用OD自带插件DUMP--GHF Protector V1.0

kir · 发表于 2010-9-14 13:06

可能这方法很多人都知道了吧，懂的就直接飘过吧，我主要在那练习贴里面没看到用OD自带插件脱得，所以就补充一下。
GHF Protector V1.0，这是13课的练习，怎么到达OPE，搜索那练习贴里面的方法去到达吧！
到达之后我们用OD自带脱壳插件，开始显示如下未命名1.jpg

我们再看看堆栈区，拉上去一点发现如下。。0012FFAC 0012FFF0
0012FFB0 0012FFC4
0012FFB4 00000000
0012FFB8 00000000                                                    /这里是数据基质
0012FFBC 00400000  13-GHF_1.00400000                /这里是起始地址
0012FFC0 004070FF  ASCII "`hTp@"                         /这里是大小，OD插件里就应该填70FF，就是4070FF-起始地址
0012FFC4 7C817067  返回到 kernel32.7C817067
0012FFC8 00400000  13-GHF_1.00400000
0012FFCC FFFFFFFF
0012FFD0 7FFD5000
0012FFD4 8054C6B8

现在我们改动到如下图
未命名2.jpg

DUMP下来之后运行，还需要用LordPE来重建一下，之后就能运行了
未命名3.jpg

这方法对吗啡仙剑之类的壳都有效，主要是找对大小和基质。。。

sgjf2010 · 发表于 2010-9-14 13:57

LZ什么意思想说什么？

小生我怕怕 · 发表于 2010-9-14 14:16

LZ什么意思想说什么？
sgjf2010 发表于 2010-9-14 13:57

他说自己计算OEP的RVA，然后用OD插件DUMP

sgjf2010 · 发表于 2010-9-14 18:44

哦哦我一般都用脱壳机因为我不会手托55555555555

帐号		自动登录	找回密码
密码			注册[Register]

[分享] 用OD自带插件DUMP--GHF Protector V1.0