吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 8676|回复: 5
收起左侧

[Scripts] tElock v0.98脱壳脚本(第八九课作业)

[复制链接]
whyida 发表于 2016-5-1 19:03
本帖最后由 whyIDA 于 2016-5-1 19:40 编辑

tElock v0.98是一款很老而且比较容易脱得壳,最后一次异常法,二次内存法很容易脱掉。本帖只是练习一下脚本的写法。大概原理是先在
.rdata下断然后搜索iat加密并改强制跳转。再在.data下断,最后跳到oep 完成脱壳


0045D4F6    55              PUSH EBP
0045D4F7  |.  8BEC          MOV EBP,ESP
0045D4F9  |.  6A FF         PUSH -1
0045D4FB  |.  68 28704800   PUSH 第八九课.00487028
0045D500  |.  68 D4024600   PUSH 第八九课.004602D4                       ;  SE 处理程序安装
0045D505  |.  64:A1 0000000>MOV EAX,DWORD PTR FS:[0]
0045D50B  |.  50            PUSH EAX
0045D50C  |.  64:8925 00000>MOV DWORD PTR FS:[0],ESP
0045D513  |.  83EC 58       SUB ESP,58
0045D516  |.  53            PUSH EBX
0045D517  |.  56            PUSH ESI
0045D518  |.  57            PUSH EDI
0045D519  |.  8965 E8       MOV [LOCAL.6],ESP
0045D51C  |.  FF15 7CD14700 CALL NEAR DWORD PTR DS:[<&kernel32.GetVe>;  kernel32.GetVersion
0045D522  |.  33D2          XOR EDX,EDX
0045D524  |.  8AD4          MOV DL,AH
0045D526  |.  8915 E4D74B00 MOV DWORD PTR DS:[4BD7E4],EDX
0045D52C  |.  8BC8          MOV ECX,EAX
0045D52E  |.  81E1 FF000000 AND ECX,0FF
0045D534  |.  890D E0D74B00 MOV DWORD PTR DS:[4BD7E0],ECX
0045D53A  |.  C1E1 08       SHL ECX,8
0045D53D  |.  03CA          ADD ECX,EDX
0045D53F  |.  890D DCD74B00 MOV DWORD PTR DS:[4BD7DC],ECX
0045D545  |.  C1E8 10       SHR EAX,10
0045D548  |.  A3 D8D74B00   MOV DWORD PTR DS:[4BD7D8],EAX
0045D54D  |.  6A 01         PUSH 1
0045D54F  |.  E8 174F0000   CALL 第八九课.0046246B
0045D554  |.  59            POP ECX
0045D555  |.  85C0          TEST EAX,EAX
0045D557  |.  75 08         JNZ SHORT 第八九课.0045D561

脚本
[Asm] 纯文本查看 复制代码
VAR     fin1
VAR     tmp
VAR     CD1
VAR     CD2
VAR     SZ

GMI     eip,CODEBASE
MOV     CD1,$RESULT
MOV     CD2,CD1
GMI     eip,CODESIZE 
MOV     SZ, $RESULT
ADD     CD1,SZ             
BPRM    CD1, FF            ;RDada 地址
ERUN 
BPMC

GMEMI eip, MEMORYBASE
MOV   tmp1,$RESULT

FINDMEM #C685??????????74#,tmp1
MOV     fin1, $RESULT
CMP     fin1,0
JE      end  
GO      fin1
STO  
GCI     eip, DESTINATION 
MOV     tmp,$RESULT
eval   "jmp {tmp}"

ASM      eip,$RESULT        
BPRM    CD2, SZ      ;text 地址
ERUN 
BPMC

GPI     CURRENTDIR
DPE     "dump.exe",eip
MSG    "已脱壳,文件在当前目录"
end:
RET

[/mw_shl_code]
tElock v0.98.7z (543.86 KB, 下载次数: 74)








免费评分

参与人数 1热心值 +1 收起 理由
Hmily + 1 感谢发布原创作品,吾爱破解论坛因你更精彩!

查看全部评分

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

艰苦奋斗 发表于 2016-8-10 09:51
学习下,支持楼主
gudooi 发表于 2018-3-12 08:59
cheyom 发表于 2018-3-14 06:28
gsj000 发表于 2018-4-3 11:06
拿 走了        谢谢分享
就是随便看看 发表于 2018-4-18 11:08 来自手机
求写脚本的视频教程
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则 警告:本版块禁止灌水或回复与主题无关内容,违者重罚!

快速回复 收藏帖子 返回列表 搜索

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-3-29 13:07

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表