【讨论】发一个比较特别的Asprotect2

kcleng

自从有了脚本脱asp2就不再是麻烦事，当然写程序的人也知道有脚本的。
今天这个程序就有点特别了。
ASProtect 2.1x SKE -> Alexey Solodovnikov [Overlay]

经过脱壳，修复，补上附加数据，验证PE，
还不能完工
最后软件还是会提示错误的。
这个错误才是关键
以下系分析得到的数据，大家可以直接用。
OEP是00403861
IAT从6000开始
大小B8

附加数据00099600开始

最后的错误是 数据解压缩失败

脚本我给大家提供
以上是一般的过程，我想不成功的原因就是脱壳时的问题，大家怎样认为？

这是程序地址：http://www.namipan.com/d/1.rar/b ... bbc117dd1107bcc3f00

[ 本帖最后由 kcleng 于 2009-8-22 10:03 编辑 ]

glts

程序里有校验
005DEEC4    53              PUSH EBX
005DEEC5    E8 38220500     CALL 伊神人事.00631102
005DEECA    83C4 04         ADD ESP,4
005DEECD    833D 6C030301 0>CMP DWORD PTR DS:[103036C],0
005DEED4    0F85 D4010000   JNZ 伊神人事.005DF0AE
005DEEDA    6A 01           PUSH 1
005DEEDC    68 70040301     PUSH 1030470
005DEEE1    E8 4E030000     CALL 伊神人事.005DF234
005DEEE6    A3 6C040301     MOV DWORD PTR DS:[103046C],EAX
005DEEEB    6A 00           PUSH 0
005DEEED    FF35 6C040301   PUSH DWORD PTR DS:[103046C]
005DEEF3    6A FF           PUSH -1
005DEEF5    6A 0D           PUSH 0D
005DEEF7    68 53540116     PUSH 16015453
005DEEFC    68 89450152     PUSH 52014589
005DEF01    E8 20220500     CALL 伊神人事.00631126
005DEF06    83C4 18         ADD ESP,18
005DEF09    68 01030080     PUSH 80000301
005DEF0E    6A 00           PUSH 0
005DEF10    FF35 6C040301   PUSH DWORD PTR DS:[103046C]
005DEF16    68 01000000     PUSH 1
005DEF1B    BB 68010000     MOV EBX,168
005DEF20    E8 E3210500     CALL 伊神人事.00631108
005DEF25    83C4 10         ADD ESP,10
005DEF28    8945 FC         MOV DWORD PTR SS:[EBP-4],EAX
005DEF2B    68 38AB4100     PUSH 伊神人事.0041AB38                       ; ASCII "/20]"试用初始20次试用

kcleng

版主的意思是操作完全正确，最后就差程序的校验？

Luckly

涉及到文件的解压 最好带壳破解 ...  里面RSA 是易语言的程序  破解相当简单

老万

楼上斑竹，我不脱壳的话，用OD一载入，运行，就退出，能否帮忙解决一下吗？

Luckly

BP ExitProcess
比较父窗口是否是CMD 或者 EXPLORER  不是则退出

老万

楼上斑竹，我用OD一加载程序，运行，程序就退出，希望斑竹能告诉我什么原因？

老万

谢谢斑竹。。

kcleng

我用了BP ExitProcess
跳过程序的退出后还是不能正常运行，OD里老提示：LOCK CMPXCHG8B 在执行时可能与一些处理器有冲突！
eax=00000000
在这个位置循环：

00413641    F0:0FC7C8              lock cmpxchg8b eax    ; 非法使用寄存器
00413645    90                     nop
00413646    68 9F6F56B6            push B6566F9F
0041364B    50                     push eax
0041364C    E8 5D000000            call 伊神人事.004136AE
00413651    EB FF                  jmp short 伊神人事.004136>
00413653    71 78                  jno short 伊神人事.004136>
00413655    C2 5000                retn 50
00413658  ^ EB D3                  jmp short 伊神人事.004136>
0041365A    5B                     pop ebx
0041365B    F3:                    prefix rep:
0041365C    68 895C2448            push 48245C89
00413661    5C                     pop esp
00413662    24 58                  and al,58
00413664    FF8D 5C24585B          dec dword ptr ss:[ebp>
0041366A    83C3 4C                add ebx,4C
0041366D  ^ 75 F4                  jnz short 伊神人事.004136>
0041366F    5A                     pop edx
00413670    8D71 78                lea esi,dword ptr ds:>
00413673    75 09                  jnz short 伊神人事.004136>
00413675    81F3 EBFF52BA          xor ebx,BA52FFEB
0041367B    0100                   add dword ptr ds:[eax>
0041367D    83EB FC                sub ebx,-4
00413680    4A                     dec edx
00413681    FF71 0F                push dword ptr ds:[ec>

kcleng

其实破解是简单的，但现在讨论的是怎样脱壳，这个问题是值得深入的