好友
阅读权限10
听众
最后登录1970-1-1
|
武宗钦
发表于 2020-3-17 10:37
本帖最后由 武宗钦 于 2020-3-17 10:48 编辑
这是转载 如有违规请删帖 好用记得回复哟 不明白可以一起交流{:1_927:}
首先就是查壳了
图1
这一看是VMP壳，差点让我放出最强插件“回收站”了
首先第一步进入程序领空（由于所有人都知道，我就不解释了）
直接Ctrl+F搜索push 20（第一次没有搜到，就Ctrl+L查找下一个。登陆特征码）
图2
直接段首修改成mov eax,1 mov esp,ebp pop ebp retn如下图：
图3
第二步、直接Ctrl+S搜索sub esp,84（第一次没有搜到，就Ctrl+L查找下一个。合法时间特征码）
段首修改成 mov eax,file:///C:\Users\Administrator\AppData\Roaming\Tencent\Users\1152696239\QQ\WinTemp\RichOle\H(HK9A(2888DT1J~CF`Z`@8.png0x0040845E mov esp,ebp pop ebp retn 如下图
图4
接下来很多人要问了。0040845E是什么，这个就是你找的空白地址，右键-二进制-编辑-ACSII为99999，如下图
图5
第三步、Ctrl+S搜索sub esp,88（第一次没有搜到，就Ctrl+L查找下一个。合法时间特征码）
图6
段首修改成 leave retn 如下图
图7
第四步、接下来就是算法了，算法没有弄好就会导致卡登陆，正常搜索应该是sub esp,98，但是如果这样修改下来就会卡登陆，因此我们Ctrl+S搜索 sub esp,0xA8，如下图
图8
我们从箭头哪里，也就是光标的上一行，也就是retn的下一行修改。
修改成leave retn 如图
图9
第五步、我们要找到退出特征码。也就是Ctrl+F搜索push 60，段首修改成retn 如图
图10
最后一步、由于是VMP壳，我们需要打补丁，这次我们就用我们的专用HOOK补丁
图11
接下来，快去验收我们自己亲手解决的FZ吧！！
图12
补充图13
软件地址：https://www.lanzouj.com/b073fa4af MM:6666 |
免费评分
-
查看全部评分
|
发帖前要善用【论坛搜索】功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。 |
|
|
|
|
|
|
[复制链接]
不是队友贼坑就是贼浪，年前白金，年后白银，我得天