穿山甲6.04到OEP了,输入表乱序和远程地址该如何处理?
首先,我好不忌讳的申明我是菜鸟,以学习的目的来到这里,遇见一些问题,请大家帮忙一下.我破解的这个软件已经有破解版,而且有注册机,我纯粹是个人学习,不是专门投机找人破解软件的.
/:018
软件名:Sothink SWF Decompiler
官方地址:http://www.sothink.com/product/flashdecompiler/index.htm
检测信息如下:(工具:Armadillo Find Protected V1.8)
<------- 01-09-2008 11:51:10 ------->
C:\Program Files\SourceTec\Sothink SWF Decompiler\SWFDecompiler.exe
!- Protected Armadillo
Protection system (Professional)
!- <Protection Options>
Standard protection or Minimum protection
Enable Import Table Elimination
Enable Strategic Code Splicing
!- <Backup Key Options>
Variable Backup Keys
!- <Compression Options>
Minimal/Fastest Compression
!- <Other Options>
Disable Monitoring Thread
487FDD00 Version 6.04 18-07-2008
!- Elapsed Time 00h 00m 00s 375ms
应该是标准或最小保护,输入表乱序,远程地址
已经注册,注册信息如下:
wxdwxd
031K5C-40UJ8E-F06GFB-CC647R-6UEAB1-N2AKRY-5VTDPZ-TTG665-UXR8Y0-5QBR4E-HGFYAY-QY0VCD
我的破解过程:
OD载入,下断点:BP VirtualProtect,几次F9以后,有个大的缓冲,看积存器
EAX 00401000 SWFDecom.00401000
ECX 0012C3C8
EDX 003DE000
EBX 00000000
ESP 0012982C
EBP 0012EB88
ESI 0092A378 SWFDecom.0092A378
EDI 00000000
EIP 7C801AD4 kernel32.VirtualProtect
应该差不多了,取消断点,ALT+F9返回,然后查找命令“push 100”,到这里
01757B20 55 push ebp
01757B21 8BEC mov ebp, esp
01757B23 51 push ecx
01757B24 894D FC mov dword ptr , ecx
01757B27 68 00010000 push 100
01757B2C 8B45 08 mov eax, dword ptr
01757B2F 50 push eax
把01757B20 55 push ebp
改成:01757B20 C3 retn
然后ALT+M到内存窗口,设置一个内存访问断点,F9运行,马上就断下了,取消内存访问断点,下断BP CreateThread
F9直接来到这里:
7C8106C7 >8BFF mov edi, edi
7C8106C9 55 push ebp
7C8106CA 8BEC mov ebp, esp
7C8106CC FF75 1C push dword ptr
7C8106CF FF75 18 push dword ptr
7C8106D2 FF75 14 push dword ptr
7C8106D5 FF75 10 push dword ptr
7C8106D8 FF75 0C push dword ptr
7C8106DB FF75 08 push dword ptr
7C8106DE 6A FF push -1
7C8106E0 E8 D7FDFFFF call CreateRemoteThread
接下来一路F8,一直到这里
01796147 8B42 04 mov eax, dword ptr
0179614A 50 push eax
0179614B 8B4D 08 mov ecx, dword ptr
0179614E 8B51 08 mov edx, dword ptr
01796151 52 push edx
01796152 6A 00 push 0
01796154 8B45 08 mov eax, dword ptr
01796157 8B48 0C mov ecx, dword ptr
0179615A 51 push ecx
0179615B 8B55 F4 mov edx, dword ptr
0179615E 2B55 DC sub edx, dword ptr
01796161 FFD2 call edx
看这个一句:“01796161 FFD2 call edx”,F7进入,
006BFBEC E8 6E060100 call 006D025F
006BFBF1^ E9 78FEFFFF jmp 006BFA6E
006BFBF6 8BFF mov edi, edi
006BFBF8 55 push ebp
006BFBF9 8BEC mov ebp, esp
006BFBFB 51 push ecx
006BFBFC 53 push ebx
006BFBFD 8B45 0C mov eax, dword ptr
006BFC00 83C0 0C add eax, 0C
006BFC03 8945 FC mov dword ptr , eax
006BFC06 64:8B1D 0000000>mov ebx, dword ptr fs:
006BFC0D 8B03 mov eax, dword ptr
006BFC0F 64:A3 00000000mov dword ptr fs:, eax
006BFC15 8B45 08 mov eax, dword ptr
006BFC18 8B5D 0C mov ebx, dword ptr
006BFC1B 8B6D FC mov ebp, dword ptr
006BFC1E 8B63 FC mov esp, dword ptr
006BFC21 FFE0 jmp eax
006BFC23 5B pop ebx
006BFC24 C9 leave
006BFC25 C2 0800 retn 8
这里应该是OEP了,看网上的教程,接下来应该找IAT,用ArmInline来修复了。
我就卡在这里了,弄不出来了,好心的朋友帮我看一下,我一直没弄出来啊! 没人帮我吗?请各位帮忙了!
页:
[1]