求问一个关于ZProtect v1.4.8.0脱壳时关于IAT恢复的问题

烟99

如图这款软件
样本：https://wwava.lanzoub.com/iHptQ3hizmhi




想买正版，但是作者跑路



开始破解

先查壳脱壳

壳体是


然后上x32dbg，定住第一层pushad，上ESP定律，接着F9



来到我能抓到的第二层pushad，上ESP定律，接着F9




再按F9，来到了下面这里

[Asm] 纯文本查看 复制代码

005AF56B | 83C4 04            | add esp,4                                   |
005AF56E | 55                 | push ebp                                    |
005AF56F | 8BEC               | mov ebp,esp                                 |
005AF571 | 83C4 94            | add esp,FFFFFF94                            |
005AF574 | 53                 | push ebx                                    |
005AF575 | 56                 | push esi                                    | esi:EntryPoint
005AF576 | 57                 | push edi                                    | edi:EntryPoint
005AF577 | 33D2               | xor edx,edx                                 | edx:EntryPoint
005AF579 | 8955 C8            | mov dword ptr ss:[ebp-38],edx               | edx:EntryPoint
005AF57C | 8955 CC            | mov dword ptr ss:[ebp-34],edx               | edx:EntryPoint
005AF57F | 8955 D0            | mov dword ptr ss:[ebp-30],edx               | edx:EntryPoint
005AF582 | 8955 D4            | mov dword ptr ss:[ebp-2C],edx               | edx:EntryPoint
005AF585 | 8955 D8            | mov dword ptr ss:[ebp-28],edx               | edx:EntryPoint
005AF588 | 8955 DC            | mov dword ptr ss:[ebp-24],edx               | edx:EntryPoint
005AF58B | 8955 E0            | mov dword ptr ss:[ebp-20],edx               | edx:EntryPoint
005AF58E | 8955 E4            | mov dword ptr ss:[ebp-1C],edx               | edx:EntryPoint
005AF591 | 8955 E8            | mov dword ptr ss:[ebp-18],edx               | edx:EntryPoint
005AF594 | 8955 EC            | mov dword ptr ss:[ebp-14],edx               | [ebp-14]:"IMGTOPRIGHT", edx:EntryPoint
005AF597 | 81E9 00001000      | sub ecx,100000                              | ecx:"IMGTOPRIGHT"
005AF59D | 8BD1               | mov edx,ecx                                 | edx:EntryPoint, ecx:"IMGTOPRIGHT"
005AF59F | FFD2               | call edx                                    | edx:EntryPoint

这里call了EDX，此时EDX指向的就是4xxxxx开头区域



看着应该是成功到达OEP了，push edx是标准的delphi开头


现在最棘手的是IAT，从005B1010处下硬件断点，此时005B1010仍然是假的内容，F9继续，先是去了404EAC




然后去了005AE1B9



读了@ICEY 大佬的文章，也喂给了AI去读，意思是关注一下附近有没有cmp byte ptr ds:[xxx], 0x0这样的指令，来执行Magic JMP，往上翻，并没有，说明ZPorect已经动态改写了，我重载程序，然后从005AE1B9下硬件断点，直接触发反调试，AI乱指挥，总是卡在这里不动了，应该怎么突破，如何寻找方向。

求大佬解答！！！！


这是内存布局

Hmily

ZProtect 1.3 - 1.6 DeCryption & Unpack Tutorial
https://www.52pojie.cn/thread-68387-1-1.html
ZProtect 1.4.9 Unpacker by ximo[LCG]
https://www.52pojie.cn/thread-41453-1-1.html
ZProtect 1.4 DeCryption & InLine Patcher 1.1
https://www.52pojie.cn/thread-62390-1-1.html
ZProtect 1.4.x HWID + Inline Patcher v1.0
https://www.52pojie.cn/thread-47583-1-1.html
善用搜索，能直接破解内存补丁就没必要非得脱壳了。

gs124330

我也求助过，几乎没人给你解答指导，最多只是破解截个图给你展示下，给你随便说两句炫哈技，更不会给你发破解的文件，现在不像以前那么单纯的交流技术了。唯一的方法只有两个，要么是自己动手丰衣足食，要么是扫码解决！

bypasshwid

OEP找的不对，OEP被VM了，所以找不到iat了。得先修复好OEP后，再搜索IAT就能搜索到了，至于如何修复OEP，我也不知道。

烟99

bypasshwid 发表于 2026-2-12 17:28
OEP找的不对，OEP被VM了，所以找不到iat了。得先修复好OEP后，再搜索IAT就能搜索到了，至于如何修复OEP，我 ...

不想继续研究了，听说找到OEP也没用，所有指令都是VM化的，爆破都不见得行，想模拟注册算法更是天方夜谭

蔚蓝的翡冷翠

bypasshwid 发表于 2026-2-12 17:28
OEP找的不对，OEP被VM了，所以找不到iat了。得先修复好OEP后，再搜索IAT就能搜索到了，至于如何修复OEP，我 ...

你好，你能看下我的悬赏贴吗？也是要下载千库网的资源，谢谢！

qwe2002

海外的ai应该能帮到你