL 00AC56DF 00AD4595 8BF8 MOV EDI,EAX 00AD4597 A1 9455AE00 MOV EAX,DWORD PTR DS:[AE5594] 00AD459C 8B48 70 MOV ECX,DWORD PTR DS:[EAX 70] 00AD459F 3348 40 XOR ECX,DWORD PTR DS:[EAX 40] 00AD45A2 3348 08 XOR ECX,DWORD PTR DS:[EAX 8] 00AD45A5 03F9 ADD EDI,ECX 00AD45A7 8B0E MOV ECX,DWORD PTR DS:[ESI] 00AD45A9 85C9 TEST ECX,ECX 00AD45AB 75 2F JNZ SHORT 00AD45DC 00AD45AD 8B78 70 MOV EDI,DWORD PTR DS:[EAX 70] 00AD45B0 E8 2A11FFFF CALL 00AC56DF 00AD45B5 8B0D 9455AE00 MOV ECX,DWORD PTR DS:[AE5594] ; NOTEPAD.0104A260 00AD45BB FF76 14 PUSH DWORD PTR DS:[ESI 14] 00AD45BE 8B51 40 MOV EDX,DWORD PTR DS:[ECX 40] 00AD45C1 FF76 10 PUSH DWORD PTR DS:[ESI 10] 00AD45C4 3351 08 XOR EDX,DWORD PTR DS:[ECX 8] 00AD45C7 FF76 0C PUSH DWORD PTR DS:[ESI C] 00AD45CA 33D7 XOR EDX,EDI 00AD45CC 03C2 ADD EAX,EDX 00AD45CE 8B51 68 MOV EDX,DWORD PTR DS:[ECX 68] 00AD45D1 3351 04 XOR EDX,DWORD PTR DS:[ECX 4] 00AD45D4 33D7 XOR EDX,EDI 00AD45D6 2BC2 SUB EAX,EDX 00AD45D8 FFD0 CALL EAX 00AD45DA EB 25 JMP SHORT 00AD4601 00AD45DC 83F9 01 CMP ECX,1 00AD45DF 75 22 JNZ SHORT 00AD4603 00AD45E1 FF76 04 PUSH DWORD PTR DS:[ESI 4] 00AD45E4 FF76 08 PUSH DWORD PTR DS:[ESI 8] 00AD45E7 6A 00 PUSH 0 00AD45E9 E8 F110FFFF CALL 00AC56DF 00AD45EE 50 PUSH EAX 00AD45EF A1 9455AE00 MOV EAX,DWORD PTR DS:[AE5594] 00AD45F4 8B48 70 MOV ECX,DWORD PTR DS:[EAX 70] 00AD45F7 3348 68 XOR ECX,DWORD PTR DS:[EAX 68] 00AD45FA 3348 04 XOR ECX,DWORD PTR DS:[EAX 4] 00AD45FD 2BF9 SUB EDI,ECX 00AD45FF FFD7 CALL EDI ――――― EDI＝OEP=01006ae0 00AD4601 8BD8 MOV EBX,EAX 00AD4603 5F POP EDI 00AD4604 8BC3 MOV EAX,EBX 00AD4606 5E POP ESI 00AD4607 5B POP EBX 00AD4608 C3 RETN 运行到上面的00AD45FF，EDI＝oep，F7进去，运行LORDPE，dump一下吧，OK，现在 运行ImportREC1.6(请使用1.6，不要使用1.4) oep填6ae0 OK，提示oep找到了，单击获取输入表，发现有许多函数不认，单击显示非法函数，可以看到第一个不认的是： RVA：00001004 ptr:00ABBA46 （记住这个，一会儿用得着） 这是因为加密的原因，OK， 我们来找到那个加密的地方。 重新来吧。 先用插件隐藏OD，下BP VirtualProtect断点，越过开头两次异常，按5次F5，点击对话框中的确定按钮，SHIFT＋F9越过，OK，看一下堆栈： 0012BEF0 00AD077C /CALL 到 VirtualProtect 来自 00AD0776 0012BEF4 01001000 |Address = NOTEPAD.01001000 ――――＞目标接近了。 0012BEF8 00007000 |Size = 7000 (28672.) 0012BEFC 00000004 |NewProtect = PAGE_READWRITE 0012BF00 0012D71C \pOldProtect = 0012D71C 记得第一个出错指针是01001004（加上基地址100000）,OK,在内存窗口中，GO定位到01001004 可以看到这片区域都是0，那是因为还没开始加密啊，我们在01001004右击选择断点――＞硬件断点写入――＞Dword ，OK，F9吧，两次后会断到如下： 00AD181A 8B85 20ECFFFF MOV EAX,DWORD PTR SS:[EBP-13E0] ; NOTEPAD.01001000 00AD1820 83C0 04 ADD EAX,4 00AD1823 8985 20ECFFFF MOV DWORD PTR SS:[EBP-13E0],EAX 00AD1829 ^ E9 36FDFFFF JMP 00AD1564 00AD182E 83BD F4EAFFFF 0>CMP DWORD PTR SS:[EBP-150C],0 00AD1835 0F85 8A000000 JNZ 00AD18C5 00AD183B 0FB685 B0E8FFFF MOVZX EAX,BYTE PTR SS:[EBP-1750] 00AD1842 85C0 TEST EAX,EAX 00AD1844 74 7F JE SHORT 00AD18C5 停在00AD181A，OK，现在我们找那个地方了，用小妹的一个技巧吧，非常稳的，鼠标滚轮一直往上，呵呵，8秒钟就到了，如下： 00AD1349 FF15 C480AD00 CALL DWORD PTR DS:[AD80C4] ; kernel32.GetModuleHandleA ――>>>>> 这是一个重要标志，看到它就停吧。 00AD134F 3985 BCE8FFFF CMP DWORD PTR SS:[EBP-1744],EAX 00AD1355 75 0F JNZ SHORT 00AD1366 00AD1357 C785 B8E8FFFF 3>MOV DWORD PTR SS:[EBP-1748],0ADC530 00AD1361 E9 C4000000 JMP 00AD142A 00AD1366 83A5 94E6FFFF 0>AND DWORD PTR SS:[EBP-196C],0 00AD136D C785 90E6FFFF 4>MOV DWORD PTR SS:[EBP-1970],0ADCB48 00AD1377 EB 1C JMP SHORT 00AD1395 00AD1379 8B85 90E6FFFF MOV EAX,DWORD PTR SS:[EBP-1970] 00AD137F 83C0 0C ADD EAX,0C 00AD1382 8985 90E6FFFF MOV DWORD PTR SS:[EBP-1970],EAX 00AD1388 8B85 94E6FFFF MOV EAX,DWORD PTR SS:[EBP-196C] 00AD138E 40 INC EAX 00AD138F 8985 94E6FFFF MOV DWORD PTR SS:[EBP-196C],EAX 00AD1395 8B85 90E6FFFF MOV EAX,DWORD PTR SS:[EBP-1970] 00AD139B 8338 00 CMP DWORD PTR DS:[EAX],0 00AD139E 0F84 86000000 JE 00AD142A ―――＞＞＞每次jmp就可以不加密了。呵呵。 00AD13A4 8B85 90E6FFFF MOV EAX,DWORD PTR SS:[EBP-1970] 00AD13AA 8B40 08 MOV EAX,DWORD PTR DS:[EAX 8] 00AD13AD 83E0 01 AND EAX,1 00AD13B0 85C0 TEST EAX,EAX 00AD13B2 74 25 JE SHORT 00AD13D9 00AD13B4 A1 9455AE00 MOV EAX,DWORD PTR DS:[AE5594] 但是我们现在改是不用的，必须每次到这的时候就改，我们要走在00AD1349前，OK，重新再来，开头的几步仍然一样。5次F9之后，越过异常框，OK，看一下堆栈： 0012BEF0 00AD077C /CALL 到 VirtualProtect 来自 00AD0776 0012BEF4 01001000 |Address = NOTEPAD.01001000 0012BEF8 00007000 |Size = 7000 (28672.) 0012BEFC 00000004 |NewProtect = PAGE_READWRITE 0012BF00 0012D71C \pOldProtect = 0012D71C 可以看到00AD0776离我们的目标00AD1349不远了，取消断点，按CTRL＋F9，然后一步一步F8，看到一些jmp往上跳的，可以直接F4过去。很快的就可以到我们的00AD1349了，马上在00AD139E 0F84 86000000 JE 00AD142A 这里下断，按F9吧，断下当然显示不跳了，改一下标志位，使它跳，不要取消断点，继续F9，依此一直下去，OK我大约断了9次，再按一下的时候，OD异常，无法处理进程了，如果是3.4的程序，可以直接拿出Importrec了，可是3.6不行，走到oep吧，怎么走呢，再按一下任何键都飞了，所以第10次当然不能按F9了，9次之后直接下断，BP GetCurrentThreadId OK，停下来了，CTRL＋F9，马上： 0AD44F2 53 PUSH EBX 00AD44F3 8B48 70 MOV ECX,DWORD PTR DS:[EAX 70] 00AD44F6 56 PUSH ESI 00AD44F7 3348 6C XOR ECX,DWORD PTR DS:[EAX 6C] 00AD44FA 57 PUSH EDI 00AD44FB 6A FE PUSH -2 00AD44FD 3348 58 XOR ECX,DWORD PTR DS:[EAX 58] 00AD4500 5B POP EBX 00AD4501 F6C1 40 TEST CL,40 00AD4504 75 08 JNZ SHORT 00AD450E 00AD4506 6A 01 PUSH 1 00AD4508 E8 8609FEFF CALL 00AB4E93 00AD450D 59 POP ECX 00AD450E 8B7424 10 MOV ESI,DWORD PTR SS:[ESP 10] 00AD4512 833E 02 CMP DWORD PTR DS:[ESI],2 00AD4515 75 40 JNZ SHORT 00AD4557 00AD4517 6A 00 PUSH 0 00AD4519 E8 E231FEFF CALL 00AB7700 00AD451E A1 9455AE00 MOV EAX,DWORD PTR DS:[AE5594] 00AD4523 59 POP ECX 00AD4524 8B48 40 MOV ECX,DWORD PTR DS:[EAX 40] 00AD4527 8B50 70 MOV EDX,DWORD PTR DS:[EAX 70] 00AD452A 3348 08 XOR ECX,DWORD PTR DS:[EAX 8] 00AD452D 33CA XOR ECX,EDX 00AD452F 74 14 JE SHORT 00AD4545 00AD4531 8B78 68 MOV EDI,DWORD PTR DS:[EAX 68] 00AD4534 3378 04 XOR EDI,DWORD PTR DS:[EAX 4] 00AD4537 8B46 18 MOV EAX,DWORD PTR DS:[ESI 18] 00AD453A 33FA XOR EDI,EDX 00AD453C 2BC7 SUB EAX,EDI 00AD453E 03C1 ADD EAX,ECX 00AD4540 8946 1C MOV DWORD PTR DS:[ESI 1C],EAX 00AD4543 EB 04 JMP SHORT 00AD4549 00AD4545 8366 1C 00 AND DWORD PTR DS:[ESI 1C],0 00AD4549 FF76 18 PUSH DWORD PTR DS:[ESI 18] 00AD454C E8 908FFEFF CALL 00ABD4E1 00AD4551 59 POP ECX 00AD4552 E9 AC000000 JMP 00AD4603 00AD4557 E8 7918FEFF CALL 00AB5DD5 00AD455C C705 DCDBAD00 E>MOV DWORD PTR DS:[ADDBDC],0ADE6EC ; ASCII "RB" 00AD4566 FF15 1481AD00 CALL DWORD PTR DS:[AD8114] ; kernel32.GetCurrentThreadId 00AD456C A3 AC56AE00 MOV DWORD PTR DS:[AE56AC],EAX 00AD4571 E8 1537FEFF CALL 00AB7C8B 00AD4576 6A 00 PUSH 0 00AD4578 E8 648FFEFF CALL 00ABD4E1 00AD457D 6A 00 PUSH 0 00AD457F C705 DCDBAD00 E>MOV DWORD PTR DS:[ADDBDC],0ADE6E8 ; ASCII "RC" 00AD4589 E8 7231FEFF CALL 00AB7700 00AD458E 59 POP ECX 00AD458F 59 POP ECX 00AD4590 E8 4A11FFFF CALL 00AC56DF 00AD4595 8BF8 MOV EDI,EAX 00AD4597 A1 9455AE00 MOV EAX,DWORD PTR DS:[AE5594] 00AD459C 8B48 70 MOV ECX,DWORD PTR DS:[EAX 70] 00AD459F 3348 40 XOR ECX,DWORD PTR DS:[EAX 40] 00AD45A2 3348 08 XOR ECX,DWORD PTR DS:[EAX 8] 00AD45A5 03F9 ADD EDI,ECX 00AD45A7 8B0E MOV ECX,DWORD PTR DS:[ESI] 00AD45A9 85C9 TEST ECX,ECX 00AD45AB 75 2F JNZ SHORT 00AD45DC 00AD45AD 8B78 70 MOV EDI,DWORD PTR DS:[EAX 70] 00AD45B0 E8 2A11FFFF CALL 00AC56DF 00AD45B5 8B0D 9455AE00 MOV ECX,DWORD PTR DS:[AE5594] ; NOTEPAD.0104A260 00AD45BB FF76 14 PUSH DWORD PTR DS:[ESI 14] 00AD45BE 8B51 40 MOV EDX,DWORD PTR DS:[ECX 40] 00AD45C1 FF76 10 PUSH DWORD PTR DS:[ESI 10] 00AD45C4 3351 08 XOR EDX,DWORD PTR DS:[ECX 8] 00AD45C7 FF76 0C PUSH DWORD PTR DS:[ESI C] 00AD45CA 33D7 XOR EDX,EDI 00AD45CC 03C2 ADD EAX,EDX 00AD45CE 8B51 68 MOV EDX,DWORD PTR DS:[ECX 68] 00AD45D1 3351 04 XOR EDX,DWORD PTR DS:[ECX 4] 00AD45D4 33D7 XOR EDX,EDI 00AD45D6 2BC2 SUB EAX,EDX 00AD45D8 FFD0 CALL EAX 00AD45DA EB 25 JMP SHORT 00AD4601 00AD45DC &, nbsp; 83F9 01 CMP ECX,1 00AD45DF 75 22 JNZ SHORT 00AD4603 00AD45E1 FF76 04 PUSH DWORD PTR DS:[ESI 4] 00AD45E4 FF76 08 PUSH DWORD PTR DS:[ESI 8] 00AD45E7 6A 00 PUSH 0 00AD45E9 E8 F110FFFF CALL 00AC56DF 00AD45EE 50 PUSH EAX 00AD45EF A1 9455AE00 MOV EAX,DWORD PTR DS:[AE5594] 00AD45F4 8B48 70 MOV ECX,DWORD PTR DS:[EAX 70] 00AD45F7 3348 68 XOR ECX,DWORD PTR DS:[EAX 68] 00AD45FA 3348 04 XOR ECX,DWORD PTR DS:[EAX 4] 00AD45FD 2BF9 SUB EDI,ECX 00AD45FF FFD7 CALL EDI ――――― EDI＝OEP=01006ae0 好了，拿出Import1.6 不要1.4了，呵呵，OEP填6AE0 这下可以获取很多函数了，无效的一律CUT吧，好。运行一下吧，OK，然后再拿Lordpe rebuild一下，减小体积吧。呵呵。 感谢 以前写过AM教程的许多人，谢谢所有论坛上的人。 |
|小黑屋|最新主题|手机版|微赢网络技术论坛
( 苏ICP备08020429号 )
GMT+8, 2024-9-29 23:40 , Processed in 0.221412 second(s), 12 queries , Gzip On, MemCache On.
Powered by Discuz! X3.5
© 2001-2023 Discuz! Team.
