脱壳求助 Themida|WinLicense 1.8.2.0 Plus -> Oreans Technologies [Overlay] *

kelvar

这个壳用PEID查壳不准确
用下面这个脚本查下吧

1. 
   
2. /*
   
3. FileName    :  Detect all versions of Themida/WinLicense        
   
4. Features    :  If your target is packed with Themida/WinLicense,this script can help you detect its version.
   
5.                But you must note that this isn't a unpack-script for Themida.
   
6. Environment :  WinXP,ODBYdyk V1.10,OllyScript V1.65            
   
7. Support     :  Themida all versions (1.9.8.0-2.0.5.0)
   
8. Thanks      :  What/goldsun/peaceclub/stupidass/KooJiSung            
   
9. Author      :  Playboysen                                      
   
10. Date        :  2008-12-25  o_0  Merry Christmas!  
    
11. */
    
12. 
    
13. var temp
    
14. var verStr
    
15. var verAddr
    
16. mov verAddr,0
    
17. 
    
18. bc                                  //先清除一下断点
    
19. gpa "ZwContinue", "ntdll.dll"       //bp ZwContinue
    
20. bp $RESULT
    
21. loop:
    
22. esto
    
23. cmp [esp+0C],0C0000096             //关键处的值应该为C0000096   
    
24. jnz loop                           //循环比较关键值
    
25. bc
    
26. mov eax,[esp+4]
    
27. add eax,0B8
    
28. mov temp,[eax]
    
29. find temp,#000004000000#          //特征码
    
30. cmp $RESULT,0
    
31. jz exit
    
32. mov eax,$RESULT
    
33. add eax,6
    
34. mov verStr,"Themida/winlicense version: "
    
35. mov verAddr,eax
    
36. READSTR [verAddr],5
    
37. add verStr,$RESULT
    
38. msg verStr
    
39. 
    
40. exit:
    
41. ret
    

复制代码