overlay(附加数据)问题

ossurrond

程序下载地址:http://www.wooolff.com/xuexue.exe
PEid查ASProtect 1.33 - 2.1 Registered -> Alexey Solodovnikov [Overlay] *

用OD载入.运行,Aspr2.XX_unpacker_v1.0SC.osc脚本.
提示有.Stolen code,程序所在的目录中已经生成De_xuexue.exe

ALT+L查看得到.


           IAT 的地址 = 00406000
           IAT 的相对地址 = 00006000
           IAT 的大小 = 000000B8
00F40079   断点位于 00F40079
           OEP 的地址 = 00403831
           OEP 的相对地址 = 00003831

接着用.ImportREC_fix.exe修复..
修复完之后.运行,提示.can't open file

根据提示来到断点.
00401188   . /74 0C         jnz      short 00401196
0040118A   . |C745 FC C0714>mov     dword ptr [ebp-4], 004071C0      ;  ASCII "Can't open file!"
00401191     |E9 37030000   jmp     004014CD
00401196   > \8B35 1C604000 mov     esi, [<&kernel32.SetFilePointer>>;  kernel32.SetFilePointer
0040119C   .  6A 02         push    2                                ; /Origin = FILE_END
0040119E   .  53            push    ebx                              ; |pOffsetHi
0040119F   .  6A F8         push    -8                               ; |OffsetLo = FFFFFFF8 (-8.)
004011A1   .  57            push    edi                              ; |hFile
004011A2   .  FFD6          call    esi                              ; \SetFilePointer
004011A4   .  3D E8030000   cmp     eax, 3E8
004011A9   .  8945 F4       mov     [ebp-C], eax
004011AC   .  0F82 FD020000 jb      004014AF

接着.把00401188   . /74 0C         jnz      short 00401196
改成   00401188   . /74 0C         jz       short 00401196

k问题就出在这里无论如何何必程序就是跑不起来.不知道怎么回事.
刚刚看到一些.说是要加上附加数据,
请各位大侠出手相救.随便能否说一下如何加上附加数据.overlay

wzwgp

看看这篇文章
http://bbs.pediy.com/showthread.php?threadid=8789

coolpeople

原帖由 wzwgp 于 2007-1-26 12:36 发表
看看这篇文章
http://bbs.pediy.com/showthread.php?threadid=8789

附加数据的修复还是不太懂。。。

ossurrond

多谢指点.目前着手处理这个问题.

pygbian

其实现在有个直接的修复工具Overlay,直接修复就可以了!

飘云

原帖由 ossurrond 于 2007-1-26 11:53 发表
程序下载地址:http://www.wooolff.com/xuexue.exe
PEid查ASProtect 1.33 - 2.1 Registered -> Alexey Solodovnikov  *

用OD载入.运行,Aspr2.XX_unpacker_v1.0SC.osc脚本.
提示有.Stolen code,程序所在的 ...

UPX壳哦，你的PEID什么版本:L ？

尾部数据这样修复~，看图片

jy2207661

太深奥了，为什么要从这里开始复制。

ljq897

好好学习，天天向上

ljq897

好好学习，天天向上