关于这个起凡very good全图飘零验证程序

520Kelly

首先呢 一开始我是以为是VC6的、、这个表示让我很蛋疼、、我犯了个小错误 没有想到是这种另类的方式、、
后来一抓包发现还真是飘零的、、这个郁闷了、、

首先先介绍个工具 叫PE提取 、、同时感谢那个  rain灿  师傅 还有 真的很疼 师傅的指点 程序由rain灿师傅提供 程序的作者是让我觉得不爽的一个人

虽然我看他不爽  但是人家的东西确实还不错 唔 别喷 我看人家不爽 但不代表我看人家的技术不爽、、我不怕别人怎么喷我 说我逗比也好、、看人家不爽

还用人家的东西 这个我表示 人家有值得我赞扬的地方 我觉得没什么、、反正资源利用 不要管这么多、、有捷径记得走、、不要在意细节

这个问题就不多说了 陈年旧账、、懒得提、、再一个 是我私人的事情 和大家也没关系 这个话题扯到这、、

关于这个飘零程序、、有值得说的地方

首先是一个VC6的exe 这个应该相当于启动器之类的

然后不知道是不是这个VC6的exe 释放出一个易语言程序  目录在C盘的windows文件夹

这个易语言程序 调用函数OpenFileMappingA 这个是打开内存映像、、我暂时这么理解 我确实看不懂百度的解释 我是菜鸟、、

然后就是载入了VC6这个exe目录下的一个dll  不过在  网动的心  师傅的机子上 好像不是加载的这个dll 这个表示不理解、、

这个dll在我的OD里面看着好像没什么 但实际上 他隐含了真正的飘零主程序的代码、、

说这么多我都感觉绕了、、我也觉得绕 我也说不清楚这个问题、、总之你们要理解的就是这个dll里面 有飘零主程序就可以了、、

后面的 我自己也猜不出到底是怎么个写法、、特别郁闷、、这算是一个另类的写法 我没见过、、


工具使用方法：首先单独运行那个VC6的exe 让程序把代码映射到内存

然后打开OD的附加 看到这里


进程id为608 打开小生我怕怕破解计算器 把608转换为10进制就是 1544  因为OD默认使用的是16进制 所以把16进制转换为10进制即可



提取出来以后 会出现三个文件

一个是一个LOL图标的 那个就是飘零主程序 另外两个 都是易语言图标的 其中一个就是释放在C盘的windows目录的那个 加载函数OpenFileMappingA

另外一个貌似加了pep的壳 我虚拟机运行不起来不知道什么是、、大家有兴趣就去探索下

最后我想对这个程序的作者说 作者 你把源码给我看下吧、、我想知道原理是什么 表示都看不懂、、

想问一下大牛 这个飘零主程序是被哪个exe释放到内存的？是vc6的那个？还是易语言的那个？还是dll？不懂 求源码 求大神解释、、

bypewjtq.zip (109.93 KB, 下载次数: 37)

2014-10-2 00:14 上传

点击文件名下载附件

Very_good

520Kelly 发表于 2014-10-2 09:23
飘零还防破、、挡得住金一 还有us他们的轰击 真别当吾爱没人才 说VMP壳的VM有多屌 人家照样人肉还原】

...

呵呵，虽然我不是大牛       但我也不想说    还有我哪说了吾爱没人才

520Kelly

Very_good 发表于 2014-10-2 06:47
哦   笑了，                你确定？
我在飘零里面还没写防破，就加了个壳实验而已

飘零还防破、、挡得住金一 还有us他们的轰击 真别当吾爱没人才 说VMP壳的VM有多屌 人家照样人肉还原】

你确定你的防破能超过VM的虚拟？

囚徒灬

表示重载DLL无效

、稻草人

摸鸟！学习了！！！！！！！！！！

2217936322

一血嘎嘎！

萌面怪η4N受

格盘大牛血拐的

kingone

这个算是起凡全图里最好破的了

Very_good

没加格盘啦        这壳我自己做的        
不想加格盘，只觉得太残忍

Very_good

kingone 发表于 2014-10-2 01:03
这个算是起凡全图里最好破的了

哦   笑了，                你确定？
我在飘零里面还没写防破，就加了个壳实验而已

Very_good

自己做的一个壳而已？源码什么防破都没写

Very_good

易语言写也是可以的，只是要用函数，还有要写很多api