学习ximo老师课程的学习记录17

xi0405

17、ACProtect之寻找丢失的Stolen Code

一、环境

XP机

二、案例程序

1

  

NetClean.exe

三、方法

最后一次异常法

四、工具

1.OD

2.Scylla

3.LoadPE

4.PEiD

五、脱壳

查壳

2

  

OD载入，配置

3

  

3

  

开始脱壳，最后一次异常法

4

  

4

  

4

  

4

  

4

  

4

  

4

  

4

  

4

  

4

  

4

  

4

  

4

  

这里就是OEP了，但是数据少了

5

  

5

  

这里先说一下，怎么往上滑动代码不会变形

6

  

6

  

然后现在去找丢失的数据

7

  

7

  

7

  

7

  

7

  

7

  

数据找到，是这三行

8

  

8

  

8

  

8

  

8

  

8

  

8

  

脱壳Scylla

9

  

9

  

修复IAT

10

  

10

  

10

  

10

  

修复结束，但是还是无法运行

11

  

继续修复（现在不是IAT错误，好像是这个壳的原因）

12

  

这个是带壳的程序，查看一下入口地址记住

12

  

在已经脱壳后的程序里Ctrl+G

12

  

12

  

第四行是写jmp 004431F4后就会变成这样

12

  

12

  

12

  

12

  

还需要LoadPE修改一下入口点

13

  

把入口点修改成00AC000后保存，确定

13

  

能运行了，结束！

14

BMZ123654

xi0405 发表于 2025-9-15 23:30
是在XP机吗

是的，在论坛下载的18年公布的那款52专享XP系统

BMZ123654

xi0405 发表于 2025-9-15 23:30
是在XP机吗

研究明白了，还出了个贴子给后来学习的避避坑

BMZ123654

这一节学不会了，脱壳修复OEP，修复入口跳转都没问题，就是程序一直无法运行，可以汉化修改

xi0405

BMZ123654 发表于 2025-9-15 08:30
这一节学不会了，脱壳修复OEP，修复入口跳转都没问题，就是程序一直无法运行，可以汉化修改

是在XP机吗