网站 › 『脱壳破解讨论求助区』 › 一个自效验软件求助下思路

小河水 发表于 2023-6-22 21:03

一个自效验软件求助下思路

脱壳后加载软件下了自效验断点，停在这

F9在运行，停在75D853C6处，堆栈中跟随跳转到00407383

往上找到一个je跳转，0040732D可以跳过00407383
F9运行再次停在在75D8536，堆栈中跟随00499C84




没有跳过call的关键跳，nop后运行软件崩溃了，



求助下大哥们给个思路



软件链接：https://wwag.lanzoum.com/ikeg20zriy2h

xlhwxyh 发表于 2023-6-22 21:31

CreateFile 是关联或者创建一个文件,这是一个系统api,nop 掉首先是要堆栈平衡
add esp,0x001c

这就是崩溃的原因!其次你没找到关键call   这个call是系统api
nop 后文件句柄无法正常打开, 下面的代码运行后就未知了!!!!!!!!!!!!!!!!!!!!!!

小河水 发表于 2023-6-22 21:55

xlhwxyh 发表于 2023-6-22 21:31
CreateFile 是关联或者创建一个文件,这是一个系统api,nop 掉首先是要堆栈平衡
add esp,0x001c



大哥，这个自效验的能帮研究下关键call嘛

难寻。 发表于 2023-6-22 23:13

:lol写个hook CreateFileA

或者jmp手搓一段 就让这段指向到原文件就得了呗

小河水 发表于 2023-6-22 23:16

难寻。 发表于 2023-6-22 23:13
写个hook CreateFileA

或者jmp手搓一段 就让这段指向到原文件就得了呗

没有汇编基础，大哥给个例子

wf6994jie 发表于 2023-6-23 08:21

进到CreateFileA前面两个call跟进去找找看

小河水 发表于 2023-6-23 08:31

wf6994jie 发表于 2023-6-23 08:21
进到CreateFileA前面两个call跟进去找找看

好的谢谢

byh3025 发表于 2023-6-23 10:03

校验应该在这个api之后，你怎么能跳过这个呢？

cndml 发表于 2023-7-1 17:02

1、在CreateFileA函数设断点，读程序自身断下后，回溯，到这里：



紧接的下面的je强制跳转的话，自校验成功，总共有两处校验，都改成jmp即可！

小河水 发表于 2023-7-1 21:10

cndml 发表于 2023-7-1 17:02
1、在CreateFileA函数设断点，读程序自身断下后，回溯，到这里：




好的，谢谢了老哥。

查看完整版本: 一个自效验软件求助下思路