Armadillo 3.78 - 4.xx双进程脱壳加优化

enjon

【文章标题】: Armadillo 3.78 - 4.xx双进程脱壳加优化
【文章作者】: 追杀
【作者邮箱】: [email protected]
【作者主页】: 没得
【作者QQ号】: 46345049
【软件大小】: 484k
【下载地址】: 本页下载
【加壳方式】: 加密
【编写语言】: VC++
【操作平台】: WinXp2
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  OD载入停在这里:
  0103B000 >  60              pushad
  0103B001    E8 00000000     call    0103B006
  
  OD忽略所有异常,另加上C000001E (INVALID LOCK SEQUENCE)异常
  
  OpenMutexA下断F9运行出现错误提示点“|确定”运行在
  
  7C80EA1B >  8BFF            mov     edi, edi Alt+F9返回程序
  
  01021382   /74 04           je      short 01021388 返回到这里
  
  01021382   /74 04           jne      short 01021388 改成这样
  
  改好后运行,取消7C80EA1B处的断点      再次返回
  
  GetModuleHandle+5下断 F9运行 出错提示“|确定”Shift+F9运行
  
  7C80B6A6    837D 08 00      cmp     dword ptr [ebp+8], 0
  7C80B6AA    74 18           je      short 7C80B6C4
  7C80B6AC    FF75 08         push    dword ptr [ebp+8]
  7C80B6AF    E8 C0290000     call    7C80E074
  7C80B6B4    85C0            test    eax, eax
  =================================================================
  堆栈提示:
  001378E0  |00C09AF7  返回到 00C09AF7 来自 kernel32.GetModuleHandleA
  001378E4  |00137A24  ASCII "kernel32.dll"
  
  这里取消断点.Alt+F9返回
  
  00C09B25    391C06          cmp     dword ptr [esi+eax], ebx
  00C09B28    0F84 32010000   je      00C09C60                 Magic跳改成jmp 回车跟
  
  00C09C6F  ^\0F85 41FEFFFF   jnz     00C09AB6                 这里F2 F9运行到这里 取消断点
  00C09C75    EB 03           jmp     short 00C09C7A         
  
  
  把原来的东东修改回来
  CreateThread 下断.
  
  7C810637 >  8BFF            mov     edi, edi                  断在这里
  取消断点，Alt+F9返回程序
  OEP
  0100739D    6A 70           push    70
  现在来优化
  pdata清除
  data1清除
  adata清除
  text1清除
  比原来小十倍
  好了完了，再见
  
--------------------------------------------------------------------------------
【版权声明】: 本文技术交流, 转载请注明作者并保持文章的完整, 谢谢!

                                                       2007年12月04日 19:49:01

[ 本帖最后由 enjon 于 2008-7-12 22:43 编辑 ]

黑暗次序

期待录像
谢谢共享

11424549

:loveliness: 可以用脚本啊

zyh1031

/:002
看不到附件呀~

enjon

原帖由 zyh1031 于 2007-12-24 14:18 发表
/:002
看不到附件呀~

多发些贴子，你还是初级的，努力一把就可以看到了。

coolgo

原帖由 zyh1031 于 2007-12-24 14:18 发表
/:002
看不到附件呀~

/:002 /:002 /:002 /:002 /:002

baocai

/:002  看不到附件啊。。。继续努力中。。

my1229

好资料，需要下载来学习。

塞上小飞

看不到附件也没有关系的哦
LZ文字写的也不错的哦~
谢谢了

lijingjie

/:014 穿山甲的壳脱了以后留下了大量的垃圾数据，中间的区段都可以删掉。