学习ximo老师课程的学习记录17

xi0405

17、ACProtect之寻找丢失的Stolen Code

一、环境

XP机

二、案例程序

  

NetClean.exe

三、方法

最后一次异常法

四、工具

1.OD

2.Scylla

3.LoadPE

4.PEiD

五、脱壳

查壳

  

OD载入，配置

  

  

开始脱壳，最后一次异常法

  

  

  

  

  

  

  

  

  

  

  

  

  

这里就是OEP了，但是数据少了

  

  

这里先说一下，怎么往上滑动代码不会变形

  

  

然后现在去找丢失的数据

  

  

  

  

  

  

数据找到，是这三行

  

  

  

  

  

  

  

脱壳Scylla

  

  

修复IAT

  

  

  

  

修复结束，但是还是无法运行

  

继续修复（现在不是IAT错误，好像是这个壳的原因）

  

这个是带壳的程序，查看一下入口地址记住

  

在已经脱壳后的程序里Ctrl+G

  

  

第四行是写jmp 004431F4后就会变成这样

  

  

  

  

还需要LoadPE修改一下入口点

  

把入口点修改成00AC000后保存，确定

  

能运行了，结束！

BMZ123654

xi0405 发表于 2025-9-15 23:30
是在XP机吗

是的，在论坛下载的18年公布的那款52专享XP系统

BMZ123654

xi0405 发表于 2025-9-15 23:30
是在XP机吗

研究明白了，还出了个贴子给后来学习的避避坑

BMZ123654

这一节学不会了，脱壳修复OEP，修复入口跳转都没问题，就是程序一直无法运行，可以汉化修改

xi0405

BMZ123654 发表于 2025-9-15 08:30
这一节学不会了，脱壳修复OEP，修复入口跳转都没问题，就是程序一直无法运行，可以汉化修改

是在XP机吗