学习ximo老师课程的学习记录21

xi0405

21、手脱ASProtect 1.2及1.23

这次的比较简单，没有stolen code

一、环境

XP机

二、案例程序

1

  

1.跑跑赛道排名查询.exe（Scylla+ImportREC）

2.跑跑排行榜.exe（需要工具，就是第一行的最后一个工具辅助修复）

三、方法

1.最后一次异常法

2.内存镜像

四、工具

1.OD

2.PEiD

3.Scylla

4.ImportREC

五、脱壳

1.跑跑赛道排名查询.exe

查壳

2

  

配置

3

  

3

  

OD载入，开始脱壳

4

  

4

  

4

  

4

  

内存镜像

5

  

5

  

Scylla

6

  

6

  

修复，ImportREC

7

  

7

  

7

  

成功，查壳

8

   

2.跑跑排行榜.exe

查壳

9

  

OD载入

10

  

10

  

10

  

10

  

内存镜像法

11

  

OEP

11

  

Scylla

12

  

12

  

打开辅助工具

13

  

13

  

ImportREC

14

  

14

  

14

  

成功，查壳

15

BMZ123654

老哥试试这一节课的练习题，我看有个练习题试了几遍弄不好，18次跑飞，17次后到在tetn在进内存下41000到的位置我看不像oep，继续F7跟进找到真oep了脱壳修复不成功，现在无法判断具体是代码被偷了还是我修复错了，iat有11个函数无法修复，3号修复不了，用插件的那几个1.2xx的全是死机，弄好了发个教程

xi0405

BMZ123654 发表于 2025-9-18 20:17
老哥试试这一节课的练习题，我看有个练习题试了几遍弄不好，18次跑飞，17次后到在tetn在进内存下41000到的 ...

是跑跑排行榜还是跑跑赛道排名查询？我明天看看

xi0405

BMZ123654 发表于 2025-9-18 20:17
老哥试试这一节课的练习题，我看有个练习题试了几遍弄不好，18次跑飞，17次后到在tetn在进内存下41000到的 ...

没有代码偷取，我开头就解释了

BMZ123654

这个练习提，有两个是演示的例子，ximo还有第三个练习题

xi0405

BMZ123654 发表于 2025-9-19 07:50
这个练习提，有两个是演示的例子，ximo还有第三个练习题

好的，等我回去，看看

xi0405

BMZ123654 发表于 2025-9-18 20:17
老哥试试这一节课的练习题，我看有个练习题试了几遍弄不好，18次跑飞，17次后到在tetn在进内存下41000到的 ...

我手动脱壳没有成功，不能运行。然后那11个函数可以获取到，你可以试试，把那11个函数修复看能不能运行。获取方法就是，使用OD的一个插件，直接脱壳，然后会有一个txt文件可以查看到IAT的所有函数。这是一个大佬教的。插件->CodeDoctor->AsProtect脱壳，然后就会跳转到OEP的位置，脱壳后的文件和一些信息会在程序目录下。

xi0405

xi0405 发表于 2025-9-19 22:15
我手动脱壳没有成功，不能运行。然后那11个函数可以获取到，你可以试试，把那11个函数修复看能不能运行。 ...

OEP位置，我找到了，就是修复有问题了。然后现在就是在琢磨怎么手动修复，然后能运行。

xi0405

xi0405 发表于 2025-9-19 22:15
我手动脱壳没有成功，不能运行。然后那11个函数可以获取到，你可以试试，把那11个函数修复看能不能运行。 ...

哥们，如果你成功了，可以发个教程贴，一起学习，感谢！

BMZ123654

xi0405 发表于 2025-9-19 22:21
哥们，如果你成功了，可以发个教程贴，一起学习，感谢！

根据老哥你提供的工具我脱壳看到正确的OEP了，我自己尝试了几次找到了，进入OD，用最后一次异常法shift+f9运行16次，18次跑飞，在16次这个位置进入内存，访问00401000，然后shift+f9运行，到达oep（0048c760），就是我脱壳用OD自带插件和LordPE工具全都报错，和我前一个贴子的情况一样，没找到解决方案，刚刚发帖了，可以去详细的看一下