学习ximo老师课程的学习记录20

xi0405

20、ACProtect之补区段

大概分三步，补数据重复操作很多

1.修改

2.记录假OEP

3.补数据（重复九次就是找stolen code）

一、环境

XP机

二、案例程序

  

1.NgaMy.exe（案例程序）

2.topo.exe（这个是修复用的辅助程序）

三、方法

1.ESP

2.内存镜像法

四、工具

1.OD

2.PEiD

3.Scylla

4.LoadPE

五、脱壳

查壳

  

配置

  

  

1、OD开始，修改（内存镜像法）

  

  

  

  

  

  

  

修改结束

  

  

  

  

记得删除内存访问断点

  

  

  

2、记录假OEP

  

  

Scylla

  

  

  

修复IAT

  

  

  

  

3、修复数据（ESP）

  

  

第一次

  

  

  

补充忘掉记录的数据

  

第二次

  

  

  

  

第三次，后面都是一样的（如果不想看的可以直接跳过，到汇总数据）

  

  

  

第四次

  

  

第 五次

  

  

  

第六次

  

  

   

第七次

  

  

  

第八次

  

  

  

第九次

  

   

结束，开始修复，topo.exe

  

  

  

  

OD

  

  

  

  

  

LoadPE修改一下入口点

  

结束！！

  

附：汇总二进制内容

[Asm] 纯文本查看 复制代码

89 15 F5 FD 41 00 FF 35 F5 FD 41 00 8F 05 2D FE 41 00 FF 35 2D FE 41 00 C7 04 24 60 00 00 00 56
89 0C 24 68 8D FD 41 00 59 89 19 8B 0C 24 8F 05 AD FE 41 00 FF 35 8D FD 41 00 C7 04 24 48 A2 40
00 89 05 B9 FD 41 00 FF 35 B9 FD 41 00 68 1D FD 41 00 58 89 30 8F 05 79 FC 41 00 8B 05 79 FC 41
00 FF 35 1D FD 41 00 56 89 1C 24 C7 04 24 38 3D 40 00 8B 34 24 8F 05 A5 FE 41 00 89 05 01 FF 41
00 FF 35 01 FF 41 00 89 1C 24 56 C7 04 24 45 FE 41 00 8F 05 31 FE 41 00 8B 1D 31 FE 41 00 89 33
8F 05 39 FC 41 00 FF 35 39 FC 41 00 5B 8F 05 09 FE 41 00 89 1D 21 FC 41 00 FF 35 21 FC 41 00 C7
05 19 FC 41 00 09 FE 41 00 8B 1D 19 FC 41 00 8B 33 8F 05 FD FB 41 00 8B 1D FD FB 41 00 FF 15 45
FE 41 00 89 0D B1 FD 41 00 FF 35 B1 FD 41 00 8F 05 B5 FC 41 00 FF 35 B5 FC 41 00 56 BE FD FC 41
00 89 3E 5E FF 35 FD FC 41 00 68 94 00 00 00 8F 05 E5 FC 41 00 FF 35 E5 FC 41 00 5F 89 3D 3D FE
41 00 FF 35 3D FE 41 00 8B 0C 24 8F 05 7D FE 41 00 8B 3C 24 8F 05 79 FD 41 00 89 35 25 FC 41 00
FF 35 25 FC 41 00 89 0C 24 8B 3C 24 8F 05 B9 FC 41 00 8F 05 19 FE 41 00 89 05 89 FD 41 00 FF 35
89 FD 41 00 57 BF 19 FE 41 00 8B C7 5F 8B 08 8F 05 95 FC 41 00 8B 05 95 FC 41 00 53 8F 05 5D FE
41 00 FF 35 5D FE 41 00 89 0C 24 89 3D 91 FE 41 00 FF 35 91 FE 41 00 8F 05 81 FC 41 00 89 1D 89
FE 41 00 FF 35 89 FE 41 00 68 81 FC 41 00 5B 8B 0B 8F 05 C9 FC 41 00 8B 1D C9 FC 41 00 57 89 04
24 89 0C 24 8B 04 24 8F 05 D5 FD 41 00 8B 0C 24 8F 05 4D FC 41 00 50 89 14 24 8F 05 BD FE 41 00
FF 35 BD FE 41 00 51 B9 DD FD 41 00 89 39 59 FF 35 DD FD 41 00 C7 05 A9 FE 41 00 60 55 40 00 FF
35 A9 FE 41 00 8B 3C 24 8F 05 95 FD 41 00 89 1D 29 FD 41 00 FF 35 29 FD 41 00 8B DF 8B D3 5B 8F
05 E9 FE 41 00 8B 3D E9 FE 41 00 52 89 1C 24 68 9D FE 41 00 5B 89 13 8B 1C 24 8F 05 49 FE 41 00
8B 14 24 8F 05 69 FD 41 00 FF 15 9D FE 41 00 89 65 E8 89 25 C5 FD 41 00 89 1D 21 FD 41 00 FF 35
21 FD 41 00 68 C5 FD 41 00 5B 8B 33 8B 1C 24 8F 05 A9 FC 41 00 89 3E 57 8F 05 F5 FE 41 00 FF 35
F5 FE 41 00 89 34 24 FF 15 BC A0 40 00 8B 4E 10 50 B8 F9 FB 41 00 89 10 58 FF 35 F9 FB 41 00 56
C7 04 24 AC DE 40 00 8B 14 24 8F 05 AD FD 41 00 89 0A 8F 05 29 FE 41 00 FF 35 29 FE 41 00 5A 8B
46 04 A3 B8 DE 40 00 8B 56 08 52 8F 05 3D FD 41 00 FF 35 3D FD 41 00 8F 05 BC DE 40 00 8B 76 0C
81 E6 FF 7F 00 00 53 BB 35 FE 41 00 89 33 5B FF 35 35 FE 41 00 8F 05 B0 DE 40 00

BMZ123654

还没看ximo老师的课，看攻略都快给我看崩了

china老狼

给我看懵了 重复那么多次意义是找什么？

m_h

没有看明白 九次做啥了 得看原文了。。。。

xi0405

就是找stolen code

xi0405

如果要自己找真的需要认真仔细，一旦步骤错了就需要重头开始特别机器式的，特别得注意每一步的hr断设好了没。我当时找都快找蒙了

xi0405

hr断后，就是运行，菜单栏的三角形，一直点就会一直跳，跳到有特征的地方，就是有pushad的地方就需要记录数据，然后就是重复上述过程。hr断的总是pushad的下一行的esp

BMZ123654

老哥有没有学习路线，现在学到ximo老师的课到20级稍微有点吃力了，准备先放放看看小生怕怕的课怎么样，还是继续硬怼

xi0405

BMZ123654 发表于 2025-9-16 09:05
老哥有没有学习路线，现在学到ximo老师的课到20级稍微有点吃力了，准备先放放看看小生怕怕的课怎么样，还是 ...

我没有，你可以按自己的来