用OD自带插件DUMP--GHF Protector V1.0

kir

可能这方法很多人都知道了吧，懂的就直接飘过吧，我主要在那练习贴里面没看到用OD自带插件脱得，所以就补充一下。
GHF Protector V1.0，这是13课的练习，怎么到达OPE，搜索那练习贴里面的方法去到达吧！
到达之后我们用OD自带脱壳插件，开始显示如下
我们再看看堆栈区，拉上去一点发现如下。。0012FFAC   0012FFF0
0012FFB0   0012FFC4
0012FFB4   00000000
0012FFB8   00000000                                                       /这里是数据基质
0012FFBC   00400000  13-GHF_1.00400000                   /这里是起始地址
0012FFC0   004070FF  ASCII "`hTp@"                            /这里是大小，OD插件里就应该填70FF，就是4070FF-起始地址
0012FFC4   7C817067  返回到 kernel32.7C817067
0012FFC8   00400000  13-GHF_1.00400000
0012FFCC   FFFFFFFF
0012FFD0   7FFD5000
0012FFD4   8054C6B8

现在我们改动到如下图

DUMP下来之后运行，还需要用LordPE来重建一下，之后就能运行了

这方法对吗啡仙剑之类的壳都有效，主要是找对大小和基质。。。

sgjf2010

LZ什么意思想说什么？

小生我怕怕

LZ什么意思想说什么？
sgjf2010 发表于 2010-9-14 13:57

    他说自己计算OEP的RVA，然后用OD插件DUMP

sgjf2010

哦 哦 我一般都用脱壳机  因为我不会手托55555555555