CM有壳有花有反调加混淆有点难度

Skyearth1

https://wwkz.lanzoum.com/ipQ3133k8frc
密码:dtgh
苦思冥想很久又升级做出了一版

Weah

改下跳转

神雕

阿瑟氛围清水房

leesn

之前的确不知道CM

qq465881818

Godjk

今天真是学到了，原来还有这个职业

zunmx

先通过exeinfope查壳，upx -d 脱壳，动态调试，改跳转指令。


ida 更方便找到目标跳转。

shuimu1128

upx一大劣势就是反调试在壳解压缩之后。

瞪眼法定位oep，不需要管反调试。

[Asm] 纯文本查看 复制代码

UPX0:0000000000401F9E                 mov     ecx, eax
UPX0:0000000000401FA0                 call    sub_401BD8
UPX0:0000000000401FA5                 test    al, al
UPX0:0000000000401FA7 ; ; patched 0x2
UPX0:0000000000401FA7                 nop
UPX0:0000000000401FA8                 nop
UPX0:0000000000401FA9                 lea     rdx, aProductActivat ; "Product activated successfully!"
UPX0:0000000000401FB0                 mov     rcx, cs:off_48D810 ; _QWORD
UPX0:0000000000401FB7                 call    sub_470280
UPX0:0000000000401FBC                 mov     rdx, cs:psub_46E520
UPX0:0000000000401FC3                 mov     rcx, rax
UPX0:0000000000401FC6                 call    sub_44DFD0
UPX0:0000000000401FCB                 lea     rcx, Command    ; "pause"
UPX0:0000000000401FD2                 call    j_system
UPX0:0000000000401FD7                 jmp     short loc_402007

patch跳转。



可以考虑修补下upx，去特征，稍微对抗一下upx -d，并把一部分反调试插入到脱壳过程中。

zxaagds2007

upx -d脱壳,运行一遍程序,搜索"Invalid activation key!",patch je为nop即可

dnn19782001

我也试试这个，我是新手，不知道能不能行